Siber Hijyen Nedir? Kurumlar İçin Temel Siber Güvenlik Kontrolleri ve Uygulama Rehberi

Siber Hijyen Nedir?

Siber hijyen (Cyber Hygiene), kurumların bilgi sistemlerini, kullanıcı hesaplarını, ağ altyapılarını, uygulamalarını ve verilerini siber tehditlere karşı korumak amacıyla düzenli olarak uyguladığı temel güvenlik kontrolleri ve operasyonel alışkanlıkların bütünüdür.

Siber hijyen yalnızca antivirüs kullanmak veya güçlü parola oluşturmak değildir.

Kurumsal varlıkların bilinmesi, sistemlerin güncel tutulması, erişim yetkilerinin kontrol edilmesi, güvenli yapılandırmaların uygulanması, verilerin yedeklenmesi ve güvenlik olaylarının izlenmesi gibi birbirini tamamlayan faaliyetleri kapsar.

Geleneksel bilgi güvenliği yaklaşımında kurumlar çoğu zaman güvenlik ürünlerine odaklanır.

Firewall satın alınır.

EDR çözümleri devreye alınır.

SIEM sistemleri kurulur.

Sızma testleri gerçekleştirilir.

Ancak temel güvenlik kontrolleri yeterince uygulanmadığında bu yatırımların etkinliği sınırlanabilir.

Örneğin kritik sunucuların güncel tutulmadığı, eski kullanıcı hesaplarının kapatılmadığı veya yedeklerin geri yükleme testlerinin yapılmadığı bir ortamda ciddi operasyonel riskler devam edebilir.

Siber hijyenin temel amacı, bu tür önlenebilir güvenlik zayıflıklarını sistematik biçimde azaltmaktır.

Kısa cevap: Siber hijyen, kurumun her gün uygulaması gereken temel siber güvenlik disiplinidir. Tek seferlik bir proje değil, sürekli yürütülen bir güvenlik yönetimi faaliyetidir.

1. Siber Hijyen Neden Önemlidir?

Kurumların karşılaştığı siber saldırıların önemli bir bölümü, bilinen güvenlik zayıflıklarından yararlanılarak gerçekleştirilebilir.

Güncellenmeyen yazılımlar, zayıf kimlik doğrulama, gereğinden geniş kullanıcı yetkileri ve yanlış yapılandırılmış sistemler saldırganlar için fırsat oluşturabilir.

Bu nedenle kurumların yalnızca gelişmiş tehditlere değil, temel güvenlik eksikliklerine de odaklanması gerekir.

Siber hijyenin temel faydaları

• Bilinen güvenlik açıklarından kaynaklanan riskleri azaltmak.
• Yetkisiz erişim olasılığını düşürmek.
• Zararlı yazılım ve fidye yazılımı saldırılarına karşı dayanıklılığı artırmak.
• Kurumsal veri güvenliğini desteklemek.
• Operasyonel sürekliliği güçlendirmek.
• Güvenlik denetimlerine hazırlığı kolaylaştırmak.
• Güvenlik yatırımlarının etkinliğini artırmak.

Örneğin bir kurumda bütün kullanıcılar MFA kullanıyor olabilir.

Ancak kritik servis hesapları kontrolsüz bırakılmışsa kimlik güvenliği riski devam edebilir.

Benzer şekilde bütün sunucularda EDR bulunması, güncel olmayan uygulamaların oluşturduğu riskleri ortadan kaldırmaz.

Siber hijyen, bu kontrollerin birbirini tamamlayacak şekilde uygulanmasını hedefler.

2. Siber Hijyen ile Siber Güvenlik Arasındaki Fark Nedir?

Siber güvenlik, bilgi sistemlerinin gizlilik, bütünlük ve erişilebilirliğini korumaya yönelik geniş bir disiplindir.

Siber hijyen ise bu disiplinin temel ve sürekli uygulanan kontrollerine odaklanır.

