Kuantum bilişim kurumsal bilgi sistemlerini nasıl etkileyecek?

Kuantumda temel değerlendirmeler

IoT cihazlarının sayısındaki artış, kurumların saldırı yüzeyini de genişletiyor. Özellikle varsayılan şifrelerle kullanılan cihazlar, zamanında uygulanmayan güvenlik güncellemeleri ve karmaşık entegrasyon yapıları, siber tehdit aktörleri açısından yeni giriş noktaları oluşturabiliyor.

•      Kuantum bilişimin bilgi sistemleri üzerindeki öncelikli etkisi açık anahtarlı kriptografide (RSA, Diffie-Hellman, ECDH ve ECDSA) yoğunlaşıyor. Kuantum bilişimin, uygun anahtar ve çıktı uzunluklarıyla kullanılan simetrik algoritmalar ve güvenli hash fonksiyonları üzerindeki etkisinin açık anahtarlı kriptografiye kıyasla daha sınırlı olması bekleniyor. Bununla birlikte kullanılan algoritma, anahtar uzunluğu ve güvenlik seviyesinin ayrıca değerlendirilmesi gerekiyor.
 

•      Söz konusu risk yalnızca verilerin gizliliğine ilişkin değil. Kimlik doğrulama, dijital imza, kod imzalama ve işlem bütünlüğü mekanizmaları da aynı kriptografik temele dayanıyor; bu nedenle riskin, gizlilik, bütünlük ve kimlik doğrulama boyutlarıyla birlikte değerlendirilmesi gerekiyor.

•      “Şimdi topla, sonra çöz” tehdidi nedeniyle, gizlilik süresi uzun olan veriler bakımından riskin bugün itibarıyla başlamış olduğu değerlendiriliyor. Literatürde Mosca kuralı olarak anılan yaklaşım özetle şunu ifade ediyor: verinin oluşturulduğu andan itibaren gizli kalması gereken süre (örneğin bir sözleşmenin veya kişisel verinin kaç yıl korunması gerektiğini ifade eden süre) ile kurumun post-kuantum şifrelemeye geçiş süresinin toplamı, kuantum tehdidinin tahmin edilen ortaya çıkış süresini aşıyorsa, risk gelecekte değil bugünden başlamış kabul edilmelidir.

•      Q-Day (kuantum bilgisayarların şifreleri kırabilecek güce ulaştığı gün) eşiğinin iki yanında tehdidin niteliği farklılaşıyor. Eşik öncesinde saldırgan veriyi toplayıp saklayabilirken; eşik sonrasında kuantuma karşı savunmasız imza anahtarları kullanılarak sahte dijital imzalar üretilebilmesi, özellikle güvenilir zaman damgası, imzanın oluşturulduğu tarihte geçerli olduğunu sonradan da kanıtlayabilecek doğrulama mekanizmaları yeterli olmayan kayıtların kanıt değerini tartışmalı hâle getirebilir. Literatürde “şimdi imzala, sonra inkâr et” olarak anılan bu senaryonun, uzun ömürlü sözleşmeler ve kanıt niteliğindeki kayıtlar bakımından, gizlilik riskinden daha kritik sonuçlar doğurabileceği değerlendiriliyor.

•      Kuantum anahtar dağıtımı (QKD) zaman zaman post-kuantum kriptografinin alternatifi olarak sunuluyor. Ancak QKD, özel fiber hatları gibi maliyetli bir donanım gerektirir ve karşı tarafın kimliğini tek başına doğrulayamaz. Bir saldırganın araya girip kendini karşı taraf gibi tanıtmasını (araya girme saldırısı) engelleyemez, bunun için ayrıca klasik kimlik doğrulama mekanizmalarına ihtiyaç duyulur.

