1 Giriş

Dijital dönüşüm, ağız diş sağlığı hizmetlerinin uygulanış biçimini köklü şekilde değiştirmiştir. Diş klinikleri, tüm sağlık sektörü gibi; hasta kayıtlarının yönetimi, tıbbi görüntüleme, randevu planlaması, faturalandırma ve iletişim için giderek daha fazla dijital teknolojilere dayanmaktadır. Verimlilik ve bakım kalitesinde iyileşme kaynağı olmakla birlikte, bu dijitalleşme, söz konusu yapıları siber güvenlik açısından ciddi açıklara maruz bırakmaktadır. Dijital araçların artan kullanımı, kliniklerin günlük işleyişini optimize etse de saldırı yüzeyinin genişlemesine yol açmaktadır. Her yeni birbirine bağlı sistem, her yeni veritabanı kötü niyetli kişiler için potansiyel bir giriş noktası ve değerli bir hedef oluşturmaktadır. Böylece dijitalleşmenin operasyonel faydaları ile güvenlik zorunluluğu arasında doğal bir gerilim vardır.

Bu makale, Türkiye'deki diş kliniklerine özgü siber güvenlik zorluk ve çözümlerinin kapsamlı bir analizini sunmaktadır. Tehdit ortamı, geçerli düzenleyici çerçeve, önleme ve koruma stratejileri, olay yönetimi ile mevcut kaynak ve destek incelenecektir.

2 Diş Kliniklerine Özel Siber Tehdit Ortamı ve Zafiyetleri

Diş klinikleri, çoğunlukla küçük ölçekli olmalarına rağmen, işledikleri verilerin niteliği ve bazı yapısal zafiyetler nedeniyle siber suçlular için tercih edilen hedefler arasındadır.

Diş Klinikleri Neden Öncelikli Hedef?

Diş kliniklerinin siber saldırganlar için çekici olmasının birçok nedeni vardır.

• Sağlık verilerinin değeri: Tıbbi kayıtlar; tıbbi geçmiş, sosyal güvenlik numaraları, reçeteler veya tetkik sonuçları gibi kalıcı ve son derece hassas kişisel bilgileri bir arada tutar. Bu veriler, kalıcı nitelikleri ve karmaşık dolandırıcılıklar veya kimlik hırsızlığı için kullanım potansiyelleri nedeniyle, dark web üzerinde banka bilgilerinden önemli ölçüde daha yüksek fiyata, bazen 50 kata kadar pahalıya satılabilir. Bu yüksek pazar değeri siber suçlular için doğrudan bir güdü oluşturur.
• Küçük yapılara özgü risk faktörleri: Diş klinikleri çoğunlukla Küçük ve Orta Büyüklükteki İşletmeler (KOBİ) olarak faaliyet gösterir ve kendine özgü zafiyetlere sahiptir. Nadiren özel bilişim veya siber güvenlik personeli istihdam ederler ve güvenliğe ayrılan bütçeleri, büyük kurumlara kıyasla genellikle sınırlıdır. Bilişim sistemlerinin eskimesi de ek bir risk faktörüdür. Güncellenmemiş donanım veya yazılım, hatta teknik desteği sona ermiş işletim sistemlerinin (örneğin hâlâ bazı kliniklerde kullanılan Windows 7) kullanımı, bilinen ve yamanmamış güvenlik açıklarına yol açar. Operasyonların kritikliği de klinikleri savunmasız bırakır. Özellikle fidye yazılımı gibi bir siber saldırı, kliniğin faaliyetini felç ederek randevuların iptaline ve bakım sürekliliğinin kesintiye uğramasına neden olabilir. Oysa birçok klinik, resmi bir acil durum planı ve sağlam, düzenli test edilmiş veri yedekleme stratejileri olmaması nedeniyle bu tür olaylara yeterince hazırlıklı değildir.

• İnsan faktörü zayıf halka olarak: Başarılı siber saldırıların önemli bir kısmı, sağlık sektöründe %70 olarak tahmin edilen ve diş kliniklerine de teşmil edilebilecek insan hatalarına atfedilir. Personelin siber risklere karşı eğitim ve farkındalık eksikliği çarpıcıdır. Zayıf veya tekrar kullanılan parolalar, erişim haklarının kötü yönetimi ya da oltalama (phishing) tekniklerinin bilinmemesi gibi uygulamalar, saldırganların istismar edebileceği açıklar yaratır.

Yaygın Siber Saldırılar Panoraması

Diş klinikleri, bir kısmı özellikle yaygın ve zarar verici olan çeşitli siber saldırılara maruz kalmaktadır.

• Fidye Yazılımları (Ransomware): Fidye yazılım saldırıları en korkulan tehdittir. Bu kötü amaçlı yazılımlar, kliniğin verilerini şifreleyerek erişilemez hale getirir ve ardından genellikle kripto para biriminde fidye talep eder; karşılığında bir çözüm anahtarı sunar. Sonuçlar sıklıkla ağırdır: bilişim sisteminin felce uğraması, kağıt dosyalara zorunlu geri dönüş, randevuların toplu iptali ve fidye ödenmezse çalınan verilerin kamuya ifşa edilme tehdidi.

Dünya genelinde sağlık sektörü, en fazla siber saldırıya maruz kalan sektörler arasındadır ve diş klinikleri ile ortodonti kliniklerinin önemli bir bölümü bu olaylardan etkilenmektedir.

