TL;DR. 2028 NCSC keşif son tarihi her göç tarihinden önce geliyor. Bankalar bunu karşılayamıyor: DORA varlık kaydı kriptografiyi hiçbir yerde kaydetmiyor.

Önemli Çıkarımlar

Kimsenin Bütçesini Çıkarmadığı Son Tarih. Yayımlanmış geçiş takvimlerini dikkatle okuyun; sıralama tartışmaya kapalıdır.
DORA Kaydınız Kriptografi Dışında Her Şeyi Kaydediyor. İnsanları şaşırtan kısım şurası.
Bir CBOM Gerçekte Ne İçerir. Kriptografik Malzeme Listesi, bir sistemdeki kriptografik varlıkların — algoritmaların, anahtarların, sertifikaların ve protokollerin, ayrıca bunları kullanan yazılım bileşenleriyle ilişkilerinin — resmî envanteridir.
Keşif Tek Bir Sorun Değil, Dört Sorundur. Keşfi tek bir iş akışı gibi ele almak, bu programların başarısızlığa uğramasının en yaygın yoludur.

Envanterini Çıkaramadığınızı Geçiremezsiniz: Bankaların Hâlâ Sahip Olmadığı Kriptografik Malzeme Listesi

Bankacılıktaki her kuantum sonrası yol haritası, var olmayan bir envanteri varsayar. Planlar yazıldı, yönlendirme komiteleri toplanıyor, karneler sarıda duruyor. Hepsinin altında tek bir varsayım yatıyor: bir yerlerde birileri, bankanın kriptografik işlem yaptığı her noktanın listesini çıkarabilir — hangi algoritma, hangi anahtar uzunluğu, hangi kütüphane, hangi sertifika, ne zaman sona eriyor. Neredeyse hiçbir kurum bunu yapamıyor. NCSC'nin ilk kilometre taşı bir geçiş kilometre taşı değildir: 2028 vadeli bir keşif ve envanter kilometre taşıdır ve bütçesini kimsenin çıkarmadığı taş tam olarak budur.

Yönetici Özeti

Sıralama önce keşif, sonra çeviklik, sonra geçiştir. NCSC rehberliği keşif için 2028'de tanımlı bir kilometre taşı, en yüksek öncelikli geçiş için 2031 ve tamamlanma için 2035 belirliyor. Envanterini çıkarmadan geçişe başlayan kurum, yalnızca haberdar olduğu sistemleri geçirir.

Elinizdeki kayıt, bugün karşınızdaki soruyu yanıtlamıyor. DORA Madde 8, finansal kuruluşlardan BİT varlıklarını tanımlamasını, sınıflandırmasını, belgelemesini ve karşılıklı bağımlılıklarını haritalandırmasını ister. Tek bir kriptografik özelliği zorunlu kılmaz; bu yüzden Madde 8'e tam uyumlu bir kayıt eksiksiz olabilir ve kriptografik çeviklik planlaması için yine de işe yaramaz kalabilir.

Standart zaten var. Kriptografik varlıklar — anahtar boyutu, mod ve eğrisiyle algoritmalar; anahtarlar; sertifikalar; protokoller — ECMA-424 olarak yayımlanan CycloneDX içinde temsil edilebilir. Bu bir şema meselesidir, bir satın alma meselesi değil.

En zor çeyrek sizin tarayacağınız çeyrek değil. Donanım güvenlik modülleri, ödeme cihazları, tedarikçi gömülü kütüphaneler ve SaaS sağlayıcıları üzerlerine tarayıcı doğrultarak sayılamaz. Envanterin o bölümü sözleşmesel beyandan kurulur ve ilgili madde, yol haritasından önce var olmak zorundadır.