Kriter	Siber Hijyen	Siber Güvenlik
Temel amaç	Günlük güvenlik disiplinini sürdürmek	Siber riskleri bütünsel yönetmek
Odak	Temel kontroller ve düzenli uygulamalar	Önleme, tespit, müdahale ve dayanıklılık
Örnek	Yama yönetimi, MFA, yedekleme	SOC, Red Team, tehdit avcılığı
Uygulama	Sürekli ve tekrarlanan	Stratejik, operasyonel ve teknik
Kapsam	Temel güvenlik gereksinimleri	Kurumsal güvenliğin tamamı

Bu iki kavram birbirinin alternatifi değildir.

Siber hijyen, etkili bir siber güvenlik programının temel bileşenlerinden biridir.

3. Kurumsal Siber Hijyen Hangi Alanları Kapsar?

Kurumsal siber hijyen yalnızca kullanıcı bilgisayarlarını kapsamaz.

Kurumun dijital varlıklarının tamamı değerlendirilmelidir.

Başlıca alanlar

Uç nokta güvenliği.

Sunucu güvenliği.

Ağ güvenliği.

Kimlik ve erişim yönetimi.

E-posta güvenliği.

Uygulama güvenliği.

Veritabanı güvenliği.

Bulut güvenliği.

Yedekleme.

Güvenlik izleme.

Tedarikçi erişimleri.

Kullanıcı farkındalığı.

Bu alanların her biri kurumun risk profiline göre önceliklendirilmelidir.

Örneğin üretim sistemleri bulunan bir kurumda OT güvenliği önemli olabilir.

Bulut tabanlı çalışan bir organizasyonda ise bulut yapılandırmaları ve kimlik yönetimi daha fazla öncelik gerektirebilir.

4. Varlık Envanteri: Korunacak Sistemleri Bilmek

Siber hijyenin ilk adımı kurumsal varlıkların belirlenmesidir.

Çünkü kurumun bilmediği bir sistemi etkin biçimde koruması zordur.

Varlık envanterinde neler bulunmalıdır?

Sunucular.

İstemci bilgisayarlar.

Mobil cihazlar.

Ağ cihazları.

Sanal makineler.

Bulut kaynakları.

Veritabanları.

Uygulamalar.

Kullanıcı hesapları.

Servis hesapları.

Yazılım lisansları.

Örnek envanter alanları

Alan	Açıklama
Varlık adı	Sistem veya cihaz adı
Varlık türü	Sunucu, istemci, ağ cihazı
Sorumlu kişi	Teknik veya iş sahibi
Kritik seviye	Düşük, orta, yüksek, kritik
İşletim sistemi	Sistem ve sürüm bilgisi
Ağ konumu	IP, VLAN veya bulut ortamı
Güvenlik durumu	EDR, yama, yedekleme
Son kontrol	Güncel değerlendirme tarihi

Envanterin yalnızca Excel dosyasında tutulması yeterli olmayabilir.

Önemli olan kayıtların güncel, doğrulanabilir ve operasyonel süreçlerle ilişkili olmasıdır.

5. Yazılım Envanteri ve Yetkisiz Uygulamalar

Kurumlarda yalnızca donanım değil, yazılım envanteri de yönetilmelidir.

Kullanıcıların kontrolsüz biçimde uygulama yüklemesi güvenlik riskleri oluşturabilir.

Olası riskler

Güvenlik açığı bulunan yazılımlar.

Destek süresi bitmiş uygulamalar.

Lisanssız yazılımlar.

Zararlı yazılım içeren paketler.

Gereksiz tarayıcı eklentileri.

Kontrolsüz uzaktan erişim araçları.

Güvenlik yaklaşımı

Onaylı yazılım listesi oluşturulmalıdır.

Yetkisiz uygulamalar belirlenmelidir.

Gereksiz yazılımlar kaldırılmalıdır.

Yazılım sürümleri takip edilmelidir.

