# Kurumsal Siber Hijyen Kontrol Listesi: 25 Kritik Güvenlik Önlemi ve Uygulama Rehberi

**URL:** https://securesys.com.tr/tr/bilgi-merkezi/siber-guvenlik-uyum-danismanlik/kurumsal-siber-hijyen-kontrol-listesi

![Kurumsal Siber Hijyen Kontrol Listesi: 25 Kritik Güvenlik Önlemi ve Uygulama Rehberi](/images/bilgi-merkezi/covers/cover-uyum-02.webp)

### Kurumsal Siber Hijyen Kontrol Listesi Nedir?

**Kurumsal siber hijyen kontrol listesi, bir organizasyonun bilgi sistemlerinde uygulanması gereken temel güvenlik önlemlerini sistematik biçimde değerlendirmek, eksiklikleri belirlemek ve iyileştirme çalışmalarını önceliklendirmek için kullanılan kontrol çerçevesidir.**

Bu kontrol listesi yalnızca teknik güvenlik ürünlerinin varlığını sorgulamaz.

Güvenlik kontrollerinin doğru yapılandırılıp yapılandırılmadığını, kapsamını, etkinliğini ve sürekliliğini de değerlendirir.

Örneğin kurumda EDR bulunması tek başına yeterli değildir.

EDR ajanlarının bütün kritik sistemlerde çalışması, merkezi olarak izlenmesi ve güvenlik olaylarının değerlendirilmesi gerekir.

Benzer şekilde MFA uygulanmış olması, bütün ayrıcalıklı hesapların korunduğu anlamına gelmez.

Siber hijyen değerlendirmesi bu tür eksiklikleri görünür hale getirmeyi amaçlar.

**Kısa cevap:** Kurumsal siber hijyen kontrol listesi; varlık yönetimi, kimlik güvenliği, sistem güvenliği, ağ güvenliği, veri koruma, güvenlik izleme ve olay müdahale alanlarındaki temel kontrollerin uygulanmasını ve doğrulanmasını sağlayan pratik değerlendirme aracıdır.

### \1. Kurumsal Siber Hijyen Neden Kontrol Listesiyle Yönetilmelidir?

Siber güvenlik çok sayıda teknik ve idari kontrol içerir.

Bu kontroller farklı ekipler tarafından yönetilebilir.

Sistem yöneticileri sunucu güncellemelerinden sorumludur.

Ağ ekipleri firewall ve VPN yapılandırmalarını yönetir.

Bilgi güvenliği ekipleri risk değerlendirmesi yapar.

SOC ekipleri güvenlik olaylarını izler.

İnsan kaynakları kullanıcı yaşam döngüsü süreçlerini destekler.

Bu dağıtık yapı içerisinde bazı kontrollerin gözden kaçması mümkündür.

Standart bir kontrol listesi, sorumlulukların ve değerlendirme kriterlerinin netleştirilmesini sağlar.

#### Temel faydalar

- Güvenlik kontrollerinin standartlaştırılması.
- Eksikliklerin sistematik tespiti.
- Sorumlulukların belirlenmesi.
- Risklerin önceliklendirilmesi.
- Denetim kanıtlarının oluşturulması.
- İyileştirme faaliyetlerinin takip edilmesi.
- Güvenlik olgunluğunun ölçülmesi.

Ancak kontrol listesinin tamamlanması tek başına güvenliğin sağlandığı anlamına gelmez.

Kontrollerin gerçek sistemlerde doğrulanması gerekir.

### \2. Siber Hijyen Kontrolleri Nasıl Önceliklendirilmelidir?

Her kurumun altyapısı ve risk profili farklıdır.

Bu nedenle bütün kontroller aynı öncelikte uygulanmayabilir.

Örneğin internete açık kritik sistemlerin güvenliği, izole test ortamındaki düşük etkili sistemlerden daha yüksek öncelik gerektirebilir.

#### Önerilen değerlendirme kriterleri

**Varlık kritiklik seviyesi:** Sistem iş süreçleri için ne kadar önemli?

**Tehdit maruziyeti:** Sistem internete veya güvenilmeyen ağlara açık mı?

**Zafiyet durumu:** Bilinen ve istismar edilebilir güvenlik açıkları bulunuyor mu?

**Veri hassasiyeti:** Sistem kişisel veya ticari açıdan hassas veri işliyor mu?

**Mevcut kontroller:** Riskleri azaltan güvenlik mekanizmaları mevcut mu?

**İş etkisi:** Güvenlik ihlali gerçekleşirse operasyonel sonuçlar ne olabilir?

Bu kriterler birlikte değerlendirilerek risk bazlı uygulama planı hazırlanmalıdır.

### A. VARLIK VE ENVANTER GÜVENLİĞİ

### \3. Kontrol 1: Donanım ve Dijital Varlık Envanteri

#### Güvenlik amacı

Kurumun sahip olduğu veya yönettiği dijital varlıkların belirlenmesi ve güncel tutulmasıdır.

#### Riskler

Bilinmeyen sunucular.

Kontrolsüz istemci cihazlar.

Yetkisiz ağ cihazları.

Envanter dışında kalan sanal makineler.

Güvenlik kontrollerinin uygulanmadığı sistemler.

#### Uygulama yöntemi

Sunucular, istemciler, ağ cihazları, sanal makineler ve bulut kaynakları envantere alınmalıdır.

Her varlık için teknik sorumlu belirlenmelidir.

Kritiklik seviyesi tanımlanmalıdır.

Yeni varlıkların envantere otomatik veya kontrollü biçimde eklenmesi sağlanmalıdır.

#### Teknik doğrulama

Envanter kayıtları ağ keşfi ve sistem yönetimi verileriyle karşılaştırılabilir.

Envanterde bulunmayan cihazlar incelenebilir.

#### Örnek KPI

**Envanter kapsamı = Envantere alınmış doğrulanmış varlık sayısı / Tespit edilen toplam varlık sayısı × 100**

**Önerilen sorumlu:** BT Operasyon / Sistem Yönetimi

**Öncelik:** Kritik

### \4. Kontrol 2: Yazılım Envanteri ve Yetkisiz Uygulama Yönetimi

#### Güvenlik amacı

Kurumsal sistemlerde kullanılan yazılımların ve sürümlerinin kontrol altında tutulmasıdır.

#### Riskler

Destek süresi bitmiş yazılımlar.

Güvenlik açığı bulunan uygulamalar.

Yetkisiz uzaktan erişim araçları.

Kontrolsüz tarayıcı eklentileri.

Zararlı yazılım içeren paketler.

#### Uygulama yöntemi

Onaylı yazılım listesi oluşturulmalıdır.

Kurulu yazılımlar merkezi olarak izlenmelidir.

Kullanılmayan uygulamalar kaldırılmalıdır.