• Oltalama (Phishing) ve Sosyal Mühendislik: Oltalama, kullanıcıların dikkatini kandırarak gizli bilgileri (kullanıcı adı, parola) ele geçirmeye veya kötü amaçlı yazılım çalıştırmaya yönelten bir sosyal mühendislik tekniğidir. Saldırganlar meşru kurumların (kamu kurumları, tedarikçiler, meslektaşlar) kimliğine bürünerek e-posta, SMS veya sahte telefon aramaları yoluyla hareket eder. Sağlık profesyonellerinin yarısından fazlası sahte bir e-postayı tanıyamayacak durumdadır. Bu saldırılar hasta kayıtlarının çalınmasına ve bilişim sistemlerinin felç olmasına yol açabilir.
• Diğer ilgili tehditler: Fidye yazılımları ve oltalamaya ek olarak diş klinikleri, veri hırsızlığı (hassas bilgileri dışarı çıkarmak için veritabanlarına sızma) veya küçük yapılar için daha nadir olmakla birlikte, çevrimiçi hizmetlerini (web sitesi, çevrimiçi randevu) kullanılamaz kılmayı amaçlayan hizmet reddi (DDoS) saldırıları mağduru olabilir.

Aşağıdaki tablo, diş klinikleri için başlıca siber tehditleri özetlemektedir.

Tehdit	Açıklama	Başlıca Etki	Sıklık
Fidye yazılımı	Verilerin şifrelenmesi, fidye talebi	Kliniğin tamamen felç olması	Yüksek
Oltalama	Kimlik bilgilerini çalmak için sahte e-posta/SMS	Veri hırsızlığı, yetkisiz erişim	Çok yüksek
Veri hırsızlığı	Sızma ve hassas bilgilerin dışarıya çıkarılması	Hasta dosyalarının sızdırılması	Orta
IoT saldırısı	Bağlı nesnelerin (görüntüleme, sensörler) ele geçirilmesi	Ağa giriş kapısı	Artan
İnsan hatası	Hatalı işlem, zayıf parola	Sağlıkta olayların %70'i	Çok yüksek

Yeni Ortaya Çıkan Tehditler ve Gelecek Eğilimler

Siber tehdit ortamı sürekli değişmekte; yeni saldırı vektörleri ortaya çıkmakta ve mevcut tekniklerin karmaşıklığı artmaktadır.

• Diş Kliniğinde Nesnelerin İnterneti (IoT): Diş kliniklerinde bağlı nesnelerin (IoT) yaygınlaşması — akıllı koltuklar, dijital radyografi sistemleri, izleme sensörleri, güvenlik kameraları, bekleme odalarındaki bağlı televizyonlar — yeni saldırı yüzeyleri yaratmaktadır. Bu cihazlar, çoğunlukla geleneksel bilgisayarlardan daha az güvenli ve zayıf varsayılan parolalarla donatılmış olduğundan siber suçlular için kolay bir giriş kapısı olabilir. Ele geçirildikten sonra bir IoT cihazı, kliniğin ana ağına sızmak, verileri dışarı çıkarmak veya diğer ekipmanların çalışmasını bozmak için pivot olarak kullanılabilir. Bu cihazların güvence altına alınması; ayrı bir ağda izole etme, varsayılan kimlik bilgilerinin değiştirilmesi, güncellemelerin titizlikle uygulanması ve gerekli olmayan işlevlerin devre dışı bırakılması gibi temel önlemleri gerektirir. Bilişim sistemlerinin eskimesi, yalnızca teknik bir açık değil, aynı zamanda teknolojik evrimin hızı ile küçük sağlık yapılarının uyum kapasitesi arasındaki uyumsuzluğun da bir göstergesidir. Bu, ulusal düzeyde yeterli güvenlik seviyesini korumak için daha yapısal, mali ve eğitsel destek mekanizmalarının gerekliliğini ortaya koymaktadır.
• Yapay Zeka (YZ): Saldırı ve Savunma Aracı: Yapay zeka, siber güvenlik alanında iki ucu keskin bir silahtır. Bir yandan saldırganlar tarafından eylemlerinin karmaşıklığını ve kişiselleştirilmesini artırmak için kullanılır: ultra gerçekçi oltalama e-postaları üretimi, kimlik hırsızlığı için deepfake'ler, parola kırma otomasyonu veya bağlı nesnelere karşı koordineli saldırıların yönetimi. Diğer yandan, YZ savunmayı güçlendirmek için umut verici olanaklar sunar: davranış analizi sayesinde tehditlerin daha hızlı ve hassas tespiti, olaylara yanıtın otomasyonu ve güvenlik ekipleri için karar desteği. YZ hem bir tehdit vektörü hem de YZ sistemleri ele geçirildiğinde potansiyel bir saldırı yüzeyidir. Diş kliniklerinde IoT ve YZ'nin dahil edilmesi, bakım alanında yeniliklerin habercisi olsa da siber güvenlik yönetimini üssel olarak karmaşıklaştıracaktır.

3 Düzenleyici ve Normatif Çerçeve: Yükümlülükler ve Tavsiyeler

Diş kliniklerinde siber güvenlik yönetimi, ulusal ve uluslararası otoritelerden gelen bir dizi yasa, yönetmelik ve tavsiyeye tabidir. Bu çerçevenin karmaşıklığı küçük yapılar için bir zorluk oluşturabilir; ancak veri koruma ve uyumluluğun sağlanması için kavranması zorunludur.

