Siber Güvenlik Danışmanlığı ve Teknik Güvenlik Değerlendirmesi

Siber güvenlik danışmanlığı; kurum ve işletmelerin bilgi sistemleri, kullanıcı hesapları, ağ altyapıları, sunucuları, uç noktaları ve dijital iş süreçlerinde karşılaşabilecekleri güvenlik risklerinin teknik açıdan değerlendirilmesine yönelik çalışmaları kapsar. Amaç yalnızca mevcut bir güvenlik problemini tespit etmek değil; güvenlik seviyesini etkileyen zayıflıkları, yapılandırma sorunlarını ve iyileştirilmesi gereken alanları belirleyerek uygulanabilir güvenlik önerileri geliştirmektir.

Çalışmanın kapsamı; kurumun mevcut altyapısı, kullandığı sistemler, bilgi güvenliği ihtiyaçları ve yetkilendirme sınırları doğrultusunda belirlenir. Güvenlik kontrolleri ve teknik testler yalnızca kurumun sahip olduğu veya açıkça yetkilendirdiği sistemler üzerinde gerçekleştirilir.

Hangi Alanlarda Siber Güvenlik Danışmanlığı Verilebilir?

Siber güvenlik danışmanlığı kapsamında yapılacak çalışmalar; kurumun bilgi sistemleri, ağ altyapısı, kullanıcı yapısı, veri kaynakları ve mevcut güvenlik kontrolleri dikkate alınarak belirlenir. Değerlendirmeler yalnızca yetkilendirilmiş sistemler üzerinde gerçekleştirilir ve tespit edilen riskler teknik önem dereceleri ile uygulanabilir iyileştirme önerileri doğrultusunda ele alınır.

