Blog

CMMC Phase II askıya alma, Savunma Bakanlığı’nın savunma sanayi tedarikçileri için zorunlu kıldığı sınıflandırılmamış kontrollü bilgi (CUI) uyum sürecini geçici olarak yeniden düzenlemesi anlamına geliyor. Bu karar, kuruluşlara NIST SP 800-171 gereksinimlerini yerine getirmek için ek zaman tanırken, sıfır güvenlik (Zero Trust) yaklaşımının kurumsallaşma hızını da doğrudan etkiliyor. Aşağıda yaşanan gelişmenin detaylarını, arkasındaki mantığı ve işletmelerin bu dönemi nasıl stratejik bir fırsata dönüştürebileceğini derinlemesine inceliyoruz.

CMMC Phase II Askıya Alındı: Durum Ne?

Savunma Bakanlığı (DoD), 2024 yılının eylül ayında CMMC’nin ikinci fazının zorunlu değerlendirme (assessment) unsurunu geçici bir süre için askıya aldığını duyurdu. Bu adım, Mart 2024’te Federal Kayıt Defteri’ne (Federal Register) konulan ve kamu görüşüne açılan Phase II kılavuzundan sonra geldi. Kararın temel mantığı, tedarik zincirindeki küçük ve orta ölçekli işletmelerin teknik kapasitelerini aşırı yüklememek ve uyum sürecini daha sürdürülebilir hale getirmekti.

Basitçe ifade etmek gerekirse, CMMC doğrulama testi şu an için zorunlu değil; ancak sözleşme yapan firmaların hâlâ NIST SP 800-171’deki güvenlik önlemlerini hayata geçirmesi bekleniyor. Bu ayrım çok önemli, çünkü “değerlendirme zorunluluğu” ile “güvenlik standartlarını uygulama yükü” birbirinden ayrı kavramlar. Askıya alma yalnızca ilkini etkiliyor.

CMMC Nedir ve Neden Var?

CMMC (Cybersecurity Maturity Model Certification), savunma sanayi tedarik zincirinde çalışan firmaların askeri hassas bilgileri koruma düzeylerini değerlendirmek için geliştirilmiş bir çerçevedir. Sistem, firmaların sızdırılması gereken kontrollü sınıflandırılmamış bilgi (CUI) dediğimiz verileri ne kadar koruduğunu ölçer. Bu bilgiler arasında askeri projelere ait teknik çizimler, tedarik sözleşmeleri ve savunma sistemlerine dair hassas veriler yer alır.

Çerçeve, aslında NIST Spesial Yayın 800-171 belgesindeki 110 güvenlik gereksiniminin üzerine kuruludur. Yani CMMC, yeni bir güvenlik kuralı yaratmaz; mevcut federal bilişim güvenlik standartlarını savunma sanayi bağlamına uyarlar ve bunları doğrulanabilir bir doğrulama sürecine bağlar. Bu yaklaşım, devletin bulut hizmetlerinde kullandığı FedRAMP High gibi diğer güvenlik standardıyla da paralellik gösterir ve benzer şekilde kurumsal güvenlik olgunluğunu ölçmeyi hedefler.

İki fazın temel farkı şudur:

• I. Faz: Gönüllü, tek taraflı beyan (self-attestation) temelli basit bir güvenlik modeli.
• II. Faz: Üçüncü taraf doğrulaması (C3PO) ve yüksek olgunluk seviyeleri gerektiren, daha katı bir doğrulama sistemi.

Askıya Almanın Arkasındaki Nedenler

Kararın alınmasında birkaç kritik etken rol oynadı. Bunları pratik açıdan şu şekilde özetleyebiliriz:

• Tedarik zinciri baskısı: Savunma sanayiinde çok sayıda küçük tedarikçi bulunuyor. Bu işletmelerin çoğu, sınırlı bütçe ve teknik personel eksikliği içinde tam bir CMMC değerlendirmesini karşılamakta zorlanıyordu.
• Uygulama ve doğrulama arasındaki boşluk: Firmalar güvenlik önlemlerini kurmaya başladığında, bunları belgeleyip kanıtlayacak altyapı ve süreçler henüz olgunlaşmamıştı.
• Süreç iyileştirmesine ihtiyaç: Kılavuzdaki bazı madde ve tanımlar, sektör temsilcileri tarafından netleştirilmesi gereken noktalar içeriyordu.

