Siber Değerlendirme Çerçevesi (CAF) ile Olgunluğu Ölçmek
Güvenliğinizi “iyi” mi yoksa “yeterli” mi olduğunu nasıl bilirsiniz? Sonuç odaklı bir değerlendirme çerçevesi, olgunluğunuzu ölçmenize ve eksikleri önceliklendirmenize yardımcı olur.
“Yeterince güvenli miyiz?” sorusunun yanıtı sezgiyle değil ölçümle verilmelidir. Birleşik Krallık Ulusal Siber Güvenlik↗ Merkezi’nin (NCSC) Siber Değerlendirme Çerçevesi (CAF), güvenlik olgunluğunu kontrol listesiyle değil, ulaşılması gereken sonuçlar (outcomes) üzerinden değerlendirir. Güncel sürüm CAF 4.0’dır (ilk yayın 18 Nisan 2024; 6 Ağustos 2025 gözden geçirmesi).
Sonuç odaklı yaklaşım
“Şu kutuyu işaretledin mi?” yerine “Bu güvenlik sonucuna gerçekten ulaşıyor musun?” diye sorar. Bu, kâğıt üzerinde uyumlu ama gerçekte savunmasız olmayı engeller. Çerçeve dört amaç ve on dört ilke etrafında kuruludur:
| Amaç | İlkeler |
|---|---|
| A. Güvenlik riskini yönetmek | A1 Yönetişim; A2 Risk yönetimi↗; A3 Varlık yönetimi; A4 Tedarik zinciri |
| B. Siber saldırıya karşı korumak | B1 Hizmet koruma politika, süreç ve prosedürleri; B2 Kimlik ve erişim kontrolü↗; B3 Veri güvenliği; B4 Sistem güvenliği; B5 Dirençli ağlar ve sistemler; B6 Personel farkındalığı ve eğitimi |
| C. Siber güvenlik olaylarını tespit etmek | C1 Güvenlik izleme; C2↗ Tehdit avcılığı↗ |
| D. Olayların etkisini en aza indirmek | D1 Müdahale ve kurtarma planlaması; D2 Çıkarılan dersler |
Tablodaki başlıklar NCSC’nin İngilizce ilke adlarının çevirisidir; bağlayıcı ifade için özgün metne bakın.
Nasıl kullanılır?
- Kapsamı belirleyin: Hangi temel hizmetin sürekliliğini ölçüyorsunuz?
- Her ilke için durumu değerlendirin: Çerçeve, ilkelerin altındaki sonuçlar için “ulaşıldı”, “kısmen ulaşıldı” ve “ulaşılmadı” gibi göstergeler sunar; kanıtınızı (politika, yapılandırma, test sonucu) kayda geçirin.
- Hedef düzeyi belirleyin: Hedef, hizmetin kritikliğine ve risk iştahınıza göre ilke ilke farklı olabilir.
- Farkı kapatın: Eksikleri risk temelli önceliklendirip iş planına bağlayın.
- Tekrarlayın: Düzenli yeniden değerlendirme ilerlemeyi gösterir ve yönetime anlamlı bir tablo sunar.
Diğer çerçevelerle ilişkisi
CAF bir sertifikasyon değil, değerlendirme rehberidir. NIST Siber Güvenlik Çerçevesi 2.0 ve CIS Kontrolleri gibi kaynaklarla birlikte kullanılabilir; ilkeler (ör. A1 Yönetişim, C1 İzleme, D1 Müdahale planlaması) bu çerçevelerin işlevleriyle örtüşür. Kuruluşunuz zorunlu bir mevzuata tabiyse önce o düzenlemenin ölçütlerini esas alın.
Kaynaklar ve son gözden geçirme
- NCSC, Cyber Assessment Framework v4.0 ve birleşik rehber görünümü (ncsc.gov.uk).
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; çerçevenin güncel metni için NCSC yayınına bakın.