• Mevcut siber güvenlik yapısının değerlendirilmesi: Kurumun ağ, sunucu, uç nokta, kullanıcı, uygulama ve güvenlik sistemlerinin mevcut durumunun genel olarak incelenmesi.
• Bilgi teknolojileri varlık envanterinin değerlendirilmesi: Bilgisayar, sunucu, ağ cihazı, mobil cihaz, uygulama, sanal sistem ve diğer kritik bilgi teknolojileri varlıklarının belirlenmesi ve güvenlik açısından değerlendirilmesi.
• Bilinmeyen veya kontrol dışı sistemlerin araştırılması: Kurum envanterinde bulunmayan, yetkisiz kurulmuş veya kontrol dışında kullanılan sistem, uygulama ve servislerin oluşturabileceği risklerin değerlendirilmesi.
• Kritik sistem ve verilerin belirlenmesi: Kesintiye uğraması, değiştirilmesi veya yetkisiz erişime maruz kalması kurum açısından önemli sonuçlar doğurabilecek sistem ve veri kaynaklarının belirlenmesi.
• Ağ mimarisi ve ağ güvenliğinin değerlendirilmesi: Yerel ağ yapısı, VLAN kullanımı, segmentasyon, kritik sistemlerin ayrılması ve ağ üzerindeki erişim ilişkilerinin incelenmesi.
• Ağ segmentasyonunun değerlendirilmesi: Kullanıcı, sunucu, yönetim, misafir, IoT ve kritik sistem ağlarının gereksiz erişimleri engelleyecek biçimde ayrılıp ayrılmadığının incelenmesi.
• Firewall yapılandırmalarının değerlendirilmesi: Güvenlik duvarı kuralları, izin verilen servisler, gereksiz erişimler ve mevcut kural yapısının güvenlik açısından gözden geçirilmesi.
• İnternet erişimi ve dışa açık servislerin değerlendirilmesi: İnternetten erişilebilir sistem, servis, port ve yönetim arayüzlerinin oluşturduğu risklerin incelenmesi.
• Harici saldırı yüzeyinin değerlendirilmesi: Kuruma ait alan adları, IP adresleri, dışa açık servisler ve internet üzerinden erişilebilen diğer sistemlerin yetkilendirilmiş kapsam içerisinde değerlendirilmesi.
• DNS ve alan adı güvenliğinin değerlendirilmesi: DNS yapılandırmaları, yönetim yetkileri, kayıt güvenliği ve alan adı ele geçirilmesine yol açabilecek temel risklerin incelenmesi.
• TLS/SSL ve dijital sertifika yapılandırmalarının değerlendirilmesi: Süresi dolmuş, zayıf veya hatalı yapılandırılmış sertifikalar ile güvenli iletişimi etkileyebilecek protokol ayarlarının incelenmesi.
• Kablosuz ağ güvenliğinin değerlendirilmesi: Wi-Fi şifreleme, misafir ağları, kurumsal ağ ayrımı ve yetkisiz erişim risklerinin gözden geçirilmesi.
• Sunucu güvenliğinin değerlendirilmesi: Windows, Linux ve uygun diğer sunucu sistemlerinde güvenlik yapılandırmaları, erişim yetkileri, servisler ve güncelleme durumlarının incelenmesi.
• Uç nokta güvenliğinin değerlendirilmesi: Masaüstü ve dizüstü bilgisayarların güncelleme, antivirüs/EDR, yerel yetki, disk şifreleme ve temel güvenlik yapılandırmalarının değerlendirilmesi.
• Güvenli yapılandırma standartlarının değerlendirilmesi: İşletim sistemi, sunucu, ağ cihazı ve diğer sistemlerin güvenli baseline veya hardening prensiplerine uygunluğunun incelenmesi.
• Gereksiz servis ve protokollerin değerlendirilmesi: Kullanılmayan servisler, eski protokoller, varsayılan hesaplar ve saldırı yüzeyini artıran yapılandırmaların belirlenmesi.
• Kullanıcı hesabı ve erişim yetkilerinin değerlendirilmesi: Kullanıcıların yalnızca görevleri için gerekli sistem ve verilere erişebilmesine yönelik yetkilendirme yapısının incelenmesi.
• En az ayrıcalık prensibinin değerlendirilmesi: Kullanıcı, servis ve uygulama hesaplarında görev için gerekli olmayan yetkilerin belirlenmesi.
• Ayrıcalıklı hesapların değerlendirilmesi: Administrator, Domain Admin, root ve benzeri yüksek yetkili hesapların kullanım, korunma ve erişim yöntemlerinin incelenmesi.
• PAM ve ayrıcalıklı erişim yönetiminin değerlendirilmesi: Kritik yönetici hesaplarının kontrollü, izlenebilir ve sınırlı kullanımına yönelik mevcut veya uygulanabilir yapıların değerlendirilmesi.
• Servis hesaplarının güvenliğinin değerlendirilmesi: Uygulama, servis, görev ve otomasyonlarda kullanılan hesapların yetki, parola ve kullanım kapsamlarının incelenmesi.
• API anahtarları, erişim token’ları ve teknik sırların korunmasının değerlendirilmesi: Kaynak kod, yapılandırma dosyası veya diğer alanlarda bulunan hassas teknik kimlik bilgilerinin güvenli saklanmasına yönelik kontrollerin incelenmesi.
• Çok faktörlü kimlik doğrulama kullanımının değerlendirilmesi: Kritik hesap, uzaktan erişim ve yönetim sistemlerinde MFA uygulanmasının incelenmesi.
• Parola politikalarının değerlendirilmesi: Parola uzunluğu, tekrar kullanımı, başarısız giriş politikaları ve güvenli kimlik doğrulama uygulamalarının gözden geçirilmesi.
• Hesap yaşam döngüsünün değerlendirilmesi: İşe giriş, görev değişikliği ve işten ayrılma süreçlerinde hesapların oluşturulması, yetkilendirilmesi ve kapatılmasının incelenmesi.
• Active Directory ve kurumsal kimlik altyapısının değerlendirilmesi: Grup üyelikleri, yönetici hesapları, yetkilendirme yapısı ve temel güvenlik yapılandırmalarının incelenmesi.
• Uzaktan erişim güvenliğinin değerlendirilmesi: VPN, RDP ve diğer uzaktan erişim yöntemlerinin yetkilendirme, MFA ve erişim sınırları açısından incelenmesi.
• E-posta güvenliğinin değerlendirilmesi: Kimlik avı, sahte gönderici, zararlı ek ve bağlantılara karşı mevcut teknik kontrollerin değerlendirilmesi.
• SPF, DKIM ve DMARC yapılandırmalarının değerlendirilmesi: Kurumsal alan adının e-posta sahteciliğine karşı korunmasına yönelik kontrollerin incelenmesi.
• Web uygulamalarının temel güvenlik değerlendirmesi: Kuruma ait veya açıkça yetkilendirilmiş web uygulamalarında kimlik doğrulama, oturum yönetimi, güncellik, yapılandırma ve temel güvenlik risklerinin değerlendirilmesi.
• Web API güvenliğinin değerlendirilmesi: Yetkilendirilmiş API servislerinde kimlik doğrulama, erişim kontrolü, veri paylaşımı ve temel yapılandırma risklerinin incelenmesi.
• Veritabanı erişim güvenliğinin değerlendirilmesi: Veritabanı kullanıcıları, yetkileri, ağ erişimleri ve kritik verilerin korunmasına yönelik kontrollerin incelenmesi.
• Veri şifreleme uygulamalarının değerlendirilmesi: Disk, cihaz, bağlantı, yedek veya kritik veri alanlarında uygun şifreleme kullanımının incelenmesi.
• Taşınabilir medya güvenliğinin değerlendirilmesi: USB bellek, harici disk ve diğer çıkarılabilir ortamların kullanım, erişim ve veri taşıma risklerinin değerlendirilmesi.
• Mobil cihaz güvenliğinin değerlendirilmesi: Kurumsal telefon ve tabletlerde ekran kilidi, şifreleme, uygulama kullanımı ve diğer güvenlik kontrollerinin incelenmesi.
• BYOD uygulamalarının değerlendirilmesi: Çalışanların kişisel cihazlarının kurumsal sistemlere erişiminin oluşturabileceği risklerin değerlendirilmesi.
• MDM ve mobil cihaz yönetiminin değerlendirilmesi: Kurumsal cihazlarda merkezi yönetim, güvenlik politikaları, uzaktan yönetim ve uygulama kontrollerinin incelenmesi.
• Bulut ve SaaS güvenlik yapılandırmalarının değerlendirilmesi: Yetkilendirilmiş bulut ve SaaS ortamlarında hesap, erişim, paylaşım ve güvenlik yapılandırmalarının incelenmesi.
• Bulut IAM yapılandırmalarının değerlendirilmesi: Kullanıcı, rol, servis hesabı ve ayrıcalıklı erişimlerin en az yetki prensibi açısından değerlendirilmesi.