Sonuç olarak bakanlık, katı bir zorunluluk yerine daha esnek bir geçiş dönemi seçerek hem sektörün hem de doğrulama sisteminin dengeli gelişmesine alan tanıdı.

Bu Karar Şirketlere Pratik Olarak Ne Anlama Gelir?

Askıya alma, güvenlik yükünün kalktığı anlamına gelmez. Aksine, kuruluşlara kendi tempolarında ilerleme fırsatı verir. Bu dönemi değerlendirmek için dikkate alınması gereken pratik adımlar şunlardır:

• Mevcut durumu analiz edin: Hangi sistemlerde CUI işliyorsunuz? Verinin nerede saklandığı, işlendiği ve iletildiği haritasını çıkarın.
• NIST 800-171 eşleştirmesi yapın: 110 gereksinimin hangilerini zaten karşılıyorsunuz, hangilerinde boşluk var? Bu liste, yol haritanızın temeli olacak.
• Politika ve prosedürleri güncelleyin: Erişim kontrolü, olay kaydı (logging) ve veri şifreleme gibi konularda güncel politikalar oluşturun.
• Teknik önlemleri hayata geçirin: Çok faktörlü kimlik doğrulama (MFA), uçtan uca şifreleme ve düzenli yedekleme gibi temel korumaları uygulayın.
• Personeli eğitin: Güvenlik farkındalığı eğitimi, en ucuz ama en etkili koruma katmanlarından biridir.

Bu noktada web varlığınızın güvenliği de unutulmamalıdır. Kurumsal bir sitenin temel güvenlik pratiklerini uygulamak, örneğin bir WordPress altyapısında güvenlik ipuçlarını hayata geçirmek, CUI koruma kültürünün küçük bir aynasıdır.

Sıfır Güvenlik (Zero Trust) Stratejisiyle İlişkisi

Askıya alma kararı, sıfır güvenlik yaklaşımının önemi hakkında da önemli bir mesaj veriyor. Zero Trust, “hiçbir şeye varsayılan olarak güvenme” ilkesine dayanır ve her erişim isteğini sürekli olarak doğrular. CMMC’nin hedeflediği olgunluk seviyeleri ile sıfır güvenliğin beş temel ayağı (kimlik, cihazlar, ağlar, uygulamalar ve yükler, veri) büyük ölçüde örtüşür.

Buradan çıkarılacak en değerli ders şudur: Uyum sürecini yalnızca bir “kutu işaretleme” görevi olarak görmek yerine, gerçek bir sıfır güvenlik mimarisini kurmak için bir fırsat olarak değerlendirmek. Böylece CMMC doğrulaması zorunlu hale geldiğinde, kuruluşlar zaten hazır olur. Sıfır güvenliğin temel unsurlarını şu şekilde sıralayabiliriz:

• Kimlik (Identity): Her kullanıcı ve cihaz için kesin, sürekli doğrulanan kimlik.
• Cihazlar (Devices): Erişim isteyen her aracın sağlık ve uyum durumunun kontrolü.
• Ağlar (Networks): Ağ trafiğinin küçük bölgelere ayrılması (segmentation) ve izlenmesi.
• Uygulamalar ve Yükler (Applications and Workloads): Mimarinin her katmanında güvenli iletişim.
• Veri (Data): En kritik varlığın şifrelenmesi ve erişime açılması.

Uyum Sürecinde Adım Adım Yapılması Gerekenler

Geçiş dönemini verimli kullanmak için izlenebilecek sistematik bir yol haritası aşağıdadır:

1. Kapsamı belirleyin: Hangi iş birimlerinin CUI işlediğini tespit edin.
2. Risk değerlendirmesi yapın: En zayıf noktaları ve öncelikli riskleri tespit edin.
3. Gereksinim eşleştirmesi: NIST 800-171 maddelerini mevcut uygulamalarınızla karşılaştırın.
4. Boşlukları kapatın: Eksik güvenlik önlemlerini teknik ve idari çözümlerle tamamlayın.
5. Belgeleyin: Uyguladığınız tüm önlemleri kanıtlanabilir şekilde kaydedin.
6. Sürekli izleyin: Güvenliği bir kez kurmak değil, sürekli güncellemek önemlidir.