Kimsenin Bütçesini Çıkarmadığı Son Tarih

Yayımlanmış geçiş takvimlerini dikkatle okuyun; sıralama tartışmaya kapalıdır. National Cyber Security Centre'ın yol haritası keşfi — hangi sistem ve hizmetlerin kriptografiye bağımlı olduğunun tam resmini — 2028'e, en yüksek öncelikli geçiş çalışmasını 2031'e, tüm sistem, hizmet ve ürünlerde tamamlanmayı ise 2035'e yerleştiriyor. NIST'in geçiş raporu IR 8547 uyumlu bir hatta ilerliyor: RSA ve ECC dâhil kuantuma karşı savunmasız açık anahtarlı algoritmalar 2030'dan sonra kullanımdan kaldırılıyor, 2035'ten sonra yasaklanıyor.

Bankacılık programlarının çoğu tarih olarak 2035'i içselleştirdi. Plan yapmak için takvimin yanlış ucu orası.

Çok daha önemli iki tarih var. Birincisi 2028; çünkü keşif, kendisinden sonraki her şeyin girdisidir — bilinmeyen bir paydaya karşı bir geçişi kapsamlandıramaz, maliyetlendiremez veya sıralayamazsınız. İkincisi 2030; çünkü düzenlemeye tabi bir kurumda "kullanımdan kaldırıldı" yumuşak bir ifade değildir: bir algoritmaya güvenmeye devam etmenin, birinin imzalaması gereken bir karara dönüştüğü noktadır.

Bugünle 2028 arasında otuz aydan az süre var. Bu, çoğu kurumun henüz başlamadığı bir yetkinliği kurmak için bir, belki iki bütçe döngüsü demek.

DORA Kaydınız Kriptografi Dışında Her Şeyi Kaydediyor

İnsanları şaşırtan kısım şurası. Büyük Avrupa bankalarının çoğu, DORA zorunlu kıldığı için, BİT varlıklarına dair ayrıntılı ve düzenli olarak gözden geçirilen bir envanteri zaten tutuyor.

Regulation (EU) 2022/2554'ün 8. maddesi, finansal kuruluşlardan BİT destekli tüm iş fonksiyonlarını, bunları destekleyen bilgi ve BİT varlıklarını ve bu varlıkların BİT riski açısından rollerini ve bağımlılıklarını tanımlamasını, sınıflandırmasını ve yeterince belgelemesini — ayrıca bu varlıkların yapılandırmasını ve aralarındaki bağlantıları haritalandırıp gözden geçirme altında tutmasını — ister.

Bu ciddi bir envanterdir. Aynı zamanda bu sorun için yanlış biçimdedir.

Tablo 1: Elinizdeki kayıt ve 2028 kilometre taşının gerektirdiği kayıt

Soru	BİT varlık kaydı (DORA Madde 8)	Kriptografik envanter (CBOM)
Bu varlık nedir ve sahibi kim?	Evet — kaydın çekirdeği budur	Amacı bu değil
Ne kadar kritik ve neye bağımlı?	Evet — sınıflandırma ve karşılıklı bağımlılık haritası	Varlık kaydından devralınır
Hangi algoritmaları, nerede kullanıyor?	Hayır	Evet — bileşen bazında, anahtar boyutu, mod ve eğriyle
Bunları hangi kütüphane, hangi sürümde uyguluyor?	Kısmen, varsa SBOM üzerinden	Evet, açık bir ilişki olarak
Hangi sertifikaları sunuyor, ne zaman doluyor?	Nadiren, genellikle ayrı bir PKI aracında	Evet
Anahtarlar nerede duruyor ve nasıl korunuyor?	Hayır	Evet — yolda bir HSM olup olmadığı dâhil
Bu varlık kuantuma karşı savunmasız mı?	Türetilemiyor	Doğrudan yanıtlanabilir

Son satır argümanın tamamıdır. Bir kurum Madde 8 ile tam uyumlu olabilir, denetimini geçebilir ve yine de "2030'da sistemlerimizin kaçı bozulacak" sorusunu sıfırdan bir keşif projesi başlatmadan yanıtlayamaz.

