Madde 9 — Genel güvenlik tedbirleri

MADDE 9- (1) Gizlilik dereceli belgelere ilişkin güvenlik tedbirleri; gizlilik dereceli belgeye erişimi bilmesi gereken prensibine göre sınırlandırmayı, yetkisiz eylemleri caydırmayı, engellemeyi ve tespit etmeyi fiziksel ve teknik boyutta kapsar. İletişim ve bilgi sistemlerini barındıran alanlar da dâhil olmak üzere gizlilik dereceli belgelerin oluşturulduğu, üzerinde çalışıldığı veya muhafaza edildiği bina, ofis, oda, dolap, kasa ve diğer alanlar için ilgili gizlilik derecesine göre gerekli fiziksel ve teknik güvenlik önlemleri alınır.

(2) Gizlilik dereceli belgenin ilgileri, ekleri ve ilişkili belgeleriyle beraber bütünlüğü korunarak muhafaza edilir, belgenin özniteliği bozulmaz.

(3) Gizlilik dereceli belgelerin muhafaza edildiği dolap, kasa ve odaların anahtarları, manyetik kartları veya şifreleri de gizlilik dereceli belge niteliğinde muhafaza edilir. Kilit mekanizmasını açan söz konusu anahtar, manyetik kart ve şifrelerin üretilmesi süreçleri de gizlilik içinde yürütülür.

(4) Gizlilik dereceli belgenin bilmesi gereken prensibi kapsamında toplantı ve benzeri nedenlerle çalışma mekânı dışına taşınması gerektiğinde gizlilik derecesinin gerektirdiği güvenlik önlemleri alınır.

(5) Gizlilik dereceli belgeler için kullanılacak olan bilgisayarlardaki yazılım ve donanım bileşenleri, Dijital Dönüşüm Ofisi Başkanlığınca hazırlanan güncel Bilgi ve İletişim Güvenliği Rehberi’nde ve kurumsal bilgi güvenliği yönetim sistemlerinde belirtilen temel prensiplere uygun olarak kullanılır.

(6) Çok Gizli ve Gizli belgeler için kullanılacak cihazlarda alınabilecek tedbirler şunlardır:

a) Bilgisayarda, yazıcıda ve fotokopi cihazında kablolu veya kablosuz ağ bağlantısını sağlayacak herhangi bir donanım bileşeni bulunmaz.

b) Bilgisayarda yazıcı, klavye ve fare ile gerekli durumlarda kullanılabilen kriptolu veri depolama cihazı için bağlantı noktası bulunur. Belirtilen cihazlar haricinde başka bir cihaz bağlanması engellenir.

c) Bilgisayarın fiziksel portlarına erişim sağlayacak cihazlarda yazılımsal olarak erişim kontrolü için gerekli tedbirler alınır. Temel giriş-çıkış sistemi yazılımı üzerinden harici donanım bileşenlerine erişim engellenir.

ç) Bilgisayarın değiştirilmesi durumunda disk, yetkili kişi gözetiminde içerdiği veriler geri alınamayacak şekilde güvenli derin silme yazılımları ile temizlenir ve fiziksel olarak imha edilir.

d) Yazılım uygulamalarının kurulumu herhangi bir ağa bağlı olmadan gerçekleştirilir ve güncelleme işlemleri zorunlu durumlarda yapılır.

e) Kullanılan cihazların açılma noktaları, sökülebilir donanım parçalarına yetkisiz erişimin anlaşılabilmesi için güvenlik bandı ya da mühür ile işaretlenir.

f) Cihazlarda kullanılan ve atıl duruma gelen sarf malzemeleri yetkili kişi gözetiminde imha edilir.

(7) Elektronik haberleşme hizmeti içinde kodlu veya kriptolu haberleşme yapmaya yetkili Dışişleri Bakanlığı, Türk Silahlı Kuvvetleri, Millî İstihbarat Teşkilatı Başkanlığı, Emniyet Genel Müdürlüğü, Jandarma Genel Komutanlığı ve Sahil Güvenlik Komutanlığı ile bu kurumlara ait kodlu veya kriptolu elektronik haberleşme sistemlerinin kullanıldığı kamu kurum ve kuruluşları; gizlilik dereceli belgelere ilişkin işlemlerini gerekli güvenlik tedbirlerini almak şartıyla kapalı ağa bağlı cihazlarda gerçekleştirebilir.

 

Personele ilişkin genel hükümler