Destek süresi bitmiş ürünler belirlenmelidir.

Uygun ortamlarda uygulama izin listesi uygulanabilir.

#### Teknik doğrulama

Uç nokta yönetimi ve yazılım envanter araçlarından alınan kayıtlar karşılaştırılabilir.

#### Örnek KPI

Destek dışı yazılım kullanan kritik varlık sayısı.

**Önerilen sorumlu:** BT Operasyon / Uç Nokta Yönetimi

**Öncelik:** Yüksek

### B. KİMLİK VE ERİŞİM GÜVENLİĞİ

### \5. Kontrol 3: Çok Faktörlü Kimlik Doğrulama (MFA)

#### Güvenlik amacı

Kullanıcı hesaplarının yalnızca parola bilgisiyle ele geçirilmesi riskini azaltmaktır.

#### Riskler

Parola ele geçirme.

Credential Stuffing.

Phishing.

Yetkisiz VPN erişimi.

Bulut hesaplarının kötüye kullanılması.

#### Uygulama yöntemi

MFA öncelikle yönetici hesaplarında, uzaktan erişim sistemlerinde ve kritik uygulamalarda uygulanmalıdır.

Yüksek riskli erişimlerde phishing-resistant MFA yöntemleri değerlendirilmelidir.

MFA kayıt ve kurtarma süreçleri de güvenli biçimde yönetilmelidir.

#### Teknik doğrulama

Kimlik sağlayıcısı raporları incelenebilir.

MFA istisnaları belirlenebilir.

Kritik hesaplar için erişim testleri yapılabilir.

#### Örnek KPI

Kritik hesaplarda MFA kapsam oranı.

**Önerilen sorumlu:** IAM / Bilgi Güvenliği

**Öncelik:** Kritik

### \6. Kontrol 4: Ayrıcalıklı Hesap Yönetimi (PAM)

#### Güvenlik amacı

Yüksek yetkili hesapların kötüye kullanılma riskini azaltmaktır.

#### Riskler

Domain Admin hesaplarının ele geçirilmesi.

Kontrolsüz yönetici erişimi.

Paylaşılan yönetici hesapları.

Yetkisiz yapılandırma değişiklikleri.

#### Uygulama yöntemi

Yönetici hesapları normal kullanıcı hesaplarından ayrılmalıdır.

En az yetki uygulanmalıdır.

MFA kullanılmalıdır.

Yönetici oturumları uygun şekilde izlenmelidir.

Gerektiğinde geçici yetkilendirme uygulanmalıdır.

#### Teknik doğrulama

Ayrıcalıklı grup üyelikleri incelenebilir.

Yönetici oturum kayıtları değerlendirilebilir.

Yetki matrisi doğrulanabilir.

#### Örnek KPI

Gözden geçirilmemiş ayrıcalıklı hesap sayısı.

**Önerilen sorumlu:** IAM / Sistem Yönetimi

**Öncelik:** Kritik

### \7. Kontrol 5: Kullanıcı Yaşam Döngüsü ve Erişim Yönetimi

#### Güvenlik amacı

Çalışanların ve dış kullanıcıların erişimlerinin görevleriyle uyumlu yönetilmesidir.

#### Riskler

İşten ayrılan kullanıcıların aktif kalması.

Görev değişikliği sonrası eski yetkilerin korunması.

Gereksiz erişim birikimi.

Kontrolsüz dış kullanıcı hesapları.

#### Uygulama yöntemi

İşe giriş, görev değişikliği ve işten ayrılma süreçleri tanımlanmalıdır.

İnsan kaynakları ve BT süreçleri ilişkilendirilmelidir.

Yetkiler düzenli gözden geçirilmelidir.

Servis hesapları ayrıca değerlendirilmelidir.

#### Teknik doğrulama

Aktif hesap listeleri personel kayıtlarıyla karşılaştırılabilir.

Yetki onayları ve kapatma kayıtları incelenebilir.

#### Örnek KPI

İşten ayrılma sonrası hedef süre içerisinde kapatılan hesapların oranı.

**Önerilen sorumlu:** İnsan Kaynakları / IAM

**Öncelik:** Kritik

### \8. Kontrol 6: Parola ve Kimlik Bilgisi Güvenliği

#### Güvenlik amacı

Parola ve diğer kimlik bilgilerinin güvenli biçimde oluşturulması, saklanması ve kullanılmasıdır.

#### Riskler

Zayıf parolalar.

Parola tekrar kullanımı.

Paylaşılan hesaplar.

Açık metin parola saklama.

Kaynak kod içerisine eklenmiş erişim anahtarları.

#### Uygulama yöntemi

Uzun ve benzersiz parolalar kullanılmalıdır.

Parola yöneticileri değerlendirilebilir.

Bilinen ele geçirilmiş parolalar engellenmelidir.

Servis hesapları ve API anahtarları güvenli secret management çözümleriyle yönetilmelidir.

#### Teknik doğrulama

Parola politikaları incelenebilir.

Yetkili ve kontrollü güvenlik değerlendirmeleri gerçekleştirilebilir.

Kod depolarında secret scanning uygulanabilir.

#### Örnek KPI

Politika dışı veya güvenli saklama kapsamı dışında kalan kimlik bilgisi sayısı.

**Önerilen sorumlu:** IAM / Bilgi Güvenliği / DevOps

**Öncelik:** Yüksek

### C. SİSTEM VE UÇ NOKTA GÜVENLİĞİ

### \9. Kontrol 7: Yama Yönetimi

#### Güvenlik amacı

Bilinen güvenlik açıklarının istismar edilme riskini azaltmaktır.

#### Riskler

Güncel olmayan işletim sistemleri.

Güvenlik açığı bulunan uygulamalar.

Aktif istismar edilen zafiyetler.

Destek süresi bitmiş sistemler.

#### Uygulama yöntemi

Yama yönetimi politikası oluşturulmalıdır.

Kritik varlıklar önceliklendirilmelidir.

Güncellemeler uygun ortamlarda test edilmelidir.

Dağıtım sonuçları doğrulanmalıdır.

Acil güvenlik güncellemeleri için ayrı süreç tanımlanmalıdır.

#### Teknik doğrulama

Yama yönetimi raporları incelenebilir.

Zafiyet taramalarıyla sonuçlar doğrulanabilir.

#### Örnek KPI

Belirlenen hedef süre içerisinde giderilen kritik yama eksikliklerinin oranı.

**Önerilen sorumlu:** Sistem Yönetimi / BT Operasyon

**Öncelik:** Kritik

### \10. Kontrol 8: Zafiyet Yönetimi

#### Güvenlik amacı

Kurumsal sistemlerdeki güvenlik açıklarının sürekli belirlenmesi ve risk bazlı yönetilmesidir.

#### Riskler

Bilinmeyen güvenlik açıkları.

