e-Devlet Yazılım Entegrasyonu için Siber Güvenlik İsterleri
e-Devlet yazılım entegrasyonu, bir uygulamanın e-Devlet Kapısı ile güvenli şekilde bağlantı kurarak kamu hizmetlerine erişim sağlaması sürecidir. Bu süreçte karşılanması gereken 9 temel siber güvenlik isterini gerçek uygulama örnekleriyle ele alıyoruz.
e-Devlet Yazılım Entegrasyonu için Siber Güvenlik İsterleri Neden Bu Kadar Önemli?
e-Devlet yazılım entegrasyonu için siber güvenlik isterleri, bir uygulamanın e-Devlet Kapısı ile güvenli şekilde bağlantı kurabilmesi için karşılaması gereken kimlik doğrulama, şifreleme, uygulama güvenliği, loglama, KVKK uyumu, sızma testi, API güvenliği, altyapı sertleştirme ve olay yönetimi gerekliliklerinin bütünüdür.
e-Devlet yazılım entegrasyonu, bir uygulamanın e-Devlet Kapısı ile güvenli şekilde bağlantı kurarak kamu hizmetlerine erişim sağlaması sürecidir. Bu süreçte tanımlanan siber güvenlik isterleri, yalnızca teknik gereksinimleri değil, vatandaş verilerinin korunmasını, kamu sistemlerinin sürekliliğini ve güvenilirliğini hedefleyen bütüncül bir güvenlik yaklaşımını temsil eder.
e-Devlet yazılım entegrasyonu yapan uygulamalar, kamu altyapılarıyla doğrudan etkileşim içinde oldukları için kamu yazılımı güvenliği açısından yüksek standartları karşılamak zorundadır. Bu yaklaşım, siber saldırılar karşısında kurumların hazırlık seviyesini ele aldığımız Siber Saldırılara Karşı Kurum Hazırlığı başlıklı yazımızda da vurguladığımız gibi, yalnızca teknik önlemlerle değil süreç ve hazırlıkla birlikte ele alınmalıdır.
| # | İster | Özet |
|---|---|---|
| 1 | Kimlik ve Yetkilendirme | Merkezi kimlik doğrulamaya tam uyum, RBAC, servis hesabı ayrımı |
| 2 | Güvenli İletişim | TLS 1.2/1.3, geçerli sertifikalar, zayıf protokollerin kapatılması |
| 3 | Uygulama Güvenliği | OWASP Top 10:2025 risklerine karşı koruma, girdi doğrulama |
| 4 | Log Yönetimi | Erişim loglama, log bütünlüğü, kişisel veri maskeleme, SIEM |
| 5 | KVKK Uyumu | Veri minimizasyonu, iletim/saklama koruması, erişim kontrolü |
| 6 | Sızma Testi | Bağımsız doğrulama, bulgu giderme, yeniden test |
| 7 | API Güvenliği | Sınırlı endpoint, rate limiting, OAuth 2.0, anahtar rotasyonu |
| 8 | Altyapı Sertleştirme | Güncel sistemler, port kapatma, segmentasyon, yama yönetimi |
| 9 | Olay Yönetimi | Tespit, sınıflandırma, bildirim, delil bütünlüğü, kök neden analizi |
1. Kimlik Doğrulama ve Yetkilendirme Güvenliği
e-Devlet Siber Güvenlik İsterlerinde Kimlik Yönetimi
e-Devlet siber güvenlik isterlerinin ilk ve en temel maddesi, merkezi kimlik doğrulama mekanizmasına tam uyumdur. Entegrasyon yapan uygulamaların, bu mekanizmanın dışında alternatif veya paralel kimlik doğrulama sistemleri kurgulamaması beklenir.
