Kurumsal Siber Hijyen Kontrol Listesi: 25 Kritik Güvenlik Önlemi ve Uygulama Rehberi

Kurumsal Siber Hijyen Kontrol Listesi Nedir?

Kurumsal siber hijyen kontrol listesi, bir organizasyonun bilgi sistemlerinde uygulanması gereken temel güvenlik önlemlerini sistematik biçimde değerlendirmek, eksiklikleri belirlemek ve iyileştirme çalışmalarını önceliklendirmek için kullanılan kontrol çerçevesidir.

Bu kontrol listesi yalnızca teknik güvenlik ürünlerinin varlığını sorgulamaz.

Güvenlik kontrollerinin doğru yapılandırılıp yapılandırılmadığını, kapsamını, etkinliğini ve sürekliliğini de değerlendirir.

Örneğin kurumda EDR bulunması tek başına yeterli değildir.

EDR ajanlarının bütün kritik sistemlerde çalışması, merkezi olarak izlenmesi ve güvenlik olaylarının değerlendirilmesi gerekir.

Benzer şekilde MFA uygulanmış olması, bütün ayrıcalıklı hesapların korunduğu anlamına gelmez.

Siber hijyen değerlendirmesi bu tür eksiklikleri görünür hale getirmeyi amaçlar.

Kısa cevap: Kurumsal siber hijyen kontrol listesi; varlık yönetimi, kimlik güvenliği, sistem güvenliği, ağ güvenliği, veri koruma, güvenlik izleme ve olay müdahale alanlarındaki temel kontrollerin uygulanmasını ve doğrulanmasını sağlayan pratik değerlendirme aracıdır.

1. Kurumsal Siber Hijyen Neden Kontrol Listesiyle Yönetilmelidir?

Siber güvenlik çok sayıda teknik ve idari kontrol içerir.

Bu kontroller farklı ekipler tarafından yönetilebilir.

Sistem yöneticileri sunucu güncellemelerinden sorumludur.

Ağ ekipleri firewall ve VPN yapılandırmalarını yönetir.

Bilgi güvenliği ekipleri risk değerlendirmesi yapar.

SOC ekipleri güvenlik olaylarını izler.

İnsan kaynakları kullanıcı yaşam döngüsü süreçlerini destekler.

Bu dağıtık yapı içerisinde bazı kontrollerin gözden kaçması mümkündür.

Standart bir kontrol listesi, sorumlulukların ve değerlendirme kriterlerinin netleştirilmesini sağlar.

Temel faydalar

• Güvenlik kontrollerinin standartlaştırılması.
• Eksikliklerin sistematik tespiti.
• Sorumlulukların belirlenmesi.
• Risklerin önceliklendirilmesi.
• Denetim kanıtlarının oluşturulması.
• İyileştirme faaliyetlerinin takip edilmesi.
• Güvenlik olgunluğunun ölçülmesi.

Ancak kontrol listesinin tamamlanması tek başına güvenliğin sağlandığı anlamına gelmez.

Kontrollerin gerçek sistemlerde doğrulanması gerekir.

2. Siber Hijyen Kontrolleri Nasıl Önceliklendirilmelidir?

Her kurumun altyapısı ve risk profili farklıdır.

Bu nedenle bütün kontroller aynı öncelikte uygulanmayabilir.

Örneğin internete açık kritik sistemlerin güvenliği, izole test ortamındaki düşük etkili sistemlerden daha yüksek öncelik gerektirebilir.

Önerilen değerlendirme kriterleri

Varlık kritiklik seviyesi: Sistem iş süreçleri için ne kadar önemli?

Tehdit maruziyeti: Sistem internete veya güvenilmeyen ağlara açık mı?

Zafiyet durumu: Bilinen ve istismar edilebilir güvenlik açıkları bulunuyor mu?

Veri hassasiyeti: Sistem kişisel veya ticari açıdan hassas veri işliyor mu?

Mevcut kontroller: Riskleri azaltan güvenlik mekanizmaları mevcut mu?

İş etkisi: Güvenlik ihlali gerçekleşirse operasyonel sonuçlar ne olabilir?

Bu kriterler birlikte değerlendirilerek risk bazlı uygulama planı hazırlanmalıdır.

A. VARLIK VE ENVANTER GÜVENLİĞİ

3. Kontrol 1: Donanım ve Dijital Varlık Envanteri

Güvenlik amacı

Kurumun sahip olduğu veya yönettiği dijital varlıkların belirlenmesi ve güncel tutulmasıdır.

Riskler

Bilinmeyen sunucular.

Kontrolsüz istemci cihazlar.

Yetkisiz ağ cihazları.

Envanter dışında kalan sanal makineler.

Güvenlik kontrollerinin uygulanmadığı sistemler.

Uygulama yöntemi

Sunucular, istemciler, ağ cihazları, sanal makineler ve bulut kaynakları envantere alınmalıdır.

Her varlık için teknik sorumlu belirlenmelidir.

Kritiklik seviyesi tanımlanmalıdır.

Yeni varlıkların envantere otomatik veya kontrollü biçimde eklenmesi sağlanmalıdır.

Teknik doğrulama

Envanter kayıtları ağ keşfi ve sistem yönetimi verileriyle karşılaştırılabilir.

Envanterde bulunmayan cihazlar incelenebilir.

Örnek KPI

Envanter kapsamı = Envantere alınmış doğrulanmış varlık sayısı / Tespit edilen toplam varlık sayısı × 100

Önerilen sorumlu: BT Operasyon / Sistem Yönetimi

Öncelik: Kritik

4. Kontrol 2: Yazılım Envanteri ve Yetkisiz Uygulama Yönetimi

Güvenlik amacı

Kurumsal sistemlerde kullanılan yazılımların ve sürümlerinin kontrol altında tutulmasıdır.

Riskler

Destek süresi bitmiş yazılımlar.

Güvenlik açığı bulunan uygulamalar.

Yetkisiz uzaktan erişim araçları.

Kontrolsüz tarayıcı eklentileri.

Zararlı yazılım içeren paketler.

Uygulama yöntemi

Onaylı yazılım listesi oluşturulmalıdır.

Kurulu yazılımlar merkezi olarak izlenmelidir.

Kullanılmayan uygulamalar kaldırılmalıdır.

Destek süresi bitmiş ürünler belirlenmelidir.

Uygun ortamlarda uygulama izin listesi uygulanabilir.

Teknik doğrulama

Uç nokta yönetimi ve yazılım envanter araçlarından alınan kayıtlar karşılaştırılabilir.