Yanlış yapılandırmalar.

İnternete açık zafiyetli servisler.

Geciken iyileştirmeler.

#### Uygulama yöntemi

Düzenli zafiyet taramaları gerçekleştirilmelidir.

Bulgular doğrulanmalıdır.

Riskler varlık kritikliğine göre önceliklendirilmelidir.

İyileştirme sorumluları belirlenmelidir.

Düzeltmeler yeniden doğrulanmalıdır.

#### Teknik doğrulama

Zafiyet tarama sonuçları ve düzeltme kayıtları karşılaştırılabilir.

Kritik açıkların kapanma durumu incelenebilir.

#### Örnek KPI

Hedef süresi aşılmış kritik zafiyet sayısı.

**Önerilen sorumlu:** Bilgi Güvenliği / Sistem Yönetimi

**Öncelik:** Kritik

### \11. Kontrol 9: EDR ve Uç Nokta Koruması

#### Güvenlik amacı

Uç noktalarda zararlı faaliyetlerin önlenmesi, tespit edilmesi ve incelenmesini desteklemektir.

#### Riskler

Zararlı yazılım.

Fidye yazılımı.

Yetkisiz süreç çalıştırma.

Kimlik bilgisi hırsızlığı.

Şüpheli komut çalıştırma.

#### Uygulama yöntemi

Uygun uç nokta koruma çözümü kullanılmalıdır.

Ajan kapsamı izlenmelidir.

Koruma politikaları güncel tutulmalıdır.

Kritik alarmlar değerlendirilmelidir.

Koruma dışı sistemler belirlenmelidir.

#### Teknik doğrulama

EDR yönetim panelindeki cihaz kayıtları varlık envanteriyle karşılaştırılabilir.

Ajan sağlığı ve politika durumu kontrol edilebilir.

#### Örnek KPI

Aktif ve sağlıklı EDR ajanı bulunan uygun cihazların oranı.

**Önerilen sorumlu:** Uç Nokta Yönetimi / SOC

**Öncelik:** Kritik

### \12. Kontrol 10: Güvenli Sistem Yapılandırması (Hardening)

#### Güvenlik amacı

Sistemlerde gereksiz servislerin ve riskli yapılandırmaların azaltılmasıdır.

#### Riskler

Varsayılan hesaplar.

Gereksiz servisler.

Açık yönetim portları.

Zayıf güvenlik politikaları.

Güvensiz protokoller.

#### Uygulama yöntemi

İşletim sistemi ve uygulama bazlı güvenli yapılandırma standartları oluşturulmalıdır.

CIS Benchmarks gibi rehberlerden yararlanılabilir.

Gereksiz servisler kapatılmalıdır.

Yapılandırma değişiklikleri kontrollü yapılmalıdır.

#### Teknik doğrulama

Konfigürasyon denetimleri gerçekleştirilebilir.

Güvenli yapılandırma kontrol listeleri kullanılabilir.

#### Örnek KPI

Güvenli yapılandırma standardına uyumlu kritik sistemlerin oranı.

**Önerilen sorumlu:** Sistem Yönetimi / Bilgi Güvenliği

**Öncelik:** Yüksek

### D. AĞ VE İLETİŞİM GÜVENLİĞİ

### \13. Kontrol 11: Firewall Kural Yönetimi

#### Güvenlik amacı

Ağ erişimlerinin yalnızca gerekli kaynaklar ve servislerle sınırlandırılmasıdır.

#### Riskler

Gereğinden geniş erişim kuralları.

Kullanılmayan firewall politikaları.

Kontrolsüz yönetim erişimi.

Yanlış NAT yapılandırmaları.

#### Uygulama yöntemi

Firewall kuralları düzenli gözden geçirilmelidir.

Kural sahipleri belirlenmelidir.

Gereksiz erişimler kaldırılmalıdır.

Kritik değişiklikler onaylanmalıdır.

#### Teknik doğrulama

Kural tabanı incelenebilir.

Trafik kayıtları değerlendirilebilir.

Kullanılmayan kurallar belirlenebilir.

#### Örnek KPI

Sahibi veya gerekçesi bulunmayan aktif firewall kuralı sayısı.

**Önerilen sorumlu:** Ağ Güvenliği

**Öncelik:** Yüksek

### \14. Kontrol 12: Ağ Segmentasyonu

#### Güvenlik amacı

Farklı güvenlik seviyelerindeki sistemler arasındaki erişimlerin kontrol edilmesidir.

#### Riskler

Saldırganın ağ içerisinde yatay hareket etmesi.

Kullanıcı ağından kritik sunuculara erişim.

Yönetim ağlarının kontrolsüz kullanımı.

#### Uygulama yöntemi

Kritik sistemler ayrı güvenlik bölgelerinde konumlandırılmalıdır.

VLAN ve firewall politikaları uygulanmalıdır.

Yönetim ağları ayrılmalıdır.

Gereksiz sistemler arası erişimler engellenmelidir.

#### Teknik doğrulama

Ağ erişim testleri yapılabilir.

Segmentasyon kuralları incelenebilir.

#### Örnek KPI

Onaylı segmentasyon politikası bulunan kritik sistem gruplarının oranı.

**Önerilen sorumlu:** Ağ Yönetimi / Ağ Güvenliği

**Öncelik:** Yüksek

### \15. Kontrol 13: VPN ve Uzaktan Erişim Güvenliği

#### Güvenlik amacı

Kurum dışından gerçekleştirilen erişimlerin güvenli biçimde yönetilmesidir.

#### Riskler

Ele geçirilmiş VPN hesapları.

MFA eksikliği.

Gereğinden geniş ağ erişimi.

Eski kullanıcı hesapları.

Güncel olmayan VPN cihazları.

#### Uygulama yöntemi

VPN erişimlerinde MFA uygulanmalıdır.

Erişim yetkileri sınırlandırılmalıdır.

Kullanıcı hesapları düzenli gözden geçirilmelidir.

VPN altyapısı güncel tutulmalıdır.

Erişim kayıtları izlenmelidir.

#### Teknik doğrulama

VPN kullanıcı listeleri incelenebilir.

MFA kapsamı doğrulanabilir.

Yetki ve bağlantı kayıtları değerlendirilebilir.

#### Örnek KPI

MFA koruması bulunmayan aktif uzaktan erişim hesabı sayısı.

**Önerilen sorumlu:** Ağ Güvenliği / IAM

**Öncelik:** Kritik

### E. E-POSTA VE KULLANICI GÜVENLİĞİ

### \16. Kontrol 14: E-Posta Güvenliği ve DMARC

#### Güvenlik amacı

E-posta kaynaklı kimlik taklidi ve zararlı içerik risklerinin azaltılmasıdır.

#### Riskler

Phishing.

Business Email Compromise.