Kişisel Verilerin Korunması Kanunu (KVKK)

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye'de kişisel verilerin korunmasının temel taşını oluşturur ve diş kliniklerine doğrudan uygulanır. Avrupa Birliği'nin GDPR düzenlemesiyle uyumlu prensipler üzerine kuruludur.

• Sağlık verileri için uygulanabilirlik ve temel ilkeler: KVKK, ister dijital biçimde (yönetim yazılımları, bilgisayarlı hasta kayıtları) ister kağıt formatta olsun, kişisel verilerin tüm işlemlerini düzenler. Sağlık verileri, mahrem nitelikleri nedeniyle "özel nitelikli kişisel veriler" olarak nitelendirilir ve güçlendirilmiş koruma düzeyinden yararlanır. Bunların işlenmesi prensipte yasaktır; KVKK'nın 6. maddesinde sayılan özel durumlar, özellikle koruyucu hekimlik, tıbbi teşhis, tedavi uygulama veya sağlık hizmetlerinin yönetimi amaçlarıyla gerekli olduğunda bunlara izin verilir. Diş klinikleri KVKK'nın temel ilkelerine uymak zorundadır: hukuka ve dürüstlük kurallarına uygun olma; amaçla sınırlı olma (veriler yalnızca belirli, açık ve meşru amaçlarla toplanmalı); ölçülülük (yalnızca gerekli olan veriler işlenmeli); doğruluk; saklama süresinin sınırlı olması; bütünlük ve gizlilik (güvenlik yükümlülüğü); ve hesap verebilirlik (klinik uyumluluğunu kanıtlayabilmelidir).
• Diş kliniklerine özel yükümlülükler: KVKK'dan diş hekimleri için çeşitli somut yükümlülükler doğar:
• VERBİS'e kayıt ve veri envanteri tutma: Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt yükümlülüğü ilgili eşiklerde söz konusudur. Kliniğin uyguladığı tüm kişisel veri işleme faaliyetlerini (örn: hasta kayıtları yönetimi, faturalandırma, randevu) listeleyen bir iç işleme envanteri tutulmalıdır.
• Hastaları aydınlatma: Hastalar, verilerinin toplanması ve kullanımı ile hakları (erişim, düzeltme, silme, sınırlandırma, taşınabilirlik) hakkında açık ve anlaşılır biçimde aydınlatılmalıdır. Bu bilgilendirme bekleme odasındaki bir duyuru veya hastalara verilen belgelerde yer alan bir açıklama şeklinde olabilir.
• Veri İhlali Bildirimi: Örneğin hasta verilerinin sızması veya kaybına yol açan bir güvenlik açığı durumunda, klinik kişilerin hak ve özgürlükleri için risk söz konusuysa olayı en kısa sürede Kişisel Verileri Koruma Kurulu'na (KVKK Kurulu) ve ilgili kişilere bildirmek zorundadır (Türkiye'de bildirim genellikle 72 saat içinde yapılır).
• Alt yüklenici ilişkilerini düzenleme: Klinikler, tedarikçilerinin (yazılım yayıncıları, veri barındırıcıları, çevrimiçi randevu hizmetleri) veri koruma konusunda yeterli güvenceler sunduğundan emin olmalıdır. Bu ilişkileri KVKK'ya uygun yazılı sözleşmelerle resmileştirmek gerekir.
• Bir Veri Koruma Sorumlusu (DPO) atamak: Belirli durumlarda özellikle özel nitelikli verileri büyük ölçekte işleyen kuruluşlar için bir DPO veya irtibat kişisi atanması tavsiye edilir.

Uyumsuzluk durumunda yaptırımlar: KVKK'ya uyulmaması, diş kliniklerini ciddi yaptırımlarla karşı karşıya bırakır. Yaptırımlar; para cezası, idari yaptırımlar ve ağır durumlarda cezai yaptırımları içerebilir. Kurul, sağlık sektörü aktörlerini güvenlik zafiyetleri nedeniyle tıbbi veri sızıntılarına yol açan durumlar için halihazırda yaptırım uygulamıştır.

Sağlık Verilerinin Barındırılması

Sağlık verilerinin barındırılması meselesi önemlidir ve Türkiye'de de özel olarak düzenlenmiştir.

• Barındırıcılar için güvenlik gereksinimleri: Türkiye'de sağlık verilerini üçüncü bir taraf adına barındıran tüm kuruluşlar (fiziksel veya sanal altyapı sağlayıcıları, yönetimli hizmet sağlayıcıları, SaaS (Software as a Service) veya bulut yazılım yayıncıları ve dış yedekleme hizmeti sağlayıcıları) yüksek düzeyde güvenlik, gizlilik, erişilebilirlik ve izlenebilirlik sağlamakla yükümlüdür. Bu çerçevede ISO 27001, KVKK ve Sağlık Bakanlığı'nın ilgili yönetmelikleri referans oluşturur. Veri merkezlerinin fiziksel güvenliği, sistemlerin mantıksal güvenliği, erişim yönetimi, yedeklemeler, faaliyet sürekliliği ve veri geri alınabilirliği gibi konular kapsam içindedir.
• Diş klinikleri için sonuçlar: Bir diş kliniği hastalarının sağlık verilerinin depolanmasını veya işlenmesini dış kaynaklı hale getirmeye karar verdiğinde — örneğin bulut tabanlı bir meslek yazılımı, çevrimiçi bir yedekleme çözümü veya bir tıbbi belge paylaşım platformu kullanarak — ilgili faaliyetler için sertifikalı ve KVKK'ya uyumlu bir tedarikçi seçmek zorundadır. Sağlık verilerinin Türkiye'de veya en azından KVKK korumasının güvence altına alındığı bir ülkede barındırılması, veri egemenliği açısından şiddetle tavsiye edilir.