Örnek KPI

Destek dışı yazılım kullanan kritik varlık sayısı.

Önerilen sorumlu: BT Operasyon / Uç Nokta Yönetimi

Öncelik: Yüksek

B. KİMLİK VE ERİŞİM GÜVENLİĞİ

5. Kontrol 3: Çok Faktörlü Kimlik Doğrulama (MFA)

Güvenlik amacı

Kullanıcı hesaplarının yalnızca parola bilgisiyle ele geçirilmesi riskini azaltmaktır.

Riskler

Parola ele geçirme.

Credential Stuffing.

Phishing.

Yetkisiz VPN erişimi.

Bulut hesaplarının kötüye kullanılması.

Uygulama yöntemi

MFA öncelikle yönetici hesaplarında, uzaktan erişim sistemlerinde ve kritik uygulamalarda uygulanmalıdır.

Yüksek riskli erişimlerde phishing-resistant MFA yöntemleri değerlendirilmelidir.

MFA kayıt ve kurtarma süreçleri de güvenli biçimde yönetilmelidir.

Teknik doğrulama

Kimlik sağlayıcısı raporları incelenebilir.

MFA istisnaları belirlenebilir.

Kritik hesaplar için erişim testleri yapılabilir.

Örnek KPI

Kritik hesaplarda MFA kapsam oranı.

Önerilen sorumlu: IAM / Bilgi Güvenliği

Öncelik: Kritik

6. Kontrol 4: Ayrıcalıklı Hesap Yönetimi (PAM)

Güvenlik amacı

Yüksek yetkili hesapların kötüye kullanılma riskini azaltmaktır.

Riskler

Domain Admin hesaplarının ele geçirilmesi.

Kontrolsüz yönetici erişimi.

Paylaşılan yönetici hesapları.

Yetkisiz yapılandırma değişiklikleri.

Uygulama yöntemi

Yönetici hesapları normal kullanıcı hesaplarından ayrılmalıdır.

En az yetki uygulanmalıdır.

MFA kullanılmalıdır.

Yönetici oturumları uygun şekilde izlenmelidir.

Gerektiğinde geçici yetkilendirme uygulanmalıdır.

Teknik doğrulama

Ayrıcalıklı grup üyelikleri incelenebilir.

Yönetici oturum kayıtları değerlendirilebilir.

Yetki matrisi doğrulanabilir.

Örnek KPI

Gözden geçirilmemiş ayrıcalıklı hesap sayısı.

Önerilen sorumlu: IAM / Sistem Yönetimi

Öncelik: Kritik

7. Kontrol 5: Kullanıcı Yaşam Döngüsü ve Erişim Yönetimi

Güvenlik amacı

Çalışanların ve dış kullanıcıların erişimlerinin görevleriyle uyumlu yönetilmesidir.

Riskler

İşten ayrılan kullanıcıların aktif kalması.

Görev değişikliği sonrası eski yetkilerin korunması.

Gereksiz erişim birikimi.

Kontrolsüz dış kullanıcı hesapları.

Uygulama yöntemi

İşe giriş, görev değişikliği ve işten ayrılma süreçleri tanımlanmalıdır.

İnsan kaynakları ve BT süreçleri ilişkilendirilmelidir.

Yetkiler düzenli gözden geçirilmelidir.

Servis hesapları ayrıca değerlendirilmelidir.

Teknik doğrulama

Aktif hesap listeleri personel kayıtlarıyla karşılaştırılabilir.

Yetki onayları ve kapatma kayıtları incelenebilir.

Örnek KPI

İşten ayrılma sonrası hedef süre içerisinde kapatılan hesapların oranı.

Önerilen sorumlu: İnsan Kaynakları / IAM

Öncelik: Kritik

8. Kontrol 6: Parola ve Kimlik Bilgisi Güvenliği

Güvenlik amacı

Parola ve diğer kimlik bilgilerinin güvenli biçimde oluşturulması, saklanması ve kullanılmasıdır.

Riskler

Zayıf parolalar.

Parola tekrar kullanımı.

Paylaşılan hesaplar.

Açık metin parola saklama.

Kaynak kod içerisine eklenmiş erişim anahtarları.

Uygulama yöntemi

Uzun ve benzersiz parolalar kullanılmalıdır.

Parola yöneticileri değerlendirilebilir.

Bilinen ele geçirilmiş parolalar engellenmelidir.

Servis hesapları ve API anahtarları güvenli secret management çözümleriyle yönetilmelidir.

Teknik doğrulama

Parola politikaları incelenebilir.

Yetkili ve kontrollü güvenlik değerlendirmeleri gerçekleştirilebilir.

Kod depolarında secret scanning uygulanabilir.

Örnek KPI

Politika dışı veya güvenli saklama kapsamı dışında kalan kimlik bilgisi sayısı.

Önerilen sorumlu: IAM / Bilgi Güvenliği / DevOps

Öncelik: Yüksek

C. SİSTEM VE UÇ NOKTA GÜVENLİĞİ

9. Kontrol 7: Yama Yönetimi

Güvenlik amacı

Bilinen güvenlik açıklarının istismar edilme riskini azaltmaktır.

Riskler

Güncel olmayan işletim sistemleri.

Güvenlik açığı bulunan uygulamalar.

Aktif istismar edilen zafiyetler.

Destek süresi bitmiş sistemler.

Uygulama yöntemi

Yama yönetimi politikası oluşturulmalıdır.

Kritik varlıklar önceliklendirilmelidir.

Güncellemeler uygun ortamlarda test edilmelidir.

Dağıtım sonuçları doğrulanmalıdır.

Acil güvenlik güncellemeleri için ayrı süreç tanımlanmalıdır.

Teknik doğrulama

Yama yönetimi raporları incelenebilir.

Zafiyet taramalarıyla sonuçlar doğrulanabilir.

Örnek KPI

Belirlenen hedef süre içerisinde giderilen kritik yama eksikliklerinin oranı.

Önerilen sorumlu: Sistem Yönetimi / BT Operasyon

Öncelik: Kritik

10. Kontrol 8: Zafiyet Yönetimi

Güvenlik amacı

Kurumsal sistemlerdeki güvenlik açıklarının sürekli belirlenmesi ve risk bazlı yönetilmesidir.

Riskler

Bilinmeyen güvenlik açıkları.

Yanlış yapılandırmalar.

İnternete açık zafiyetli servisler.

Geciken iyileştirmeler.

Uygulama yöntemi

Düzenli zafiyet taramaları gerçekleştirilmelidir.

Bulgular doğrulanmalıdır.

