Kurumsal Olay Yönetimi ve Siber Dayanıklılık

Büyük bir kurumda siber olay, “bir ekibin bir gün içinde çözdüğü” bir iş olmaktan çıkmıştır: olaylar sık yaşanır, kapsamları geniştir ve toparlanma haftalar, hatta aylar sürebilir. NIST SP 800-61 Rev. 3 (Nisan 2025) bu nedenle olay müdahalesini ayrı bir faaliyet olarak değil, siber risk yönetiminin ayrılmaz bir parçası olarak ele alır. Bu rehber, o yaklaşımı kurum yönetimi ve olay müdahale↗ yapısı için özetler.

Eski döngüden CSF 2.0’a

Önceki sürüm (SP 800-61 Rev. 2, 2012) olaya müdahaleyi hazırlık, tespit ve analiz, sınırlama-temizleme-kurtarma ve olay sonrası faaliyetlerden oluşan bir döngü olarak anlatıyordu. Rev. 3 bu döngüyü NIST Siber Güvenlik↗ Çerçevesi (CSF) 2.0’ın altı işlevine oturtur:

SP 800-61 Rev. 2 aşamalarının CSF 2.0 işlevleriyle eşleşmesi (Rev. 3, Tablo 1)
Önceki aşama	CSF 2.0 işlevi
Hazırlık	Yönet (Govern), Tanımla (Identify), Koru (Protect)
Tespit ve analiz	Tespit Et (Detect); iyileştirme için Tanımla–İyileştirme
Sınırlama, temizleme ve kurtarma	Müdahale Et (Respond), Kurtar (Recover)
Olay sonrası faaliyetler	Tanımla–İyileştirme (ID.IM)

Önemli fark şudur: Yönet, Tanımla ve Koru olay müdahalesinin kendisi değil, onu destekleyen daha geniş risk yönetimi↗ faaliyetleridir; müdahalenin kendisi Tespit Et, Müdahale Et ve Kurtar işlevlerindedir. Ders çıkarma da olay bittikten sonra beklenmez; öğrenilen her şey ortaya çıktığı anda ilgili kişilere iletilir ve süreçlere geri beslenir.

Kim ne yapar?

NIST, başarılı müdahalenin tek bir ekibe değil, birçok iç ve dış tarafın katılımına bağlı olduğunu vurgular:

Üst yönetim: müdahaleyi gözetir, kaynak ayırır; kritik hizmetlerin kapatılması veya yeniden kurulması gibi yüksek etkili kararlarda yetkilidir.
Olay müdahale ekibi: olayın gerçekleştiğini doğrular, veri ve kanıt toplar, önceliklendirir, hasarı sınırlar ve kök nedeni bulur. Ekip kurum içinden, sözleşmeli bir sağlayıcıdan (ör. yönetilen SOC↗) veya gerektiğinde çağrılan dış kaynaklardan oluşabilir. Birden çok ekip varsa tek bir koordineli yapının parçası olmalıdır.
Teknoloji uzmanları, hukuk, kurumsal iletişim, insan kaynakları, fiziksel güvenlik ve varlık sahipleri: her biri olayın niteliğine göre devreye girer.

Bulut ve yönetilen hizmet sağlayıcılar müdahalenin parçasıysa, sorumluluk paylaşımı, bilgi akışı ve sağlayıcının hangi kararları alabileceği sözleşmede yazılı olmalıdır.

Politika, prosedür ve oyun kitapları

Olay müdahale politikası genellikle şu unsurları içerir: yönetimin taahhüdü, amaç, kapsam, olay ve ilgili terimlerin tanımı, rol ve yetkiler (ör. hangi rolün bir varlığı ağdan ayırma yetkisi olduğu), olayları önceliklendirme ve şiddet belirleme ilkeleri ve performans ölçütleri. Prosedürler en sık yaşanan olay türleri için yazılmalı, ayrıca acil durumda ihtiyaç duyulabilecek kritik işlemler (ör. ana kimlik doğrulama↗ platformunun yeniden kurulması) için ayrıca belgelenmelidir. Pek çok kurum bunları adım adım oyun kitapları (playbook) hâlinde tutar; periyodik tatbikatla denenmeyen prosedür kâğıt üzerinde kalır.

Kurtarmada kritik nokta: yedeğin bütünlüğü

NIST kurtarma sırasında yedeklerin ve geri yükleme varlıklarının bütünlüğünün doğrulanmasını ayrı bir hedef olarak sayar (RC.RP-03, RC.RP-05). Yedek, saldırgan tarafından da değiştirilmiş olabilir; geri yüklenen sistemi canlıya almadan önce temiz olduğunu doğrulayın ve kritik iş işlevlerini kurtarma önceliklerinin başına koyun.

Rehber 3 dk okuma

Olay Müdahalesi ve Dijital Adli Analiz (DFIR)

Bir ihlal anında teknik adımlar: önceliklendirme (triage), kanıtların uçuculuk sırasına göre toplanması, bellek ve disk analizi, kapsama alma ve kök neden.

Rehber 2 dk okuma

Siber Tatbikatlar: Planı Gerçek Olmadan Önce Sınamak

Hiç denenmemiş bir plan, ilk gerçek olayda çöker. Masa başı tatbikatlardan teknik simülasyonlara, ekibinizin reflekslerini güvenli ortamda geliştirin.

Ulusal yapı ve yasal bildirim

Türkiye’de siber olaylar, Kurumsal SOME, Sektörel SOME ve USOM’dan oluşan ulusal yapıyla koordine edilir; kişisel veri↗ ihlali bildirimi ise ayrıdır. Bildirimin kime ait olduğunu olaydan önce belirleyin.

Rehber 5 dk okuma

Kurumsal SOME ve Sektörel SOME: Siber Olaylara Müdahale Yapısı

Türkiye’de siber olaylara müdahale üç katmanlı bir yapıyla yürütülür: ulusal düzeyde USOM, sektör düzeyinde Sektörel SOME ve kurum düzeyinde Kurumsal SOME. Büyük kuruluşların bu yapıdaki yeri ve sorumlulukları.

Rehber 4 dk okuma

İhlal ve Siber Olay Bildirimleri: Kime, Nasıl Bildirilir?

Dolandırıcılık, oltalama, zararlı içerik ya da kişisel veri ihlali… Karşılaştığınız olayı doğru kuruma, doğru kanaldan bildirmek hem sizi korur hem başkalarını. EGM Siberay, USOM, BTK, Ticaret Bakanlığı ve KVKK bildirim yolları tek yerde.

Kaynaklar ve son gözden geçirme

NIST SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile (Nisan 2025): bölüm 2.1–2.3, Tablo 1; RC.RP-03 ve RC.RP-05.
NIST Cybersecurity Framework 2.0 (NIST CSWP 29, 2024).

Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; bağlayıcı gereklilikler için yürürlükteki mevzuata ve ilgili standardın güncel metnine bakın.