Bu bir DORA eleştirisi değildir. Madde 8, dayanıklılık ve yoğunlaşma sorularını yanıtlamak için yazıldı ve onları iyi yanıtlıyor. Yalnızca bir kriptografik çeviklik sorusunu yanıtlamak için yazılmadı; iki kaydın ayrı ekiplerin sahip olduğu ayrı tablolar olarak yürütülmesi yerine birleştirilmesi gerekiyor.

Bir CBOM Gerçekte Ne İçerir

Kriptografik Malzeme Listesi, bir sistemdeki kriptografik varlıkların — algoritmaların, anahtarların, sertifikaların ve protokollerin, ayrıca bunları kullanan yazılım bileşenleriyle ilişkilerinin — resmî envanteridir.

Yapısal olarak önemli nokta şudur: bu yeni bir dosya formatı değildir. Kriptografik varlık desteği, OWASP destekli malzeme listesi spesifikasyonu CycloneDX'e katkı olarak eklendi ve bu spesifikasyon bir Ecma International standardı olarak, ECMA-424 adıyla yayımlanıyor. Dolayısıyla bir CBOM, kriptografi alanları doldurulmuş bir CycloneDX belgesidir. Aynı şemayla doğrulanır, aynı boru hatlarından geçer ve kurumun tedarik zinciri amacıyla zaten ürettiği SBOM'larla aynı artefakt kayıt defterine düşer.

Bu kulağa geldiğinden daha önemlidir. Sahaya inen bir standartla tıkanan bir standart arasındaki fark, genellikle yeni tesisat gerektirip gerektirmediğidir. Bu standart gerektirmiyor.

Tablo 2: CBOM varlık sınıfları ve her birinin yanıtladığı geçiş sorusu

Varlık sınıfı	Kaydedilenler	Yanıtladığı soru
Algoritma	Primitif, anahtar boyutu, mod, eğri, dolgu ve yerine getirdiği işlev	İşlemlerimizin hangileri kuantuma karşı savunmasız ve hangi parametre gücünde?
Anahtar	Tür, boyut, format, durum ve anahtar materyalinin bulunduğu yer	Hangi anahtarlar bir HSM ile korunuyor, hangileri uygulama belleğinde duruyor?
Sertifika	Konu, düzenleyen, imza algoritması, geçerlilik penceresi	Geçiş penceresinden önce ne doluyor ve ne, kullanımdan kaldırılmış bir algoritmayla imzalanıyor?
Protokol	Protokol ve sürümü, sunulan şifre takımlarıyla birlikte	Yapılandırma dosyasının iddia ettiğinin aksine, hatta gerçekte ne müzakere ediliyor?
İlgili bileşen	Yukarıdakileri uygulayan kütüphane, sürüm ve kod konumu	Bu kütüphane değişirse onunla birlikte başka ne hareket eder?

Son satır, bir envanteri plana dönüştüren satırdır. Algoritma listesi size sorunun büyüklüğünü söyler. Kendilerini uygulayan bileşenlerle birleştirilmiş bir algoritma listesi ise işin biçimini söyler — bir geçiş sırası da zaten bundan kurulur.

Keşif Tek Bir Sorun Değil, Dört Sorundur

Keşfi tek bir iş akışı gibi ele almak, bu programların başarısızlığa uğramasının en yaygın yoludur. Dört ayrı araç, dört ayrı sahip ve birbirinden çok farklı güven düzeyleriyle dört ayrı sorun söz konusudur.

1. Kaynak kod — kodun ne istediği. Kendi depolarınız üzerinde statik analiz, kriptografik çağrıları, koda gömülü parametreleri ve çağrılan kütüphaneleri bulur. Açık araçlar mevcut: CBOMkit projesi ve SonarQube eklentisi, kaynak koddaki kriptografik varlıkları tespit edip CycloneDX üretir. En yüksek güven, en dar kapsam — yalnızca yazdığınız ve hâlâ derlediğiniz kodu görür.