Uygun ortamlarda uygulama kontrolü veya izin listesi uygulanmalıdır.

Bu yaklaşım saldırı yüzeyinin azaltılmasına yardımcı olur.

6. Yama Yönetimi Nedir?

Yama yönetimi, işletim sistemleri ve uygulamalardaki güvenlik güncellemelerinin planlı biçimde değerlendirilmesi, test edilmesi ve uygulanmasıdır.

Yama yönetimi yalnızca otomatik güncelleme açmak değildir.

Kritik sistemlerde güncellemelerin iş sürekliliğine etkisi de değerlendirilmelidir.

Temel süreç

Güvenlik duyurularının takip edilmesi.

Etkilenen varlıkların belirlenmesi.

Risk değerlendirmesi.

Güncellemenin test edilmesi.

Değişiklik onayı.

Yamanın uygulanması.

Sonuçların doğrulanması.

Örnek önceliklendirme

İnternete açık ve aktif istismar edilen bir güvenlik açığı, kurum içindeki düşük etkili bir uygulama güncellemesinden daha yüksek öncelik gerektirebilir.

Bu nedenle yama yönetimi yalnızca CVSS puanına göre değil, gerçek tehdit ve varlık bağlamına göre yürütülmelidir.

7. Zafiyet Yönetimi ile Yama Yönetimi Arasındaki Fark

Yama yönetimi, güvenlik güncellemelerinin uygulanmasına odaklanır.

Zafiyet yönetimi ise güvenlik açıklarının tespit edilmesi, değerlendirilmesi, önceliklendirilmesi ve giderilmesi süreçlerini kapsar.

Her güvenlik açığı yalnızca yama uygulanarak giderilemeyebilir.

Bazı durumlarda yapılandırma değişikliği gerekebilir.

Bazı durumlarda ilgili servis kapatılabilir.

Bazı riskler için geçici azaltıcı kontroller uygulanabilir.

Zafiyet yönetimi süreci

Varlık keşfi.

Zafiyet taraması.

Doğrulama.

Risk derecelendirmesi.

İyileştirme planı.

Düzeltme.

Yeniden doğrulama.

Bu süreçlerin düzenli yürütülmesi siber hijyen olgunluğunu artırır.

8. MFA: Çok Faktörlü Kimlik Doğrulama

MFA, Multi-Factor Authentication ifadesinin kısaltmasıdır.

Kullanıcının kimliğini doğrulamak için birden fazla farklı faktör kullanılmasını ifade eder.

Faktör örnekleri

Bilinen bilgi: Parola.

Sahip olunan unsur: Güvenlik anahtarı veya kayıtlı cihaz.

Biyometrik unsur: Parmak izi gibi özellikler.

MFA, yalnızca parola ele geçirilmesi durumunda hesabın kötüye kullanılma riskini azaltabilir.

Ancak bütün MFA yöntemleri aynı güvenlik seviyesini sağlamaz.

Örneğin SMS tabanlı doğrulama bazı saldırılara karşı daha zayıf olabilir.

Yüksek riskli sistemlerde phishing-resistant MFA yöntemleri değerlendirilmelidir.

Öncelikli kullanım alanları

Yönetici hesapları.

VPN.

E-posta.

Bulut yönetim panelleri.

Uzaktan erişim.

Finansal sistemler.

Kritik uygulamalar.

9. Parola Politikası Nasıl Olmalıdır?

Güvenli parola yönetimi yalnızca karmaşık karakter zorunluluğuna dayanmamalıdır.

Uzunluk, benzersizlik ve güvenli saklama önemlidir.

Önerilen yaklaşım

Uzun ve benzersiz parolalar kullanılmalıdır.

Parola yöneticileri değerlendirilebilir.

Bilinen veya ele geçirilmiş parolalar engellenmelidir.

Parola paylaşımı önlenmelidir.

MFA uygulanmalıdır.

