Büyük İşletmeler İçin Bilgi Güvenliği

Büyük kuruluşlarda bilgi güvenliği↗, tek tek önlemlerin ötesine geçip bir yönetişim, mimari ve süreç meselesine dönüşür. Binlerce kullanıcı, karmaşık sistemler ve geniş bir tedarik zinciri, güvenliği stratejik bir programla yönetmeyi gerektirir. Bu sayfa, kurumsal ölçekte en önemli başlıkları ve bunlara dair rehberleri NIST, NCSC, ISO ve Türkiye mevzuatına dayanarak bir araya getirir.

Nasıl okunmalı?

Rehberler birbirinden bağımsız okunabilir; her biri kaynaklarını ve “son gözden geçirme” tarihini sayfa sonunda gösterir. Aşağıdaki tablo, rolünüze göre makul bir başlangıç sırası önerir.

Büyük kuruluşlar için beş ilke

1. Sahiplenin: Siber riski iş riski olarak yönetim düzeyinde tanımlayın; sahibi, bütçesi ve raporlaması belli olsun.
2. Bilmediğinizi koruyamazsınız: Varlık, veri ve tedarikçi envanteri çıkarın ve güncel tutun.
3. Kimliği merkeze alın: En az yetki, güçlü doğrulama ve ayrıcalıklı hesaplarda ek denetim.
4. İhlali varsayın: Tespit, müdahale ve kurtarma yeteneğini önceden kurun ve tatbikatla sınayın.
5. Mevzuatı izleyin: 7545 sayılı Kanun, KVKK ve sektör düzenlemelerinin bildirim ve denetim yükümlülüklerini öğrenin.

Siber güvenlik bir yönetim konusudur

Güvenliğin tonu yukarıdan belirlenir. Üst yönetimin riski sahiplenmesi, doğru soruları sorması, kaynak ayırması ve sonuçları düzenli izlemesi, kurum genelindeki her çabanın temelidir. Yönetim sistemi ve olgunluk ölçümü, bu sahipliği ölçülebilir kılar.

Rehber 3 dk okuma

Yönetim Kurulu ve Üst Yönetim İçin Siber Risk

Siber güvenlik bir BT konusu değil, bir iş riskidir. Üst yönetimin sahiplenmesi, doğru soruları sorması ve riski iş diliyle yönetmesi gerekir.

Rehber 3 dk okuma

Kurumlarda ISO/IEC 27001:2022 Uygulaması

ISO/IEC 27001:2022 belgelendirmesinin kurumlarda nasıl kurulacağını, kapsam belirlemeden sertifikasyon denetimine kadar adım adım anlatan uygulama rehberi.

Rehber 2 dk okuma

Siber Değerlendirme Çerçevesi (CAF) ile Olgunluğu Ölçmek

Güvenliğinizi “iyi” mi yoksa “yeterli” mi olduğunu nasıl bilirsiniz? Sonuç odaklı bir değerlendirme çerçevesi, olgunluğunuzu ölçmenize ve eksikleri önceliklendirmenize yardımcı olur.

Modern mimari: Sıfır Güven

Bulut ve uzaktan çalışma çağında “içeri/dışarı” ayrımı yetersiz kalır. Hiçbir erişimi peşinen güvenli saymayan bir mimari, kurumsal savunmanın iskeletini oluşturur.

Rehber 3 dk okuma

Sıfır Güven Mimarisi (Zero Trust) ile Kurumsal Güvenlik

“Asla güvenme, her zaman doğrula.” Ağ içinde olmanın güven kazandırmadığı modern bir güvenlik yaklaşımının kurumsal temelleri.

Kimlik ve erişimin kontrolü

Çoğu büyük ihlal, kötü yönetilen kimliklerden veya ele geçirilmiş ayrıcalıklı hesaplardan başlar. IAM ile düzen, PAM ile ayrıcalıklı erişimin denetimi esastır.

Rehber 3 dk okuma

Kurumsal Kimlik ve Erişim Yönetimi (IAM ve PAM)

Binlerce kullanıcı, yüzlerce uygulama: kim neye erişebilir? IAM ile düzen, PAM ile ayrıcalıklı hesapların kontrolü kurumsal güvenliğin kalbidir.

Rehber 2 dk okuma

Erişim Yetkileri ve İşten Ayrılan Çalışanlar

Kim, neye, neden erişebiliyor? Doğru yetki yönetimi ve düzenli hesap devir-teslimi, bir hesabın ele geçirilmesinin tüm işletmeye yayılmasını önler.

