Siber Güvenlik Uyum Programı
Siber güvenlik artık yalnızca bilgi işlem ekibinin konusu değil. 2025’te yürürlüğe giren Siber Güvenlik Kanunu, şirketlere siber olayları bildirme, Siber Güvenlik Başkanlığı’nın talep ettiği bilgi ve belgeleri sunma ve güvenlik tedbirlerini belgeleme gibi doğrudan hukuki yükümlülükler getiriyor; bu yükümlülüklere aykırılık için idari para cezalarının yanında hapis cezaları da öngörüyor. Kritik altyapı niteliğinde hizmet veren şirketler için yükümlülükler daha da ağırlaşıyor.
Bir siber olay çoğu zaman sofistike bir saldırıdan değil, kimsenin sahiplenmediği bir açıktan doğuyor: envanterde olmayan eski bir sunucu, uzaktan erişimi hiç kapatılmamış bir tedarikçi, yedeği hiç denenmemiş bir sistem, olay anında kimin kime haber vereceğini bilmeyen bir ekip. Bu program, söz konusu noktaları varlık envanteri düzeyinde görünür kılıp hukuki ve organizasyonel olarak kapatmak için kurgulandı.
Aşamalar
Eğitim, Görüşmeler ve Mevcut Durum İncelemesi
Yöneticilere ve ilgili ekiplere Siber Güvenlik Kanunu ve bilgi güvenliği eğitimi verilir, ardından bilgi işlem başta olmak üzere ilgili departmanlarla birebir görüşülür; donanım, yazılım, ağ, veri ve insan kaynağından oluşan bilgi varlıkları envanteri çıkarılır, her varlık grubunun kritiklik derecesi belirlenir ve mevcut belge ile süreçler incelenir.
Boşluk ve Risk Değerlendirmesi
Mevcut durum, Bilgi ve İletişim Güvenliği Rehberi’ndeki tedbirlerle karşılaştırılarak boşluk analizi yapılır; beyan edilen kontrollerin uygulamada karşılığı bilgi işlem ekibiyle birlikte doğrulanır, riskler önceliklendirilir; Risk ve Aksiyon Raporu hazırlanarak yönetime sunulur ve uygulama yol haritası çıkarılır.
Uyum
Bilgi güvenliği politikası ve prosedürleri hazırlanır ya da güncellenir; tedarikçi, hizmet ve çalışan sözleşmelerine siber güvenlik ve gizlilik hükümleri eklenir; teknik ve organizasyonel tedbirler belgelenir; siber olay müdahale ve bildirim süreci, kimin hangi sürede hangi kuruma bildirim yapacağı netleştirilerek kurulur.
Kapanış ve Denetim
Uyum aşamasının ardından yol haritasındaki eylemlerin tamamlanıp tamamlanmadığı kontrol edilerek kapanış raporu hazırlanır. Sürecin tamamlanmasından sonra bir denetim ve olay müdahale sürecini sınayan bir masa başı tatbikatı yapılır; sonuçlar ayrı bir denetim ve tatbikat raporuyla ortaya konur.
İnceleme Alanları
- Siber Güvenlik Kanunu kapsamındaki yükümlülükler
- Bilgi ve İletişim Güvenliği Rehberi tedbirleri
- Bilgi varlıkları envanteri ve kritiklik dereceleri
- Erişim ve yetki yönetimi
- Tedarikçi ve üçüncü taraf erişimleri
- Siber olay müdahale ve bildirim süreçleri
- Yedekleme ve iş sürekliliği
- Kayıt (log) yönetimi ve izleme
- ISO 27001 ve bilgi güvenliği yönetimi
- KVKK ile kesişen yükümlülükler ve veri ihlali bildirimi
Çıktılar
- Bilgi Varlıkları Envanteri ve kritiklik sınıflandırması
- Boşluk Analizi Raporu
- Risk ve Aksiyon Raporu
- Yönetim sunumu ve uygulama yol haritası
- Bilgi Güvenliği Politikası
- Siber Olay Müdahale ve Bildirim Prosedürü
- Erişim yönetimi, yedekleme ve kayıt yönetimi prosedürleri
- Tedarikçi ve hizmet sözleşmeleri için siber güvenlik maddeleri
- Teknik ve organizasyonel tedbirler dokümantasyonu
- Kapanış ve Denetim Raporu
- Tatbikat senaryosu ve tatbikat raporu
- Eğitim sunumları
Sık Sorulan Sorular
Siber Güvenlik Kanunu hangi şirketleri kapsıyor?
Kanun yalnızca kamu kurumlarını değil, siber uzayda faaliyet gösteren gerçek ve tüzel kişileri de kapsıyor. Yükümlülüklerin ağırlığı ise şirketin konumuna göre değişiyor: enerji, finans, ulaştırma, elektronik haberleşme ve sağlık gibi kritik altyapı sektörlerinde hizmet veren şirketler için yükümlülükler belirgin biçimde artıyor. Programın ilk adımı, şirketin hangi yükümlülüklere tabi olduğunun tespit edilmesi.
Veri Güvenliği Uyum Programı'ndan farkı ne, ikisi birlikte yürütülebilir mi?
Veri Güvenliği Uyum Programı kişisel verilere odaklanıyor; Siber Güvenlik Uyum Programı ise kişisel olsun olmasın şirketin tüm bilgi varlıklarını, sistemlerini ve hizmet sürekliliğini ele alıyor. İki programın kesiştiği noktalar var: varlık ve veri envanteri, teknik tedbirler, ihlal ve olay bildirimi. Birlikte yürütüldüklerinde görüşmeler ve envanter çalışması tek seferde yapılıyor, bildirim süreçleri de iki düzenlemeyi birlikte karşılayacak şekilde kuruluyor.
Sızma testi ya da teknik güvenlik testlerini siz mi yapıyorsunuz?
Hayır. Sızma testi ve benzeri teknik testler şirketin bilgi işlem ekibi ya da bu alanda yetkin siber güvenlik firmaları tarafından yapılıyor. Program; hukuki yükümlülüklerin tespitini, kontrollerin belgelenmesini, politika ve sözleşmeleri ve olay müdahale sürecini kapsıyor. Kontrollerin doğrulanması aşamasında şirketin teknik ekibiyle ve varsa dış hizmet sağlayıcısıyla birlikte çalışılıyor.
Bir siber olay yaşandığında ne yapmamız gerekiyor?
Olay anında en çok zaman, kimin karar vereceği ve kime haber verileceği belirsiz olduğunda kaybediliyor. Program sonunda hazırlanan Siber Olay Müdahale ve Bildirim Prosedürü; olayın tespitini, ilk müdahaleyi, karar yetkisini ve Siber Güvenlik Başkanlığı'na, kişisel veri etkileniyorsa Kişisel Verileri Koruma Kurulu'na yapılacak bildirimleri süreleriyle birlikte tanımlıyor. Tatbikat, bu prosedürün kâğıt üzerinde kalmadığını sınamak için yapılıyor.
Bu programı şirketinizde yürütmek ister misiniz? Bizimle bir görüşme planlayın, ilk görüşme ücretsizdir.
Görüşme Planla