Uyumlu yazılım ve yedekleme çözümlerinin seçimi stratejiktir. Yönetim yazılımları KVKK'ya uygun olmalı; bulut tabanlıysa sağlık verilerini barındıran yayıncı veya barındırıcı uygun güvenlik sertifikalarına sahip olmalıdır.

Ulusal Yönergeler ve Referanslar

KVKK ve sağlık verileri barındırmasının yanı sıra çeşitli ulusal kurumlar, sağlık profesyonellerini bilişim sistemlerini güvence altına alma konusunda yönlendirmek için kurallar ve tavsiyeler yayımlar.

• Türkiye Siber Olaylara Müdahale Merkezi (USOM) ve Sağlık Bakanlığı'nın tavsiyeleri: USOM, siber olayları bildirmek ve koordine etmek için ulusal odak noktasıdır. Bilişim sistemleri temel hijyen rehberleri (parolalar, yamalar, yedeklemeler, iki aşamalı kimlik doğrulama), fidye yazılımı saldırılarının yönetimi, siber krizlerin hazırlanması ve yönetilmesi ile risk analizi yöntemleri yayımlamaktadır.
• Türk Diş Hekimleri Birliği (TDB) ve mesleki kurumların yönergeleri: Meslek kuruluşları, siber güvenlik konularında hekimlerin farkındalığını artırma ve onlara eşlik etmede rol oynar. Dijital hizmet sağlayıcıların seçiminde ve sözleşmeli hale getirilmesinde personel eğitimi, güvenli sağlık mesajlaşma sistemlerinin kullanımı ve titizliğin önemini vurgular.
• KVKK Kurulu'nun tavsiyeleri: KVKK Kurulu Türkiye'de kişisel verilerin korunmasından sorumlu denetim otoritesidir. KVKK'nın uygulanmasını denetler ve sağlık profesyonellerine özel pratik rehberler, teknik güvenlik önerileri (parola seçimi, yedeklerin gerçekleştirilmesi, web sitelerinin güvence altına alınması), veri saklama süreleri hakkında bilgiler ve öz değerlendirme kontrol listeleri yayımlar.

4 Diş Klinikleri için Siber Önleme ve Koruma Stratejileri

A. Temel Teknik Önlemler

Güvenli bir bilişim altyapısı kurmak korumanın temel taşıdır.

• Altyapının güvenliği: Her iş istasyonu ve sunucu özel ilgi görmelidir: işletim sistemleri (OS) ve yazılımlar güvenlik yamalarının düzenli uygulanmasıyla güncel tutulmalı, performanslı ve güncellenmiş antivirüs çözümleri ile güçlendirilmiş yapılandırmalar kullanılmalıdır. Etkinlik olmayan bir süre sonrasında oturumların otomatik olarak kilitlenmesi, anlık yokluk durumlarında yetkisiz erişimleri önlemek için basit ama etkili bir önlemdir. Kliniğin Wi-Fi ağı varsa güçlü bir şifreleme (WPA2 veya ideal olarak WPA3) ile korunmalı, yönlendiricinin varsayılan parolası mutlaka değiştirilmeli ve ağ adının (SSID) yayını gizlenebilir. Hastalar veya ziyaretçiler için kliniğin iç ağından ayrı bir "misafir" Wi-Fi ağı oluşturulması şiddetle tavsiye edilir. Donanım veya yazılım güvenlik duvarı (firewall), klinik ağı ile İnternet arasındaki iletişimleri filtrelemek, sızma girişimlerini engellemek ve gelen-giden veri akışlarını kontrol etmek için vazgeçilmezdir. Windows'a entegre güvenlik duvarı (Microsoft Defender Firewall) etkin ve doğru yapılandırılmış olmalıdır.
• Erişim ve kimliklerin sıkı yönetimi: Parolaların sağlamlığı birincil önemdedir. Uzun (en az 12 karakter), karmaşık (büyük harf, küçük harf, rakam ve özel karakterleri birleştiren) ve her hizmet veya uygulama için benzersiz olmalıdır. Güçlü parolaları kolayca oluşturmak ve hatırlamak için bir parola yöneticisi kullanımı önerilen bir uygulamadır. Parolalar düzenli olarak yenilenmeli ve web tarayıcılarında doğrudan kaydedilmemelidir.