Bu kapsamda beklenen temel noktalar şunlardır:
- Tek kaynak prensibine uygun kimlik doğrulama
- Rol tabanlı yetkilendirme (RBAC) yapısının uygulanması
- Yetki yükseltme ve yatay/dikey yetki atlama risklerinin engellenmesi
- Entegrasyon için kullanılan servis hesaplarının gerçek kullanıcı hesaplarından ayrılması
Yetkilendirme sürecinde önemli soru "kullanıcı sisteme girdi mi?" değil, "kullanıcı hangi işlemleri yapabilir?" sorusudur.
2. Güvenli İletişim ve Şifreleme Protokolleri
İletişim Güvenliği İsterleri
e-Devlet ile uygulama arasındaki tüm veri trafiğinin şifreli olması, e-Devlet siber güvenlik isterlerinin vazgeçilmez bir parçasıdır.
Bu başlık altında beklenen temel isterler:
- TLS 1.2 veya tercihen TLS 1.3 gibi güncel protokollerin kullanılması
- Güvenilir sertifika otoritelerinden alınmış sertifikalar
- Sertifika sürelerinin izlenmesi ve zamanında yenilenmesi
- Zayıf veya artık desteklenmeyen şifreleme yöntemlerinin devre dışı bırakılması
Bu gereksinimler, entegrasyonun yalnızca güvenli değil aynı zamanda kesintisiz çalışmasını da sağlar.
3. Uygulama Güvenliği ve OWASP Top 10:2025 Standartları
e-Devlet Siber Güvenlik İsterlerinde Uygulama Katmanı
Entegrasyon yapılan uygulamanın kendi iç güvenliği, e-Devlet siber güvenlik isterlerinin önemli bileşenlerinden biridir.
Bu kapsamda uygulama katmanında beklenen başlıca isterler:
- Kullanıcı girdilerinin doğrulanması ve filtrelenmesi
- SQL injection, XSS ve benzeri saldırılara karşı koruma
- Yetkisiz veri erişiminin engellenmesi
- Güvenli ve kontrollü hata mesajı yönetimi
Bu gereksinimler, Ocak 2026'da yayınlanan güncel OWASP Top 10:2025 listesindeki risklere karşı alınan önlemleri kapsar. Güncel sürümde Broken Access Control ilk sırada, Security Misconfiguration ikinci sırada yer alıyor ve yazılım tedarik zinciri güvenliğini kapsayan yeni bir kategori eklendi. OWASP tarafından tanımlanan bu riskler hakkında detaylı bilgiye OWASP'ın resmi sitesinden ulaşılabilir.
Uygulama güvenliği, Sparta'nın sunduğu web uygulama sızma testi ve benzeri güvenlik testleriyle doğrulanmalıdır.
4. Log Yönetimi ve Güvenlik İzleme
İzlenebilirlik ve Denetim İsterleri
e-Devlet siber güvenlik isterleri arasında loglama ve izleme önemli bir yer tutar. Kimlerin, ne zaman, hangi verilere eriştiği izlenebilir olmalıdır.
Bu kapsamda beklenen temel isterler:
- Kimlik doğrulama, yetkilendirme ve veri erişim işlemlerinin loglanması
- Log bütünlüğünün korunması
- Kişisel verilerin loglarda maskelenmesi
- Güvenlik olaylarının tespiti için izleme ve SIEM entegrasyonu
Bu yaklaşım, olası bir olayda geri dönük analiz ve delil bütünlüğü açısından büyük önem taşır.
5. KVKK Uyumu ve Kişisel Veri Koruma
e-Devlet Siber Güvenlik İsterlerinde Veri Koruma
e-Devlet entegrasyonları neredeyse her zaman kişisel veri işlenmesini içerir. Bu nedenle KVKK uyumu, e-Devlet siber güvenlik isterlerinin temel prensiplerinden biridir.
Bu başlık altında öne çıkan isterler:
- Veri minimizasyonu yaklaşımı
- Verilerin iletim sırasında ve saklanırken korunması
- Yetkilendirme ve erişim kontrollerinin uygulanması
- Veri bütünlüğü ve kullanılabilirliğinin sağlanması
KVKK'nın teknik tedbir beklentileri, Kişisel Verileri Koruma Kurumu'nun resmi yayınlarında detaylı şekilde açıklanmaktadır (kvkk.gov.tr).