Zararlı ekler.

Sahte alan adı kullanımı.

#### Uygulama yöntemi

E-posta güvenlik filtreleri uygulanmalıdır.

SPF, DKIM ve DMARC yapılandırmaları değerlendirilmelidir.

Şüpheli bağlantı ve ek kontrolleri kullanılmalıdır.

MFA uygulanmalıdır.

#### Teknik doğrulama

DNS kayıtları incelenebilir.

DMARC raporları değerlendirilebilir.

E-posta güvenlik politikaları doğrulanabilir.

#### Örnek KPI

DMARC politikası ve raporlama mekanizması uygun yapılandırılmış kurumsal alan adlarının oranı.

**Önerilen sorumlu:** E-Posta Yönetimi / Bilgi Güvenliği

**Öncelik:** Yüksek

### \17. Kontrol 15: Güvenlik Farkındalığı ve Phishing Eğitimleri

#### Güvenlik amacı

Çalışanların siber tehditleri tanıma ve güvenli davranış geliştirme yetkinliğini artırmaktır.

#### Riskler

Sahte giriş sayfaları.

Şüpheli bağlantılar.

Sosyal mühendislik.

Yanlışlıkla veri paylaşımı.

#### Uygulama yöntemi

Düzenli farkındalık eğitimleri düzenlenmelidir.

Gerçekçi ve etik phishing simülasyonları uygulanabilir.

Olay bildirim kanalları tanımlanmalıdır.

Çalışanların şüpheli mesajları bildirmesi teşvik edilmelidir.

#### Teknik doğrulama

Eğitim katılım kayıtları incelenebilir.

Simülasyon sonuçları değerlendirilebilir.

Şüpheli mesaj bildirim süreçleri ölçülebilir.

#### Örnek KPI

Eğitim tamamlanma oranı ve doğrulanmış phishing bildirim oranı.

**Önerilen sorumlu:** Bilgi Güvenliği / İnsan Kaynakları

**Öncelik:** Yüksek

### F. VERİ GÜVENLİĞİ VE YEDEKLEME

### \18. Kontrol 16: Veri Sınıflandırma ve DLP

#### Güvenlik amacı

Kurumsal verilerin hassasiyet seviyelerine göre korunmasıdır.

#### Riskler

Kişisel veri sızıntısı.

Ticari sırların açıklanması.

Kontrolsüz dosya paylaşımı.

Yetkisiz veri aktarımı.

#### Uygulama yöntemi

Veri sınıflandırma politikası oluşturulmalıdır.

Hassas veri türleri belirlenmelidir.

Paylaşım kuralları tanımlanmalıdır.

Gerekli ortamlarda DLP kontrolleri uygulanmalıdır.

#### Teknik doğrulama

Dosya paylaşım izinleri incelenebilir.

DLP politikaları kontrollü test verileriyle doğrulanabilir.

#### Örnek KPI

Sınıflandırılmış kritik veri kaynaklarının oranı.

**Önerilen sorumlu:** Bilgi Güvenliği / Veri Sahipleri

**Öncelik:** Yüksek

### \19. Kontrol 17: Yedekleme Güvenliği

#### Güvenlik amacı

Veri kaybı ve hizmet kesintisi durumlarında kurtarma kapasitesinin korunmasıdır.

#### Riskler

Fidye yazılımı.

Veri silinmesi.

Depolama arızası.

Yedeklerin bozulması.

#### Uygulama yöntemi

Yedekleme politikası oluşturulmalıdır.

Kritik sistemler için yedekleme sıklığı belirlenmelidir.

Yedeklere erişim sınırlandırılmalıdır.

Çevrimdışı veya değiştirilemez yedek seçenekleri değerlendirilmelidir.

#### Teknik doğrulama

Yedekleme başarı kayıtları incelenebilir.

Geri yükleme testleri gerçekleştirilebilir.

#### Örnek KPI

Başarılı yedekleme oranı ve geri yükleme testi başarı oranı.

**Önerilen sorumlu:** Sistem Yönetimi / Yedekleme Ekibi

**Öncelik:** Kritik

### \20. Kontrol 18: Veri Şifreleme

#### Güvenlik amacı

Verilerin yetkisiz erişim durumunda okunabilirliğinin azaltılmasıdır.

#### Riskler

Cihaz kaybı.

Yetkisiz depolama erişimi.

Ağ trafiğinin dinlenmesi.

Hassas veri açıklama.

#### Uygulama yöntemi

Uygun sistemlerde disk şifreleme kullanılmalıdır.

Veri aktarımında güvenli protokoller tercih edilmelidir.

Şifreleme anahtarları güvenli yönetilmelidir.

Yedekleme verileri uygun şekilde korunmalıdır.

#### Teknik doğrulama

Disk şifreleme durumları incelenebilir.

TLS yapılandırmaları değerlendirilebilir.

Anahtar yönetimi süreçleri kontrol edilebilir.

#### Örnek KPI

Şifreleme politikasına uyumlu kritik cihaz ve veri depolarının oranı.

**Önerilen sorumlu:** BT Operasyon / Bilgi Güvenliği

**Öncelik:** Yüksek

### G. BULUT VE UYGULAMA GÜVENLİĞİ

### \21. Kontrol 19: Bulut ve SaaS Güvenliği

#### Güvenlik amacı

Bulut servisleri ve SaaS uygulamalarındaki yanlış yapılandırma ve erişim risklerinin azaltılmasıdır.

#### Riskler

Herkese açık depolama.

Gereğinden geniş IAM yetkileri.

Kontrolsüz dosya paylaşımı.

Yetkisiz OAuth uygulamaları.

#### Uygulama yöntemi

Bulut varlıkları envantere alınmalıdır.

IAM politikaları gözden geçirilmelidir.

MFA uygulanmalıdır.

Depolama erişimleri kontrol edilmelidir.

Güvenlik logları etkinleştirilmelidir.

#### Teknik doğrulama

Bulut yapılandırmaları incelenebilir.

SaaS erişim raporları değerlendirilebilir.

#### Örnek KPI

Kritik bulut yapılandırma bulgularının sayısı.

**Önerilen sorumlu:** Bulut Operasyon / Bilgi Güvenliği

**Öncelik:** Yüksek

### \22. Kontrol 20: Web Uygulaması ve API Güvenliği

#### Güvenlik amacı

Kurumsal uygulamalardaki güvenlik açıklarının azaltılmasıdır.

#### Riskler

Broken Access Control.

Injection.

Authentication problemleri.

Güvensiz API erişimi.

Hassas veri açıklama.

#### Uygulama yöntemi

Secure Coding prensipleri uygulanmalıdır.

Kod incelemeleri yapılmalıdır.

SAST ve DAST gibi test yöntemleri değerlendirilebilir.