• Bulut veri paylaşım ayarlarının değerlendirilmesi: Dosya, klasör, depolama alanı veya diğer kaynakların yanlışlıkla kamuya veya gereksiz kullanıcılara açılmasına yol açabilecek yapılandırmaların incelenmesi.
• Güvenlik güncelleme ve yama yönetiminin değerlendirilmesi: İşletim sistemi, uygulama, sunucu ve ağ cihazlarında güncellemelerin uygulanma süreçlerinin incelenmesi.
• Eski ve destek dışı sistemlerin belirlenmesi: Üretici desteği sona ermiş işletim sistemi, uygulama veya cihazların oluşturduğu risklerin değerlendirilmesi.
• Zafiyet yönetimi süreçlerinin değerlendirilmesi: Güvenlik açıklarının tespiti, doğrulanması, önceliklendirilmesi, giderilmesi ve yeniden kontrol edilmesine ilişkin süreçlerin incelenmesi.
• Yetkilendirilmiş zafiyet taramalarının gerçekleştirilmesi: Kuruma ait veya açıkça yetkilendirilmiş sistemlerde uygun araçlarla güvenlik açıklarının kontrollü biçimde araştırılması.
• Zafiyet tarama sonuçlarının doğrulanması: Otomatik araçların ürettiği sonuçların yanlış pozitif veya gerçek bir güvenlik riski olup olmadığının uygun yöntemlerle değerlendirilmesi.
• Zafiyetlerin risk seviyesine göre önceliklendirilmesi: Teknik önem, istismar edilebilirlik, sistem kritiklik derecesi ve olası etki birlikte değerlendirilerek giderme önceliklerinin belirlenmesi.
• Düzeltme sonrası yeniden değerlendirme yapılması: Uygulanan güvenlik önlemlerinin ilgili zafiyet veya riski giderip gidermediğinin yeniden kontrol edilmesi.
• Yedekleme güvenliğinin değerlendirilmesi: Kritik verilerin yedeklenme sıklığı, erişim yetkileri, yedeklerin ayrıştırılması ve korunmasının incelenmesi.
• Offline ve değiştirilemez yedekleme yaklaşımının değerlendirilmesi: Fidye yazılımı veya yetkili hesap ele geçirilmesi durumunda yedeklerin de zarar görmesini önleyebilecek yöntemlerin incelenmesi.
• Yedeklerin geri yüklenebilirliğinin değerlendirilmesi: Yalnızca yedek alınmasının değil, gerektiğinde verinin gerçekten geri yüklenebilir olup olmadığının test edilmesine yönelik sürecin değerlendirilmesi.
• Fidye yazılımına karşı dayanıklılığın değerlendirilmesi: Yedekleme, ağ segmentasyonu, yetkiler, güvenlik ürünleri ve olay müdahale hazırlığının birlikte incelenmesi.
• Veri sızıntısı ve yetkisiz veri aktarımı risklerinin değerlendirilmesi: E-posta, bulut paylaşımı, taşınabilir medya ve diğer kanallar üzerinden kritik verilerin kontrolsüz biçimde kurum dışına çıkma risklerinin değerlendirilmesi.
• DLP ve veri aktarım kontrollerinin değerlendirilmesi: Mevcut olması halinde veri kaybı önleme sistemleri ile ilgili politikaların ve teknik kontrollerin incelenmesi.
• Loglama yapısının değerlendirilmesi: Kritik sistem, kullanıcı, ağ ve güvenlik olaylarının yeterli kapsamda kayıt altına alınıp alınmadığının incelenmesi.
• Log saklama sürelerinin değerlendirilmesi: Güvenlik olayı veya adli bilişim incelemesi gerektiğinde yeterli geçmiş verinin bulunmasına yönelik mevcut politikaların değerlendirilmesi.
• Log bütünlüğünün değerlendirilmesi: Kritik logların yetkisiz silme veya değiştirmeye karşı korunmasına yönelik mevcut kontrollerin incelenmesi.
• Sistem saatlerinin senkronizasyonunun değerlendirilmesi: Olay kayıtlarının doğru ilişkilendirilebilmesi için NTP ve diğer zaman senkronizasyon mekanizmalarının gözden geçirilmesi.
• SIEM ve merkezi loglama yapısının değerlendirilmesi: Güvenlik olaylarının merkezi olarak toplanması, izlenmesi ve ilişkilendirilmesine yönelik mevcut yapının incelenmesi.
• Antivirüs, EDR/XDR ve diğer uç nokta güvenlik kontrollerinin değerlendirilmesi: Kapsama, yapılandırma, güncellik, alarm ve olay kayıtlarının yeterliliğinin incelenmesi.
• IDS/IPS ve ağ güvenlik sistemlerinin değerlendirilmesi: Saldırı tespit ve önleme sistemlerinin yapılandırma ve loglama kapasitesinin değerlendirilmesi.
• Olay müdahale hazırlığının değerlendirilmesi: Bir siber güvenlik olayı meydana geldiğinde sorumlulukların, müdahale adımlarının ve iletişim süreçlerinin önceden tanımlanıp tanımlanmadığının incelenmesi.
• Olay müdahale prosedürlerinin hazırlanması veya geliştirilmesi: Fidye yazılımı, hesap ele geçirilmesi, zararlı yazılım, veri sızıntısı veya benzeri olaylara yönelik uygulanabilir müdahale adımlarının oluşturulması.
• Olay müdahale tatbikatlarının planlanması: Kurumun gerçek bir olay meydana gelmeden önce müdahale kapasitesini sınamasına yönelik masa başı veya uygun diğer tatbikatların değerlendirilmesi.
• Dijital delillerin korunmasına yönelik olay müdahale yaklaşımının değerlendirilmesi: Olay sonrasında log, cihaz, disk imajı ve diğer teknik verilerin gereksiz değişikliğe uğramadan korunmasına yönelik süreçlerin gözden geçirilmesi.
• Olay sonrası teknik güvenlik değerlendirmesi: Yetkisiz erişim, zararlı yazılım, veri sızıntısı veya benzeri bir olay sonrasında mevcut kayıtların ve güvenlik kontrollerinin değerlendirilmesi.
• Zararlı yazılım ve şüpheli aktivite belirtilerinin değerlendirilmesi: Sistem ve güvenlik kayıtlarında olağandışı aktivitelerin teknik açıdan incelenmesi.
• İş sürekliliği açısından siber güvenlik risklerinin değerlendirilmesi: Kritik bir güvenlik olayının kurum faaliyetlerini ne ölçüde durdurabileceğinin ve temel bağımlılıkların değerlendirilmesi.
• Felaket kurtarma hazırlığının değerlendirilmesi: Kritik sistemlerin büyük çaplı arıza, fidye yazılımı veya veri kaybı sonrasında geri döndürülebilmesine yönelik teknik hazırlığın incelenmesi.
• Kullanıcı farkındalığının değerlendirilmesi: Kimlik avı, parola güvenliği, sosyal mühendislik, zararlı bağlantılar ve güvenli veri kullanımı konularındaki risklerin ele alınması.
• Siber güvenlik farkındalık çalışmalarının planlanması: Kullanıcı rollerine ve kurumun risklerine uygun eğitim ve bilgilendirme ihtiyaçlarının belirlenmesi.
• Üçüncü taraf ve hizmet sağlayıcı erişimlerinin değerlendirilmesi: Dış destek firmaları, yazılım sağlayıcıları ve diğer üçüncü tarafların kurumsal sistemlere erişimlerinin oluşturduğu risklerin incelenmesi.
• Tedarik zinciri kaynaklı siber güvenlik risklerinin değerlendirilmesi: Kurumun kullandığı dış hizmet, yazılım veya teknik sağlayıcıların oluşturabileceği güvenlik bağımlılıklarının değerlendirilmesi.
• Değişiklik yönetimi süreçlerinin güvenlik açısından değerlendirilmesi: Sistem ve ağ yapılandırmalarında yapılan değişikliklerin kontrol, kayıt ve geri dönüş mekanizmalarının incelenmesi.
• Güvenlik kontrollerinin düzenli gözden geçirilmesine yönelik yaklaşım oluşturulması: Bir defalık güvenlik kontrolü yerine kritik ayarların ve risklerin periyodik olarak tekrar değerlendirilmesine yönelik süreçlerin belirlenmesi.
• Siber güvenlik risklerinin önceliklendirilmesi: Tespit edilen eksikliklerin olası etkisi, gerçekleşme ihtimali ve kurum için önemi dikkate alınarak giderme sırasının belirlenmesi.
• Teknik iyileştirme yol haritasının hazırlanması: Tespit edilen eksikliklerin kısa, orta ve uzun vadeli uygulanabilir güvenlik adımlarına dönüştürülmesi.
• Referans güvenlik çerçevelerine göre değerlendirme yapılması: Çalışmanın kapsamına göre CIS Controls, NIST veya uygun diğer kabul görmüş güvenlik yaklaşımlarından teknik referans olarak yararlanılması.