Riskler varlık kritikliğine göre önceliklendirilmelidir.

İyileştirme sorumluları belirlenmelidir.

Düzeltmeler yeniden doğrulanmalıdır.

Teknik doğrulama

Zafiyet tarama sonuçları ve düzeltme kayıtları karşılaştırılabilir.

Kritik açıkların kapanma durumu incelenebilir.

Örnek KPI

Hedef süresi aşılmış kritik zafiyet sayısı.

Önerilen sorumlu: Bilgi Güvenliği / Sistem Yönetimi

Öncelik: Kritik

11. Kontrol 9: EDR ve Uç Nokta Koruması

Güvenlik amacı

Uç noktalarda zararlı faaliyetlerin önlenmesi, tespit edilmesi ve incelenmesini desteklemektir.

Riskler

Zararlı yazılım.

Fidye yazılımı.

Yetkisiz süreç çalıştırma.

Kimlik bilgisi hırsızlığı.

Şüpheli komut çalıştırma.

Uygulama yöntemi

Uygun uç nokta koruma çözümü kullanılmalıdır.

Ajan kapsamı izlenmelidir.

Koruma politikaları güncel tutulmalıdır.

Kritik alarmlar değerlendirilmelidir.

Koruma dışı sistemler belirlenmelidir.

Teknik doğrulama

EDR yönetim panelindeki cihaz kayıtları varlık envanteriyle karşılaştırılabilir.

Ajan sağlığı ve politika durumu kontrol edilebilir.

Örnek KPI

Aktif ve sağlıklı EDR ajanı bulunan uygun cihazların oranı.

Önerilen sorumlu: Uç Nokta Yönetimi / SOC

Öncelik: Kritik

12. Kontrol 10: Güvenli Sistem Yapılandırması (Hardening)

Güvenlik amacı

Sistemlerde gereksiz servislerin ve riskli yapılandırmaların azaltılmasıdır.

Riskler

Varsayılan hesaplar.

Gereksiz servisler.

Açık yönetim portları.

Zayıf güvenlik politikaları.

Güvensiz protokoller.

Uygulama yöntemi

İşletim sistemi ve uygulama bazlı güvenli yapılandırma standartları oluşturulmalıdır.

CIS Benchmarks gibi rehberlerden yararlanılabilir.

Gereksiz servisler kapatılmalıdır.

Yapılandırma değişiklikleri kontrollü yapılmalıdır.

Teknik doğrulama

Konfigürasyon denetimleri gerçekleştirilebilir.

Güvenli yapılandırma kontrol listeleri kullanılabilir.

Örnek KPI

Güvenli yapılandırma standardına uyumlu kritik sistemlerin oranı.

Önerilen sorumlu: Sistem Yönetimi / Bilgi Güvenliği

Öncelik: Yüksek

D. AĞ VE İLETİŞİM GÜVENLİĞİ

13. Kontrol 11: Firewall Kural Yönetimi

Güvenlik amacı

Ağ erişimlerinin yalnızca gerekli kaynaklar ve servislerle sınırlandırılmasıdır.

Riskler

Gereğinden geniş erişim kuralları.

Kullanılmayan firewall politikaları.

Kontrolsüz yönetim erişimi.

Yanlış NAT yapılandırmaları.

Uygulama yöntemi

Firewall kuralları düzenli gözden geçirilmelidir.

Kural sahipleri belirlenmelidir.

Gereksiz erişimler kaldırılmalıdır.

Kritik değişiklikler onaylanmalıdır.

Teknik doğrulama

Kural tabanı incelenebilir.

Trafik kayıtları değerlendirilebilir.

Kullanılmayan kurallar belirlenebilir.

Örnek KPI

Sahibi veya gerekçesi bulunmayan aktif firewall kuralı sayısı.

Önerilen sorumlu: Ağ Güvenliği

Öncelik: Yüksek

14. Kontrol 12: Ağ Segmentasyonu

Güvenlik amacı

Farklı güvenlik seviyelerindeki sistemler arasındaki erişimlerin kontrol edilmesidir.

Riskler

Saldırganın ağ içerisinde yatay hareket etmesi.

Kullanıcı ağından kritik sunuculara erişim.

Yönetim ağlarının kontrolsüz kullanımı.

Uygulama yöntemi

Kritik sistemler ayrı güvenlik bölgelerinde konumlandırılmalıdır.

VLAN ve firewall politikaları uygulanmalıdır.

Yönetim ağları ayrılmalıdır.

Gereksiz sistemler arası erişimler engellenmelidir.

Teknik doğrulama

Ağ erişim testleri yapılabilir.

Segmentasyon kuralları incelenebilir.

Örnek KPI

Onaylı segmentasyon politikası bulunan kritik sistem gruplarının oranı.

Önerilen sorumlu: Ağ Yönetimi / Ağ Güvenliği

Öncelik: Yüksek

15. Kontrol 13: VPN ve Uzaktan Erişim Güvenliği

Güvenlik amacı

Kurum dışından gerçekleştirilen erişimlerin güvenli biçimde yönetilmesidir.

Riskler

Ele geçirilmiş VPN hesapları.

MFA eksikliği.

Gereğinden geniş ağ erişimi.

Eski kullanıcı hesapları.

Güncel olmayan VPN cihazları.

Uygulama yöntemi

VPN erişimlerinde MFA uygulanmalıdır.

Erişim yetkileri sınırlandırılmalıdır.

Kullanıcı hesapları düzenli gözden geçirilmelidir.

VPN altyapısı güncel tutulmalıdır.

Erişim kayıtları izlenmelidir.

Teknik doğrulama

VPN kullanıcı listeleri incelenebilir.

MFA kapsamı doğrulanabilir.

Yetki ve bağlantı kayıtları değerlendirilebilir.

Örnek KPI

MFA koruması bulunmayan aktif uzaktan erişim hesabı sayısı.

Önerilen sorumlu: Ağ Güvenliği / IAM

Öncelik: Kritik

E. E-POSTA VE KULLANICI GÜVENLİĞİ

16. Kontrol 14: E-Posta Güvenliği ve DMARC

Güvenlik amacı

E-posta kaynaklı kimlik taklidi ve zararlı içerik risklerinin azaltılmasıdır.

Riskler

Phishing.

Business Email Compromise.

Zararlı ekler.

Sahte alan adı kullanımı.

Uygulama yöntemi

E-posta güvenlik filtreleri uygulanmalıdır.

SPF, DKIM ve DMARC yapılandırmaları değerlendirilmelidir.