Parola değiştirme sıklığı

Her durumda zorunlu periyodik parola değişimi uygulanması en iyi yaklaşım olmayabilir.

Parola ele geçirilmesi, şüpheli erişim veya ilgili politika gereksinimleri bulunduğunda değişim zorunlu hale getirilmelidir.

Bu yaklaşım güncel kimlik güvenliği prensipleriyle daha uyumludur.

10. Ayrıcalıklı Hesap Yönetimi

Privileged Access Management, yüksek yetkili hesapların güvenli biçimde yönetilmesini amaçlar.

Yönetici hesapları saldırganlar için önemli hedeflerdir.

Çünkü bu hesaplar sistem yapılandırmalarını değiştirebilir veya kritik verilere erişebilir.

Temel kontroller

Ayrı yönetici hesapları.

En az yetki.

MFA.

Oturum kayıtları.

Yetki gözden geçirme.

Geçici yetkilendirme.

Hesap kullanım izleme.

Örnek

Bir sistem yöneticisinin günlük e-posta ve internet kullanımı için Domain Admin hesabı kullanması gereksiz risk oluşturabilir.

Yönetici işlemleri için ayrı hesapların kullanılması daha güvenli bir yaklaşım olabilir.

11. En Az Yetki Prensibi

Least Privilege, kullanıcı ve servislerin yalnızca görevleri için gerekli yetkilere sahip olmasıdır.

Bu prensip kullanıcı hesaplarıyla sınırlı değildir.

Servis hesapları, uygulamalar, otomasyon sistemleri ve AI Agent'lar için de uygulanmalıdır.

Örnek

Bir raporlama uygulamasının veritabanından yalnızca okuma yapması gerekiyorsa veri silme yetkisine sahip olmaması gerekir.

Benzer şekilde bir yedekleme servisinin gereksiz yönetim yetkileri bulunmamalıdır.

Yetkilerin düzenli gözden geçirilmesi, zaman içerisinde oluşan erişim birikimini azaltabilir.

12. Kullanıcı Yaşam Döngüsü Yönetimi

Kurumlarda çalışanların işe başlaması, görev değiştirmesi ve işten ayrılması süreçleri bilgi güvenliği açısından önemlidir.

Joiner

Yeni çalışana görevine uygun hesap ve yetkiler tanımlanır.

Mover

Görev değişikliğinde eski yetkiler gözden geçirilir.

Leaver

İşten ayrılan çalışanın erişimleri zamanında kapatılır.

Risk

İşten ayrılmış kullanıcı hesaplarının aktif kalması yetkisiz erişim riskini artırabilir.

Bu nedenle insan kaynakları ve bilgi teknolojileri süreçleri koordineli çalışmalıdır.

13. Uç Nokta Güvenliği

Uç noktalar, kurumun saldırı yüzeyinin önemli parçalarıdır.

Bilgisayarlar, dizüstü cihazlar ve mobil cihazlar güvenlik politikalarına uygun yönetilmelidir.

Temel kontroller

EDR veya uygun uç nokta koruması.

Disk şifreleme.

İşletim sistemi güncellemeleri.

Ekran kilidi.

Uygulama kontrolü.

Yerel yönetici yetkilerinin sınırlandırılması.

Cihaz envanteri.

Önemli nokta

EDR kurulmuş olması cihazın güvenli olduğu anlamına gelmez.

Ajanın çalışması, güncel olması, merkezi izlenmesi ve uygun politikalarla yapılandırılması gerekir.

14. Sunucu Güvenliği

Sunucular kurumsal uygulamaların ve verilerin çalıştığı kritik sistemlerdir.

Bu nedenle güvenli yapılandırma ve düzenli bakım gerektirir.

Kontroller

Gereksiz servislerin kapatılması.

Güncel işletim sistemi.

Yetki sınırlandırması.

Güvenli uzaktan erişim.

Loglama.

Zaman senkronizasyonu.