• Yedekleme politikası: Düzenli ve güvenilir yedeklemeler, donanım arızası, insan hatası veya fidye yazılımı gibi bir siber saldırı nedeniyle veri kaybına karşı en iyi korumadır. Yedeklemeler sık (kritik veriler için günlük) ve mümkün olduğunca otomatik olmalıdır. Birden fazla yedekleme ortamı (harici sabit diskler, NAS sunucular) kullanılması ve çeşitlendirilmesi (örneğin yerel bir kopya ve güvenli bir bulutta dışsallaştırılmış bir kopya) önerilir. "3-2-1" kuralı (en az üç veri kopyası, iki farklı tür ortam, biri tesis dışında) iyi bir uygulamadır. Kritik olarak, yerel yedekleme ortamları, fidye yazılımı tarafından kendilerinin de şifrelenmemesi için her yedekleme işleminden sonra ana bilişim ağından izole edilmelidir. Son olarak, süreçlerin bütünlüğü ve kurtarma işlevselliğini sağlamak için yedeklerden veri geri yüklemeyi düzenli olarak test etmek zorunludur.
• Hassas verilerin şifrelenmesi: Şifreleme, verileri uygun çözme anahtarı olmadan okunamaz bir formata dönüştürür. Veriler iletim sırasında (bir ağda dolaşırken) şifrelenmelidir; örneğin tüm web iletişimleri ve çevrimiçi uygulamalar için HTTPS protokolü kullanarak ve güvensiz mesajlaşma istisnaen kullanıldığında sağlık verilerini içeren e-posta eklerini şifreleyerek. Veriler ayrıca durağan halde (depolandıklarında), özellikle dizüstü bilgisayarların sabit diskleri, USB anahtarları ve yedekleme ortamlarında şifrelenmelidir.• Yazılım güncellemeleri ve güvenlik yamaları yönetimi: Yazılım yayıncıları keşfedilen güvenlik açıklarını düzeltmek için düzenli olarak güncellemeler yayımlar. Bilişim sisteminin tüm bileşenleri için bu yamaları sistematik ve hızla uygulamak hayati önem taşır: işletim sistemleri, antivirüs, web tarayıcılar, meslek yazılımları ve kullanılan diğer tüm uygulamalar.
• Meslek yazılımı ve özel ekipmanların güvenli seçimi ve yapılandırması: Meslek yazılımının seçimi stratejiktir. KVKK'ya uyumlu olmalı ve bulutta barındırıldığında barındırıcı uygun güvenlik sertifikalarına sahip olmalıdır. Giderek daha bağlı hale gelen görüntüleme veya dijital radyoloji ekipmanları (IoT kapsamında), diğer tüm bağlı nesneler gibi güvence altına alınmalıdır: varsayılan kimlik bilgilerinin değiştirilmesi, üretici yazılımının düzenli güncellenmesi ve mümkünse özel bir ağ segmentinde izolasyon. Elektronik ödeme terminalleri (POS) da işlem verilerinin korunması için güvenli şekilde yapılandırılıp kullanılmalıdır.

Organizasyonel ve İnsan Önlemleri

Teknoloji tek başına yeterli değildir; güvenlik aynı zamanda açık süreçlere ve duyarlı personele dayanır.

• Uyarlanmış bir Bilişim Güvenliği Politikası (PSSI) oluşturma:

Bir diş kliniği gibi küçük bir yapı için bile, sadeleştirilmiş de olsa bir BGS/PSSI formüle etmek yapılandırıcı bir yaklaşımdır. Bu stratejik belge, sorumlu hekim tarafından isteğe bağlı olarak bir dış danışmanın yardımıyla hazırlanır; güvenlik hedeflerini, uyulması gereken kuralları, herkesin sorumluluklarını ve olay durumundaki prosedürleri tanımlar. Kliniğin kendi risk analizine dayanmalı ve düzenli olarak güncellenmelidir.

• Personelin siber risklere ve iyi uygulamalara yönelik sürekli eğitimi ve farkındalığı: Klinik personeli (asistanlar, sekreterler, diğer hekimler) siber tehditlerle karşı karşıya olan ön saftakilerdir. Düzenli eğitim ve iyi uygulamalara yönelik sık hatırlatmalar bu nedenle vazgeçilmezdir. Ele alınacak konular: oltalama e-postalarının tanınması, parolaların oluşturulması ve yönetimi, iş istasyonlarının güvenliği, güvenli mesajlaşma kullanımı ve şüpheli bir olayın bildirim prosedürü. Pedagojik kaynaklar bulunmaktadır: web seminerleri, siber güvenlik bilincine yönelik "escape game"ler gibi oyunlaştırılmış araçlar, dikkati test etmek için sahte phishing kampanyaları veya hatırlatma afişleri.
• İletişimlerin güvence altına alınması: Sağlık profesyonelleri arasında ve hastalarla kişisel sağlık verilerinin değişimi için güvenli sağlık mesajlaşmalarının kullanılması yükümlülüktür. Bu sistemler, muhatapların şifrelenmesini ve kimlik doğrulamasını garanti eder. Ayrıca mesleki sırrı korumak amacıyla; protez veya alçı modellerle dolaşan güvenli olmayan belgeler üzerine hasta isminin asla yazılmaması gibi temel gizlilik kuralları uygulanmalıdır.
• Tedarikçi ve alt yükleniciliğin yönetimi: Diş klinikleri, yazılımları, veri barındırma, bilişim bakımı veya çevrimiçi randevu hizmetleri için sıklıkla dış tedarikçilere başvurur. Bu alt yüklenicilerin KVKK uyumluluğundan emin olmak ve ilişkiyi, veri koruma konusunda her tarafın yükümlülüklerini tanımlayan KVKK'ya özel maddeleri içeren yazılı sözleşmelerle resmileştirmek hayati önem taşır.
• Genel bilişim hijyeni: Herkes tarafından benimsenmesi gereken basit dijital hijyen kuralları: mesleki bilgisayarları kişisel amaçlar için kullanmamak, İnternet'te gezinirken dikkatli olmak ve mesleki olmayan sitelerde gereksiz çerezleri sistematik olarak reddetmek. Bina ve ekipmanların fiziksel güvenliği (ofislerin kilitlenmesi, erişim kontrolü) de veri korumanın bir yönüdür. Eski bilişim ekipmanlarının içerdikleri verilerin geri dönüşü olmayan silinmesi dahil olmak üzere güvenli biçimde hizmetten çıkarılması için açık prosedürler bulunmalıdır.