Bu sürecin sürdürülmesi için yeterli hesaplama gücü ve esnek altyapıya sahip olmak büyük kolaylık sağlar. Yönetimli veya yönetimsiz bir VPS hizmeti seçmek, güvenlik araçlarını izleme ve test etme konusunda işletmelere önemli esneklik sunabilir.

Uzun Vadeli Beklentiler ve Stratejik Yaklaşım

Askıya alma geçici bir önlem olarak görünüyor, ancak sıfır güvenlik ve CUI koruma trendinin kalıcı olduğu açık. Beklenen senaryo, doğrulama zorunluluğunun belirli bir tarihte yeniden devreye girmesi yönünde. Bu nedenle şu anda yatırımdan kaçınmak, gelecekte daha yüksek maliyet ve aceleci çözümlerle karşılaşmak anlamına gelebilir.

Stratejik açıdan düşününce, uyum sürecini bir maliyet kalemi değil, rekabet avantajı olarak görmek en sağlıklısıdır. Savunma sanayiinde güvenilir bir güvenlik geçmişi, yeni sözleşmeler için kritik bir tercih kriterine dönüşmüş durumda. Ayrıca güçlü bir güvenlik altyapısı, yalnızca federal sözleşmeler için değil, özel sektördeki veri koruma beklentileri ve müşteri güveni için de büyük değer yaratır.

Karşılaştırma: Askıya Almadan Önce ve Sonra Yaklaşımlar

Aşağıdaki tablo, CMMC değerlendirmesinin zorunlu olmadığı bu geçiş döneminde izlenebilecek iki farklı tutumu karşılaştırır:

| Boyut | Zorunluluk Odaklı Eski Yaklaşım | Stratejik Geçiş Odaklı Yeni Yaklaşım |
|——-|——————————-|————————————-|
| Odak | Kutu işaretleme ve belgeleme | Gerçek sıfır güvenlik mimarisi kurulumu |
| Bütçe | Aceleci, yüksek maliyetli yatırımlar | Kademeli, öncelikli ve sürdürülebilir harcama |
| Zaman | Dar bir teslim penceresi | Kendi tempo ve kapasiteye uygun planlama |
| Personel | Yetersiz eğitim, yüzeyde kalma | Sürekli güvenlik farkındalığı eğitimi |
| Risk | Denetim anında ortaya çıkan açıklar | Erken tespit ve proaktif risk yönetimi |
| Sonuç | Geçici uyum, kalıcı olmayan hazırlık | Kalıcı uyum ve rekabet avantajı |

Sık Sorulan Sorular (SSS)

CMMC Phase II tamamen kaldırıldı mı?
Hayır, kaldırılmadı. Yalnızca zorunlu değerlendirme (assessment) unsurunun uygulanması geçici olarak askıya alındı. Güvenlik standartlarını uygulama yükü devam ediyor.

Şirketlerimiz NIST 800-171’e yine de uyumlu mu olmalı?
Evet. Askıya alma yalnızca doğrulama testini etkiliyor; firmaların savunma sanayi sözleşmelerinde NIST SP 800-171 gereksinimlerini yerine getirmesi şartını koruyor.

Uyum için ne kadar zamanımız var?
Geçici askıya alma belirli bir tarihe kadar geçerli tutulmuş, ancak doğrulama zorunluluğunun yeniden devreye girmesi bekleniyor. Bu yüzden acele etmeden ama ertelemeden hareket etmek önerilir.

Küçük işletmeler için bu karar ne anlama gelir?
Küçük tedarikçiler için ek yükü azaltan bir rahatlama olarak görülüyor, ancak temel güvenlik önlemlerini uygulama sorumluluğu ortadan kalkmıyor.

Sıfır güvenlik yatırımını bu dönemde yapmalı mıyız?
Tamamıyla uygun bir zaman. Geçiş dönemi, sıfır güvenliğin temel yapıtaşlarını sakin ve planlı bir şekilde kurmak için ideal bir pencere sunar.

Hangi güvenlik önlemleri öncelikli?
Çok faktörlü kimlik doğrulama, veri şifreleme, ağ segmentasyonu, düzenli güncellemeler ve periyodik yedekleme, en kritik başlangıç noktaları arasındadır.