EDR veya uygun sunucu koruması.

Yedekleme.

Hardening

Hardening, sistemin gereksiz özelliklerinin kapatılması ve güvenlik yapılandırmalarının güçlendirilmesidir.

CIS Benchmarks gibi rehberler güvenli yapılandırma çalışmalarında referans olarak kullanılabilir.

Ancak kontroller uygulamanın teknik gereksinimleriyle uyumlu değerlendirilmelidir.

15. Ağ Güvenliği ve Segmentasyon

Ağ güvenliği, sistemler arasındaki iletişimin kontrol edilmesini amaçlar.

Kurum içindeki bütün sistemlerin birbirine sınırsız erişebilmesi güvenlik riskleri oluşturabilir.

Temel kontroller

Firewall kuralları.

VLAN segmentasyonu.

Ağ erişim kontrolü.

Gereksiz portların kapatılması.

Yönetim ağlarının ayrılması.

Güvenli VPN.

Ağ trafiği izleme.

Örnek

Kullanıcı bilgisayarlarının doğrudan kritik veritabanı sunucularına erişmesi gerekmeyebilir.

Uygun segmentasyon ve erişim kuralları saldırıların sistemler arasında yayılmasını zorlaştırabilir.

16. Güvenli Firewall Yönetimi

Firewall yalnızca kurulumu tamamlanan bir cihaz değildir.

Kuralların düzenli değerlendirilmesi gerekir.

Riskli yapılandırmalar

Gereğinden geniş kaynak ve hedef tanımları.

Kullanılmayan kurallar.

Eski VPN erişimleri.

Gereksiz yönetim portları.

Açıklaması bulunmayan istisnalar.

Güvenlik yaklaşımı

Kuralların iş sahibi belirlenmelidir.

Kullanılmayan erişimler kaldırılmalıdır.

Kritik değişiklikler onaylanmalıdır.

Yapılandırmalar yedeklenmelidir.

Yönetim erişimleri sınırlandırılmalıdır.

Bu kontroller firewall yatırımının etkinliğini destekler.

17. E-Posta Güvenliği

E-posta, kurumlarda yaygın kullanılan iletişim kanallarından biridir.

Aynı zamanda phishing, zararlı dosya ve kimlik bilgisi ele geçirme girişimlerinde kullanılabilir.

Temel kontroller

Spam ve phishing filtreleri.

Zararlı ek analizi.

URL koruması.

MFA.

DMARC.

SPF.

DKIM.

Kullanıcı farkındalığı.

DMARC neden önemlidir?

DMARC, alan adı üzerinden gerçekleştirilen belirli e-posta kimlik taklidi girişimlerinin azaltılmasına yardımcı olur.

Ancak DMARC bütün phishing saldırılarını engellemez.

Benzer alan adları veya ele geçirilmiş gerçek hesaplar üzerinden gerçekleştirilen saldırılar devam edebilir.

18. Phishing Farkındalığı

Phishing, kullanıcıları manipüle ederek bilgi elde etmeyi veya zararlı işlem gerçekleştirmelerini sağlamayı hedefleyen saldırı yaklaşımıdır.

Kullanıcıların dikkat etmesi gerekenler

Beklenmeyen giriş talepleri.

Şüpheli bağlantılar.

Acil ödeme istekleri.

Sahte dosya paylaşım bildirimleri.

Kimlik bilgisi isteyen mesajlar.

Beklenmeyen MFA onay talepleri.

Eğitim yaklaşımı

Farkındalık çalışmaları yalnızca yılda bir sunumla sınırlandırılmamalıdır.

Kısa eğitimler, uygun simülasyonlar ve olaylardan çıkarılan derslerle desteklenmelidir.

Amaç çalışanları cezalandırmak değil, güvenli davranışları geliştirmektir.

19. Yedekleme Siber Hijyenin Neden Kritik Parçasıdır?

Yedekleme, veri kaybı ve hizmet kesintisi risklerini azaltmaya yönelik temel kontroldür.