5 Siber Güvenlik Olaylarının Yönetimi ve Faaliyet Sürekliliği

A. Saldırı Durumunda Tespit, Analiz ve İlk Refleksler

Etkisini sınırlamak için bir saldırıyı hızla tanımlamak kritiktir.

• Uyarı işaretleri: Sistemlerin alışılmadık yavaşlığı, şüpheli hata mesajlarının ortaya çıkması, dosyaların erişilmezliği (bazen garip uzantılarla yeniden adlandırılmış), ekranda görüntülenen fidye talebi veya anormal bir ağ etkinliği bir ele geçirilmeye işaret edebilir.

İlk refleksler

• Etkilenen sistemleri izole edin: Alınacak ilk ve en acil önlem, şüpheli veya açıkça enfekte makineleri hemen klinik ağından kesmektir (Ethernet kablosunu çekmek, Wi-Fi'yi devre dışı bırakmak). Bu, saldırının yayılmasını önlemeyi amaçlar; özellikle bağlı diğer iş istasyonlarına ve sunuculara hızla yayılabilen fidye yazılımları için.
• Ele geçirilen makineyi hemen kapatmayın (bir uzman aksini belirtmedikçe): İçgüdüsel tepki bilgisayarı kapatmak olsa da, bu işlem, saldırıyı anlamaya yönelik sonraki adli analiz için değerli olabilecek bellekteki (RAM) uçucu bilgileri silebilir.

Ağdan izolasyon önceliklidir.

• Uzmanlara ve yetkililere başvurun: Profesyonellere hızla başvurmak esastır. Bu, siber güvenlik uzmanı bir bilişim hizmetleri sağlayıcısı, büyük bir olay ise USOM veya yerel uzmanlarla iletişime geçirebilecek yetkili siber güvenlik merkezleri olabilir.
• Olayı belgeleyin: İlk anlardan itibaren gözlemlenen her şeyi belgelemeye başlanmalıdır: keşif saati, tam semptomlar, görüntülenen mesajlar, alınan önlemler vb. Bu bilgiler müdahale edenler ve sonraki bildirimler için yararlı olacaktır.

B. Olay Müdahale Planının (OMP) Hazırlanması ve Uygulanması

Bir Olay Müdahale Planı (OMP), kliniğin bir siber saldırıya nasıl tepki vereceğini resmileştiren bir belgedir. Varlığı ve ekip tarafından bilinmesi, koordineli ve etkili bir eylem sağlar; böylece zararları ve kullanılamazlık süresini azaltır.

• Bir OMP'nin anahtar aşamaları:
• Hazırlık: Kliniğin kritik bilişim varlıklarını tanımlayın (hasta dosyaları, meslek yazılımı, yedeklemeler), küçük bir müdahale ekibi belirleyin (hekim, referans bir asistan), herkesin rolünü ve sorumluluklarını netleştirin ve anahtar irtibatları listeleyin (BT sağlayıcı, siber güvenlik uzmanı, sigortacı, KVKK Kurulu, TDB).
• Tespit ve Analiz: Bir güvenlik olayının gerçekten meydana geldiğini doğrulayın, niteliğini (fidye yazılımı, başarılı oltalama vb.) tanımlayın, kapsamını (hangi makineler, hangi veriler etkileniyor) ve ciddiyetini değerlendirin.
• Kontrol altına alma: Saldırının daha fazla yayılmasını engellemek için önlemler alın (örneğin gerektiğinde ağın diğer segmentlerini izole edin, ele geçirilen kullanıcı hesaplarını engelleyin).
• Yok etme: Saldırı kontrol altına alındıktan sonra kök nedenini belirleyin ve ortadan kaldırın (kötü amaçlı yazılımı kaldırın, istismar edilen açığı düzeltin, sahte erişimleri iptal edin).
• Kurtarma: Etkilenen sistemleri ve verileri, genellikle sağlam ve doğrulanmış yedeklerden, normal çalışma durumuna geri yükleyin.
• Öğrenilen dersler (Olay sonrası): Olayın çözümünden sonra ne olduğunu anlamak, müdahalenin etkinliğini değerlendirmek ve hem OMP'ye hem de önleyici tedbirlere iyileştirmeler yapmak için "soğukkanlı" bir analiz yürütün.

Kriz iletişimi: İletişimin yönetimi olaya müdahalenin temel bir yönüdür.

İç iletişim: Personeli alınan önlemler ve izlenecek talimatlar hakkında açıkça bilgilendirin.

Hastalarla iletişim: Veri ihlali hastaların hak ve özgürlükleri için yüksek risk oluşturabiliyorsa (örneğin tıbbi dosyaların sızması), KVKK onları bilgilendirme yükümlülüğü getirir. Bu iletişim şeffaf olmalı ve alınan önlemleri belirtmelidir.

Yetkililerle iletişim: Olayın niteliği ve ciddiyetine bağlı olarak bazı bildirimler zorunlu veya tavsiye edilebilir: kişisel veri ihlali durumunda KVKK Kuruluna bildirim; büyük olaylar için USOM'a bildirim; polis veya savcılığa suç duyurusu.

Fidye ödeme kararı: Fidye yazılımı saldırısı durumunda fidye ödeme sorusu kaçınılmaz olarak gündeme gelir. Otoriteler ödememeyi şiddetle tavsiye eder. Ödeme verileri geri alma garantisi sunmaz (siber suçlular çözme anahtarını vermeyebilir veya çalışmayan ya da kısmen çalışan bir anahtar verebilir), saldırganları cezai faaliyetlerine devam etmeye teşvik eder ve gelecekteki saldırılara karşı koruma sağlamaz.