API yetkilendirme kontrolleri uygulanmalıdır.

Risk bazlı sızma testleri gerçekleştirilmelidir.

#### Teknik doğrulama

Uygulama güvenlik testleri ve kaynak kod incelemeleri yapılabilir.

Bulguların giderilmesi retest ile doğrulanabilir.

#### Örnek KPI

Hedef süresi aşılmış yüksek riskli uygulama güvenlik bulgusu sayısı.

**Önerilen sorumlu:** Yazılım Geliştirme / AppSec

**Öncelik:** Yüksek

### H. GÜVENLİK İZLEME VE OLAY MÜDAHALESİ

### \23. Kontrol 21: Merkezi Loglama ve SIEM

#### Güvenlik amacı

Güvenlik olaylarının tespit edilmesini ve analiz edilmesini desteklemektir.

#### Riskler

Güvenlik olaylarının fark edilmemesi.

Yetersiz denetim kayıtları.

Olay inceleme güçlüğü.

#### Uygulama yöntemi

Kritik log kaynakları belirlenmelidir.

Merkezi log toplama uygulanmalıdır.

Zaman senkronizasyonu sağlanmalıdır.

Güvenlik olayları için korelasyon kuralları oluşturulmalıdır.

#### Teknik doğrulama

Log kaynakları envanterle karşılaştırılabilir.

Olay kayıtlarının zamanında ulaştığı doğrulanabilir.

#### Örnek KPI

Merkezi loglama kapsamındaki kritik sistemlerin oranı.

**Önerilen sorumlu:** SOC / Bilgi Güvenliği

**Öncelik:** Yüksek

### \24. Kontrol 22: SOC ve Sürekli Güvenlik İzleme

#### Güvenlik amacı

Şüpheli faaliyetlerin izlenmesi ve güvenlik olaylarının değerlendirilmesidir.

#### Riskler

Geç tespit edilen saldırılar.

Yanlış yapılandırılmış alarmlar.

İncelenmeyen güvenlik olayları.

#### Uygulama yöntemi

Kritik güvenlik senaryoları belirlenmelidir.

Log ve EDR verileri ilişkilendirilmelidir.

Alarm öncelikleri tanımlanmalıdır.

Olay inceleme ve bildirim süreçleri oluşturulmalıdır.

#### Teknik doğrulama

Kontrollü test olayları oluşturularak tespit ve bildirim akışları doğrulanabilir.

#### Örnek KPI

MTTD: Mean Time to Detect.

MTTR: Mean Time to Respond veya kurumun tanımına göre Mean Time to Resolve.

Metrik tanımları raporlamada açıkça belirtilmelidir.

**Önerilen sorumlu:** SOC

**Öncelik:** Yüksek

### \25. Kontrol 23: Siber Olay Müdahale Planı

#### Güvenlik amacı

Siber güvenlik olaylarına koordineli ve etkili müdahale edilmesini sağlamaktır.

#### Riskler

Müdahale gecikmesi.

Yanlış kararlar.

Kanıt kaybı.

Uzayan hizmet kesintisi.

#### Uygulama yöntemi

Olay müdahale planı hazırlanmalıdır.

Roller ve sorumluluklar belirlenmelidir.

İletişim kanalları tanımlanmalıdır.

Kritik olay senaryoları oluşturulmalıdır.

Masa başı tatbikatları yapılmalıdır.

#### Teknik doğrulama

Olay müdahale tatbikatları gerçekleştirilebilir.

Müdahale kayıtları değerlendirilebilir.

#### Örnek KPI

Planlanan olay müdahale tatbikatlarının tamamlanma oranı.

**Önerilen sorumlu:** Bilgi Güvenliği / SOC / Kriz Yönetimi

**Öncelik:** Kritik

### I. YÖNETİŞİM VE SÜREKLİ İYİLEŞTİRME

### \26. Kontrol 24: Tedarikçi ve Üçüncü Taraf Güvenliği

#### Güvenlik amacı

Kurumsal sistemlere erişen veya veri işleyen üçüncü tarafların oluşturduğu risklerin yönetilmesidir.

#### Riskler

Kontrolsüz tedarikçi erişimi.

Güvenlik gereksinimi bulunmayan sözleşmeler.

Eski dış kullanıcı hesapları.

Tedarikçi kaynaklı veri ihlali.

#### Uygulama yöntemi

Kritik tedarikçiler belirlenmelidir.

Güvenlik gereksinimleri sözleşmelere dahil edilmelidir.

Tedarikçi erişimleri sınırlandırılmalıdır.

Periyodik risk değerlendirmeleri yapılmalıdır.

#### Teknik doğrulama

Tedarikçi hesapları ve erişim kayıtları incelenebilir.

Sözleşmesel güvenlik yükümlülükleri değerlendirilebilir.

#### Örnek KPI

Güncel güvenlik değerlendirmesi bulunan kritik tedarikçilerin oranı.

**Önerilen sorumlu:** Satın Alma / Bilgi Güvenliği / Hukuk

**Öncelik:** Yüksek

### \27. Kontrol 25: Periyodik Güvenlik Denetimi ve İyileştirme

#### Güvenlik amacı

Temel güvenlik kontrollerinin etkinliğinin düzenli doğrulanması ve eksikliklerin giderilmesidir.

#### Riskler

Tekrarlayan güvenlik açıkları.

Kapanmayan denetim bulguları.

Güncelliğini kaybeden politikalar.

Kontrol etkinliğinin azalması.

#### Uygulama yöntemi

Periyodik güvenlik denetimleri planlanmalıdır.

Kontrol sahipleri belirlenmelidir.

Bulgular risk seviyesine göre önceliklendirilmelidir.

İyileştirme planları hazırlanmalıdır.

Düzeltmeler doğrulanmalıdır.

#### Teknik doğrulama

Denetim raporları ve aksiyon kayıtları incelenebilir.

Kapatılan bulgular retest ile doğrulanabilir.

#### Örnek KPI

Hedef süre içerisinde kapatılan güvenlik denetimi bulgularının oranı.

