Büyük İşletmeler İçin Bilgi Güvenliği

Büyük kuruluşlarda bilgi güvenliği↗; tek tek önlemlerin ötesine geçip bir yönetişim, mimari ve süreç meselesine dönüşür. Binlerce kullanıcı, karmaşık sistemler ve geniş bir tedarik zinciri, güvenliği stratejik bir programla yönetmeyi gerektirir. Bu sayfa, kurumsal ölçekte en önemli başlıkları ve bunlara dair rehberleri bir araya getirir.

Siber güvenlik bir yönetim konusudur

Güvenliğin tonu yukarıdan belirlenir. Üst yönetimin riski sahiplenmesi, doğru soruları sorması ve kaynak ayırması, kurum genelindeki her çabanın temelidir.

Rehber 1 dk okuma

Yönetim Kurulu ve Üst Yönetim İçin Siber Risk

Siber güvenlik bir BT konusu değil, bir iş riskidir. Üst yönetimin sahiplenmesi, doğru soruları sorması ve riski iş diliyle yönetmesi gerekir.

Modern mimari: Sıfır Güven

Bulut ve uzaktan çalışma çağında “içeri/dışarı” ayrımı yetersiz kalır. Hiçbir erişimi peşinen güvenli saymayan bir mimari, kurumsal savunmanın iskeletini oluşturur.

Rehber 1 dk okuma

Sıfır Güven Mimarisi (Zero Trust) ile Kurumsal Güvenlik

“Asla güvenme, her zaman doğrula.” Ağ içinde olmanın güven kazandırmadığı modern bir güvenlik yaklaşımının kurumsal temelleri.

Kimlik ve erişimin kontrolü

Çoğu büyük ihlal, kötü yönetilen kimliklerden veya ele geçirilmiş ayrıcalıklı hesaplardan başlar. IAM↗ ile düzen, PAM↗ ile ayrıcalıklı erişimin denetimi esastır.

Rehber 1 dk okuma

Kurumsal Kimlik ve Erişim Yönetimi (IAM ve PAM)

Binlerce kullanıcı, yüzlerce uygulama: kim neye erişebilir? IAM ile düzen, PAM ile ayrıcalıklı hesapların kontrolü kurumsal güvenliğin kalbidir.

Rehber 1 dk okuma

Erişim Yetkileri ve İşten Ayrılan Çalışanlar

Kim, neye, neden erişebiliyor? Doğru yetki yönetimi ve düzenli hesap devir-teslimi, bir hesabın ele geçirilmesinin tüm işletmeye yayılmasını önler.

Görünürlük: izleme, SOC ve SIEM

Göremediğiniz saldırıyı durduramazsınız. Günlük kaydı, SIEM↗ ile ilişkilendirme ve sürekli izleme, tehditleri sessizce yayılmadan yakalar.

Rehber 1 dk okuma

Güvenlik İzleme, SOC ve Günlük Yönetimi (SIEM)

Göremediğiniz saldırıyı durduramazsınız. Kurumsal görünürlük; günlük kaydı, SIEM ile ilişkilendirme ve SOC ile sürekli izlemeden geçer.

Zafiyet ve yama yönetimi

Açıkları saldırganlardan önce bulup kapatmak, sürekli bir program işidir.

Rehber 1 dk okuma

Zafiyet ve Yama Yönetimi Programı

Binlerce sistemde açıkları saldırganlardan önce bulup kapatmak bir program işidir: keşif, önceliklendirme, yama ve doğrulama döngüsü.

Güvenli yazılım geliştirme

Yazılım üreten kuruluşlar için güvenlik, tasarımın ve sürecin ayrılmaz bir parçasıdır.

Rehber 1 dk okuma

Güvenli Yazılım Geliştirme (Tasarımdan Güvenli)

Güvenliği en sona bırakmak pahalıya patlar. Yazılım geliştiren kuruluşlar için güvenliği tasarımın ve sürecin parçası yapmanın temelleri.