Şüpheli bağlantı ve ek kontrolleri kullanılmalıdır.

MFA uygulanmalıdır.

Teknik doğrulama

DNS kayıtları incelenebilir.

DMARC raporları değerlendirilebilir.

E-posta güvenlik politikaları doğrulanabilir.

Örnek KPI

DMARC politikası ve raporlama mekanizması uygun yapılandırılmış kurumsal alan adlarının oranı.

Önerilen sorumlu: E-Posta Yönetimi / Bilgi Güvenliği

Öncelik: Yüksek

17. Kontrol 15: Güvenlik Farkındalığı ve Phishing Eğitimleri

Güvenlik amacı

Çalışanların siber tehditleri tanıma ve güvenli davranış geliştirme yetkinliğini artırmaktır.

Riskler

Sahte giriş sayfaları.

Şüpheli bağlantılar.

Sosyal mühendislik.

Yanlışlıkla veri paylaşımı.

Uygulama yöntemi

Düzenli farkındalık eğitimleri düzenlenmelidir.

Gerçekçi ve etik phishing simülasyonları uygulanabilir.

Olay bildirim kanalları tanımlanmalıdır.

Çalışanların şüpheli mesajları bildirmesi teşvik edilmelidir.

Teknik doğrulama

Eğitim katılım kayıtları incelenebilir.

Simülasyon sonuçları değerlendirilebilir.

Şüpheli mesaj bildirim süreçleri ölçülebilir.

Örnek KPI

Eğitim tamamlanma oranı ve doğrulanmış phishing bildirim oranı.

Önerilen sorumlu: Bilgi Güvenliği / İnsan Kaynakları

Öncelik: Yüksek

F. VERİ GÜVENLİĞİ VE YEDEKLEME

18. Kontrol 16: Veri Sınıflandırma ve DLP

Güvenlik amacı

Kurumsal verilerin hassasiyet seviyelerine göre korunmasıdır.

Riskler

Kişisel veri sızıntısı.

Ticari sırların açıklanması.

Kontrolsüz dosya paylaşımı.

Yetkisiz veri aktarımı.

Uygulama yöntemi

Veri sınıflandırma politikası oluşturulmalıdır.

Hassas veri türleri belirlenmelidir.

Paylaşım kuralları tanımlanmalıdır.

Gerekli ortamlarda DLP kontrolleri uygulanmalıdır.

Teknik doğrulama

Dosya paylaşım izinleri incelenebilir.

DLP politikaları kontrollü test verileriyle doğrulanabilir.

Örnek KPI

Sınıflandırılmış kritik veri kaynaklarının oranı.

Önerilen sorumlu: Bilgi Güvenliği / Veri Sahipleri

Öncelik: Yüksek

19. Kontrol 17: Yedekleme Güvenliği

Güvenlik amacı

Veri kaybı ve hizmet kesintisi durumlarında kurtarma kapasitesinin korunmasıdır.

Riskler

Fidye yazılımı.

Veri silinmesi.

Depolama arızası.

Yedeklerin bozulması.

Uygulama yöntemi

Yedekleme politikası oluşturulmalıdır.

Kritik sistemler için yedekleme sıklığı belirlenmelidir.

Yedeklere erişim sınırlandırılmalıdır.

Çevrimdışı veya değiştirilemez yedek seçenekleri değerlendirilmelidir.

Teknik doğrulama

Yedekleme başarı kayıtları incelenebilir.

Geri yükleme testleri gerçekleştirilebilir.

Örnek KPI

Başarılı yedekleme oranı ve geri yükleme testi başarı oranı.

Önerilen sorumlu: Sistem Yönetimi / Yedekleme Ekibi

Öncelik: Kritik

20. Kontrol 18: Veri Şifreleme

Güvenlik amacı

Verilerin yetkisiz erişim durumunda okunabilirliğinin azaltılmasıdır.

Riskler

Cihaz kaybı.

Yetkisiz depolama erişimi.

Ağ trafiğinin dinlenmesi.

Hassas veri açıklama.

Uygulama yöntemi

Uygun sistemlerde disk şifreleme kullanılmalıdır.

Veri aktarımında güvenli protokoller tercih edilmelidir.

Şifreleme anahtarları güvenli yönetilmelidir.

Yedekleme verileri uygun şekilde korunmalıdır.

Teknik doğrulama

Disk şifreleme durumları incelenebilir.

TLS yapılandırmaları değerlendirilebilir.

Anahtar yönetimi süreçleri kontrol edilebilir.

Örnek KPI

Şifreleme politikasına uyumlu kritik cihaz ve veri depolarının oranı.

Önerilen sorumlu: BT Operasyon / Bilgi Güvenliği

Öncelik: Yüksek

G. BULUT VE UYGULAMA GÜVENLİĞİ

21. Kontrol 19: Bulut ve SaaS Güvenliği

Güvenlik amacı

Bulut servisleri ve SaaS uygulamalarındaki yanlış yapılandırma ve erişim risklerinin azaltılmasıdır.

Riskler

Herkese açık depolama.

Gereğinden geniş IAM yetkileri.

Kontrolsüz dosya paylaşımı.

Yetkisiz OAuth uygulamaları.

Uygulama yöntemi

Bulut varlıkları envantere alınmalıdır.

IAM politikaları gözden geçirilmelidir.

MFA uygulanmalıdır.

Depolama erişimleri kontrol edilmelidir.

Güvenlik logları etkinleştirilmelidir.

Teknik doğrulama

Bulut yapılandırmaları incelenebilir.

SaaS erişim raporları değerlendirilebilir.

Örnek KPI

Kritik bulut yapılandırma bulgularının sayısı.

Önerilen sorumlu: Bulut Operasyon / Bilgi Güvenliği

Öncelik: Yüksek

22. Kontrol 20: Web Uygulaması ve API Güvenliği

Güvenlik amacı

Kurumsal uygulamalardaki güvenlik açıklarının azaltılmasıdır.

Riskler

Broken Access Control.

Injection.

Authentication problemleri.

Güvensiz API erişimi.

Hassas veri açıklama.

Uygulama yöntemi

Secure Coding prensipleri uygulanmalıdır.

Kod incelemeleri yapılmalıdır.

SAST ve DAST gibi test yöntemleri değerlendirilebilir.

API yetkilendirme kontrolleri uygulanmalıdır.

Risk bazlı sızma testleri gerçekleştirilmelidir.

Teknik doğrulama

Uygulama güvenlik testleri ve kaynak kod incelemeleri yapılabilir.

Bulguların giderilmesi retest ile doğrulanabilir.