Görünürlük: izleme, SOC ve SIEM

Göremediğiniz saldırıyı durduramazsınız. Günlük kaydı, SIEM↗ ile ilişkilendirme ve sürekli izleme, tehditleri sessizce yayılmadan yakalar.

Rehber 3 dk okuma

Güvenlik İzleme, SOC ve Günlük Yönetimi (SIEM)

Göremediğiniz saldırıyı durduramazsınız. Kurumsal görünürlük; günlük kaydı, SIEM ile ilişkilendirme ve SOC ile sürekli izlemeden geçer.

Zafiyet ve yama yönetimi

Açıkları saldırganlardan önce bulup kapatmak, sürekli bir program işidir.

Rehber 4 dk okuma

Zafiyet ve Yama Yönetimi Programı

Binlerce sistemde açıkları saldırganlardan önce bulup kapatmak bir program işidir: keşif, önceliklendirme, yama ve doğrulama döngüsü.

Güvenli yazılım geliştirme

Yazılım üreten kuruluşlar için güvenlik, tasarımın ve sürecin ayrılmaz bir parçasıdır.

Rehber 3 dk okuma

Güvenli Yazılım Geliştirme (Tasarımdan Güvenli)

Güvenliği en sona bırakmak pahalıya patlar. Yazılım geliştiren kuruluşlar için güvenliği tasarımın ve sürecin parçası yapmanın temelleri.

Tedarik zinciri ve veri sorumluluğu

Güvenliğiniz, çalıştığınız üçüncü taraflar kadar güçlüdür; kişisel veri↗ ise ölçekli bir yasal sorumluluktur.

Rehber 2 dk okuma

Tedarikçi ve İş Ortağı Riskini Yönetin (Tedarik Zinciri)

Güvenliğiniz, çalıştığınız tedarikçiler ve yazılımlar kadar güçlüdür. Sistemlerinize erişen üçüncü tarafların riskini nasıl değerlendirirsiniz?

Rehber 2 dk okuma

Müşteri ve İş Verilerinizi Koruyun (KVKK Temelleri)

Müşteri isimleri, iletişim ve ödeme bilgileri size emanettir. Az veri tutun, güvenli saklayın ve KVKK sorumluluklarınızı bilin.

Endüstriyel sistemler

Üretim, enerji ve altyapı işleten kuruluşlarda kontrol sistemleri klasik BT güvenliğinin varsayımlarına uymaz; süreklilik ve emniyet önceliklidir.

Rehber 4 dk okuma

Endüstriyel Kontrol Sistemleri (OT/ICS) Güvenliği

Fabrikalar, santraller ve altyapılar fiziksel dünyayı kontrol eder; burada bir saldırı dijital değil, fiziksel sonuçlar doğurur. OT/ICS güvenliğinin BT’den farkları ve temel savunma ilkeleri.

Dayanıklılık: olaya hazır olmak

Soru “saldırıya uğrar mıyız” değil, “ne kadar hazırız”. Olgun bir olay müdahale↗ yeteneği ve tatbikatlar, kötü bir günü yönetilebilir kılar.

Rehber 3 dk okuma

Kurumsal Olay Yönetimi ve Siber Dayanıklılık

Soru “saldırıya uğrar mıyız” değil, “ne zaman ve ne kadar hazırız”. Olgun bir olay müdahale yeteneği ve tatbikatlarla kurumsal dayanıklılık.

Rehber 2 dk okuma

Siber Tatbikatlar: Planı Gerçek Olmadan Önce Sınamak

Hiç denenmemiş bir plan, ilk gerçek olayda çöker. Masa başı tatbikatlardan teknik simülasyonlara, ekibinizin reflekslerini güvenli ortamda geliştirin.

Türkiye’de müdahale yapısı: SOME

Büyük kuruluşlar ve kritik altyapılar, ulusal siber olay müdahale yapısının bir parçasıdır: kurum düzeyinde Kurumsal SOME, sektör düzeyinde Sektörel SOME ve ulusal düzeyde USOM. İç olay müdahale planınızı bu yapıyla bütünleştirmek hem uyumu hem de eşgüdümü güçlendirir.

Rehber 5 dk okuma

Kurumsal SOME ve Sektörel SOME: Siber Olaylara Müdahale Yapısı

Türkiye’de siber olaylara müdahale üç katmanlı bir yapıyla yürütülür: ulusal düzeyde USOM, sektör düzeyinde Sektörel SOME ve kurum düzeyinde Kurumsal SOME. Büyük kuruluşların bu yapıdaki yeri ve sorumlulukları.