Siber Güvenlik Değerlendirme Süreci Nasıl İlerler?

Siber güvenlik değerlendirmesi; kurumun mevcut altyapısı, kritik sistemleri, kullanıcı yapısı, güvenlik ihtiyaçları ve belirlenen yetkilendirme kapsamı doğrultusunda planlanır. Çalışmanın amacı yalnızca güvenlik açıklarını tespit etmek değil; mevcut risklerin kaynağını ortaya koymak, etkilerini değerlendirmek ve uygulanabilir iyileştirme adımlarını belirlemektir.

• İhtiyaç ve hedeflerin belirlenmesi: Kurumun hangi sistem, hizmet veya güvenlik konularında değerlendirmeye ihtiyaç duyduğu ve çalışmadan beklenen temel sonuçlar belirlenir.
• Teknik ve idari irtibat kişilerin belirlenmesi: Çalışma sırasında iletişim kurulacak sistem yöneticileri, bilgi güvenliği sorumluları ve gerekli diğer yetkililer önceden belirlenir.
• Yetkilendirme ve kapsamın netleştirilmesi: İncelenecek sistemler, IP adresleri, alan adları, uygulamalar, kullanıcı grupları ve diğer teknik varlıklar açık biçimde tanımlanır.
• Kapsam dışı sistemlerin belirlenmesi: Üçüncü taraf sistemleri, özel kritik üretim ortamları veya test edilmesi istenmeyen varlıklar açıkça kapsam dışında bırakılır.
• Üçüncü taraf bağımlılıklarının belirlenmesi: Bulut sağlayıcısı, hosting, dış hizmet, SaaS veya diğer üçüncü taraf altyapıların çalışmaya etkisi ve yetkilendirme sınırları değerlendirilir.
• Çalışma yönteminin belirlenmesi: Yapılandırma incelemesi, log değerlendirmesi, zafiyet taraması, erişim kontrolü incelemesi veya uygun diğer yöntemlerin hangilerinin uygulanacağı kararlaştırılır.
• Test zaman penceresinin belirlenmesi: Aktif kontrollerin üretim sistemleri ve kullanıcılar üzerindeki olası etkisi dikkate alınarak uygun çalışma zamanı planlanır.
• Üretim sistemleri üzerindeki olası etkinin değerlendirilmesi: Kullanılacak kontrollerin performans, erişilebilirlik veya hizmet sürekliliği üzerinde oluşturabileceği riskler önceden değerlendirilir.
• Acil durdurma ve geri dönüş yönteminin belirlenmesi: Beklenmeyen bir hizmet kesintisi veya teknik sorun oluşması halinde testin nasıl durdurulacağı ve gerekli geri dönüş işlemlerinin kim tarafından yapılacağı belirlenir.
• Kritik sistemlerde mevcut yedek ve geri dönüş durumunun kontrol edilmesi: Teknik etki oluşturabilecek çalışmalardan önce uygun durumlarda mevcut yedekleme ve geri dönüş kapasitesi doğrulanır.
• Test hesapları ve erişim bilgilerinin güvenli biçimde yönetilmesi: Çalışma için sağlanan kullanıcı hesapları, parolalar, anahtarlar veya diğer erişim bilgilerinin yalnızca gerekli kapsamda kullanılması ve korunması sağlanır.
• Mevcut altyapı ve varlık bilgilerinin değerlendirilmesi: Ağ yapısı, sunucular, uç noktalar, güvenlik cihazları, uygulamalar ve kritik veri kaynakları hakkında mevcut bilgiler incelenir.
• Varlık envanterinin doğrulanması: Bilinen sistemlerle fiilen kullanılan sistemler arasında fark bulunup bulunmadığı mümkün olduğunca kontrol edilir.
• Kritik varlıkların önceliklendirilmesi: Kurum faaliyetleri açısından önem taşıyan sistemler, hesaplar, uygulamalar ve veri kaynakları belirlenir.
• Mevcut güvenlik kontrollerinin incelenmesi: Firewall, EDR/antivirüs, MFA, erişim kontrolü, yedekleme, loglama, şifreleme ve diğer güvenlik önlemleri değerlendirilir.
• Kullanıcı ve yetkilendirme yapısının incelenmesi: Normal kullanıcılar, yönetici hesapları, servis hesapları ve diğer ayrıcalıklı erişimler görev ve ihtiyaç açısından değerlendirilir.
• Ağ ve dış erişim yüzeyinin incelenmesi: Yetkilendirilmiş kapsam içerisindeki açık servisler, portlar, uzaktan erişim yöntemleri ve internetten erişilebilir sistemler değerlendirilir.
• Sistem ve uygulama yapılandırmalarının değerlendirilmesi: Güncelleme durumu, gereksiz servisler, varsayılan ayarlar, erişim kontrolleri ve güvenliği etkileyen diğer yapılandırmalar incelenir.
• Kimlik doğrulama ve erişim kontrollerinin değerlendirilmesi: Parola politikaları, MFA, ayrıcalıklı hesaplar, uzaktan erişim ve kullanıcı yetkileri birlikte ele alınır.
• Yetkilendirilmiş zafiyet taramalarının yapılması: Belirlenen sistemlerde uygun araçlarla kontrollü güvenlik açığı taramaları gerçekleştirilir.
• Tarama yoğunluğu ve teknik etkisinin kontrol edilmesi: Aktif taramaların üretim ortamında gereksiz yük veya kesinti oluşturmaması için uygun hız ve kapsam kullanılır.
• Otomatik tarama sonuçlarının doğrulanması: Tespit edilen sonuçların yanlış pozitif veya gerçek güvenlik riski olup olmadığı mümkün olduğunca teknik olarak kontrol edilir.
• Aktif doğrulamanın kontrollü yapılması: Bir zafiyetin doğrulanması gerekiyorsa yalnızca gerekli seviyede ve kapsamı aşmadan teknik doğrulama yapılır; gereksiz veri erişimi veya sistem etkisi oluşturulmaz.
• Riskli yapılandırmaların belirlenmesi: Doğrudan bir zafiyet oluşturmamakla birlikte saldırı yüzeyini artıran veya güvenlik seviyesini düşüren yapılandırmalar değerlendirilir.
• Loglama ve izlenebilirlik kapasitesinin incelenmesi: Olası bir güvenlik olayının sonradan araştırılabilmesi için yeterli sistem, kullanıcı, ağ ve güvenlik kayıtlarının üretilip üretilmediği değerlendirilir.
• Sistem saatlerinin ve zaman senkronizasyonunun değerlendirilmesi: Farklı sistemlerdeki güvenlik olaylarının doğru ilişkilendirilebilmesi için zaman yapısı kontrol edilir.
• Yedekleme ve geri dönüş kapasitesinin değerlendirilmesi: Kritik verilerin yedeklenmesi, korunması ve gerektiğinde geri yüklenebilmesine ilişkin süreçler incelenir.
• Olay müdahale hazırlığının değerlendirilmesi: Yetkisiz erişim, fidye yazılımı, zararlı yazılım veya veri sızıntısı gibi olaylarda uygulanacak teknik ve operasyonel adımlar gözden geçirilir.
• Hassas verilerin korunması: Çalışma sırasında karşılaşılan kişisel, ticari veya diğer hassas verilerin yalnızca inceleme amacıyla gerekli olduğu ölçüde kullanılması ve gereksiz şekilde kopyalanmaması gözetilir.
• Toplanan teknik verilerin kontrollü tutulması: Tarama çıktıları, yapılandırma dosyaları, ekran görüntüleri, loglar ve diğer çalışma verileri yetkisiz erişime karşı korunur.
• Tespit edilen bulguların sınıflandırılması: Bulgular; teknik önem, sistem kritiklik derecesi, olası etki ve istismar edilebilirlik gibi unsurlar dikkate alınarak önceliklendirilir.
• Yanlış pozitif ve düşük etkili bulguların ayrılması: Otomatik araç sonuçlarının tümü aynı risk seviyesinde kabul edilmez; gerçek risk oluşturan bulgular mümkün olduğunca ayrıştırılır.
• Olası etkilerin değerlendirilmesi: Bir güvenlik zayıflığının gizlilik, bütünlük, erişilebilirlik ve kurum faaliyetleri üzerindeki muhtemel etkileri değerlendirilir.
• Birleşik risklerin değerlendirilmesi: Tek başına düşük riskli görünen birden fazla zayıflığın birlikte kullanılması halinde ortaya çıkabilecek daha yüksek riskler gerektiğinde değerlendirilir.
• Hızlı giderilmesi gereken risklerin belirlenmesi: Kritik hesaplar, internetten erişilebilir sistemler, yüksek riskli zafiyetler ve veri güvenliğini doğrudan etkileyen eksiklikler öncelikli olarak belirtilir.
• Teknik iyileştirme önerilerinin hazırlanması: Önemli bulgular için uygulanabilir düzeltme, risk azaltma veya geçici koruma önerileri geliştirilir. Her bulgu için uygulanabilirlik dikkate alınır: Önerilen güvenlik önlemlerinin kurumun mevcut altyapısı ve iş süreçleri üzerindeki etkileri mümkün olduğunca değerlendirilir.
• Düzeltme sorumluluklarının belirlenmesi: Kritik bulguların hangi teknik veya idari birim tarafından giderileceğinin kurum içerisinde belirlenmesine yardımcı olunur.
• Kısa, orta ve uzun vadeli yol haritasının oluşturulması: Tespit edilen eksiklikler kurumun risk seviyesi, kaynakları ve öncelikleri doğrultusunda aşamalı güvenlik çalışmalarına dönüştürülür.
• Geçici risk azaltma önlemlerinin belirlenmesi: Kalıcı düzeltmenin hemen uygulanamadığı durumlarda riski azaltabilecek geçici kontroller değerlendirilir.
• Düzeltme çalışmalarından sonra yeniden kontrol yapılması: Uygulanan güvenlik önlemlerinin ilgili bulguyu gerçekten giderip gidermediği gerektiğinde tekrar değerlendirilir.
• Yeniden kontrolde aynı kapsamın korunması: Düzeltme doğrulaması sırasında ilk bulgunun hangi sistem, sürüm ve koşullarda tespit edildiği dikkate alınarak karşılaştırılabilir bir kontrol yapılır.
• Kapanmayan veya kabul edilen risklerin belirtilmesi: Giderilmeyen, teknik olarak giderilemeyen veya kurum tarafından kabul edilen riskler ayrıca belirtilir.
• Yapılan işlemlerin ve önemli bulguların belgelenmesi: Kullanılan yöntemler, kapsam, kritik teknik tespitler ve sınırlılıklar gerektiğinde yeniden değerlendirilebilecek biçimde kayıt altına alınır.
• Bulguların teknik kanıtlarla desteklenmesi: Uygun durumlarda ilgili sistem, servis, yapılandırma, log veya diğer teknik kaynaklarla bulgunun dayanağı gösterilir.
• Çalışmanın teknik sınırlarının belirtilmesi: İncelemeye alınmayan sistemler, test edilemeyen alanlar, süre veya erişim kısıtlamaları ve elde edilemeyen verilerin sonuçlara etkisi açıklanır.
• Çalışma sonunda erişim bilgilerinin yönetilmesi: Test amacıyla oluşturulan geçici hesap, erişim izni veya diğer teknik yetkilerin iş tamamlandıktan sonra kapatılması ya da geri alınması gerektiğinde kontrol edilir.
• Çalışma verilerinin muhafaza ve imha yaklaşımının belirlenmesi: Hassas teknik çıktılar ve erişim bilgilerinin ihtiyaç süresi sonunda güvenli şekilde kaldırılmasına yönelik süreç gözetilir.
• Periyodik yeniden değerlendirme ihtiyacının belirlenmesi: Siber güvenliğin tek seferlik bir çalışma olmadığı dikkate alınarak kritik sistem ve kontrollerin hangi aralıklarla yeniden gözden geçirilmesinin uygun olacağı değerlendirilir.

