Developing and verifying a set of principles for the cyber security of the critical infrastructures of Turkey

Abstract

Kritik altyapılardaki sorunlar toplum düzenini, ekonomiyi ve/veya ulusal güvenliği etkileyebildiği için kritik altyapılar ülkeler için hayati varlıklardır. Günümüzde, kritik altyapıları kontrol etmek ve izlemek için siber sistemler yoğun olarak kullanılmaktadır. Bu nedenle, siber tehditler toplumların ve ülkelerin düzenlerini kötü yönde etkileyebilecek potansiyele sahiptirler. Bu doktora çalışmasında, Türkiye'deki kritik altyapıların siber tehditlere yönelik hassasiyetinin kök sebepleri sözel verinin temellendirilmiş kuram metoduyla analiz edilmesi sonucu bulunmuştur. Kök sebepler iki uzmanın katılımı ile doğrulanmıştır. Kök sebepler beş fazlı olarak düzenlenen bir Delfi anketi ile altı uzman ile paylaşılmış ve anket sonucunda kritik altyapıların siber güvenliği için prensipler elde edilmiştir. Elde edilen prensipler kullanılarak bir ülkenin kritik altyapı koruma çalışmalarının olgunluk seviyesini ölçmek üzere ulusal bir siber güvenlik olgunluk modeli önerilmiştir. Olgunluk modeli kök sebeplere dayandığı için Açıklık Tabanlı Ulusal Siber Güvenlik Olgunluk Modeli olarak adlandırılmıştır. Türkiye'nin kritik altyapı koruma çalışmalarının seviyesi on adet eski/hâlihazırdaki kamu çalışanının katıldığı bir olgunluk anketi ile ölçülmüştür. Kök sebepler, prensipler ve olgunluk ölçüm sonuçları konuyu ele alan akademik çalışmalar, kurumsal raporlar ve hükümet çalışmaları ile karşılaştırılmıştır.

Critical infrastructures are vital assets for countries as a harm given to critical infrastructures may affect public order, economic welfare and/or national security. Today, cyber systems are extensively used to control and monitor critical infrastructures. Therefore, cyber threats have the potential to adversely affect the order of societies and countries. In this PhD study, the root causes of the susceptibility of the critical infrastructures of Turkey to the cyber threats are identified by analyzing the qualitative data with the grounded theory method. The extracted root causes are verified by two experts. The set of principles for the cyber security of the critical infrastructures are determined by introducing the root causes to six experts in a five-phased Delphi survey. A state-level cyber security maturity model to measure the readiness level of the critical infrastructure protection efforts is developed by using the set of principles. Because maturity criteria are grounded on the root causes of the susceptibility to cyber threats, the maturity model is named Vulnerability Driven National Cyber Security Maturity Model. The readiness level of the critical infrastructure protection efforts of Turkey is measured by the participation of ten former/current government officials in the maturity survey. The root causes, the set of principles, and the results of the maturity survey are compared with the relevant studies of the academia, non-profit organizations and governments.