**Önerilen sorumlu:** Bilgi Güvenliği / İç Denetim

**Öncelik:** Yüksek

### \28. Siber Hijyen Kontrollerinin Öncelik Matrisi

Aşağıdaki tablo, 25 kontrolün başlangıç düzeyinde önceliklendirilmesi için örnek sunar.

| Kontrol | Öncelik | Temel hedef |
| --- | --- | --- |
| Varlık envanteri | Kritik | Görünürlük |
| Yazılım envanteri | Yüksek | Kontrolsüz yazılım riskini azaltma |
| MFA | Kritik | Hesap güvenliği |
| PAM | Kritik | Ayrıcalıklı erişim güvenliği |
| Kullanıcı yaşam döngüsü | Kritik | Yetkisiz erişimi azaltma |
| Parola ve secret yönetimi | Yüksek | Kimlik bilgisi güvenliği |
| Yama yönetimi | Kritik | Bilinen açıkları giderme |
| Zafiyet yönetimi | Kritik | Riskleri belirleme |
| EDR | Kritik | Uç nokta koruması |
| Hardening | Yüksek | Saldırı yüzeyini azaltma |
| Firewall yönetimi | Yüksek | Ağ erişim kontrolü |
| Ağ segmentasyonu | Yüksek | Yatay hareketi sınırlandırma |
| VPN güvenliği | Kritik | Uzaktan erişim |
| E-posta güvenliği | Yüksek | Phishing riskini azaltma |
| Farkındalık | Yüksek | Kullanıcı güvenliği |
| Veri sınıflandırma ve DLP | Yüksek | Veri koruma |
| Yedekleme | Kritik | Veri kurtarma |
| Şifreleme | Yüksek | Veri gizliliği |
| Bulut güvenliği | Yüksek | Bulut yapılandırma güvenliği |
| Web ve API güvenliği | Yüksek | Uygulama güvenliği |
| SIEM | Yüksek | Olay görünürlüğü |
| SOC | Yüksek | Güvenlik izleme |
| Olay müdahale | Kritik | Müdahale hazırlığı |
| Tedarikçi güvenliği | Yüksek | Üçüncü taraf riskleri |
| Periyodik denetim | Yüksek | Sürekli iyileştirme |

Bu öncelikler örnek niteliğindedir.

Gerçek uygulama sırası kurumun risk değerlendirmesine göre belirlenmelidir.

### \29. Siber Hijyen Olgunluk Değerlendirme Modeli

Kurumlar kontrollerin mevcut durumunu ölçmek için basit bir olgunluk modeli kullanabilir.

#### Seviye 0: Uygulanmıyor

Kontrol mevcut değildir veya uygulanmasına ilişkin doğrulanabilir kanıt bulunmamaktadır.

#### Seviye 1: Kısmi

Kontrol bazı sistemlerde uygulanmaktadır.

Ancak kapsam ve süreç tutarlılığı yetersizdir.

#### Seviye 2: Tanımlı

Kontrol için politika veya prosedür bulunmaktadır.

Uygulama kapsamı belirlenmiştir.

#### Seviye 3: Yönetilen

Kontrol düzenli uygulanmakta ve sorumluları tarafından takip edilmektedir.

#### Seviye 4: Ölçülen

Kontrolün etkinliği performans göstergeleri ve doğrulama faaliyetleriyle izlenmektedir.

#### Seviye 5: Optimize Edilen

Kontrol sonuçları sürekli iyileştirme süreçlerine dahil edilmektedir.

Bu model kurum içi değerlendirme için örnektir.

Resmî ISO veya CIS sertifikasyon seviyesi değildir.

### \30. Siber Hijyen Puanı Nasıl Hesaplanır?

Basit bir değerlendirme yaklaşımında her kontrol için 0–5 arasında puan verilebilir.

25 kontrolün tamamı eşit ağırlıklı değerlendirilirse maksimum puan:

**25 × 5 = 125**

Örnek olarak kurumun toplam puanı 85 olsun.

Olgunluk oranı:

**85 / 125 × 100 = %68**

Bu sonuç, kurumun örnek değerlendirme modelinde %68 puan elde ettiğini gösterir.

Ancak %68 puan, kurumun %68 güvenli olduğu anlamına gelmez.

Çünkü kritik bir MFA veya yedekleme eksikliği toplam puanın gizlediği önemli risk oluşturabilir.

Bu nedenle puanlama mutlaka kritik bulgularla birlikte raporlanmalıdır.

### \31. Risk Bazlı Ağırlıklı Puanlama

Daha gelişmiş değerlendirmelerde kontroller farklı ağırlıklarla değerlendirilebilir.

Örneğin:

Kritik kontrol: 4 puan ağırlık.

Yüksek kontrol: 3 puan ağırlık.

Orta kontrol: 2 puan ağırlık.

Düşük kontrol: 1 puan ağırlık.

#### Hesaplama yaklaşımı

Her kontrolün olgunluk puanı ağırlığıyla çarpılır.

Toplam ağırlıklı puan, ulaşılabilecek maksimum ağırlıklı puana bölünür.

Bu yaklaşım kritik kontrollerin toplam değerlendirme üzerindeki etkisini artırır.

Ancak ağırlıkların kurumun gerçek risk profiline göre belirlenmesi gerekir.

### \32. Siber Hijyen Denetiminde Kanıt Yönetimi

Kontrollerin yalnızca sözlü beyanlarla değerlendirilmesi yeterli olmayabilir.

Uygun kanıtların toplanması gerekir.

#### Örnek kanıtlar

Varlık envanteri.

MFA raporları.

Yama yönetimi kayıtları.

EDR kapsam raporları.

Firewall kural listeleri.

Yedekleme sonuçları.

Geri yükleme test kayıtları.

Zafiyet tarama raporları.

SOC olay kayıtları.

Olay müdahale tatbikat raporları.

#### Kanıt güvenliği

Kanıtlar hassas bilgi içerebilir.

Bu nedenle erişim kontrolü, saklama süresi ve veri minimizasyonu prensipleri uygulanmalıdır.

### \33. İlk 30 Günlük Uygulama Planı

#### 1–7. Gün

Kritik varlıkların belirlenmesi.

Yönetici hesaplarının incelenmesi.

MFA kapsamının değerlendirilmesi.

İnternete açık sistemlerin belirlenmesi.

#### 8–14. Gün

Kritik zafiyetlerin değerlendirilmesi.

Yama eksikliklerinin belirlenmesi.

EDR kapsamının kontrol edilmesi.

#### 15–21. Gün

Yedekleme politikalarının incelenmesi.

Geri yükleme testlerinin planlanması.

Firewall erişimlerinin değerlendirilmesi.

#### 22–30. Gün

Log kaynaklarının incelenmesi.

Olay müdahale hazırlığının değerlendirilmesi.

İyileştirme planının oluşturulması.

Bu plan başlangıç seviyesinde örnek bir yol haritasıdır.

### \34. İlk 90 Günlük Siber Hijyen İyileştirme Programı

#### Faz 1: Mevcut Durum

25 kontrolün değerlendirilmesi.

Eksikliklerin belirlenmesi.

Risk puanlaması.

#### Faz 2: Kritik Kontroller

MFA.

Yama yönetimi.

EDR.

Yedekleme.

Ayrıcalıklı erişim.

#### Faz 3: Operasyonel Güvenlik

Zafiyet yönetimi.

Merkezi loglama.

SOC izleme.

Olay müdahale.

#### Faz 4: Sürekli İyileştirme

KPI oluşturma.

Periyodik denetim.