Örnek KPI

Hedef süresi aşılmış yüksek riskli uygulama güvenlik bulgusu sayısı.

Önerilen sorumlu: Yazılım Geliştirme / AppSec

Öncelik: Yüksek

H. GÜVENLİK İZLEME VE OLAY MÜDAHALESİ

23. Kontrol 21: Merkezi Loglama ve SIEM

Güvenlik amacı

Güvenlik olaylarının tespit edilmesini ve analiz edilmesini desteklemektir.

Riskler

Güvenlik olaylarının fark edilmemesi.

Yetersiz denetim kayıtları.

Olay inceleme güçlüğü.

Uygulama yöntemi

Kritik log kaynakları belirlenmelidir.

Merkezi log toplama uygulanmalıdır.

Zaman senkronizasyonu sağlanmalıdır.

Güvenlik olayları için korelasyon kuralları oluşturulmalıdır.

Teknik doğrulama

Log kaynakları envanterle karşılaştırılabilir.

Olay kayıtlarının zamanında ulaştığı doğrulanabilir.

Örnek KPI

Merkezi loglama kapsamındaki kritik sistemlerin oranı.

Önerilen sorumlu: SOC / Bilgi Güvenliği

Öncelik: Yüksek

24. Kontrol 22: SOC ve Sürekli Güvenlik İzleme

Güvenlik amacı

Şüpheli faaliyetlerin izlenmesi ve güvenlik olaylarının değerlendirilmesidir.

Riskler

Geç tespit edilen saldırılar.

Yanlış yapılandırılmış alarmlar.

İncelenmeyen güvenlik olayları.

Uygulama yöntemi

Kritik güvenlik senaryoları belirlenmelidir.

Log ve EDR verileri ilişkilendirilmelidir.

Alarm öncelikleri tanımlanmalıdır.

Olay inceleme ve bildirim süreçleri oluşturulmalıdır.

Teknik doğrulama

Kontrollü test olayları oluşturularak tespit ve bildirim akışları doğrulanabilir.

Örnek KPI

MTTD: Mean Time to Detect.

MTTR: Mean Time to Respond veya kurumun tanımına göre Mean Time to Resolve.

Metrik tanımları raporlamada açıkça belirtilmelidir.

Önerilen sorumlu: SOC

Öncelik: Yüksek

25. Kontrol 23: Siber Olay Müdahale Planı

Güvenlik amacı

Siber güvenlik olaylarına koordineli ve etkili müdahale edilmesini sağlamaktır.

Riskler

Müdahale gecikmesi.

Yanlış kararlar.

Kanıt kaybı.

Uzayan hizmet kesintisi.

Uygulama yöntemi

Olay müdahale planı hazırlanmalıdır.

Roller ve sorumluluklar belirlenmelidir.

İletişim kanalları tanımlanmalıdır.

Kritik olay senaryoları oluşturulmalıdır.

Masa başı tatbikatları yapılmalıdır.

Teknik doğrulama

Olay müdahale tatbikatları gerçekleştirilebilir.

Müdahale kayıtları değerlendirilebilir.

Örnek KPI

Planlanan olay müdahale tatbikatlarının tamamlanma oranı.

Önerilen sorumlu: Bilgi Güvenliği / SOC / Kriz Yönetimi

Öncelik: Kritik

I. YÖNETİŞİM VE SÜREKLİ İYİLEŞTİRME

26. Kontrol 24: Tedarikçi ve Üçüncü Taraf Güvenliği

Güvenlik amacı

Kurumsal sistemlere erişen veya veri işleyen üçüncü tarafların oluşturduğu risklerin yönetilmesidir.

Riskler

Kontrolsüz tedarikçi erişimi.

Güvenlik gereksinimi bulunmayan sözleşmeler.

Eski dış kullanıcı hesapları.

Tedarikçi kaynaklı veri ihlali.

Uygulama yöntemi

Kritik tedarikçiler belirlenmelidir.

Güvenlik gereksinimleri sözleşmelere dahil edilmelidir.

Tedarikçi erişimleri sınırlandırılmalıdır.

Periyodik risk değerlendirmeleri yapılmalıdır.

Teknik doğrulama

Tedarikçi hesapları ve erişim kayıtları incelenebilir.

Sözleşmesel güvenlik yükümlülükleri değerlendirilebilir.

Örnek KPI

Güncel güvenlik değerlendirmesi bulunan kritik tedarikçilerin oranı.

Önerilen sorumlu: Satın Alma / Bilgi Güvenliği / Hukuk

Öncelik: Yüksek

27. Kontrol 25: Periyodik Güvenlik Denetimi ve İyileştirme

Güvenlik amacı

Temel güvenlik kontrollerinin etkinliğinin düzenli doğrulanması ve eksikliklerin giderilmesidir.

Riskler

Tekrarlayan güvenlik açıkları.

Kapanmayan denetim bulguları.

Güncelliğini kaybeden politikalar.

Kontrol etkinliğinin azalması.

Uygulama yöntemi

Periyodik güvenlik denetimleri planlanmalıdır.

Kontrol sahipleri belirlenmelidir.

Bulgular risk seviyesine göre önceliklendirilmelidir.

İyileştirme planları hazırlanmalıdır.

Düzeltmeler doğrulanmalıdır.

Teknik doğrulama

Denetim raporları ve aksiyon kayıtları incelenebilir.

Kapatılan bulgular retest ile doğrulanabilir.

Örnek KPI

Hedef süre içerisinde kapatılan güvenlik denetimi bulgularının oranı.

Önerilen sorumlu: Bilgi Güvenliği / İç Denetim

Öncelik: Yüksek

28. Siber Hijyen Kontrollerinin Öncelik Matrisi

Aşağıdaki tablo, 25 kontrolün başlangıç düzeyinde önceliklendirilmesi için örnek sunar.