Kritik altyapı operatörü müsünüz?

Hangi sektörlerin kritik altyapı sayılacağını Siber Güvenlik↗ Kurulu belirler; kritik altyapıları ve ait oldukları kurumları ise Siber Güvenlik Başkanlığı tespit eder. Kapsamdaysanız 7545 sayılı Siber Güvenlik Kanunu uyarınca zafiyet ve siber olayları gecikmeksizin Başkanlığa bildirmek, denetime açık olmak ve ürün ile hizmetleri yetkilendirilmiş sağlayıcılardan tedarik etmek gibi yükümlülükleriniz vardır.

Rehber 5 dk okuma

Kritik Altyapı Nedir ve Operatörlerin Siber Güvenlik Yükümlülükleri

Enerjiden sağlığa, finanstan ulaştırmaya: kritik altyapılar bir ülkenin can damarıdır. Türkiye’de belirlenen 15 kritik altyapı sektörü, yasal çerçeve (7545 sayılı Kanun) ve operatörlerin sorumlulukları.

Rehber 4 dk okuma

Bilgi Güvenliği Mevzuatı: Kanunlar, Yönetmelikler ve Standartlar

Türkiye'de bilgi ve siber güvenliği ilgilendiren temel mevzuat tek yerde: 7545 sayılı Siber Güvenlik Kanunu, 6698 sayılı KVKK, 5651 sayılı İnternet Kanunu, ilgili yönetmelikler, genelgeler ve TS EN ISO/IEC 27001 standardı.

En güçlü savunma: insan

Teknolojinin ötesinde, farkında bir iş gücü kurumsal savunmanın belirleyici halkasıdır.

Rehber 2 dk okuma

Çalışanlarınızı Siber Güvenliğin Parçası Yapın

En güçlü güvenlik duvarı bile, kandırılan bir çalışanla aşılabilir. Suçlamadan, korkutmadan; ekibinizi güvenliğin en güçlü halkasına dönüştürün.

Bildirim yükümlülükleri

Siber olay, kişisel veri ihlali↗ ve suç şüphesinde bildirimin kime, ne zaman ve nasıl yapılacağı farklı mevzuata bağlıdır. Bildirim sürecinin sahibini ve vekilini önceden belirleyin; olay anında bu karar için zaman kaybetmeyin.

Rehber 4 dk okuma

İhlal ve Siber Olay Bildirimleri: Kime, Nasıl Bildirilir?

Dolandırıcılık, oltalama, zararlı içerik ya da kişisel veri ihlali… Karşılaştığınız olayı doğru kuruma, doğru kanaldan bildirmek hem sizi korur hem başkalarını. EGM Siberay, USOM, BTK, Ticaret Bakanlığı ve KVKK bildirim yolları tek yerde.

Yapay zeka kullanıyorsanız

Yapay zeka uygulamaları ve ajanlar, veri, yetki ve tedarik zinciri açısından yeni riskler getirir.

Rehber 4 dk okuma

Yapay Zekâ ve Büyük Dil Modeli (LLM) Uygulama Güvenliği

LLM tabanlı uygulamalar yeni bir saldırı yüzeyi getirir: istem enjeksiyonu, güvensiz çıktı işleme ve aşırı yetki. Geliştiriciler ve güvenlik uzmanları için savunma ilkeleri.

Rehber 4 dk okuma

Kurumda Yapay Zeka Kullanımı: Veri ve Gizlilik (KVKK)

Şirketler yapay zekayı verimli ve KVKK uyumlu kullanmak için neye dikkat etmeli? Veri sınırı, tedarikçi seçimi, gölge yapay zeka ve politika.

Veri ve kurumlar

Büyük veri kümelerini ve akademik ortamları korumak, ölçeğe özgü yönetişim ve teknik önlemler gerektirir.

Rehber 2 dk okuma

Toplu Veriyi (Büyük Veri Kümelerini) Korumak

Büyük veri kümeleri büyük sorumluluktur: tek bir ihlal milyonlarca kişiyi etkileyebilir. Toplu veriyi yönetmenin ve korumanın temel ilkeleri.

Rehber 2 dk okuma

Üniversite ve Araştırma Kurumları İçin Bilgi Güvenliği

Açıklık kültürü ile değerli fikrî mülkiyeti bir arada koruma sanatı. Araştırma verisini, akademik hesapları ve iş birliklerini güvende tutmanın yolları.

Terimlerin çoğu, üzerine geldiğinizde kısa tanımlarıyla açılır; daha fazlası için Sözlük bölümüne göz atabilirsiniz.