E-devlet sistemi ile e-imza altyapısının güvenlik denetimine ilişkin

Aşağıdaki soruların Türkiye Cumhuriyeti anayasasının 98'inci ve Türkiye Büyük Millet Meclisi İçtüzüğünün 96 ve 99'uncu maddelerine uygun olarak, T.C. Ulaştırma ve Altyapı Bakanlığına iletilmesi ve Sayın Bakan Abdulkadir URALOGLU tarafından yazılı olarak yanıtlanması için gereğinin yapılmasını arz ederim.

Kayıhan PALA Bursa Milletvekili

Ankara Cumhuriyet Başsavcılığının yürüttüğü soruşturma kapsamında, BTK ve YÖK yetkililerinin elektronik imzalarının (e-imza) kopyalanarak toplamda 57 sahte lisans diploması ve 4 sahte lise diploması düzenlendiği iddiaları ortaya atılmıştır. Ayrıca iddianamelerde 108 kişinin yazılı ve direksiyon ehliyet sınav sonuçları başarılı olarak değiştirildiği tespit edilmiş olup 6 Şubat 2023'te yaşanan depremde hayatını kaybeden vatandaşların kimlik bilgilerinin kullanıldığı belirtilmiştir. Şüpheliler arasında resmi belgede sahtecilik, bilişim sistemine izinsiz giriş gibi suçlamalarla 65 kişi yargılanmakta olup, 5 ila 50 yıl hapis cezası talep edilmektedir.

Geçmişte yaşanan e-Nabız ve e-Devlet sistemlerinden veri sızdığı iddialarına bir diğerini ekleyen bu gelişmeler kamuoyunda dijital güvenlik endişelerini körüklemiştir. Dolayısıyla BTK tarafından e-imza oluşturma süreci ve e-Devlet sisteminin veri güvenliği konularında kapsamlı açıklama yapılmasına ihtiyaç duyulmaktadır. Bu bağlamda;

I. Resmi belgelerin oluşturulması ve tescili süreçlerinde hangi kontrol mekanizmaları uygulanmaktadır? Bu mekanizmalardan kaçı bağımsız işlemektedir?

SORULAR

1. E-imza verilecek kişilerin kimlik bilgileri doğrulanırken hangi yöntemler kullanılmıştır? Bu yöntemler hangi standartlara dayanmaktadır?

2. Elektronik sertifika hizmet sağlayıcılarında yüz yüze kimlik doğrulama yetkisi olan çalışanlar nasıl seçilmiş ve hangi eğitimlerden geçirilmiştir?

3. BTK, Elektronik İmza Kanunu uyarınca her bir elektronik sertifika hizmet sağlayıcısını son yirmi yılda kaç kez denetlemiştir? Hangi tarihlerde ve hangi birimlerinde eksiklik saptanmış, bunların giderildiği nasıl teyit edilmiştir?

4. Avrupa Ağ ve Bilgi Güvenliği Ajansı ve Amerikan Ulusal Standartlar ve Teknoloji Enstitüsü, SMS temelli doğrulamanın SIM değişimi ve ağ zafiyetleri nedeniyle riskli olduğunu belirtmektedir. E-imza süreçlerinde Nisan 2025 itibarıyla öngörülen SMS ile iki aşamalı doğrulama hangi siber güvenlik standartlarına göre yeterli kabul edilmiştir?

5. Nisan 2025 son tarihinden sonra Mayıs 2025'te iki aşamalı doğrulamayı devreye alan TÜRKTRUST'a herhangi bir yaptırım uygulanmış mıdır?

6. Google geçmişte TÜRKTRUSTın hatalı sertifika ürettiğini duyurmuştur. Bu olaylar sonrası soruşturma açılmış mıdır? BTK hangi gerekçeyle TÜRKTRUSTtan hizmet almaya devam etmektedir?

7. Ankara Cumhuriyet Başsavcılığının 2024/190925 sayılı soruşturmasında adı geçen ve bilgisi ile rızası dışında kimlik bilgileri kullanıldığı öne sürülen yöneticiler görevlerine ne zaman başlamıştır?

8. F-imzaları yasa dışı kullanılarak adlarına mezuniyet ya da diploma kaydı açıldığı en fazla tespit edilen üç yönetici kimdir? i

9. Üniversite yöneticilerine kanıt beyanı aranmaksızın diploma kaydı açma yetkisi hangi gerekçeyle verilmiştir?

10. Yöneticilere e-imzalarını kullanarak başka hangi alanlarda kayıt oluşturma ya da değiştirme yetkileri tanınmıştır?