Aktif güvenlik testleri, zafiyet taramaları ve sistem üzerinde teknik etki oluşturabilecek kontroller yalnızca açıkça yetkilendirilmiş sistemlerde, önceden belirlenmiş kapsam ve çalışma şartları içerisinde gerçekleştirilir. Üçüncü taraflara ait veya yetkilendirme kapsamı dışında bulunan sistemlerde test uygulanmaz.

Siber Güvenlikte Teknik Sınırlılıklar ve Dikkat Edilmesi Gerekenler

Siber güvenlik değerlendirmeleri, belirli bir zaman diliminde ve tanımlanmış teknik kapsam içerisinde gerçekleştirilir. Bir sistemin değerlendirme sırasında belirli bir zafiyet göstermemesi, gelecekte yeni bir güvenlik açığının oluşmayacağı veya sistemin her koşulda güvenli kalacağı anlamına gelmez. Yazılım güncellemeleri, yeni tehditler, kullanıcı işlemleri, yapılandırma değişiklikleri ve üçüncü taraf bileşenler güvenlik seviyesini zaman içerisinde değiştirebilir.

Ayrıca otomatik tarama araçları, güvenlik ürünleri ve teknik test yöntemleri tek başına tüm riskleri tespit edemez. Bulgular; sistemin işlevi, kurum açısından önemi, istismar edilebilirlik, mevcut güvenlik kontrolleri ve olası etkiler birlikte değerlendirilerek yorumlanmalıdır.