6. Sızma Testi (Penetrasyon Testi) Zorunluluğu
Güvenlik Doğrulama İsterleri
e-Devlet siber güvenlik isterleri kapsamında, entegrasyon öncesinde uygulamanın güvenliğinin bağımsız şekilde doğrulanması beklenir. Bu doğrulama sürecinin temel bileşeni sızma testleridir.
| Adım | Açıklama |
|---|---|
| 1. Kapsam Belirleme | Test edilecek sistemlerin, ortamların ve senaryoların netleştirilmesi. |
| 2. Sızma Testi | Bağımsız bir ekip tarafından uygulamanın gerçek saldırgan perspektifiyle test edilmesi. |
| 3. Bulguların Giderilmesi | Tespit edilen zafiyetlerin önceliklendirilerek kapatılması. |
| 4. Yeniden Test | Yapılan düzeltmelerin retest ile doğrulanması. |
Bu süreç, Sparta'nın sunduğu sızma testi hizmetleri kapsamında kurumsal ve kamu projelerinde standart olarak uygulanmaktadır.
7. API Güvenliği ve Web Servis Kontrolleri
Servis Güvenliği İsterleri
e-Devlet entegrasyonu çoğunlukla REST API veya SOAP servisleri üzerinden gerçekleşir. API güvenliği, e-Devlet siber güvenlik isterlerinin önemli bir bölümünü oluşturur.
Bu kapsamda beklenen başlıca isterler:
- Sadece gerekli endpoint'lerin dışa açık olması
- Rate limiting ve istek kısıtlamalarının uygulanması
- API anahtarlarının güvenli yönetimi ve rotasyonu
- OAuth 2.0 gibi modern yetkilendirme mekanizmaları
- Kaynak kodda açık kimlik bilgisi bulunmaması
Bu kontroller, hem yetkisiz erişimleri hem de hizmet kesintisi risklerini azaltır.
8. Altyapı ve Sistem Güvenliği Standartları
Sistem Sertleştirme (Sıkılaştırma) İsterleri
Uygulamanın çalıştığı altyapı, e-Devlet siber güvenlik isterlerinin temelini oluşturur. Sistem sertleştirme (sıkılaştırma) işlemleri bu kapsamda önemlidir.
Bu başlık altında beklenen isterler:
- Güncel ve desteklenen işletim sistemleri
- Gereksiz servis ve portların kapatılması
- Firewall ve ağ segmentasyonu
- Güvenlik yamalarının düzenli uygulanması
- Yedekleme ve felaket kurtarma planlarının tanımlı olması
Bu isterler, altyapı güvenliğini yalnızca bugüne değil, olası kriz senaryolarına da hazırlar.
9. Güvenlik Olay Yönetimi ve Müdahale Planı
Olay Müdahale İsterleri
e-Devlet siber güvenlik isterlerinin son maddesi, güvenlik olaylarına hazırlıklı olunmasını kapsar.
Bu kapsamda beklenen temel adımlar:
- Olayın hızlı şekilde tespit edilmesi
- Kayıt altına alınması ve sınıflandırılması
- Gerekli bildirimlerin yapılması
- Delil bütünlüğünün korunması
- Kök neden analizi ve iyileştirme aksiyonları
Hazırlıksız yakalanan bir kurum için küçük bir olay bile ciddi sonuçlar doğurabilir.
e-Devlet siber güvenlik isterleri, entegrasyon sürecinin her aşamasında dikkate alınması gereken kapsamlı ve bütüncül gereksinimlerdir. Bu isterler yalnızca entegrasyon onayı almak için değil, sürdürülebilir, denetlenebilir ve güvenilir kamu hizmetleri sunabilmek için gereklidir.