Faaliyet Sürekliliği Planı (FSP) ve Faaliyet Kurtarma Planı (FKP)

Olaya anında müdahalenin ötesinde, kliniğin azaltılmış modda olsa bile nasıl çalışmaya devam edebileceğini ve normal duruma nasıl dönebileceğini düşünmek kritiktir.

• Amaç: FSP, kliniğin kriz sırasında kritik faaliyetlerini sürdürmeyi (örneğin acil vakalara bakım) amaçlarken, FKP olaydan sonra tüm sistemleri ve operasyonları geri yükleme adımlarını ayrıntılandırır.

• Bir diş kliniği için FSP/FKP unsurları:

• Faaliyetin mutlaka kritik olan iş ve verilerinin tanımlanması.
• Alternatif manuel prosedürlerin oluşturulması (örneğin kağıt hasta fişlerinin geçici kullanımı, manuel ajanda yönetimi, kağıt onam formları).◦ Yedeklerden verilerin geri yüklenmesi için açık stratejiler (önceliklerin tanımlanması, geri yükleme sürelerinin tahmini).
• Hastaları aksaklıklar ve geçici bakım yöntemleri hakkında bilgilendirmek için iletişim planı.
• Planlar belgelenmeli, ekip tarafından bilinmeli ve özellikle düzenli olarak test edilmeli (örneğin simülasyonlarla) ve kliniğin evrimine ve deneyim geri bildirimlerine göre güncellenmelidir.

Siber Sigortanın Katkısı

Bir siber sigorta poliçesine abone olmak, önleme ve müdahale tedbirlerine tamamlayıcı olabilir.

• Sunulan kapsam: Siber sigorta sözleşmeleri siber saldırıyla ilişkili çeşitli maliyetleri kapsayabilir: soruşturma ve iyileştirme için siber güvenlik uzmanları ücretleri, veri ve sistemlerin geri yüklenmesi maliyetleri, faaliyet kesintisinden kaynaklanan işletme kayıpları, hasta ve yetkililere bildirim masrafları ve veri sızıntısı sonrasında üçüncü taraflarda oluşan zararlar için kliniğin hukuki sorumluluğu.
• İlgili hizmetler: Bazı sigortacılar ayrıca önleme hizmetleri sunar: zafiyet denetimleri, personel için siber güvenlik eğitimleri veya olay durumunda bir yardım hattına erişim.
• Dikkat noktaları: Kapsam kapsamını, istisnaları, muafiyetleri, tazminat tavanlarını ve sigortalının önleyici güvenlik tedbirleri konusundaki yükümlülüklerini iyi anlamak için sigorta sözleşmesinin genel ve özel koşullarını dikkatle okumak önemlidir.

Büyük bir olayın etkili yönetimi çoğu zaman bir diş kliniğinin iç kapasitelerini aşar; bu da dış destek ekosistemine (uzman sağlayıcılar, USOM, sigortacılar) bağımlılığını vurgular.

6 Mevcut Kaynaklar ve Destek

Siber güvenlik zorlukları karşısında diş klinikleri yalnız değildir. Türkiye'de pek çok kamu kurumu ve mesleki örgüt, dijital güvenliklerini güçlendirmelerine yardımcı olmak için kaynaklar, rehberler ve destek sunmaktadır.

A. Kamu Kurumları ve Yardım Platformları

• USOM (Türkiye Siber Olaylara Müdahale Merkezi): USOM, siber olayların bildirimi ve yönetimi için ulusal ortak noktadır. Rehberler, siber güvenlik uyarıları, fidye yazılımı saldırılarının önlenmesi ve siber krizlerin yönetimi hakkında belgeler yayımlar. Sağlık dahil farklı sektörlere destek verir.
• Sağlık Bakanlığı / Sağlık Bilgi Sistemleri Genel Müdürlüğü: Bakanlık, sağlık sisteminin dijital dönüşümüne eşlik eder; özellikle bilişim sistemlerinin güvenliği ve birlikte çalışabilirliğine dikkat eder. Teknik referanslar ve farkındalık webinarları yayımlar.
• Kişisel Verileri Koruma Kurulu (KVKK): KVKK, Türkiye'de kişisel verilerin korunmasından sorumlu denetim otoritesidir. KVKK'nın uygulanmasını denetler ve profesyonellere uyum sürecinde eşlik eder. Sağlık profesyonellerine özel pratik rehberler, teknik güvenlik önerileri, veri saklama süreleri hakkında bilgiler ve öz değerlendirme kontrol listeleri yayımlar.
• Yerel BT destek hizmetleri ve SOME ağları: Sektörel Siber Olaylara Müdahale Ekipleri ve referanslı yerel sağlayıcılar, acil durumda kliniklere yönlendirme ve danışma desteği sağlayabilir.

Mesleki Kuruluşlar ve Dernekler

Türk Diş Hekimleri Birliği (TDB): TDB, üyelerinin siber güvenlik ve veri koruma dahil deontolojik ve düzenleyici yükümlülükler konusunda bilgilendirilmesi ve farkındalığın artırılmasında önemli bir rol oynar.

• Yayınlar ve rehberler: Birlik, siber güvenlik konularında düzenli olarak bilgi yayar ve hekimlere özel belgeler sunar.
• Destek: TDB, mesleğin dijital araçlarını geliştirmek için ilgili kurumlarla iş birliği yapar.

• Diğer mesleki dernek veya sendikalar: Siber güvenlik ve diş kliniğinin dijital yönetimi üzerine kaynaklar ve bilgiler sunabilir. Otoritelerin önerilerini ilet edebilir veya kendi farkındalık araçlarını geliştirebilirler.

Aşağıdaki tablo ana aktörleri ve katkılarını özetlemektedir.

Kurum	Başlıca Görev	Kaynaklar / Destek	Web sitesi
USOM (Ulusal Siber Olaylara Müdahale Merkezi)	Standart ve iyi uygulamaları tanımlamak, tehditleri önlemek	Teknik rehberler (bilişim hijyeni, fidye yazılımı, kriz yönetimi), risk analizi yöntemleri	usom.gov.tr
Sağlık Bakanlığı / Sağlık Bilgi Sistemleri	Sağlık sektörünün güvenli dijital dönüşümüne eşlik etmek	Teknik referanslar, webinarlar, mesleki kılavuzlar	saglik.gov.tr
KVKK (Kişisel Verileri Koruma Kurulu)	KVKK ve kişisel verilerin korunmasına uyumu denetlemek	Sağlık profesyonelleri için rehberler, güvenlik önerileri, araçlar	kvkk.gov.tr
TDB (Türk Diş Hekimleri Birliği)	Mesleği düzenlemek, deontolojik iyi uygulamaları yaymak	Siber güvenlik pratik fişleri, bilgi yazıları, mesleğe özel öneriler	tdb.org.tr
SOME (Siber Olaylara Müdahale Ekipleri)	Siber olaylar mağdurlarına yardım etmek, dijital risklere karşı farkındalık	Çevrimiçi teşhis, refleks fişleri, sağlayıcılarla ilişki	Sektörel yerel sayfalar

7 Sonuç

Siber güvenlik, Türkiye'deki diş klinikleri için kaçınılmaz bir konu haline gelmiştir. Mesleğin artan dijitalleşmesi verimlilik ve bakım kalitesinde yadsınamaz faydalar getirmekle birlikte, siber tehditlere daha fazla maruz kalmayla birlikte gelir. İşlenen sağlık verilerinin kritikliği, bu bilgilerin pazar değeri ve küçük yapılara özgü zafiyetler, diş kliniklerini faaliyetin felç olmasından hasta verilerinin gizliliğinin ciddi biçimde ihlal edilmesine uzanan potansiyel olarak ağır sonuçları olan saldırılar için çekici hedefler haline getirir. Fidye yazılımları ve oltalama gibi tehditler özellikle endişe vericidir ve Nesnelerin İnterneti ile yapay zeka kaynaklı yeni saldırı vektörlerinin ortaya çıkması manzarayı daha da karmaşıklaştırmaktadır.

Bu zorluklar karşısında, KVKK ve sağlık verilerinin barındırılmasıyla ilgili özel gereksinimler etrafında şekillenen sıkı bir düzenleyici çerçeve, hekimlere veri koruma ve bilişim sistemleri güvenliği açısından kesin yükümlülükler getirir. Bu çerçeveye uymak yalnızca yasal bir zorunluluk değil, aynı zamanda etik bir zorunluluk ve hastalara karşı bir güven güvencesidir. Siber güvenlik artık teknik bir kısıtlama veya gereksiz bir harcama olarak değil, kliniğin kalıcılığı ve itibarı için esas bir stratejik yatırım olarak algılanmalıdır.

Bu karmaşık ortamda hareket etmek için diş hekimleri, hem teknik (altyapı güvenliği, erişim yönetimi, sağlam yedeklemeler, şifreleme) hem de organizasyonel (güvenlik politikası, personel eğitimi, tedarikçi yönetimi) önleyici ve koruyucu bir dizi önleme dayanabilirler. Olay müdahale ve faaliyet sürekliliği planlarının hazırlanması da başarılı bir saldırının etkisini asgariye indirmek için kritiktir. Türkiye'de bu alanda profesyonellere rehberlik etmek için çok sayıda kaynak ve destek yapısı — USOM, Sağlık Bakanlığı, KVKK, TDB, SOME — mevcuttur.

Sonuç olarak, Türkiye'deki diş kliniklerinde siber güvenlik, sağlık sektörünün dijital dönüşümünün daha geniş zorluklarını yansıtmaktadır. Bakımın iyileştirilmesi için teknolojik yeniliklerin benimsenmesi, kişisel ve tıbbi verilerin soyut korunması, hekimlerin ekonomik kısıtları ve yoğun bir düzenleyici çerçeveye uyum arasında sürekli bir denge aranmalıdır. Sürekli evrilen tehditler karşısında kliniklerin gelecekteki dayanıklılığı, yalnızca teknolojik güvenlik çözümlerinin benimsenmesine değil, daha temelde günlük pratiklerinde gerçek bir siber güvenlik kültürünü yerleştirme kapasitelerine bağlı olacaktır. Bu; her an tetikte olmayı, tüm ekibin sürekli eğitimini, yeni tehditlere çevik uyumu ve bilgi ve iyi uygulamaları paylaşmak için sağlık ekosistemi içinde aktif iş birliğini gerektirir. Ancak bu bedelle diş klinikleri, giderek daha bağlı hale gelen bir dünyada hastalarının güvenliğini ve güvenini sağlayarak sanatlarını huzur içinde icra etmeye devam edebileceklerdir.