2. İkili dosyalar ve konteynerler — sahaya gerçekte çıkan. Kaynak analizi, derlenmiş bağımlılık olarak çekilen veya temel imaja gömülen her şeyi kaçırır. Konteyner ve dosya sistemi taraması bu boşluğun bir kısmını kapatır. İki görünümün çelişmesini bekleyin; çelişkinin kendisi bir bulgudur.

3. Ağ — gerçekte müzakere edilen. Yapılandırma bir niyettir, gözlem değil. Envanter genelinde canlı TLS müzakeresinin pasif gözlemi, belgelerinde TLS 1.3 yazan bir hizmetin hiç güncellenmemiş bir iç muhatapla hâlâ daha eskisini kabul ettiğini öğrenmenin tek yoludur. Bir ödeme ortamında, önemli olan muhatap çoğu zaman tam olarak odur.

4. Tedarikçi ve donanım envanteri — hiç tarayamayacağınız kısım. Donanım güvenlik modülleri, ödeme terminalleri, ağ cihazları, ana bilgisayar alt sistemleri ve zincirdeki her SaaS sağlayıcısı. Hiçbir tarayıcı buralara erişmez. Bu çeyrek, sözleşme kapsamında sorularak sayılır ve toptan bankacılığın gerçek maruziyeti burada yoğunlaşır; çünkü takas ve mutabakat yapan sistemler orantısız biçimde tedarikçi kaynaklıdır.

Şimdi başlanacak olan dördüncüsüdür; çünkü en uzun teslim süresine sahiptir ve bir mühendislik işi değildir. Bir satın alma işidir: sözleşmeye ve yenileme şablonuna bir kriptografik ifşa ve kriptografik çeviklik maddesi koymak, böylece 2028'de yanıtın bir lütuf olarak değil, tedarikçi yükümlülüğü olarak gelmesini sağlamak. Bu maddenin şablonda bulunmadığı her çeyrek, sonradan yeniden açılması gerekecek bir çeyreklik yenileme demektir.

Bunu Proje Değil, Kontrol Hâline Getirmek

Bahse gireceğim başarısızlık biçimi, bankaların envanteri atlaması değil. Onu tek seferlik bir iş olarak sipariş etmeleri, 2028'de savunulabilir bir anlık görüntü teslim etmeleri ve sonra çürümeye bırakmaları — çünkü sürdürülen bir kontrol olarak kurulmak yerine kuantum sonrası bir proje teslimatı olarak bütçelendi.

Kriptografik envanter, varlık kaydından daha hızlı çürür. Sertifikalar döner. Kütüphaneler bağımlılık otomasyonuyla yükseltilir. Bir temel imaj değişir ve koca bir hizmet sessizce farklı bir TLS yığınına geçer. 2028'de alınan bir anlık görüntü 2029'da esaslı biçimde yanlış olacaktır; yani tam olarak 2031 önceliklendirme çalışmasının ona bağımlı olduğu anda.

Bunu üç taahhüt engeller.

Anketle değil, boru hattında üretin. Bir CBOM, derleme tarafından SBOM ile birlikte üretilmeli ve sürüme karşı sürümlenmiş bir artefakt olarak saklanmalıdır. Uygulama sahiplerine anket e-postası göndererek toplanan envanter, geldiği anda güncelliğini yitirmiştir ve farkı alınamaz.

Farkını alın ve fark üzerinde uyarı üretin. Değerli sinyal envanterin kendisi değil, envanterdeki değişimdir. Yeni bir kriptografik bağımlılık edinen bir hizmet, süresi kısalan bir sertifika, daha önce bulunmadığı yerde beliren bir algoritma — kontrole değer olaylar bunlardır. SBOM farkını almayı SBOM arşivlemekten daha yararlı kılan mantık da aynıdır.