Kontrol	Öncelik	Temel hedef
Varlık envanteri	Kritik	Görünürlük
Yazılım envanteri	Yüksek	Kontrolsüz yazılım riskini azaltma
MFA	Kritik	Hesap güvenliği
PAM	Kritik	Ayrıcalıklı erişim güvenliği
Kullanıcı yaşam döngüsü	Kritik	Yetkisiz erişimi azaltma
Parola ve secret yönetimi	Yüksek	Kimlik bilgisi güvenliği
Yama yönetimi	Kritik	Bilinen açıkları giderme
Zafiyet yönetimi	Kritik	Riskleri belirleme
EDR	Kritik	Uç nokta koruması
Hardening	Yüksek	Saldırı yüzeyini azaltma
Firewall yönetimi	Yüksek	Ağ erişim kontrolü
Ağ segmentasyonu	Yüksek	Yatay hareketi sınırlandırma
VPN güvenliği	Kritik	Uzaktan erişim
E-posta güvenliği	Yüksek	Phishing riskini azaltma
Farkındalık	Yüksek	Kullanıcı güvenliği
Veri sınıflandırma ve DLP	Yüksek	Veri koruma
Yedekleme	Kritik	Veri kurtarma
Şifreleme	Yüksek	Veri gizliliği
Bulut güvenliği	Yüksek	Bulut yapılandırma güvenliği
Web ve API güvenliği	Yüksek	Uygulama güvenliği
SIEM	Yüksek	Olay görünürlüğü
SOC	Yüksek	Güvenlik izleme
Olay müdahale	Kritik	Müdahale hazırlığı
Tedarikçi güvenliği	Yüksek	Üçüncü taraf riskleri
Periyodik denetim	Yüksek	Sürekli iyileştirme

Bu öncelikler örnek niteliğindedir.

Gerçek uygulama sırası kurumun risk değerlendirmesine göre belirlenmelidir.

29. Siber Hijyen Olgunluk Değerlendirme Modeli

Kurumlar kontrollerin mevcut durumunu ölçmek için basit bir olgunluk modeli kullanabilir.

Seviye 0: Uygulanmıyor

Kontrol mevcut değildir veya uygulanmasına ilişkin doğrulanabilir kanıt bulunmamaktadır.

Seviye 1: Kısmi

Kontrol bazı sistemlerde uygulanmaktadır.

Ancak kapsam ve süreç tutarlılığı yetersizdir.

Seviye 2: Tanımlı

Kontrol için politika veya prosedür bulunmaktadır.

Uygulama kapsamı belirlenmiştir.

Seviye 3: Yönetilen

Kontrol düzenli uygulanmakta ve sorumluları tarafından takip edilmektedir.

Seviye 4: Ölçülen

Kontrolün etkinliği performans göstergeleri ve doğrulama faaliyetleriyle izlenmektedir.

Seviye 5: Optimize Edilen

Kontrol sonuçları sürekli iyileştirme süreçlerine dahil edilmektedir.

Bu model kurum içi değerlendirme için örnektir.

Resmî ISO veya CIS sertifikasyon seviyesi değildir.

30. Siber Hijyen Puanı Nasıl Hesaplanır?

Basit bir değerlendirme yaklaşımında her kontrol için 0–5 arasında puan verilebilir.

25 kontrolün tamamı eşit ağırlıklı değerlendirilirse maksimum puan:

25 × 5 = 125

Örnek olarak kurumun toplam puanı 85 olsun.

Olgunluk oranı:

85 / 125 × 100 = %68

Bu sonuç, kurumun örnek değerlendirme modelinde %68 puan elde ettiğini gösterir.

Ancak %68 puan, kurumun %68 güvenli olduğu anlamına gelmez.

Çünkü kritik bir MFA veya yedekleme eksikliği toplam puanın gizlediği önemli risk oluşturabilir.

Bu nedenle puanlama mutlaka kritik bulgularla birlikte raporlanmalıdır.

31. Risk Bazlı Ağırlıklı Puanlama

Daha gelişmiş değerlendirmelerde kontroller farklı ağırlıklarla değerlendirilebilir.

Örneğin:

Kritik kontrol: 4 puan ağırlık.

Yüksek kontrol: 3 puan ağırlık.

Orta kontrol: 2 puan ağırlık.

Düşük kontrol: 1 puan ağırlık.

Hesaplama yaklaşımı

Her kontrolün olgunluk puanı ağırlığıyla çarpılır.

Toplam ağırlıklı puan, ulaşılabilecek maksimum ağırlıklı puana bölünür.

Bu yaklaşım kritik kontrollerin toplam değerlendirme üzerindeki etkisini artırır.

Ancak ağırlıkların kurumun gerçek risk profiline göre belirlenmesi gerekir.

32. Siber Hijyen Denetiminde Kanıt Yönetimi

Kontrollerin yalnızca sözlü beyanlarla değerlendirilmesi yeterli olmayabilir.

Uygun kanıtların toplanması gerekir.

Örnek kanıtlar

Varlık envanteri.

MFA raporları.

Yama yönetimi kayıtları.

EDR kapsam raporları.

Firewall kural listeleri.

Yedekleme sonuçları.

Geri yükleme test kayıtları.

Zafiyet tarama raporları.

SOC olay kayıtları.

Olay müdahale tatbikat raporları.

Kanıt güvenliği

Kanıtlar hassas bilgi içerebilir.

Bu nedenle erişim kontrolü, saklama süresi ve veri minimizasyonu prensipleri uygulanmalıdır.

33. İlk 30 Günlük Uygulama Planı

1–7. Gün

Kritik varlıkların belirlenmesi.

Yönetici hesaplarının incelenmesi.

MFA kapsamının değerlendirilmesi.

İnternete açık sistemlerin belirlenmesi.

8–14. Gün

Kritik zafiyetlerin değerlendirilmesi.

Yama eksikliklerinin belirlenmesi.

EDR kapsamının kontrol edilmesi.

15–21. Gün

Yedekleme politikalarının incelenmesi.

Geri yükleme testlerinin planlanması.

Firewall erişimlerinin değerlendirilmesi.

22–30. Gün

Log kaynaklarının incelenmesi.

Olay müdahale hazırlığının değerlendirilmesi.

İyileştirme planının oluşturulması.

Bu plan başlangıç seviyesinde örnek bir yol haritasıdır.

34. İlk 90 Günlük Siber Hijyen İyileştirme Programı

Faz 1: Mevcut Durum

25 kontrolün değerlendirilmesi.

Eksikliklerin belirlenmesi.

Risk puanlaması.

Faz 2: Kritik Kontroller

MFA.

Yama yönetimi.

EDR.

Yedekleme.

Ayrıcalıklı erişim.

Faz 3: Operasyonel Güvenlik

Zafiyet yönetimi.

Merkezi loglama.

SOC izleme.

Olay müdahale.

Faz 4: Sürekli İyileştirme

KPI oluşturma.

Periyodik denetim.

Retest.

Yönetim raporlaması.

Bu yaklaşım siber hijyenin sürdürülebilir bir programa dönüştürülmesini destekler.

35. KOBİ'ler İçin 25 Kontrol Nasıl Uygulanmalıdır?

Küçük ve orta ölçekli işletmelerde bütçe ve personel kaynakları sınırlı olabilir.