Retest.

Yönetim raporlaması.

Bu yaklaşım siber hijyenin sürdürülebilir bir programa dönüştürülmesini destekler.

### \35. KOBİ'ler İçin 25 Kontrol Nasıl Uygulanmalıdır?

Küçük ve orta ölçekli işletmelerde bütçe ve personel kaynakları sınırlı olabilir.

Bu nedenle kontroller aşamalı uygulanmalıdır.

#### İlk öncelikler

MFA.

Yedekleme.

Güncel sistemler.

Uç nokta koruması.

Yönetici hesap güvenliği.

E-posta güvenliği.

Kullanıcı farkındalığı.

#### İkinci aşama

Zafiyet yönetimi.

Merkezi loglama.

Firewall kural yönetimi.

Bulut güvenliği.

Periyodik güvenlik denetimi.

Bu yaklaşım temel risklerin öncelikli azaltılmasına yardımcı olur.

Ancak yüksek riskli faaliyetler yürüten KOBİ'lerde daha kapsamlı kontroller gerekebilir.

### \36. Büyük Kurumlar İçin Siber Hijyen Otomasyonu

Büyük organizasyonlarda binlerce varlık bulunabilir.

Bu nedenle manuel kontrol süreçleri yetersiz kalabilir.

#### Otomasyon alanları

Varlık keşfi.

Yazılım envanteri.

Yama uyumluluk kontrolü.

Zafiyet taraması.

EDR kapsam izleme.

Kimlik yaşam döngüsü.

Konfigürasyon uyumluluğu.

Log toplama.

#### Önemli nokta

Otomasyon yalnızca veri toplama amacıyla kullanılmamalıdır.

Tespit edilen eksikliklerin sorumlulara atanması ve iyileştirme süreçlerinin takip edilmesi gerekir.

### \37. Siber Hijyen ile ISO/IEC 27001 İlişkisi

ISO/IEC 27001, bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

Siber hijyen kontrolleri bu yönetim sisteminin teknik ve operasyonel uygulamalarını destekleyebilir.

#### Örnek ilişkilendirme

Varlık yönetimi.

Erişim kontrolü.

Zafiyet yönetimi.

Güvenli yapılandırma.

Yedekleme.

Loglama.

Olay yönetimi.

Ancak 25 kontrolün tamamlanması ISO/IEC 27001 uygunluğunun otomatik olarak sağlandığı anlamına gelmez.

Yönetim sistemi gereksinimleri ayrıca değerlendirilmelidir.

### \38. Siber Hijyen ile NIST CSF 2.0 İlişkisi

NIST CSF 2.0, siber güvenlik risklerinin yönetilmesini destekleyen altı fonksiyon içerir.

GOVERN.

IDENTIFY.

PROTECT.

DETECT.

RESPOND.

RECOVER.

25 siber hijyen kontrolü bu fonksiyonlarla ilişkilendirilebilir.

Örneğin varlık envanteri IDENTIFY, MFA PROTECT, SIEM DETECT ve olay müdahale RESPOND kapsamında değerlendirilebilir.

Bu eşleştirme kurumsal güvenlik programının daha sistematik yönetilmesine yardımcı olur.

### \39. Siber Hijyen ile CIS Controls İlişkisi

CIS Controls, temel güvenlik önlemlerinin önceliklendirilmesine yönelik rehber sunar.

25 kontrol listesi CIS Controls yaklaşımından yararlanılarak değerlendirilebilir.

Ancak bu makaledeki 25 kontrol, CIS Controls'un birebir resmî listesi değildir.

Kurumsal kullanım için oluşturulmuş pratik bir değerlendirme çerçevesidir.

Bu ayrım önemlidir.

Çünkü standart uyum değerlendirmelerinde resmî kontrol tanımları ve sürümleri esas alınmalıdır.

### \40. Siber Hijyen Raporu Nasıl Hazırlanmalıdır?

Profesyonel bir siber hijyen değerlendirme raporu yalnızca kontrol durumlarını göstermemelidir.

#### Önerilen rapor yapısı

Yönetici özeti.

Kapsam.

Metodoloji.

Varlık envanteri değerlendirmesi.

25 kontrolün sonuçları.

Kritik bulgular.

Risk derecelendirmesi.

İyileştirme önerileri.

Sorumluluk matrisi.

Uygulama yol haritası.

KPI önerileri.

#### Yönetim açısından

Rapor, teknik eksikliklerin iş etkisini açık biçimde göstermelidir.

Örneğin “MFA eksik” ifadesi yerine hangi kritik erişimlerin risk altında olduğu açıklanmalıdır.

### \41. SECURESYS Siber Hijyen Denetimi ve Danışmanlığı

SECURESYS, kurumsal siber güvenlik çalışmalarında teknik doğrulama ve risk bazlı iyileştirme yaklaşımını esas alır.

Siber hijyen değerlendirmeleri kurumun mevcut altyapısına ve ihtiyaçlarına göre planlanabilir.

#### Hizmet kapsamı

#### Siber Hijyen Mevcut Durum Analizi

Temel güvenlik kontrollerinin değerlendirilmesi.

#### 25 Kritik Kontrol Değerlendirmesi

Kontrol kapsamı ve etkinliğinin incelenmesi.

#### Zafiyet Yönetimi

Güvenlik açıklarının belirlenmesi ve önceliklendirilmesi.

#### Sistem ve Ağ Güvenlik Denetimi

Sunucu, ağ ve güvenlik cihazlarının değerlendirilmesi.

#### Kimlik ve Erişim Güvenliği

MFA, PAM ve erişim politikalarının incelenmesi.

#### Yedekleme ve Dayanıklılık

Veri koruma ve geri yükleme hazırlığının değerlendirilmesi.

#### SOC ve Sürekli Güvenlik İzleme

Güvenlik olaylarının izlenmesi ve müdahale süreçlerinin desteklenmesi.

#### ISO/IEC 27001 Uyum Danışmanlığı

Bilgi güvenliği yönetim sistemi gereksinimleriyle ilişkili süreçlerin değerlendirilmesi.

#### Temel yaklaşım

SECURESYS siber hijyen değerlendirmelerinde yalnızca eksikliklerin listelenmesini değil, uygulanabilir iyileştirme planı oluşturulmasını hedefler.

Çünkü güvenlik değerlendirmesinin değeri yalnızca bulgu sayısıyla değil, risklerin ne ölçüde azaltılabildiğiyle ilişkilidir.