•      Post-kuantum kriptografi standartları belirli bir olgunluğa ulaştı: NIST, Ağustos 2024'te ilk üç temel standardı (FIPS 203, 204, 205) yayımlandı; Mart 2025'te HQC'yi ek bir anahtar kapsülleme (encapsulation) mekanizması olarak seçti. Teknik standartların yayımlanması önemli bir kilometre taşı; ancak bu durum kurumların dönüşümü tamamladığı veya yeni yapıya hazır olduğu anlamına gelmiyor. Kurumların yeni standartları mevcut sistemlerine entegre etmesi, gerekli testleri tamamlaması ve geçişi planlı ve kademeli bir şekilde yönetmesi gerekiyor.

•      Geçiş döneminde kullanılan hibrit yapılar (geleneksel ve post-kuantum algoritmaların birlikte kullanılması) güvenliği otomatik olarak artırıyormuş gibi değerlendirilse de, örneğin sistem, iki algoritmanın sonucunu doğru birleştirmiyorsa, aslında yalnızca eski ve kırılabilir algoritmaya güvenirken “hibrit çalışıyor” sanılabilir. Ayrıca, bir saldırgan bağlantıyı kasıtlı olarak yalnızca eski algoritmayı kullanmaya zorlayabilir (downgrade saldırısı). Bu risklerin önlenmesi için sertifika otoritelerinin, doğrulama zincirleri dahil tüm bileşenlerin ayrı test senaryolarıyla doğrulaması ve bir sorun çıkması halinde geri dönüş planını hazır bulundurması gerekiyor.

•      Türkiye’de sektörler arası bağlayıcı bir post-kuantum geçiş takvimi bulunmuyor. Yürürlükteki düzenlemeler doğrudan bir post-kuantum geçiş yükümlülüğü getirmemekle birlikte; bu düzenlemelerde yer alan risk yönetimi, teknik tedbir, envanter, süreklilik ve gözetim yükümlülüklerinin kuantum kaynaklı kriptografik risklerin değerlendirilmesine dayanak oluşturabileceği düşünülüyor. Bu kapsamda, 7545 sayılı Siber Güvenlik Kanunu ile KVKK’nın 12’nci maddesi; elektronik imzaların uzun dönemli güvenilirliği bakımından 5070 sayılı Elektronik İmza Kanunu; bankacılık sektörü bakımından ise Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik dikkate alınmalı.

•      Post-kuantum algoritmalara geçirilemeyen sistemlerde, yalnızca dönüşümün mümkün olmadığının tespit edilmesi yeterli değildir. Bu sistemler için yenileme, kullanımın sınırlandırılması, telafi edici kontrollerin uygulanması veya riskin süreli olarak kabul edilmesi seçenekleri değerlendirilmeli; alınan kararın iş etkisi, hedef tarih ve sorumluluğu açık şekilde tanımlanmalıdır. Kimlik ve erişim yönetimi sistemleri büyük ölçüde açık anahtarlı kriptografiye dayandığından, Zero Trust mimarilerinin “asla güvenme, her zaman doğrula” ilkesi de bu bağımlılıktan etkileniyor. Cihaz doğrulaması, servis kimliği ve karşılıklı TLS mekanizmalarının savunmasız kriptografik yapılara dayanması hâlinde doğrulama katmanının kendisi zayıflayacaktır.

•      Kriptografik envanter, yalnızca kullanılan algoritmaların listelenmesinden ibaret değil; hangi verilerin, süreçlerin, kimlik ve erişim mekanizmalarının, sertifikaların ve sistemler arası güven ilişkilerinin bu yapılara bağımlı olduğunu ortaya koymalı ve asgari olarak kullanım amacı, korunan verinin gizlilik süresi, sistem ve iş sahipliği, üçüncü taraf bağımlılıkları ile geçiş seçeneği ve tahmini maliyet bilgilerini içermeli. Envanter tek seferlik bir çalışma şeklinde değil, sistem geliştirme ve tedarikçi değişiklikleriyle birlikte güncellenen sürekli bir süreç olarak yürütülmeli.

•      Kriptografik envanterin oluşturulması ve kriptografik çevikliğin kurumsal bir kabiliyet hâline getirilmesi dönüşümün ön koşulu olarak değerlendirilmeli. Çeviklik; algoritma, anahtar, sertifika veya protokol değişikliklerinin büyük ölçekli yeniden tasarım projelerine ihtiyaç duyulmadan gerçekleştirilebilmesi anlamına gelir. Bu kabiliyet sağlanmadan yapılacak algoritma değişiklikleri, riski çözmek yerine bir sonraki dönüşüme erteler.