Zaten tuttuğunuz kayıtla birleştirin. CBOM "hangi kriptografi" sorusunu yanıtlar; Madde 8 kaydı ise "ne kadar kritik, kimin ve neyin ona bağımlı olduğu" sorusunu. İkisi de tek başına bir önceliklendirme değildir. Birleştirildiklerinde önemli olan tek sıralamayı üretirler: kuantuma karşı savunmasız işlemlerin, üzerlerinde duran iş fonksiyonunun kritikliğine göre sıralanması. Bu birleştirme, bir keşif programının asıl teslimatıdır ve planda bu adla anılmayı hak eder.

Uygulama Kılavuzu

2028 kilometre taşını rapor değil, yetkinlik olarak yeniden çerçeveleyin. Teslimat, bir denetçi için bir kez üretilen belge değil, kendini yeniden üreten, sürdürülen, makine tarafından okunabilir bir envanterdir.
CBOM'ları derlemeden şimdi üretmeye başlayın, önce yeni hizmetlerde. Envanterin tamamını tek geçişte denemeyin. Bu yıl kurulan veya esaslı biçimde değiştirilen her şey için boru hattına bağlayın; böylece kapsam bir kampanya gerektirmeden birikir.
Sözleşme maddesini bu çeyrekte yenileme şablonuna koyun. Kriptografik ifşa ve bir kriptografik çeviklik taahhüdü. Listedeki her şeyden uzun teslim süresine sahiptir ve hiçbir araç kararına bağlı değildir.
Ağ gözlemini önce ödeme ve mutabakat yollarında çalıştırın. Yapılandırma ile gerçeklik arasındaki boşluğun en çok zarar verdiği ve eski muhatapların yoğunlaştığı yer orasıdır.
CBOM'u Madde 8 kaydıyla birleştirin ve sıralamayı birleşim üzerinden yapın. Sıralanmış listeyi yayımlayın. Bir mühendislik envanterini, sıralama ve para üzerine bir yönetim kurulu görüşmesine çeviren artefakt odur.
Her yeniden üretimin farkını alın ve yeni kuantuma karşı savunmasız bağımlılıklar için uyarı üretin. Farkı alınmayan envanter bir arşivdir.

2031'i rahat karşılayacak kurumlar, ML-KEM konusunda en ileri görüşe sahip olanlar değildir. Herhangi bir sabah, proje başlatmaya gerek kalmadan, kriptografilerinin gerçekte nerede olduğu sorusunu yanıtlayabilenlerdir.

Sıkça Sorulan Sorular

CBOM, SBOM'dan farklı bir şey mi?
Aynı belge türünün farklı alanları doldurulmuş hâlidir. Kriptografik varlık desteği, ECMA-424 olarak yayımlanan CycloneDX'e taşındı; dolayısıyla bir CBOM aynı şemayla doğrulanır ve bir SBOM ile aynı araç zincirinden geçer. Zaten SBOM üreten kurumlar bu işe genelde sandıklarından daha yakındır.

DORA kriptografik envanter zorunlu kılıyor mu?
Bu terimlerle değil. Regulation (EU) 2022/2554'ün 8. maddesi BİT varlıklarının tanımlanmasını, sınıflandırılmasını ve belgelenmesini, ayrıca yapılandırmalarının ve karşılıklı bağımlılıklarının haritalandırılmasını ister. Kriptografik özellikler, kaydetmenizi zorunlu kıldığı nitelikler arasında değildir; bu yüzden Madde 8 ile uyumlu bir kayıt, genişletilmeden bir kuantum savunmasızlığı sorusunu yanıtlayamaz.