• Değerlendirme yalnızca belirlenen kapsamı temsil eder: İnceleme dışında bırakılan sistem, uygulama, ağ, hesap veya üçüncü taraf hizmetleri hakkında güvenlik sonucu üretilemez.
• Güvenlik değerlendirmesi belirli bir zaman noktasını temsil eder: Test sonrasında gerçekleştirilen güncelleme, yapılandırma değişikliği veya yeni sistem kurulumu sonuçların geçerliliğini etkileyebilir.
• “Zafiyet bulunamadı” sonucu sistemin tamamen güvenli olduğu anlamına gelmez: Kullanılan yöntemler, erişim seviyesi, test süresi ve teknik kısıtlamalar nedeniyle tespit edilemeyen güvenlik açıkları bulunabilir.
• Kimlik doğrulamalı ve kimlik doğrulamasız güvenlik değerlendirmeleri aynı kapsamı sağlamaz: Yalnızca dışarıdan gerçekleştirilen bir taramada işletim sistemi, yazılım, yapılandırma veya yerel yetkilere ilişkin bazı güvenlik problemleri görülemeyebilir; gerekli durumlarda yetkilendirilmiş hesaplarla gerçekleştirilen kontroller daha kapsamlı sonuç sağlayabilir.
• Yeni zafiyetler sonradan ortaya çıkabilir: Test tarihinde bilinmeyen veya henüz yayımlanmamış güvenlik açıkları daha sonra sistem açısından risk oluşturabilir.
• Otomatik zafiyet taramaları tek başına yeterli değildir: Otomatik araçlar yanlış pozitif veya yanlış negatif sonuç üretebilir; önemli bulgular uygun olduğunda teknik olarak doğrulanmalıdır.
• Bir CVE’nin bulunması doğrudan istismar edilebilir olduğu anlamına gelmez: Yazılım sürümü, yapılandırma, güvenlik kontrolleri ve çevresel koşullar birlikte değerlendirilmelidir.
• CVSS puanı tek başına kurumun gerçek riskini göstermez: Teknik önem derecesinin yanında sistem kritiklik seviyesi, veri türü, dış erişilebilirlik ve mevcut kontroller de dikkate alınmalıdır.
• Düşük riskli birden fazla zayıflık birlikte önemli risk oluşturabilir: Tek tek düşük seviyeli görünen yapılandırma sorunları veya erişim eksiklikleri saldırı zinciri içerisinde birleştirilebilir.
• Bir zafiyetin teorik olarak istismar edilebilir olması, aktif olarak istismar edildiğini göstermez: Mevcut olay kayıtları ve diğer teknik veriler ayrıca değerlendirilmelidir.
• Aktif teknik testler sistem üzerinde etki oluşturabilir: Zafiyet taraması veya doğrulama işlemleri performans düşüşü, hata veya beklenmeyen hizmet kesintisi riski taşıyabilir.
• Üretim sistemlerinde test yoğunluğu kontrollü tutulmalıdır: Kritik hizmetlerde gereksiz veya yüksek hacimli teknik kontrollerden kaçınılmalıdır.
• Bazı zafiyetler güvenli biçimde aktif olarak doğrulanamayabilir: Sistemde kesinti, veri kaybı veya başka bir olumsuz etki riski bulunuyorsa değerlendirme pasif teknik verilerle sınırlandırılabilir.
• Teknik doğrulama ile exploit geliştirme aynı şey değildir: Bir güvenlik açığının mevcut olduğunun güvenli biçimde doğrulanması için sistem üzerinde gereksiz veya yıkıcı işlem yapılmaz.
• Hizmet engelleme, yük/stres testleri ve sosyal mühendislik çalışmaları standart güvenlik değerlendirmesinin otomatik parçası değildir: DoS/DDoS benzeri hizmet sürekliliğini etkileyebilecek testler ile phishing veya sosyal mühendislik simülasyonları ancak ayrıca kararlaştırılmış, açıkça yetkilendirilmiş ve güvenli çalışma şartları belirlenmişse uygulanabilir.
• Yetkilendirme kapsamı teknik kapasiteden önce gelir: Erişilebilir olması, bir sistemin veya verinin test kapsamında bulunduğu anlamına gelmez.
• Üçüncü taraf sistemleri ayrı yetkilendirme gerektirebilir: Bulut, hosting, SaaS, ödeme altyapısı veya diğer dış sağlayıcılara ait sistemlerde müşterinin tek başına verdiği izin her zaman yeterli olmayabilir.
• Bulut sağlayıcılarının güvenlik testlerine ilişkin kendi kuralları bulunabilir: Teknik testler servis sağlayıcının izin verdiği yöntem ve kapsam içerisinde yürütülmelidir.
• Paylaşımlı altyapılarda diğer müşterilerin sistemleri etkilenmemelidir: Hosting veya çok kiracılı bulut ortamlarında değerlendirme yalnızca yetkilendirilmiş kaynaklarla sınırlandırılır.
• Kaynak kod erişimi olmadan yapılan değerlendirmeler tüm uygulama hatalarını ortaya çıkaramayabilir: Dışarıdan gerçekleştirilen güvenlik incelemesi yalnızca gözlemlenebilir davranış ve erişilebilir bileşenlerle sınırlıdır.
• Kaynak kod analizi ayrı bir uzmanlık ve çalışma kapsamıdır: Açıkça kararlaştırılmadıkça standart siber güvenlik değerlendirmesinin parçası olarak kabul edilmez.
• Web uygulaması değerlendirmesinde yalnızca erişilebilen fonksiyonlar incelenebilir: Yetki seviyesi veya test hesabının göremediği işlevler kapsam dışında kalabilir.
• WAF, CDN, reverse proxy ve benzeri ara güvenlik katmanları gerçek sistem yapısını kısmen gizleyebilir: Dışarıdan yapılan değerlendirmede görülen servis ile arka plandaki gerçek uygulama veya sunucu altyapısının güvenlik durumu aynı olmayabilir.
• API güvenlik değerlendirmesi mevcut dokümantasyon ve erişim kapsamından etkilenir: Gizli veya bilinmeyen API uç noktaları tespit edilemeyebilir.
• İş mantığına ilişkin güvenlik açıkları otomatik taramalarla her zaman tespit edilemez: Yetkilendirme akışı, işlem sırası, kullanıcı rolleri veya uygulamanın çalışma mantığından kaynaklanan güvenlik problemleri manuel değerlendirme gerektirebilir.
• Kimlik doğrulama ve yetkilendirme testleri uygun test hesapları gerektirebilir: Farklı kullanıcı rollerinin karşılaştırılabilmesi için gerekli erişimlerin sağlanması önemlidir.
• MFA bulunması tüm hesap ele geçirme risklerini ortadan kaldırmaz: Oturum token’ları, sosyal mühendislik, yanlış yapılandırmalar veya diğer teknik yöntemler farklı riskler oluşturabilir.
• Güçlü parola politikası tek başına hesap güvenliği sağlamaz: MFA, erişim kontrolü, oturum güvenliği ve izleme mekanizmaları birlikte değerlendirilmelidir.
• Ayrıcalıklı hesaplar diğer hesaplardan daha yüksek risk taşır: Yönetici hesaplarının ele geçirilmesi daha geniş sistem etkilerine yol açabileceğinden ayrı kontroller gerekir.
• Servis hesapları gözden kaçan güvenlik riski oluşturabilir: Uzun süre değişmeyen parolalar, yüksek yetkiler veya interaktif kullanım gibi durumlar ayrıca değerlendirilmelidir.
• API anahtarı veya token bulunması tek başına kötüye kullanıldığı anlamına gelmez: Anahtarın yetkileri, geçerlilik durumu ve erişim kayıtları birlikte incelenmelidir.
• Secret ve credential taramaları tam kapsamlı olmayabilir: Şifrelenmiş, encode edilmiş veya farklı veri kaynaklarında bulunan kimlik bilgileri otomatik araçlarla tespit edilemeyebilir.
• Ağ segmentasyonu yalnızca VLAN oluşturmakla sağlanmış sayılmaz: Ağlar arasındaki gerçek erişim kuralları ve güvenlik kontrolleri ayrıca doğrulanmalıdır.
• Firewall üzerinde kural bulunması kuralın doğru çalıştığını tek başına göstermez: Kural sırası, NAT, routing ve diğer ağ bileşenleri sonucu etkileyebilir.
• Dışarıdan kapalı görünen servis içeriden erişilebilir olabilir: İç tehdit, ele geçirilmiş uç nokta veya yatay hareket riskleri ayrıca değerlendirilmelidir.
• İnternetten erişilebilir olmayan sistemler de güvenlik riski taşıyabilir: İç ağ erişimi, kullanıcı yetkileri veya tedarik zinciri üzerinden saldırı olasılığı bulunabilir.
• VPN kullanımı uzaktan erişimi otomatik olarak güvenli hale getirmez: MFA, cihaz güvenliği, erişim yetkileri ve VPN yapılandırması birlikte değerlendirilmelidir.
• Kablosuz ağ güvenliği yalnızca parola gücünden ibaret değildir: Şifreleme standardı, misafir ağı ayrımı, istemci izolasyonu ve yönetim kontrolleri de önemlidir.
• TLS sertifikasının geçerli olması tüm iletişimin güvenli olduğu anlamına gelmez: Protokol sürümleri, cipher yapılandırmaları ve uygulama davranışları ayrıca değerlendirilmelidir.
• SPF, DKIM ve DMARC varlığı e-posta güvenliğini tek başına sağlamaz: Politika seviyesi, yapılandırma doğruluğu ve kullanıcı farkındalığı da önemlidir.
• Antivirüs bulunması zararlı yazılım bulaşmasını tamamen engellemez: İmza dışı saldırılar, yanlış yapılandırma veya devre dışı bırakma gibi durumlar mümkündür.
• EDR/XDR bulunması tüm saldırıların tespit edileceği anlamına gelmez: Kapsama alanı, politika, telemetri, alarm kuralları ve izleme kapasitesi sonucu etkiler.
• SIEM’e log gönderilmesi tek başına etkin izleme anlamına gelmez: Uygun korelasyon kuralları, alarm yönetimi ve insan analizi de gereklidir.
• Log bulunması logun tam ve güvenilir olduğu anlamına gelmez: Saklama süresi, rotasyon, zaman senkronizasyonu, loglama politikası ve değiştirilebilirlik dikkate alınmalıdır.
• Loglama yapılmayan olaylar sonradan kesin biçimde yeniden oluşturulamayabilir: Olay öncesinde ilgili kayıt mekanizmasının etkin olması gerekir.
• Sistem saatlerinin uyumsuz olması olay analizini zorlaştırabilir: NTP ve zaman senkronizasyonu güvenlik olaylarının doğru ilişkilendirilmesi açısından önemlidir.
• Backup bulunması tek başına veri güvenliği sağlamaz: Yedeklerin bütünlüğü, erişim kontrolü, farklı ortamda saklanması ve geri yüklenebilirliği ayrıca değerlendirilmelidir.
• Aynı ağ veya domain üzerindeki yedekler fidye yazılımından etkilenebilir: Offline, immutable veya ayrıştırılmış yedekleme yöntemleri gerekebilir.
• Geri yükleme testi yapılmamış bir yedeğin kullanılabilir olduğu varsayılamaz: Yedekleme sistemlerinin periyodik olarak test edilmesi önemlidir.
• Şifreleme veri güvenliğini artırır ancak anahtar yönetimi ayrıca önemlidir: Şifreleme anahtarlarının kaybı veya ele geçirilmesi farklı güvenlik riskleri oluşturabilir.
• Disk şifreleme cihaz açık ve oturum aktifken veriyi her saldırıya karşı korumaz: Uç nokta güvenliği ve erişim kontrolü ayrıca gereklidir.
• DLP sistemleri tüm veri sızıntılarını engelleyemez: Şifrelenmiş trafik, yeni iletişim kanalları veya yanlış politika yapılandırmaları tespiti sınırlayabilir.
• Bulut ortamlarında yanlış yapılandırmalar önemli risk oluşturabilir: Kamuya açık depolama, geniş IAM yetkileri ve uzun ömürlü erişim anahtarları ayrıca değerlendirilmelidir.
• Bulut servisinde sağlayıcının güvenliği ile müşterinin yapılandırma sorumluluğu ayrılmalıdır: Paylaşımlı sorumluluk modeli dikkate alınmalıdır.
• SaaS güvenliği yalnızca sağlayıcının sorumluluğunda değildir: Kullanıcı hesapları, MFA, paylaşım izinleri ve yönetsel ayarlar müşteri tarafında risk oluşturabilir.
• Mobil cihaz güvenliği işletim sistemi sürümü ve üretici desteğinden etkilenir: Güncelleme alamayan cihazlar daha yüksek risk taşıyabilir.
• BYOD ortamlarında kurumsal ve kişisel verilerin sınırları ayrıca değerlendirilmelidir: Teknik güvenlik ile mahremiyet ve yetkilendirme dengesi gözetilmelidir.
• MDM bulunması tüm mobil riskleri ortadan kaldırmaz: Kapsama alınmamış cihazlar, yanlış politikalar veya kullanıcı tarafından kaldırılabilen profiller risk oluşturabilir.
• Üçüncü taraf hizmet sağlayıcılar kurumun saldırı yüzeyini genişletebilir: Uzaktan erişim, servis hesapları ve paylaşılan kimlik bilgileri ayrıca değerlendirilmelidir.
• Tedarik zinciri riski yalnızca teknik zafiyetlerden ibaret değildir: Sağlayıcı erişimi, yazılım güncelleme mekanizmaları ve bağımlılıklar da güvenliği etkileyebilir.
• Güvenli yapılandırma zamanla bozulabilir: Güncelleme, kullanıcı değişikliği veya yeni servis kurulumu sonrasında configuration drift meydana gelebilir.
• Bir güvenlik kontrolünün kurulmuş olması aktif ve doğru yapılandırıldığı anlamına gelmez: Politika, kapsam, güncellik ve fiili çalışma durumu doğrulanmalıdır.
• Olay müdahale planının bulunması tek başına yeterli değildir: İletişim bilgileri, sorumlular ve teknik prosedürler güncel tutulmalı ve gerektiğinde tatbikat yapılmalıdır.
• Siber olay sırasında erken yapılan yanlış müdahaleler teknik delilleri değiştirebilir: Log temizleme, cihaz kapatma, formatlama veya kontrolsüz yeniden kurulum olay analizini zorlaştırabilir.
• Canlı bir güvenlik olayında hizmet sürekliliği ile delil koruma arasında denge gerekebilir: İşletmenin faaliyetleri ve teknik inceleme ihtiyaçları birlikte değerlendirilmelidir.
• Zararlı yazılım tespiti her zaman bulaşmanın başlangıç zamanını göstermez: İlk erişim, kalıcılık ve tespit zamanı farklı olabilir.
• Bir alarmın bulunması gerçek saldırı olduğu anlamına gelmez: Yanlış pozitif ihtimali teknik olarak değerlendirilmelidir.
• Alarm bulunmaması saldırı gerçekleşmediği anlamına gelmez: Log eksikliği, güvenlik ürünü kapsamı veya saldırı tekniği nedeniyle olay tespit edilmemiş olabilir.
• Bir kullanıcı hesabından yapılan işlem gerçek kişiye otomatik olarak atfedilemez: Hesabın paylaşılması, ele geçirilmesi veya oturumun açık bırakılması gibi alternatif durumlar değerlendirilmelidir.
• IP adresi gerçek kişiyi tek başına belirlemez: NAT, CGNAT, VPN, proxy ve dinamik IP kullanımı gibi faktörler ek teknik kayıt gerektirebilir.
• Teknik risk ile iş riski aynı şey değildir: Aynı zafiyet farklı kurumlarda farklı operasyonel veya mali etki oluşturabilir.
• Risk kabulü sıfır risk anlamına gelmez: Kurum bir riski iş gerekçesiyle kabul edebilir; ancak riskin teknik varlığı devam eder.
• Tüm risklerin tamamen ortadan kaldırılması pratik olarak mümkün değildir: Amaç riskleri kabul edilebilir seviyeye indirmek ve kalan riskleri görünür hale getirmektir.
• Güvenlik yalnızca teknik kontrollerden oluşmaz: İnsan, süreç, yetkilendirme ve organizasyonel uygulamalar da güvenlik seviyesini doğrudan etkiler.
• Siber güvenlik değerlendirmesi sürekli iyileştirme gerektirir: Yeni tehditler, yeni sistemler ve değişen iş süreçleri nedeniyle kritik kontroller periyodik olarak yeniden değerlendirilmelidir.

Siber güvenlik değerlendirmelerinde ulaşılan sonuçlar, çalışmanın gerçekleştirildiği tarih ve belirlenen teknik kapsam için geçerlidir. Hiçbir güvenlik değerlendirmesi bir sistemin gelecekte saldırıya uğramayacağına veya tüm güvenlik açıklarının tespit edildiğine ilişkin mutlak garanti oluşturmaz. Amaç, mevcut risklerin mümkün olduğunca doğru biçimde belirlenmesi, önceliklendirilmesi ve kurumun güvenlik seviyesini geliştirecek uygulanabilir önlemlerin ortaya konulmasıdır.

Kimler İçin Uygundur?

Siber güvenlik danışmanlığı; bilgi sistemlerinin mevcut güvenlik seviyesini değerlendirmek, teknik riskleri belirlemek, güvenlik kontrollerini geliştirmek veya meydana gelen bir güvenlik olayı sonrasında mevcut yapıyı yeniden incelemek isteyen kurum ve işletmelere yöneliktir. Çalışmanın kapsamı; kurumun büyüklüğü, kullandığı sistemler, kritik veri kaynakları, mevcut güvenlik altyapısı ve ihtiyaçları doğrultusunda belirlenir.

• Küçük ve orta ölçekli işletmeler: Ayrı bir siber güvenlik ekibi bulunmayan veya mevcut bilgi işlem altyapısının güvenlik seviyesini bağımsız teknik bakış açısıyla değerlendirmek isteyen işletmeler.
• Şirketler ve diğer tüzel kişiler: Kurumsal ağ, sunucu, kullanıcı hesabı, uç nokta, uygulama ve diğer bilgi sistemlerindeki mevcut güvenlik risklerinin değerlendirilmesine ihtiyaç duyan kuruluşlar.
• Yeni bilgi teknolojileri altyapısı kuran işletmeler: Ağ, sunucu, kullanıcı, uzaktan erişim, yedekleme ve güvenlik sistemlerini başlangıçtan itibaren daha güvenli şekilde yapılandırmak isteyen kurumlar.
• Mevcut altyapısını yenileyen veya dönüştüren kurumlar: Sunucu değişimi, ağ yeniden yapılandırması, sistem taşıma, bulut geçişi veya benzeri teknolojik dönüşümlerde güvenlik kontrollerinin yeniden değerlendirilmesine ihtiyaç duyan işletmeler.
• Bilgi işlem ve sistem yönetimi ekipleri: Mevcut güvenlik yapılandırmalarının, kullanıcı yetkilerinin, sunucu ve ağ kontrollerinin ikinci bir teknik değerlendirmeden geçirilmesini isteyen ekipler.
• Bilgi güvenliği ve siber güvenlik ekipleri: Zafiyet yönetimi, erişim kontrolü, loglama, uç nokta güvenliği ve diğer teknik kontroller üzerinde ek değerlendirme veya bağımsız doğrulamaya ihtiyaç duyan ekipler.
• Kurum içi hukuk, risk, uyum ve denetim birimleri: Kurumsal bilgi sistemlerindeki teknik güvenlik risklerinin mevcut kontrol yapılarıyla birlikte değerlendirilmesine ihtiyaç duyan birimler.
• İnternet üzerinden hizmet sunan işletmeler: Web sitesi, web uygulaması, uzak erişim servisi veya diğer internetten erişilebilir sistemleri bulunan ve dış saldırı yüzeylerini değerlendirmek isteyen kuruluşlar.
• E-ticaret ve çevrimiçi hizmet sağlayıcıları: Müşteri hesabı, yönetim paneli, ödeme süreçleri veya internet üzerinden erişilen uygulamalarında temel teknik güvenlik risklerini değerlendirmek isteyen işletmeler.
• Bulut ve SaaS hizmetleri kullanan kurumlar: Kullanıcı hesapları, MFA, yetkilendirme, paylaşım ayarları ve bulut üzerindeki kritik kaynakların güvenlik yapılandırmalarını gözden geçirmek isteyen kuruluşlar.
• Uzaktan veya hibrit çalışma modeli kullanan işletmeler: VPN, uzaktan masaüstü, mobil cihaz, kişisel cihaz kullanımı ve dışarıdan kurumsal sistemlere erişim yöntemlerinin güvenliğini değerlendirmek isteyen kurumlar.
• Hassas veya kritik veri işleyen işletmeler: Ticari sır, müşteri verisi, finansal veri, kişisel veri veya faaliyet açısından kritik dijital bilgilerin teknik olarak korunmasına yönelik güvenlik kontrollerini değerlendirmek isteyen kuruluşlar.
• Çok sayıda kullanıcı ve yetki yapısı bulunan kurumlar: Kullanıcı hesapları, ayrıcalıklı hesaplar, servis hesapları ve erişim yetkilerinde zaman içerisinde oluşabilecek gereksiz veya fazla yetkileri değerlendirmek isteyen kuruluşlar.
• Sunucu, NAS, dosya paylaşımı veya merkezi veri sistemleri kullanan işletmeler: Kritik verilerin erişim, yedekleme, loglama ve yetkilendirme yapısının güvenlik açısından değerlendirilmesine ihtiyaç duyan kurumlar.
• Yedekleme ve felaket kurtarma yapısını gözden geçirmek isteyen kurumlar: Fidye yazılımı, sistem arızası veya veri kaybı halinde yedeklerin korunması ve geri yüklenebilirliğini teknik açıdan değerlendirmek isteyen işletmeler.
• Fidye yazılımı riskine karşı hazırlığını artırmak isteyen kurumlar: Ağ segmentasyonu, kullanıcı yetkileri, yedekleme, EDR/antivirüs, loglama ve olay müdahale yapısının birlikte değerlendirilmesini isteyen kuruluşlar.
• Daha önce siber güvenlik olayı yaşamış kurumlar: Yetkisiz erişim, zararlı yazılım, hesap ele geçirilmesi, veri sızıntısı veya benzeri bir olay sonrasında mevcut güvenlik yapısındaki eksiklikleri belirlemek ve iyileştirmek isteyen işletmeler.
• Şüpheli sistem veya hesap aktiviteleri tespit eden kurumlar: Olağandışı oturum, erişim, ağ bağlantısı veya güvenlik alarmı sonrasında mevcut teknik kontrollerin ve risklerin değerlendirilmesine ihtiyaç duyan kuruluşlar.
• Olay müdahale kapasitesini geliştirmek isteyen kurumlar: Bir güvenlik olayı meydana geldiğinde uygulanacak teknik adımları, iletişim zincirini, log ve dijital delil koruma süreçlerini önceden planlamak isteyen işletmeler.
• Loglama ve izleme altyapısını geliştirmek isteyen kurumlar: Güvenlik olaylarının sonradan araştırılabilmesi için sistem, kullanıcı, ağ ve güvenlik kayıtlarının kapsamını ve saklama sürelerini iyileştirmek isteyen kuruluşlar.
• Yetkilendirilmiş zafiyet değerlendirmesine ihtiyaç duyan kurumlar: Kendilerine ait veya açıkça test için yetkilendirilmiş sistemlerde güvenlik açıklarının kontrollü olarak araştırılmasını ve sonuçların teknik olarak doğrulanmasını isteyen kuruluşlar.
• Üçüncü taraf erişimlerinin oluşturduğu riskleri değerlendirmek isteyen işletmeler: Teknik servis, dış yazılım firması, hosting, danışman veya diğer hizmet sağlayıcılarının kurumsal sistemlere erişimlerini güvenlik açısından değerlendirmek isteyen kurumlar.
• Siber güvenlik farkındalığını geliştirmek isteyen kurumlar: Çalışanların phishing, sosyal mühendislik, parola kullanımı, zararlı bağlantılar ve güvenli veri kullanımı konularındaki risklerini azaltmayı hedefleyen işletmeler.
• Periyodik güvenlik kontrolü yaptırmak isteyen kurumlar: Sistem ve güvenlik yapılandırmalarının zaman içerisinde değişebileceğini dikkate alarak kritik kontrollerini belirli aralıklarla yeniden değerlendirmek isteyen kuruluşlar.

Raporlama ve Teknik Güvenlik Değerlendirmesi

Siber güvenlik değerlendirmesi sonucunda tespit edilen bulgular; etkilenen sistem veya varlık, teknik neden, mevcut güvenlik kontrolleri, olası etki ve giderilme önceliği dikkate alınarak değerlendirilir. Amaç yalnızca bir güvenlik açığı veya yapılandırma eksikliğini göstermek değil; bulgunun neden önemli olduğunu, hangi koşullarda risk oluşturduğunu ve uygulanabilecek düzeltme veya risk azaltma yöntemlerini anlaşılır biçimde ortaya koymaktır.

Hazırlanan teknik değerlendirmelerde çalışma kapsamı, kullanılan yöntemler, tespit edilen bulgular, teknik sınırlılıklar ve önerilen iyileştirmeler mümkün olduğunca yeniden değerlendirilebilir biçimde belgelenir. Kritik bulguların düzeltilmesinden sonra gerekli durumlarda yeniden kontrol yapılarak uygulanan önlemlerin etkinliği ayrıca değerlendirilebilir.

• Çalışma kapsamının belirtilmesi: İncelenen sistem, ağ, IP adresi, alan adı, uygulama, kullanıcı grubu veya diğer teknik varlıkların açık biçimde tanımlanması.
• Çalışma tarihinin ve değerlendirme döneminin belirtilmesi: Siber güvenlik sonuçlarının belirli bir zaman dilimini temsil ettiği dikkate alınarak değerlendirme tarihinin kayıt altına alınması.
• Yetkilendirme sınırlarının belirtilmesi: Aktif test veya teknik kontrol uygulanan sistemlerin yetkilendirilmiş kapsam içerisinde bulunduğunun belgelenmesi.
• Kapsam dışında kalan sistemlerin açıklanması: Test edilmeyen, erişilemeyen veya üçüncü taraflara ait sistemlerin gerektiğinde açıkça belirtilmesi.
• Kullanılan yöntemlerin belirtilmesi: Yapılandırma incelemesi, log analizi, zafiyet taraması, erişim kontrolü değerlendirmesi veya uygulanan diğer teknik yöntemlerin açıklanması.
• Kullanılan araç ve sürümlerin belirtilmesi: Sonucu etkileyebilecek güvenlik tarama, analiz veya yardımcı araçlarının gerekli durumlarda sürüm bilgileriyle birlikte kayıt altına alınması.
• Otomatik ve manuel tespitlerin birbirinden ayrılması: Bir bulgunun yalnızca otomatik tarama sonucu mu yoksa manuel teknik doğrulamayla mı desteklendiğinin gerektiğinde belirtilmesi.
• Etkilenen varlığın açıkça gösterilmesi: Bulgunun hangi sunucu, uç nokta, IP, servis, web uygulaması, kullanıcı hesabı veya diğer sistemle ilişkili olduğunun belirtilmesi.
• Bulgunun teknik açıklamasının yapılması: Güvenlik probleminin hangi yapılandırma, yazılım, servis, erişim modeli veya diğer teknik durumdan kaynaklandığının açıklanması.
• Teknik kanıtın belirtilmesi: Uygun durumlarda servis bilgisi, yapılandırma değeri, log kaydı, HTTP yanıtı, yazılım sürümü veya diğer teknik verilerle bulgunun dayanağının gösterilmesi.
• Ekran görüntülerinin destekleyici olarak kullanılması: Gerektiğinde bulgunun anlaşılmasını kolaylaştırmak amacıyla ekran görüntüsü kullanılabilir; ancak kritik tespitlerin yalnızca ekran görüntüsüne dayandırılmamasına dikkat edilir.
• Zafiyet referanslarının belirtilmesi: Uygun durumlarda CVE, CWE veya üretici güvenlik bildirimi gibi teknik referansların bulguyla ilişkilendirilmesi.
• CVSS bilgilerinin gerektiğinde kullanılması: Teknik zafiyetin genel önem seviyesini göstermek amacıyla uygun CVSS bilgilerinden yararlanılması; ancak kurum riskinin yalnızca CVSS puanına göre belirlenmemesi.
• Risk seviyesinin belirlenmesi: Bulguların kritik, yüksek, orta, düşük veya bilgilendirme gibi uygun kategorilerde sınıflandırılması.
• Risk seviyesinin gerekçelendirilmesi: Zafiyetin istismar edilebilirliği, sistemin kritikliği, dış erişilebilirliği, veri hassasiyeti ve mevcut güvenlik kontrollerinin birlikte değerlendirilmesi.
• Olası etkinin açıklanması: Bulgunun gizlilik, bütünlük, erişilebilirlik, hesap güvenliği veya iş sürekliliği üzerindeki muhtemel etkilerinin belirtilmesi.
• İstismar edilebilirlik koşullarının değerlendirilmesi: Bir güvenlik açığının kullanılabilmesi için ağ erişimi, kullanıcı hesabı, özel yetki veya diğer ön koşullar gerekiyorsa bunların belirtilmesi.
• Yanlış pozitiflerin ayrıştırılması: Otomatik araçlar tarafından üretilen ancak teknik doğrulamada gerçek risk oluşturmadığı belirlenen sonuçların kritik bulgu olarak sunulmaması.
• Birleşik risklerin değerlendirilmesi: Ayrı ayrı düşük veya orta düzeyde görünen birden fazla zayıflığın birlikte kullanılması halinde ortaya çıkabilecek daha yüksek risklerin gerektiğinde açıklanması.
• İnternete açık sistemlerin ayrıca değerlendirilmesi: Dışarıdan erişilebilir servis veya yönetim arayüzlerinin oluşturduğu risklerin görünür biçimde belirtilmesi.
• Ayrıcalıklı hesaplarla ilişkili risklerin ayrıca vurgulanması: Administrator, Domain Admin, root veya benzeri yüksek yetkili hesaplarla ilişkili güvenlik problemlerine öncelik verilmesi.
• Kimlik doğrulama ve MFA eksikliklerinin açıklanması: Kritik sistemlerde parola, çok faktörlü kimlik doğrulama veya oturum güvenliğine ilişkin eksikliklerin teknik etkisinin belirtilmesi.
• Güncelleme ve destek durumunun açıklanması: Eski yazılım, destek dışı işletim sistemi veya eksik güvenlik güncellemelerinin oluşturduğu risklerin belirtilmesi.
• Yapılandırma sorunlarının zafiyetlerden ayrılması: Bir CVE bulunmasa dahi güvenliği zayıflatan yanlış yapılandırmaların ayrı teknik bulgular olarak değerlendirilmesi.
• Loglama ve izlenebilirlik eksikliklerinin raporlanması: Olası bir güvenlik olayının sonradan araştırılmasını engelleyebilecek log kapsamı, saklama süresi veya zaman senkronizasyonu eksikliklerinin belirtilmesi.
• Yedekleme ve geri yükleme risklerinin raporlanması: Yedeklerin erişilebilirliği, ayrıştırılması, değiştirilemezliği ve geri yüklenebilirliğiyle ilgili tespitlerin açıklanması.
• Fidye yazılımı dayanıklılığına ilişkin bulguların değerlendirilmesi: Yedekleme, ağ segmentasyonu, ayrıcalıklı hesaplar, EDR ve olay müdahale hazırlığının birlikte ele alınması.
• Bulut ve SaaS yapılandırma risklerinin belirtilmesi: Gereksiz geniş yetkiler, MFA eksikliği, kamuya açık paylaşım veya uzun ömürlü erişim anahtarları gibi risklerin açıklanması.
• Üçüncü taraf erişim risklerinin belirtilmesi: Dış hizmet sağlayıcılarının uzaktan erişim, servis hesabı veya yönetim yetkilerinin oluşturabileceği güvenlik risklerinin değerlendirilmesi.
• Kritik bulgular için öncelikli aksiyonların belirlenmesi: Acil kapatılması gereken erişimler, güncellenmesi gereken sistemler veya sınırlandırılması gereken hesaplar gibi işlemlerin önceliklendirilmesi.
• Teknik düzeltme önerilerinin hazırlanması: Her önemli bulgu için mümkün olduğunca uygulanabilir bir düzeltme veya risk azaltma yöntemi sunulması.
• Kalıcı çözüm uygulanana kadar geçici önlemlerin belirtilmesi: Güvenlik açığının hemen giderilemediği durumlarda erişimin sınırlandırılması, servis izolasyonu veya ek izleme gibi geçici risk azaltıcı kontrollerin değerlendirilmesi.
• Düzeltme sorumlusunun belirlenmesine yardımcı olunması: Bulguların ağ, sistem, uygulama, bilgi güvenliği veya ilgili diğer ekiplerden hangisinin çalışma alanına girdiğinin gerektiğinde ayrıştırılması.
• Kısa, orta ve uzun vadeli iyileştirme önerilerinin ayrılması: Tüm güvenlik eksikliklerinin aynı anda giderilemeyeceği dikkate alınarak uygulanabilir bir güvenlik yol haritası hazırlanması.
• Düzeltme sonrası yeniden kontrol yapılması: Kritik veya önemli bulgular için uygulanan önlemlerin gerçekten riski giderip gidermediğinin gerektiğinde tekrar değerlendirilmesi.
• Yeniden kontrol sonucunun önceki bulguyla ilişkilendirilmesi: Bulgunun giderildi, kısmen giderildi, devam ediyor veya risk kabul edildi gibi uygun bir durumla takip edilmesi.
• Kabul edilen risklerin ayrıca gösterilmesi: Teknik olarak mevcut olmakla birlikte kurum tarafından iş gerekçesiyle kabul edilen risklerin giderilmiş gibi gösterilmemesi.
• Teknik sınırlılıkların açıkça belirtilmesi: Test süresi, yetki seviyesi, erişilemeyen sistemler, üçüncü taraf kısıtlamaları veya güvenli biçimde doğrulanamayan zafiyetlerin sonuçlara etkisinin açıklanması.
• “Tespit edilmedi” sonucunun kapsamının belirtilmesi: Bir zafiyet veya olay izi bulunmadığında bu sonucun hangi sistem, yöntem ve zaman aralığına dayandığının açıklanması.
• Teknik bulgu ile risk yorumunun birbirinden ayrılması: Doğrudan gözlemlenen teknik durum ile bu durumun kuruma oluşturabileceği riskin ayrı biçimde ifade edilmesi.
• Kesinlik taşımayan hususların açıkça belirtilmesi: Teknik verilerin belirli bir sonuca ulaşmaya yeterli olmadığı durumlarda varsayımın kesin bulgu şeklinde sunulmaması.
• Yönetici özeti hazırlanması: Gerektiğinde teknik ayrıntılara girmeden kurum yönetiminin temel riskleri, öncelikleri ve gerekli aksiyonları görebileceği kısa bir özet hazırlanması.
• Teknik ayrıntı bölümünün hazırlanması: BT ve bilgi güvenliği ekiplerinin düzeltme yapabilmesine yardımcı olacak sistem, servis, yapılandırma ve teknik kanıtların ayrıntılı biçimde sunulması.
• Bulgu ve önerilerin anlaşılır biçimde yazılması: Teknik terimlerin gerektiğinde açıklanarak raporun yalnızca siber güvenlik uzmanları tarafından değil, kurum yöneticileri ve ilgili diğer birimler tarafından da anlaşılabilir olması.
• Hassas bilgilerin raporda kontrollü kullanılması: Parola, token, API anahtarı, kişisel veri veya kritik sistem bilgileri gibi hassas değerlerin gereksiz biçimde rapora açık olarak yazılmaması.
• Rapor ve teknik çıktıların güvenli biçimde teslim edilmesi: Güvenlik zafiyetleri ve sistem bilgileri içeren belgelerin yetkisiz kişilerin erişimine karşı korunması.
• Sonuçların yeniden değerlendirilebilir olması: Kritik bulguların dayandığı sistem, yöntem ve teknik kanıtların gerektiğinde başka bir yetkili uzman tarafından yeniden incelenebilmesini sağlayacak ölçüde belgelenmesi.

Siber güvenlik raporlarında amaç, yalnızca güvenlik açıklarını sıralamak değil; hangi risklerin kurum açısından öncelikli olduğunu, neden önemli olduklarını ve hangi teknik veya idari adımlarla azaltılabileceklerini açık biçimde ortaya koymaktır. Değerlendirme sonuçları çalışmanın gerçekleştirildiği tarih ve belirlenen kapsam için geçerlidir; güvenlik seviyesinin korunması için kritik kontrollerin zaman içerisinde yeniden değerlendirilmesi gerekebilir.