Zafiyet ve Yama Yönetimi Programı
Binlerce sistemde açıkları saldırganlardan önce bulup kapatmak bir program işidir: keşif, önceliklendirme, yama ve doğrulama döngüsü.
Zafiyet yönetimi, açıkları bulmakla bitmez; asıl iş, bulunanlar içinden hangisinin ne kadar sürede kapatılacağına karar vermek ve bunu tekrarlanabilir bir sürece dönüştürmektir. NIST SP 800-40 Rev. 4 (Nisan 2022), yama↗ yönetimini “bilgi işlem teknolojisi için önleyici bakım” olarak çerçeveler ve işi güvenlik ile iş birimlerinin ortak planlayacağı bir programa çevirir. Bu rehber, o çerçevenin kuruma uygulanabilir özetidir.
1. Varlıkları bakım gruplarına ayırın
Önce neye sahip olduğunuzu bilin: donanım, yazılım, sürüm ve sahip bilgisi. NIST, her varlığı teknik ve iş özelliklerine göre bir bakım grubuna atamayı önerir: yamalanacak yazılım türü, kesinti toleransı, mevcut hafifletici kontroller ve ele geçirilirse kuruma etkisi. Örneğin hareketli çalışanların dizüstü bilgisayarları kesintiye toleranslıdır; yerel veri merkezindeki sunucular yalnızca planlı kesinti pencerelerinde güncellenir; desteği bitmiş eski OT↗ varlıkları ise hiç yamalanamaz ve ağdan yalıtılmalıdır. Gruplamanın ayrıntı düzeyini kurum belirler ve düzenli olarak gözden geçirir.
2. Dört senaryo için plan yapın
| Senaryo | Ne zaman? | Dikkat edilecek nokta |
|---|---|---|
| Rutin yamalama | Düzenli sürüm döngüsündeki yamalar; yamaların çoğu bu kapsamdadır. | Kesinti yarattığı için sık ertelenir; ertelemek saldırgana fırsat penceresi açar ve acil yamayı da zorlaştırır. Yamayı önce küçük bir varlık alt kümesine (“canary”) uygulayıp etkiyi görerek genişletmek önerilir. |
| Acil yamalama | Ciddi ya da aktif olarak istismar edilen bir açık. | Varlıklar zaten ele geçirildiyse olay müdahalesinin parçası olabilir; mümkün olan en verimli şekilde yürütülmelidir. |
| Acil hafifletme | Yama henüz yok ya da yamanın kendisi sorunlu. | Geçici önlemdir; sonradan geri alınması gerekebilir. Yama hatalı, bozucu ya da ele geçirilmiş de olabilir. |
| Yamalanamayan varlıklar | Üretici yama sunmuyor (ömrü bitmiş) veya varlık uzun süre kesintisiz çalışmak zorunda. | Yalıtım ve benzeri yöntemlerle risk azaltılır; yeni bir açık çıktığında yöntem değişebileceği için risk planına dahil edilir. |
Her bakım grubu için hangi senaryoda hangi sürede ne yapılacağı yazılı olmalı; ayrıca hangi planın ne zaman uygulanacağını ve plan değiştirme kararını belirleyen bir risk değerlendirme süreci tanımlanmalıdır.
3. Önceliklendirmede dış sinyali kullanın
CVSS↗ gibi önem puanlarının yanında, açığın gerçekte istismar edilip edilmediği bilgisi önceliklendirmeyi belirler. CISA’nın Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu, vahşi doğada istismar edilen ve yaması ya da başka bir hafifletmesi bulunan açıkların listesidir. CISA’nın BOD 22-01 talimatı, ABD federal kurumlarının kataloğa yeni eklenen açıkları iki hafta içinde kapatmasını zorunlu kılar; diğer kuruluşlar da bunu gönüllü bir önceliklendirme ölçütü olarak kullanabilir.
4. Anlamlı ölçüm yapın
NIST, “toplam açığın yüzde kaçı yamalandı” gibi basit sayıların harekete geçirici olmadığını belirtir: yamalanmayan yüzde 10 en kritik varlıklarsa büyük bir sorun, en önemsizlerse makul bir önceliklendirme olabilir. Bunun yerine varlığın önemi (düşük, orta, yüksek) ile açığın önemini (düşük, orta, yüksek, kritik) kesiştiren bir matris önerir. Her hücrede, bakım planının son tarihine uyularak yamalanan varlıkların yüzdesi ile ortalama ve ortanca yamalama süresi izlenir. Veriyi platforma, iş birimine veya bakım grubuna göre kırarak yönetim, teknoloji liderliği ve sistem yöneticileri için ayrı ölçütler üretebilirsiniz.
5. Satın almada bakımı hesaba katın
Yama yönetimi↗, ürünü almadan önce başlar. NIST, yazılım satın alırken bakım ihtiyacının hesaba katılmasını ve tedarikçiye şunların sorulmasını önerir: açıklar için güncelleme yayımlanacak mı, ne kadar süreyle; güncellemeler düzenli mi yoksa ihtiyaç anında mı gelecek; yama açıklanmadan önce müşteriler nasıl korunacak (acil hafifletme sunulacak mı); yama uygulaması ne kadar kesinti yaratacak; yamalar yayımlanmadan önce nasıl test ediliyor ve geri alma (rollback) imkânı var mı. Yanıtları sözleşmeye yansıtın.
Kaynaklar ve son gözden geçirme
- NIST SP 800-40 Rev. 4, Guide to Enterprise Patch Management Planning: Preventive Maintenance for Technology (Nisan 2022): bölüm 3.2–3.7.
- CISA, Known Exploited Vulnerabilities Catalog ve Binding Operational Directive 22-01 (NIST SP 800-40 Rev. 4 içinde anıldığı biçimiyle).
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; bağlayıcı gereklilikler için yürürlükteki mevzuata ve ilgili standardın güncel metnine bakın.