### \42. Uygulanabilir 25 Maddelik Siber Hijyen Kontrol Listesi

- \1. Donanım ve dijital varlık envanteri güncel mi?
- \2. Yazılım envanteri ve onaylı uygulama listesi mevcut mu?
- \3. Kritik hesaplarda MFA uygulanıyor mu?
- \4. Ayrıcalıklı hesaplar güvenli yönetiliyor mu?
- \5. Kullanıcı yaşam döngüsü süreçleri uygulanıyor mu?
- \6. Parola ve kimlik bilgileri güvenli yönetiliyor mu?
- \7. Kritik güvenlik yamaları uygulanıyor mu?
- \8. Düzenli zafiyet yönetimi gerçekleştiriliyor mu?
- \9. Uç nokta koruması ve EDR kapsamı yeterli mi?
- \10. Güvenli sistem yapılandırmaları uygulanıyor mu?
- \11. Firewall kuralları düzenli gözden geçiriliyor mu?
- \12. Kritik ağlar uygun şekilde segmentlere ayrıldı mı?
- \13. VPN ve uzaktan erişim güvenliği sağlandı mı?
- \14. E-posta güvenliği ve DMARC kontrolleri mevcut mu?
- \15. Kullanıcı güvenlik farkındalığı eğitimleri yapılıyor mu?
- \16. Veri sınıflandırma ve DLP kontrolleri değerlendirildi mi?
- \17. Yedekleme ve geri yükleme testleri yapılıyor mu?
- \18. Kritik veriler uygun biçimde şifreleniyor mu?
- \19. Bulut ve SaaS güvenliği kontrol ediliyor mu?
- \20. Web uygulamaları ve API'ler güvenlik testlerinden geçiriliyor mu?
- \21. Merkezi loglama ve SIEM mevcut mu?
- \22. Güvenlik olayları düzenli izleniyor mu?
- \23. Siber olay müdahale planı mevcut ve test edilmiş mi?
- \24. Tedarikçi güvenlik riskleri yönetiliyor mu?
- \25. Periyodik güvenlik denetimi ve iyileştirme yapılıyor mu?

Bu kontrol listesi kurumun risk profiline göre genişletilebilir.

### Sık Sorulan Sorular

#### Siber hijyen kontrol listesi nedir?

Kurumun temel siber güvenlik kontrollerini değerlendirmek ve eksiklikleri belirlemek için kullanılan sistematik kontrol listesidir.

#### Siber hijyen kontrolleri kaç maddeden oluşur?

Tek bir evrensel sayı bulunmaz. Bu rehber kurumsal kullanım için 25 kritik kontrol sunmaktadır.

#### Siber hijyen değerlendirmesi nasıl yapılır?

Varlık envanteri, teknik kontroller, politika ve prosedürler, kanıtlar ve güvenlik riskleri birlikte değerlendirilir.

#### Siber hijyen değerlendirmesi ne sıklıkla yapılmalıdır?

Kurumun risk seviyesine göre belirlenmelidir. Kritik kontroller sürekli izlenmeli ve kapsamlı değerlendirmeler planlı aralıklarla yapılmalıdır.

#### Siber hijyen ile ISO/IEC 27001 aynı şey midir?

Hayır. Siber hijyen temel güvenlik kontrollerine odaklanırken ISO/IEC 27001 bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

#### Siber hijyen ile CIS Controls arasındaki ilişki nedir?

CIS Controls, siber güvenlik kontrollerinin önceliklendirilmesinde kullanılabilen rehberdir. Siber hijyen değerlendirmeleri bu rehberden yararlanabilir.

#### MFA neden kritik kontroldür?

Parola ele geçirilmesi durumunda yetkisiz erişim riskini azaltmaya yardımcı olur.

#### EDR bütün siber saldırıları engeller mi?

Hayır. EDR önemli bir güvenlik katmanıdır ancak bütün saldırıları engelleme garantisi vermez.

#### Zafiyet yönetimi neden önemlidir?

Bilinen güvenlik açıklarının tespit edilmesini ve risk bazlı giderilmesini sağlar.

#### Yedekleme siber hijyen kapsamında mıdır?

Evet. Yedekleme ve geri yükleme testleri temel siber hijyen kontrollerindendir.

#### SOC siber hijyenin yerine geçer mi?

Hayır. SOC güvenlik olaylarını izlerken siber hijyen temel güvenlik zayıflıklarını azaltmaya odaklanır.

#### Siber hijyen puanı nasıl hesaplanır?

Kontrollerin olgunluk seviyeleri puanlanarak toplam veya ağırlıklı değerlendirme yapılabilir.

#### Siber hijyen puanının yüksek olması güvenliğin garanti edildiği anlamına gelir mi?

Hayır. Kritik bir güvenlik eksikliği yüksek toplam puana rağmen önemli risk oluşturabilir.

#### KOBİ'ler için hangi kontroller önceliklidir?

MFA, yama yönetimi, yedekleme, uç nokta koruması, kimlik güvenliği ve e-posta güvenliği genellikle önemli başlangıç alanlarıdır.

#### Siber hijyen danışmanlığı ne sağlar?

Mevcut güvenlik durumunun değerlendirilmesini, eksikliklerin belirlenmesini ve uygulanabilir iyileştirme planı oluşturulmasını destekler.

#### Siber hijyen denetiminde hangi kanıtlar kullanılır?

Varlık envanteri, MFA raporları, yama kayıtları, EDR kapsamı, firewall kuralları, yedekleme testleri ve güvenlik olay kayıtları gibi kanıtlar kullanılabilir.

### Sonuç: 25 Kritik Kontrol, Sürdürülebilir Siber Güvenliğin Temelini Oluşturur

Kurumsal siber güvenlik yalnızca gelişmiş ürünlere sahip olmakla sağlanamaz.

Temel güvenlik kontrollerinin doğru ve sürekli uygulanması gerekir.

Varlık envanteri güncel tutulmalıdır.

Kritik hesaplar MFA ile korunmalıdır.

Ayrıcalıklı erişimler sınırlandırılmalıdır.

Güvenlik yamaları uygulanmalıdır.

Zafiyetler düzenli değerlendirilmelidir.

Uç noktalar korunmalıdır.

Ağ erişimleri kontrol edilmelidir.

Hassas veriler korunmalıdır.

Yedekleme ve geri yükleme süreçleri doğrulanmalıdır.

Güvenlik olayları izlenmelidir.

Ve bütün bu kontroller periyodik olarak değerlendirilmelidir.

Bu makalede ele alınan 25 kritik siber hijyen kontrolü, kurumların mevcut güvenlik seviyelerini ölçmeleri ve iyileştirme planı oluşturmaları için uygulanabilir bir başlangıç çerçevesi sunar.

Ancak kontrol listesinin tamamlanması tek başına yeterli değildir.

Kontrollerin gerçek sistemlerde doğrulanması, sorumluların belirlenmesi ve sonuçların ölçülmesi gerekir.

**Siber güvenlikte önemli olan yalnızca hangi kontrollere sahip olduğunuz değil, bu kontrollerin ne kadar etkili çalıştığını bilmenizdir.**