Bu nedenle kontroller aşamalı uygulanmalıdır.

İlk öncelikler

MFA.

Yedekleme.

Güncel sistemler.

Uç nokta koruması.

Yönetici hesap güvenliği.

E-posta güvenliği.

Kullanıcı farkındalığı.

İkinci aşama

Zafiyet yönetimi.

Merkezi loglama.

Firewall kural yönetimi.

Bulut güvenliği.

Periyodik güvenlik denetimi.

Bu yaklaşım temel risklerin öncelikli azaltılmasına yardımcı olur.

Ancak yüksek riskli faaliyetler yürüten KOBİ'lerde daha kapsamlı kontroller gerekebilir.

36. Büyük Kurumlar İçin Siber Hijyen Otomasyonu

Büyük organizasyonlarda binlerce varlık bulunabilir.

Bu nedenle manuel kontrol süreçleri yetersiz kalabilir.

Otomasyon alanları

Varlık keşfi.

Yazılım envanteri.

Yama uyumluluk kontrolü.

Zafiyet taraması.

EDR kapsam izleme.

Kimlik yaşam döngüsü.

Konfigürasyon uyumluluğu.

Log toplama.

Önemli nokta

Otomasyon yalnızca veri toplama amacıyla kullanılmamalıdır.

Tespit edilen eksikliklerin sorumlulara atanması ve iyileştirme süreçlerinin takip edilmesi gerekir.

37. Siber Hijyen ile ISO/IEC 27001 İlişkisi

ISO/IEC 27001, bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

Siber hijyen kontrolleri bu yönetim sisteminin teknik ve operasyonel uygulamalarını destekleyebilir.

Örnek ilişkilendirme

Varlık yönetimi.

Erişim kontrolü.

Zafiyet yönetimi.

Güvenli yapılandırma.

Yedekleme.

Loglama.

Olay yönetimi.

Ancak 25 kontrolün tamamlanması ISO/IEC 27001 uygunluğunun otomatik olarak sağlandığı anlamına gelmez.

Yönetim sistemi gereksinimleri ayrıca değerlendirilmelidir.

38. Siber Hijyen ile NIST CSF 2.0 İlişkisi

NIST CSF 2.0, siber güvenlik risklerinin yönetilmesini destekleyen altı fonksiyon içerir.

GOVERN.

IDENTIFY.

PROTECT.

DETECT.

RESPOND.

RECOVER.

25 siber hijyen kontrolü bu fonksiyonlarla ilişkilendirilebilir.

Örneğin varlık envanteri IDENTIFY, MFA PROTECT, SIEM DETECT ve olay müdahale RESPOND kapsamında değerlendirilebilir.

Bu eşleştirme kurumsal güvenlik programının daha sistematik yönetilmesine yardımcı olur.

39. Siber Hijyen ile CIS Controls İlişkisi

CIS Controls, temel güvenlik önlemlerinin önceliklendirilmesine yönelik rehber sunar.

25 kontrol listesi CIS Controls yaklaşımından yararlanılarak değerlendirilebilir.

Ancak bu makaledeki 25 kontrol, CIS Controls'un birebir resmî listesi değildir.

Kurumsal kullanım için oluşturulmuş pratik bir değerlendirme çerçevesidir.

Bu ayrım önemlidir.

Çünkü standart uyum değerlendirmelerinde resmî kontrol tanımları ve sürümleri esas alınmalıdır.

40. Siber Hijyen Raporu Nasıl Hazırlanmalıdır?

Profesyonel bir siber hijyen değerlendirme raporu yalnızca kontrol durumlarını göstermemelidir.

Önerilen rapor yapısı

Yönetici özeti.

Kapsam.

Metodoloji.

Varlık envanteri değerlendirmesi.

25 kontrolün sonuçları.

Kritik bulgular.

Risk derecelendirmesi.

İyileştirme önerileri.

Sorumluluk matrisi.

Uygulama yol haritası.

KPI önerileri.

Yönetim açısından

Rapor, teknik eksikliklerin iş etkisini açık biçimde göstermelidir.

Örneğin “MFA eksik” ifadesi yerine hangi kritik erişimlerin risk altında olduğu açıklanmalıdır.

41. SECURESYS Siber Hijyen Denetimi ve Danışmanlığı

SECURESYS, kurumsal siber güvenlik çalışmalarında teknik doğrulama ve risk bazlı iyileştirme yaklaşımını esas alır.

Siber hijyen değerlendirmeleri kurumun mevcut altyapısına ve ihtiyaçlarına göre planlanabilir.

Hizmet kapsamı

Siber Hijyen Mevcut Durum Analizi

Temel güvenlik kontrollerinin değerlendirilmesi.

25 Kritik Kontrol Değerlendirmesi

Kontrol kapsamı ve etkinliğinin incelenmesi.

Zafiyet Yönetimi

Güvenlik açıklarının belirlenmesi ve önceliklendirilmesi.

Sistem ve Ağ Güvenlik Denetimi

Sunucu, ağ ve güvenlik cihazlarının değerlendirilmesi.

Kimlik ve Erişim Güvenliği

MFA, PAM ve erişim politikalarının incelenmesi.

Yedekleme ve Dayanıklılık

Veri koruma ve geri yükleme hazırlığının değerlendirilmesi.

SOC ve Sürekli Güvenlik İzleme

Güvenlik olaylarının izlenmesi ve müdahale süreçlerinin desteklenmesi.

ISO/IEC 27001 Uyum Danışmanlığı

Bilgi güvenliği yönetim sistemi gereksinimleriyle ilişkili süreçlerin değerlendirilmesi.

Temel yaklaşım

SECURESYS siber hijyen değerlendirmelerinde yalnızca eksikliklerin listelenmesini değil, uygulanabilir iyileştirme planı oluşturulmasını hedefler.

Çünkü güvenlik değerlendirmesinin değeri yalnızca bulgu sayısıyla değil, risklerin ne ölçüde azaltılabildiğiyle ilişkilidir.