Ancak yalnızca yedek alınması yeterli değildir.

Yedeklerin korunması ve geri yüklenebilir olması gerekir.

Temel gereksinimler

Düzenli yedekleme.

Yedek bütünlüğü.

Erişim kontrolü.

Şifreleme.

Ayrı güvenlik alanları.

Geri yükleme testleri.

Saklama politikası.

3-2-1 yaklaşımı

Üç veri kopyası.

İki farklı depolama türü.

Bir kopyanın ayrı konumda tutulması.

Bu yaklaşım yararlı bir başlangıçtır.

Ancak modern fidye yazılımı riskleri için değiştirilemez veya çevrimdışı yedekler gibi ek kontroller de değerlendirilmelidir.

20. Yedekleme ile Felaket Kurtarma Arasındaki Fark

Yedekleme, verilerin kopyalarının oluşturulmasını sağlar.

Felaket kurtarma ise kritik sistemlerin kesinti sonrasında yeniden çalışır hale getirilmesini hedefler.

RPO

Recovery Point Objective, kabul edilebilir veri kaybı zaman hedefidir.

RTO

Recovery Time Objective, hizmetin yeniden kullanılabilir hale getirilmesi için belirlenen zaman hedefidir.

Örnek

Bir kurumun kritik uygulaması için RTO dört saat olarak belirlenmiş olabilir.

Ancak geri yükleme işlemi on saat sürüyorsa hedef karşılanamaz.

Bu nedenle yedekleme ve felaket kurtarma planları test edilmelidir.

21. Bulut Güvenliği ve Siber Hijyen

Bulut ortamları güvenlik sorumluluklarını ortadan kaldırmaz.

Kullanılan hizmet modeline göre sorumluluklar sağlayıcı ve müşteri arasında paylaşılır.

Temel kontroller

Bulut kimlik yönetimi.

MFA.

Erişim politikaları.

Depolama erişimleri.

Ağ güvenliği.

Loglama.

Secret Management.

Yedekleme.

Örnek

Bulut depolama alanının yanlışlıkla herkese açık yapılandırılması hassas veri sızıntısına neden olabilir.

Bu nedenle bulut yapılandırmaları düzenli kontrol edilmelidir.

22. SaaS Güvenliği

Kurumlar e-posta, CRM, dosya paylaşımı ve proje yönetimi için SaaS çözümleri kullanabilir.

Riskler

Kontrolsüz kullanıcı hesapları.

Gereğinden geniş paylaşım izinleri.

Harici kullanıcı erişimleri.

Eski entegrasyonlar.

Yetkisiz OAuth uygulamaları.

Güvenlik yaklaşımı

SSO ve MFA kullanılmalıdır.

Kullanıcı erişimleri gözden geçirilmelidir.

Harici paylaşım politikaları belirlenmelidir.

Entegrasyon yetkileri sınırlandırılmalıdır.

Denetim kayıtları izlenmelidir.

Bu kontroller özellikle bulut tabanlı ortak çalışma ortamlarında önemlidir.

23. Mobil Cihaz Güvenliği

Mobil cihazlar kurumsal e-posta ve uygulamalara erişebilir.

Bu nedenle mobil cihaz güvenliği de siber hijyen kapsamındadır.

Kontroller

Ekran kilidi.

Güncel işletim sistemi.

Cihaz şifreleme.

Uygulama izinleri.

Uzaktan silme.

Mobil cihaz yönetimi.

Kurumsal veri ayrımı.

BYOD

Bring Your Own Device yaklaşımında çalışanların kişisel cihazları iş amaçlı kullanılabilir.

Bu durumda kişisel mahremiyet ile kurumsal güvenlik gereksinimleri dengeli biçimde yönetilmelidir.

24. Veritabanı Güvenliği

Veritabanları çoğu zaman kurumun en değerli bilgilerini içerir.

