Bulut Bilişimde Veri Egemenliği:

Türkiye İçin Bütünsel Bir Çerçeve Önerisi

Dijital dönüşümün hız kazandığı günümüzde, her ölçekten kurum ve kuruluş verilerini bulut ortamına taşıyor. Bulut bilişimin sunduğu esneklik, ölçeklenebilirlik ve maliyet avantajı bu dönüşümü hızlandıran temel etkenler arasında yer alıyor. Bu süreçle birlikte, verilerin nerede barındırıldığı, hangi hukuki çerçeveye tabi olduğu ve üzerlerindeki kontrolün nasıl sağlandığı konuları da giderek daha fazla önem kazanıyor.

Bulut bilişim alanında “veri egemenliği” kavramı, dünya genelinde stratejik bir gündem maddesi haline gelmiş durumda. Türkiye de bu alanda önemli adımlar atan ülkeler arasında yer alıyor. Bu yazıda, Türkiye’nin mevcut düzenleyici altyapısı değerlendirilmekte ve bulut hizmetlerinin egemenlik perspektifinden ele alınabileceği bütünsel bir çerçeve önerisi sunuluyor.

Veri Egemenliği Neden Önemli?

Bulut bilişimde değerlendirme kriterleri artık yalnızca teknik performans ve maliyetle sınırlı kalmıyor. Kurumların, kullandıkları bulut hizmetleri üzerinde hukuki, teknik ve operasyonel kontrolü ne ölçüde sürdürebildiği de stratejik bir kriter olarak öne çıkıyor.

Bu konunun önemini ortaya koyan uluslararası gelişmelerden biri, ABD’nin 2018 yılında yürürlüğe koyduğu CLOUD Act (Clarifying Lawful Overseas Use of Data Act) düzenlemesidir. Bu yasa, ABD yargı yetkisine tabi bulut sağlayıcılarından — veri fiziksel olarak nerede depolanıyor olursa olsun — veri talep edilmesine olanak tanıyor. Bu tür uluslararası düzenlemeler, ülkelerin kendi veri egemenliği çerçevelerini oluşturmasının önemini bir kez daha ortaya koyuyor.

Türkiye’nin Güçlenen Düzenleyici Altyapısı

Türkiye, veri egemenliği ve dijital güvenlik alanında son yıllarda kapsamlı adımlar atıyor. Bu adımlar, güçlü bir düzenleyici altyapının temellerini oluşturuyor.

6698 sayılı KVKK, 2016’dan bu yana yürürlükte olup Türkiye’nin kişisel verilerin korunması alanındaki temel düzenlemesini oluşturuyor. 2024 yılında gerçekleştirilen güncellemelerle yurt dışına veri aktarım rejimi modernize edildi; yeterlilik kararları, standart sözleşmeler ve bağlayıcı şirket kuralları gibi mekanizmalar mevzuata dahil edildi.

7545 sayılı Siber Güvenlik Kanunu, Mart 2025’te yürürlüğe girerek Türkiye’nin bu alandaki ilk kapsamlı yasal düzenlemesi oldu. Kanunla birlikte Siber Güvenlik Başkanlığı kuruldu, kritik altyapılar için denetim, sertifikasyon ve yaptırım mekanizmaları oluşturuldu.

Sektörel düzenlemeler kapsamında BDDK, finansal kuruluşların birincil ve ikincil bilgi sistemlerini yurt içinde bulundurmasını zorunlu kılıyor. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi ise kamu kurumlarına hizmet sunacak bulut sağlayıcılar için belgelendirme mekanizması çalışmalarını sürdürüyor.

Altyapı yatırımları tarafında Türk Telekom ve TÜBİTAK BİLGEM’in açık kaynak kodlu yerli bulut platformu iş birliği dikkat çekiyor. HIT-30 Programı kapsamında 2030’a kadar 30 milyar doların üzerinde yüksek teknoloji yatırımı hedefleniyor.

Bu gelişmeler, Türkiye’nin veri egemenliği konusundaki kararlılığını açıkça gösteriyor. Bu noktada, mevcut düzenlemeleri birbirine bağlayan ve bulut hizmetlerini bütünsel bir egemenlik perspektifinden ele alan bir çerçevenin oluşturulması, atılan adımları daha da güçlendirecektir.

Bulut Egemenliği Hedefleri (BEH): Bir Çerçeve Önerisi

Bu kapsamda, bulut hizmet sağlayıcılarının dijital egemenlik açısından değerlendirilebileceği sekiz boyutlu bir çerçeve önerilebilir. Aşağıdaki tablo, bu boyutları özetlemektedir.

Egemenlik Güvence Seviyeleri (TEGS)

Her hedefin değerlendirilmesinde beş kademeli bir güvence skalası kullanılabilir. TEGS-0 hiçbir egemenlik güvencesinin bulunmadığını, TEGS-4 ise tam dijital egemenliğin sağlandığını ifade eder.

Değerlendirme Ağırlıkları

Her egemenlik hedefinin genel skordaki ağırlığı aşağıda gösterilmektedir. En yüksek ağırlık tedarik zinciri egemenliğine ayrılmıştır; çünkü donanım ve yazılım kaynağının kontrolü, diğer tüm boyutları doğrudan etkiler.

Veri Egemenliği ve Veri Lokalizasyonu Arasındaki Fark

Bu çerçeve bağlamında önemli bir ayrımın altını çizmekte fayda var: veri egemenliği, yalnızca verilerin fiziksel olarak yurt içinde tutulması anlamına gelmiyor. Asıl mesele, veriler üzerindeki hukuki, teknik ve operasyonel kontrolün bütünüyle sağlanabilmesi.

Veriler yurt içinde barındırılıyor olsa bile, şifreleme anahtarlarının kontrolü, kaynak koda erişim imkânı ve güvenlik güncellemelerinin bağımsız olarak uygulanabilmesi gibi unsurlar da egemenliğin tamamlayıcı boyutlarını oluşturuyor. Bu kapsamlı bakış açısı, daha sağlıklı bir değerlendirme çerçevesinin temel koşullarından biri.

Yerli Ekosistemin Katkısı

Dijital egemenliğin güçlendirilmesinde büyük ölçekli altyapı yatırımları kadar, kurumların günlük operasyonlarında kullandığı çözümlerin yerli kaynaklardan sağlanması da önemli bir role sahip. Yedekleme çözümleri, dosya paylaşım platformları, video gözetim altyapıları ve nesne depolama hizmetleri gibi operasyonel düzeydeki araçlar, kurumsal verilerin fiilen nerede yönetildiğini belirleyen temel unsurlar.

Narbulut, bu ekosistemin bir parçası olarak yedekleme yazılımından nesne depolamaya, doküman iş birliği platformundan bulut tabanlı video gözetim çözümlerine kadar geniş bir ürün yelpazesiyle kurumların verilerini Türkiye sınırları içinde ve Türk hukukuna tabi şekilde yönetmelerine olanak sağlıyor. Yerli çözüm sağlayıcıların güçlenmesi, Türkiye’nin dijital egemenlik hedeflerine önemli katkı sunuyor.

Yazar: Bahri Uludağ – Bilgi Teknolojileri Yöneticisi