42. Uygulanabilir 25 Maddelik Siber Hijyen Kontrol Listesi

• 1. Donanım ve dijital varlık envanteri güncel mi?
• 2. Yazılım envanteri ve onaylı uygulama listesi mevcut mu?
• 3. Kritik hesaplarda MFA uygulanıyor mu?
• 4. Ayrıcalıklı hesaplar güvenli yönetiliyor mu?
• 5. Kullanıcı yaşam döngüsü süreçleri uygulanıyor mu?
• 6. Parola ve kimlik bilgileri güvenli yönetiliyor mu?
• 7. Kritik güvenlik yamaları uygulanıyor mu?
• 8. Düzenli zafiyet yönetimi gerçekleştiriliyor mu?
• 9. Uç nokta koruması ve EDR kapsamı yeterli mi?
• 10. Güvenli sistem yapılandırmaları uygulanıyor mu?
• 11. Firewall kuralları düzenli gözden geçiriliyor mu?
• 12. Kritik ağlar uygun şekilde segmentlere ayrıldı mı?
• 13. VPN ve uzaktan erişim güvenliği sağlandı mı?
• 14. E-posta güvenliği ve DMARC kontrolleri mevcut mu?
• 15. Kullanıcı güvenlik farkındalığı eğitimleri yapılıyor mu?
• 16. Veri sınıflandırma ve DLP kontrolleri değerlendirildi mi?
• 17. Yedekleme ve geri yükleme testleri yapılıyor mu?
• 18. Kritik veriler uygun biçimde şifreleniyor mu?
• 19. Bulut ve SaaS güvenliği kontrol ediliyor mu?
• 20. Web uygulamaları ve API'ler güvenlik testlerinden geçiriliyor mu?
• 21. Merkezi loglama ve SIEM mevcut mu?
• 22. Güvenlik olayları düzenli izleniyor mu?
• 23. Siber olay müdahale planı mevcut ve test edilmiş mi?
• 24. Tedarikçi güvenlik riskleri yönetiliyor mu?
• 25. Periyodik güvenlik denetimi ve iyileştirme yapılıyor mu?

Bu kontrol listesi kurumun risk profiline göre genişletilebilir.

Sık Sorulan Sorular

Siber hijyen kontrol listesi nedir?

Kurumun temel siber güvenlik kontrollerini değerlendirmek ve eksiklikleri belirlemek için kullanılan sistematik kontrol listesidir.

Siber hijyen kontrolleri kaç maddeden oluşur?

Tek bir evrensel sayı bulunmaz. Bu rehber kurumsal kullanım için 25 kritik kontrol sunmaktadır.

Siber hijyen değerlendirmesi nasıl yapılır?

Varlık envanteri, teknik kontroller, politika ve prosedürler, kanıtlar ve güvenlik riskleri birlikte değerlendirilir.

Siber hijyen değerlendirmesi ne sıklıkla yapılmalıdır?

Kurumun risk seviyesine göre belirlenmelidir. Kritik kontroller sürekli izlenmeli ve kapsamlı değerlendirmeler planlı aralıklarla yapılmalıdır.

Siber hijyen ile ISO/IEC 27001 aynı şey midir?

Hayır. Siber hijyen temel güvenlik kontrollerine odaklanırken ISO/IEC 27001 bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

Siber hijyen ile CIS Controls arasındaki ilişki nedir?

CIS Controls, siber güvenlik kontrollerinin önceliklendirilmesinde kullanılabilen rehberdir. Siber hijyen değerlendirmeleri bu rehberden yararlanabilir.

MFA neden kritik kontroldür?

Parola ele geçirilmesi durumunda yetkisiz erişim riskini azaltmaya yardımcı olur.

EDR bütün siber saldırıları engeller mi?

Hayır. EDR önemli bir güvenlik katmanıdır ancak bütün saldırıları engelleme garantisi vermez.

Zafiyet yönetimi neden önemlidir?

Bilinen güvenlik açıklarının tespit edilmesini ve risk bazlı giderilmesini sağlar.

Yedekleme siber hijyen kapsamında mıdır?

Evet. Yedekleme ve geri yükleme testleri temel siber hijyen kontrollerindendir.

SOC siber hijyenin yerine geçer mi?

Hayır. SOC güvenlik olaylarını izlerken siber hijyen temel güvenlik zayıflıklarını azaltmaya odaklanır.

Siber hijyen puanı nasıl hesaplanır?

Kontrollerin olgunluk seviyeleri puanlanarak toplam veya ağırlıklı değerlendirme yapılabilir.

Siber hijyen puanının yüksek olması güvenliğin garanti edildiği anlamına gelir mi?

Hayır. Kritik bir güvenlik eksikliği yüksek toplam puana rağmen önemli risk oluşturabilir.

KOBİ'ler için hangi kontroller önceliklidir?

MFA, yama yönetimi, yedekleme, uç nokta koruması, kimlik güvenliği ve e-posta güvenliği genellikle önemli başlangıç alanlarıdır.

Siber hijyen danışmanlığı ne sağlar?

Mevcut güvenlik durumunun değerlendirilmesini, eksikliklerin belirlenmesini ve uygulanabilir iyileştirme planı oluşturulmasını destekler.

Siber hijyen denetiminde hangi kanıtlar kullanılır?

Varlık envanteri, MFA raporları, yama kayıtları, EDR kapsamı, firewall kuralları, yedekleme testleri ve güvenlik olay kayıtları gibi kanıtlar kullanılabilir.

Sonuç: 25 Kritik Kontrol, Sürdürülebilir Siber Güvenliğin Temelini Oluşturur

Kurumsal siber güvenlik yalnızca gelişmiş ürünlere sahip olmakla sağlanamaz.

Temel güvenlik kontrollerinin doğru ve sürekli uygulanması gerekir.

Varlık envanteri güncel tutulmalıdır.

Kritik hesaplar MFA ile korunmalıdır.

Ayrıcalıklı erişimler sınırlandırılmalıdır.

Güvenlik yamaları uygulanmalıdır.

Zafiyetler düzenli değerlendirilmelidir.

Uç noktalar korunmalıdır.

Ağ erişimleri kontrol edilmelidir.

Hassas veriler korunmalıdır.

Yedekleme ve geri yükleme süreçleri doğrulanmalıdır.

Güvenlik olayları izlenmelidir.

Ve bütün bu kontroller periyodik olarak değerlendirilmelidir.

Bu makalede ele alınan 25 kritik siber hijyen kontrolü, kurumların mevcut güvenlik seviyelerini ölçmeleri ve iyileştirme planı oluşturmaları için uygulanabilir bir başlangıç çerçevesi sunar.

Ancak kontrol listesinin tamamlanması tek başına yeterli değildir.

Kontrollerin gerçek sistemlerde doğrulanması, sorumluların belirlenmesi ve sonuçların ölçülmesi gerekir.

Siber güvenlikte önemli olan yalnızca hangi kontrollere sahip olduğunuz değil, bu kontrollerin ne kadar etkili çalıştığını bilmenizdir.