Bu nedenle temel güvenlik kontrolleri uygulanmalıdır.

Kontroller

Güçlü kimlik doğrulama.

Rol tabanlı erişim.

En az yetki.

Güncelleme yönetimi.

Ağ erişim kontrolü.

Şifreleme.

Denetim kayıtları.

Yedekleme.

Örnek

Bir uygulamanın veritabanına yönetici hesabıyla bağlanması gereksiz risk oluşturabilir.

Uygulamaya yalnızca ihtiyaç duyduğu işlemler için yetki verilmelidir.

25. Web ve API Güvenliği

Kurumsal uygulamalar internet üzerinden erişilebilir olabilir.

Bu sistemler düzenli güvenlik değerlendirmesi gerektirir.

Temel riskler

Broken Access Control.

Injection.

Authentication problemleri.

Güvensiz yapılandırma.

Hassas veri açıklama.

Güvensiz API erişimi.

Kontroller

Secure Coding.

Kod inceleme.

SAST.

DAST.

SCA.

Sızma testi.

API yetkilendirme.

Önemli nokta

WAF kullanılması uygulamanın bütün güvenlik açıklarını ortadan kaldırmaz.

Uygulama güvenliği geliştirme yaşam döngüsünün bir parçası olmalıdır.

26. Güvenlik Logları ve İzleme

Güvenlik olaylarının tespit edilebilmesi için uygun kayıtların tutulması gerekir.

Önemli log kaynakları

Firewall.

VPN.

Active Directory.

Sunucular.

EDR.

E-posta sistemleri.

Bulut servisleri.

Kritik uygulamalar.

Veritabanları.

Loglama gereksinimleri

Zaman senkronizasyonu.

Bütünlük.

Erişim kontrolü.

Saklama politikası.

Merkezi toplama.

Olay korelasyonu.

Logların yalnızca saklanması yeterli değildir.

Önemli olayların değerlendirilmesi ve uygun müdahale süreçlerinin oluşturulması gerekir.

27. SOC ve Siber Hijyen İlişkisi

SOC, Security Operations Center ifadesinin kısaltmasıdır.

Güvenlik olaylarının izlenmesi, analiz edilmesi ve müdahale süreçlerinin desteklenmesi için kullanılan operasyonel yapıdır.

Siber hijyen ve SOC birbirini tamamlar.

Siber hijyen

Bilinen güvenlik zayıflıklarını azaltmaya odaklanır.

SOC

Şüpheli olayları tespit etmeye ve değerlendirmeye odaklanır.

Örnek

Siber hijyen çalışmaları gereksiz kullanıcı hesaplarının kapatılmasını sağlayabilir.

SOC ise şüpheli hesap erişim girişimlerini izleyebilir.

Bu iki yaklaşım birlikte uygulandığında önleyici ve tespit edici kontroller güçlenir.

28. Siber Hijyen ve ISO/IEC 27001

ISO/IEC 27001, bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

Siber hijyen kontrolleri, ISO/IEC 27001 kapsamında gerçekleştirilen risk değerlendirmeleri ve kontrol uygulamalarını destekleyebilir.

İlişkili alanlar

Varlık yönetimi.

Erişim kontrolü.

Güvenli yapılandırma.

Zafiyet yönetimi.

Yedekleme.

Loglama.

Güvenlik farkındalığı.

Olay yönetimi.

Önemli ayrım

Siber hijyen kontrol listesinin tamamlanması, ISO/IEC 27001 uygunluğunun otomatik olarak sağlandığı anlamına gelmez.

Yönetim sistemi gereksinimleri ayrıca değerlendirilmelidir.

29. Siber Hijyen ve NIST CSF 2.0

NIST Cybersecurity Framework 2.0, siber güvenlik risklerinin yönetilmesini destekleyen çerçevedir.

Altı temel fonksiyon içerir.

GOVERN

Siber güvenlik yönetişimi.