•      Kurumların post-kuantum hazırlığı, yalnızca bilgi güvenliği fonksiyonunun teknik gündemi olarak değil; veri, kimlik, tedarikçi, iş sürekliliği, hukuk ve teknoloji yaşam döngüsü kararlarını etkileyen kurumsal bir dönüşüm programı olarak ele alınmalı.

•      Kriptografiyi, protokolleri ve kurumsal mimariyi birlikte bilen uzman kaynağı sınırlı durumda ve 2030’lu yıllarda yoğunlaşması beklenen post-kuantum dönüşüm faaliyetlerine yaklaşıldıkça bu uzmanlara yönelik talebin artması bekleniyor. Bu nedenle iç yetkinlik geliştirme, dış hizmet alımı ve tedarikçi kabiliyetinden yararlanma seçeneklerinin bugünden birlikte planlanması öneriliyor.

Kurumlar post-kuantum dönüşüme nasıl başlamalı?

•      Kapsam ve risk yaklaşımının belirlenmesi: Kuantum riskinin hangi varlıklar, veriler, sistemler ve üçüncü taraflar açısından değerlendirileceği tanımlanmalı. Kapsam şifreli verilerle sınırlandırılmamalı; dijital imzalar, sertifikalar, kimlikler, güven kökleri (root of trust) ve kod imzalama süreçleri de dâhil edilmeli. Risk değerlendirmesinde tek bir kuantum tarihi varsayılması yerine farklı zaman senaryoları ve veri ömürleri kullanılmalı.

•      Kriptografik envanterin ve risk sınıflandırmasının oluşturulması: Mevcut varlık envanteri, veri envanteri, uygulama portföyü, sertifika kayıtları, ağ taramaları ve tedarikçi bilgileri bir araya getirilerek başlangıç envanteri hazırlanmalı. Risk sınıflandırması yalnızca kullanılan algoritmaya göre yapılmamalı; verinin korunma süresi, sistemin kritikliği, dış erişilebilirlik, imzanın kanıt değeri, üçüncü taraf bağımlılığı, sistemin kalan ömrü ve dönüştürülmesinin zorluğu birlikte değerlendirilmeli.

•      Yönetişim ve karar mekanizmasının kurulması: Yönetim seviyesinde sorumlu bir yönetici ile dönüşüm lideri belirlenmeli. Bilgi teknolojileri ve bilgi güvenliği fonksiyonlarının yanı sıra operasyon, risk, hukuk, satın alma, finans, veri yönetimi ve iç denetimin rolleri tanımlanmalı. Yönetişim yapısı asgari olarak öncelikli sistem ve veriler, kabul edilebilir geçiş süreleri, istisna ve risk kabulü, tedarikçi beklentileri, bütçe ve kaynak ihtiyacı ile üst yönetime taşınacak gecikme ve risk eşikleri konusunda karar verebilmeli.

•      Geçiş yol haritasının teknoloji yaşam döngüsüyle ilişkilendirilmesi: Her sistem için hedef çözüm, bağımlılıklar, tedarikçi planı, test gereksinimi, bütçe, sorumlu kişi ve geçiş ön koşulları belirlenmeli. Dönüşüm, mümkün olan durumlarda mevcut modernizasyon ve donanım yenileme programlarıyla birleştirilmeli. Buna karşılık, yüksek değerli ve uzun süre korunması gereken veriler bakımından normal teknoloji yenileme tarihinin beklenmesi yeterli olmayabilir.

•      Politika, satın alma ve değişiklik kontrollerinin güncellenmesi: Onaylı ve standartlaşmış algoritmaların kullanılması, kriptografik modül ve uygulamanın doğrulanması, kriptografik çeviklik gereksinimi, tedarikçiden post-kuantum yol haritası alınması, algoritmaların uygulama koduna sabit biçimde gömülmesinin sınırlandırılması, anahtar yönetim sistemi ve HSM altyapılarının yeni anahtar türlerini desteklemesi, protokol müzakeresinde downgrade saldırılarının önlenmesi ile üretim öncesinde uyumluluk, performans, yan kanal (side channel) ve güvenlik testleri süreçlere dâhil edilmeli.