Keşfin geçişten bu kadar önce bitmesi neden gerekiyor?
Çünkü önceliklendirmenin girdisidir. NCSC rehberliği keşfi 2028'e, en yüksek öncelikli geçişi 2031'e tam olarak envanteri sıralamak ve işi sıraya koymak için tanımlı bir aralık bulunsun diye yerleştiriyor. İkisini sıkıştırmak, en çok önemli olanı değil, en iyi anlaşılanı geçirmek demektir.

Tedarikçi donanımı ve SaaS içindeki kriptografinin envanterini nasıl çıkarırız?
Taramazsınız; ifşa talep edersiniz. Donanım güvenlik modülleri, ödeme cihazları ve hizmet sağlayıcıları sözleşmesel bir kriptografik ifşa ve kriptografik çeviklik yükümlülüğüyle kapsanmalıdır. Bu, mühendislik eforuna değil yenileme döngülerine bağlı olduğundan programın tamamındaki en uzun teslim süresine sahiptir ve ilk başlaması gereken iştir.

Başlamadan önce araçların olgunlaşmasını beklemeli miyiz?
Hayır; araç argümanı genellikle bütçe argümanının yerine geçer. Açık uygulamalar hem kaynak koddan hem de konteyner imajlarından zaten CycloneDX kriptografik envanterleri üretiyor ve spesifikasyon onaylanmış bir standart. 2028 kilometre taşındaki kısıt kapsam ve sözleşmesel erişimdir, araç mevcudiyeti değil.

Kaynaklar

European Parliament and Council of the European Union, 2022. Regulation (EU) 2022/2554 on digital operational resilience for the financial sector (DORA). Brussels: Official Journal of the European Union. Şu adreste mevcuttur: European Parliament and Council of the European Union, 2022..
National Cyber Security Centre, 2025. Timelines for migration to post-quantum cryptography. London: NCSC. Şu adreste mevcuttur: National Cyber Security Centre, 2025..
National Institute of Standards and Technology, 2024. NIST IR 8547 (Initial Public Draft), Transition to Post-Quantum Cryptography Standards. Gaithersburg: U.S. Department of Commerce. Şu adreste mevcuttur: National Institute of Standards and Technology, 2024..
National Institute of Standards and Technology, 2024. FIPS 203, Module-Lattice-Based Key-Encapsulation Mechanism Standard. Gaithersburg: U.S. Department of Commerce. Şu adreste mevcuttur: National Institute of Standards and Technology, 2024..
OWASP Foundation, 2026. CycloneDX Bill of Materials Specification (ECMA-424). Wakefield: OWASP Foundation. Şu adreste mevcuttur: OWASP Foundation, 2026..
OWASP CycloneDX, 2026. Cryptography Bill of Materials (CBOM). Wakefield: OWASP Foundation. Şu adreste mevcuttur: OWASP CycloneDX, 2026..
IBM Research, 2026. CBOM: Cryptography Bill of Materials. Armonk: IBM. Şu adreste mevcuttur: IBM Research, 2026..

Son inceleme 2026-08-05.

Bu makaleyi yeniden yayınla

Envanterini Çıkaramadığınızı Geçiremezsiniz: Bankalarda Eksik CBOM — Sebastien Rousseau

2028 NCSC keşif son tarihi her göç tarihinden önce geliyor. Bankalar bunu karşılayamıyor: DORA varlık kaydı kriptografiyi hiçbir yerde kaydetmiyor.

Bu makale şu lisans altında yayınlanmıştır Creative Commons Attribution 4.0 International. Yeniden yayın, kanonik URL'ye atıfta bulunulmasını gerektirir.

Envanterini Çıkaramadığınızı Geçiremezsiniz: Bankalarda Eksik CBOM — Sebastien Rousseau

2028 NCSC keşif son tarihi her göç tarihinden önce geliyor. Bankalar bunu karşılayamıyor: DORA varlık kaydı kriptografiyi hiçbir yerde kaydetmiyor.

Originally published at https://sebastienrousseau.com/tr/2026-07-28-cryptographic-bill-of-materials-cbom-discovery-banks-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER