Tedarikçi ve İş Ortağı Riskini Yönetin (Tedarik Zinciri)

Hiçbir işletme tek başına çalışmaz: muhasebecinizin, bulut sağlayıcınızın, web ajansınızın, yazılımlarınızın ve tedarikçilerinizin var. Bunlardan biri ele geçirilirse sorun dolaylı olarak size de ulaşabilir. Buna tedarik zinciri riski denir ve her ölçekten işletme için önemlidir.

Önce görünürlük

Kısa bir liste çıkarın: Hangi dış firmalar ve yazılımlar sistemlerinize, verilerinize ya da hesaplarınıza erişiyor? Göremediğiniz bağlantıyı yönetemezsiniz. Listede her tedarikçi için şunları yazın: ne yapıyor, hangi veriye veya sisteme erişiyor, işiniz için ne kadar kritik.

Tedarikçi seçerken sorun

• Verilerimi nasıl koruyorsunuz? Bir ihlal olursa beni nasıl ve ne kadar sürede bilgilendirirsiniz?
• Erişiminiz tam olarak neyi kapsıyor, bu gerçekten gerekli mi?
• Çalışma bitince erişiminiz nasıl ve ne zaman kaldırılacak?
• Güvenlik belgeniz veya bağımsız denetiminiz var mı (örneğin ISO/IEC 27001)?

Erişimi sınırlı ve denetlenebilir tutun

• Üçüncü taraflara yalnızca ihtiyaçları kadar ve süreli erişim verin (en az yetki ilkesi↗).
• Onlara kendi hesaplarını verin; ortak parola paylaşmayın.
• İş bittiğinde erişimi kapatın; bağlı uygulama izinlerini ara sıra gözden geçirin.

Rehber 2 dk okuma

Bulut Hesaplarınızı ve Çevrimiçi İş Araçlarınızı Güvene Alın

Dosya depolama, muhasebe, tasarım, e-posta… İşinizi bulut araçlarıyla yürütüyorsanız, o hesaplar işinizin kendisidir. Onları nasıl korursunuz?

Veri paylaşımına dikkat

Bir tedarikçiyle müşteri verisi paylaşıyorsanız bunun güvenli biçimde ve yasal sorumluluklarınıza (KVKK↗) uygun yapıldığından emin olun; tedarikçiyle yazılı bir sözleşme yapın.

Rehber 2 dk okuma

Müşteri ve İş Verilerinizi Koruyun (KVKK Temelleri)

Müşteri isimleri, iletişim ve ödeme bilgileri size emanettir. Az veri tutun, güvenli saklayın ve KVKK sorumluluklarınızı bilin.

Büyük kuruluşlar için

NIST Siber Güvenlik↗ Çerçevesi 2.0, tedarik zinciri risk yönetimini “Yönet” işlevinin ayrı bir kategorisi olarak ele alır. NIST SP 800-161 Rev.1 (Mayıs 2022, 1 Kasım 2024 güncellemesiyle), tedarikçi risk yönetimini kurumsal risk sürecine bağlamak için ayrıntılı kılavuzdur. Pratik adımlar: kritikliğe göre tedarikçi sınıflandırması, sözleşmelerde güvenlik ve olay bildirimi maddeleri, düzenli yeniden değerlendirme ve çıkış planı.

Rehber 3 dk okuma

Yönetim Kurulu ve Üst Yönetim İçin Siber Risk

Siber güvenlik bir BT konusu değil, bir iş riskidir. Üst yönetimin sahiplenmesi, doğru soruları sorması ve riski iş diliyle yönetmesi gerekir.

Kaynaklar ve son gözden geçirme

• NIST SP 800-161 Rev.1 Upd.1, Cybersecurity Supply Chain Risk Management↗ Practices; NIST CSF 2.0.

Son gözden geçirme: 22 Ekim 2026. Bu içerik bilgilendirme amaçlıdır.