Tedarik zinciri ve veri sorumluluğu

Güvenliğiniz, çalıştığınız üçüncü taraflar kadar güçlüdür; kişisel veri↗ ise ölçekli bir yasal sorumluluktur.

Rehber 1 dk okuma

Tedarikçi ve İş Ortağı Riskini Yönetin (Tedarik Zinciri)

Güvenliğiniz, çalıştığınız tedarikçiler ve yazılımlar kadar güçlüdür. Sistemlerinize erişen üçüncü tarafların riskini nasıl değerlendirirsiniz?

Rehber 2 dk okuma

Müşteri ve İş Verilerinizi Koruyun (KVKK Temelleri)

Müşteri isimleri, iletişim ve ödeme bilgileri size emanettir. Az veri tutun, güvenli saklayın ve KVKK sorumluluklarınızı bilin.

Dayanıklılık: olaya hazır olmak

Soru “saldırıya uğrar mıyız” değil, “ne kadar hazırız”. Olgun bir olay müdahale↗ yeteneği ve tatbikatlar, kötü bir günü yönetilebilir kılar.

Rehber 2 dk okuma

Kurumsal Olay Yönetimi ve Siber Dayanıklılık

Soru “saldırıya uğrar mıyız” değil, “ne zaman ve ne kadar hazırız”. Olgun bir olay müdahale yeteneği ve tatbikatlarla kurumsal dayanıklılık.

Türkiye’de müdahale yapısı: SOME

Büyük kuruluşlar ve kritik altyapılar, ulusal siber olay müdahale yapısının bir parçasıdır: kurum düzeyinde Kurumsal SOME, sektör düzeyinde Sektörel SOME ve ulusal düzeyde USOM. İç olay müdahale planınızı bu yapıyla bütünleştirmek hem uyumu hem de eşgüdümü güçlendirir.

Rehber 2 dk okuma

Kurumsal SOME ve Sektörel SOME: Siber Olaylara Müdahale Yapısı

Türkiye’de siber olaylara müdahale üç katmanlı bir yapıyla yürütülür: ulusal düzeyde USOM, sektör düzeyinde Sektörel SOME ve kurum düzeyinde Kurumsal SOME. Büyük kuruluşların bu yapıdaki yeri ve sorumlulukları.

Kritik altyapı operatörü müsünüz?

Enerji, finans, sağlık, ulaştırma, dijital hizmetler gibi sektörlerde faaliyet gösteriyorsanız kuruluşunuz bir kritik altyapı operatörü olabilir. Bu durumda 7545 sayılı Siber Güvenlik↗ Kanunu kapsamında ek güvenlik tedbiri, olay bildirimi ve sertifikalı tedarik gibi yükümlülükleriniz bulunur.

Rehber 3 dk okuma

Kritik Altyapı Nedir ve Operatörlerin Siber Güvenlik Yükümlülükleri

Enerjiden sağlığa, finanstan ulaştırmaya: kritik altyapılar bir ülkenin can damarıdır. Türkiye’de belirlenen 15 kritik altyapı sektörü, yasal çerçeve (7545 sayılı Kanun) ve operatörlerin sorumlulukları.

En güçlü savunma: insan

Teknolojinin ötesinde, farkında bir iş gücü kurumsal savunmanın belirleyici halkasıdır.

Rehber 2 dk okuma

Çalışanlarınızı Siber Güvenliğin Parçası Yapın

En güçlü güvenlik duvarı bile, kandırılan bir çalışanla aşılabilir. Suçlamadan, korkutmadan; ekibinizi güvenliğin en güçlü halkasına dönüştürün.

Siber suçları nasıl ve kime bildirirsiniz?

Ülkemizde bilgi güvenliği ihlallerini ilgili kurumlara bildirebilirsiniz: EGM – Siber Suçlarla Mücadele Daire Başkanlığı (Siberay), BTK – Bilgi Teknolojileri ve İletişim Kurumu ve USOM – Ulusal Siber Olaylara Müdahale Merkezi. Kritik altyapı işleten kuruluşlar için ek bildirim yükümlülükleri bulunabilir; sektörünüze özgü düzenlemeleri de göz önünde bulundurun.