•      İzleme, olay yönetimi ve raporlama mekanizmasının oluşturulması: Yalnızca kuantum donanımındaki gelişmeler değil; standartlar, protokoller, ürün desteği, tedarikçi takvimleri ve yeni kriptografik zafiyetler de izlenmeli. Yönetim raporlaması teknik faaliyet sayılarından ibaret olmamalı; envanteri tamamlanan sistem oranı, kuantum açısından savunmasız kritik sistem sayısı, geçiş planı bulunmayan kritik tedarikçiler, süresi geçen istisnalar ve geçiş sırasında oluşan güvenlik veya erişilebilirlik olayları gibi göstergelere dayanmalı.

Olgunluk ön değerlendirmesi için cevaplanması gereken 5 soru

Programın olgunluk düzeyine ilişkin ilk değerlendirme, aşağıdaki beş sorunun ne ölçüde cevaplanabildiği üzerinden yapılabilir:

1.     Farkındalık: Kurum kuantum riskini ve bu riskin doğurduğu tehditleri tanımlamış mı ve konu kurumsal risk gündeminde yer alıyor mu?

2.     Envanter: Varlıklar, bu varlıkların taşıdığı veriler ve bunları koruyan kriptografik mekanizmalar, verilerin korunma süreleriyle birlikte envantere alınmış mı?

3.     Önceliklendirme: Kuantum riskinden etkilenebilecek en kritik varlıklar ve veriler tespit edilmiş mi ve bunların korunmasına ilişkin öncelik sırası nasıl belirleniyor?

4.     Üçüncü taraflar: Tedarikçiler ve ilgili paydaşlarla post-kuantum planlarına ilişkin temas kurulmuş mu?

5.     Süreklilik: Kuantum riski, veri yönetişimi ve siber güvenlik süreçlerinde sürekli izlenen ve düzenli olarak yeniden değerlendirilen bir risk olarak ele alınıyor mu?

Kriptografik dayanıklılık nasıl inşa edilir?

Kuantum bilişimin mevcut açık anahtarlı kriptografiyi hangi tarihte işlevsiz hâle getirebileceği kesin olarak bilinmiyor. Bununla birlikte etkin risk yönetimi, yalnızca tehdidin gerçekleşme ihtimalini değil; etkinin büyüklüğünü, hazırlık için gereken süreyi ve geç kalmanın sonuçlarını birlikte değerlendiriyor.

Kurumlar açısından bugünkü temel sorun, kuantum bilgisayarların gelecekte ulaşacağı kapasiteden çok, mevcut kriptografik bağımlılıkların yeterince görünür olmaması olarak öne çıkıyor. Riskin yönetilebilmesi için kurumların hangi sistemlerin ve verilerin kuantum riskinden etkileneceğini, hangi tedarikçi ve teknolojilere bağımlı olduklarını ve dönüşümün ne kadar süreceğini belirlemek suretiyle görünür hâle getirmesi gerekiyor. Bu nedenle, atılacak ilk adım bütün sistemlerin hızla değiştirilmesi değil; kapsamın belirlenmesi, envanterin oluşturulması, riskin sınıflandırılması ve dönüşümün teknoloji yaşam döngüsüyle birlikte planlanması olarak öne çıkıyor.

Kuantum bilişim henüz kurumların günlük operasyonlarını doğrudan değiştirmemiş olabilir. Buna karşın kuantum riskine hazırlık, bugünkü veri koruma ve teknoloji kararlarını şimdiden etkiliyor. Kurumlar açısından gerçek dayanıklılık, gelecekte hangi algoritmanın güvenli olacağını kesin olarak bilmekten değil; kriptografik yapıların görünür, değiştirilebilir ve denetlenebilir hâle getirilmesinden geçiyor.