IDENTIFY

Varlıkların ve risklerin belirlenmesi.

PROTECT

Koruyucu kontrollerin uygulanması.

DETECT

Güvenlik olaylarının tespiti.

RESPOND

Olaylara müdahale.

RECOVER

Hizmetlerin yeniden sağlanması.

Siber hijyen kontrolleri bu fonksiyonların farklı bölümleriyle ilişkilendirilebilir.

Örneğin varlık envanteri IDENTIFY, MFA ise PROTECT kapsamında değerlendirilebilir.

30. Siber Hijyen ve CIS Controls

CIS Controls, kurumsal siber güvenlik kontrollerinin önceliklendirilmesinde kullanılabilen rehberler sunar.

Örnek kontrol alanları

Kurumsal varlık envanteri.

Yazılım envanteri.

Veri koruma.

Güvenli yapılandırma.

Hesap yönetimi.

Erişim kontrolü.

Zafiyet yönetimi.

Audit log yönetimi.

E-posta ve tarayıcı güvenliği.

Zararlı yazılım savunması.

Implementation Groups

CIS Controls yaklaşımında farklı uygulama grupları bulunur.

Bu gruplar kurumların kaynaklarına ve risk profillerine göre kontrolleri önceliklendirmelerine yardımcı olabilir.

Ancak uygulama grubu seçimi kurumun gerçek risk değerlendirmesiyle birlikte yapılmalıdır.

31. Siber Hijyen Olgunluğu Nasıl Ölçülür?

Siber hijyen olgunluğu yalnızca güvenlik ürünlerinin sayısıyla ölçülmemelidir.

Kontrollerin kapsamı, sürekliliği ve etkinliği değerlendirilmelidir.

Örnek olgunluk modeli

Seviye 1 – Başlangıç: Kontroller düzensiz uygulanır.

Seviye 2 – Temel: Kritik sistemlerde temel kontroller bulunur.

Seviye 3 – Yönetilen: Politikalar ve düzenli süreçler oluşturulmuştur.

Seviye 4 – Ölçülen: Kontrol etkinliği metriklerle takip edilir.

Seviye 5 – Optimize Edilen: Süreçler sürekli iyileştirilir.

Bu sınıflandırma örnek bir kurumsal değerlendirme modelidir.

Resmî bir ISO/IEC 27001 olgunluk seviyesi olarak değerlendirilmemelidir.

32. Siber Hijyen KPI Örnekleri

Siber hijyen programının başarısını ölçmek için performans göstergeleri kullanılabilir.

Örnek KPI'lar

Güncel varlık envanteri kapsamı.

MFA kullanım oranı.

Kritik yama uyumluluk oranı.

EDR kapsamı.

Yedekleme başarı oranı.

Geri yükleme testi başarı oranı.

Kapatılan zafiyet oranı.

Yetki gözden geçirme tamamlanma oranı.

Örnek hesaplama

MFA kapsamı şu şekilde hesaplanabilir:

MFA koruması bulunan uygun hesap sayısı / Toplam uygun hesap sayısı × 100.

Ancak yalnızca oranı ölçmek yeterli değildir.

Örneğin MFA kapsamı yüksek olsa bile MFA kullanmayan tek bir kritik yönetici hesabı önemli risk oluşturabilir.

Bu nedenle KPI sonuçları kritik varlık bağlamıyla birlikte değerlendirilmelidir.

33. Siber Hijyen Denetimi Nasıl Yapılır?

Siber hijyen denetimi, temel güvenlik kontrollerinin mevcut durumunun ve etkinliğinin değerlendirilmesidir.

Aşama 1: Kapsam

Denetlenecek sistemler belirlenir.

Aşama 2: Envanter

Varlık ve kullanıcı kayıtları incelenir.

Aşama 3: Teknik kontroller

Yama, MFA, EDR, ağ güvenliği ve yedekleme kontrolleri değerlendirilir.

Aşama 4: Kanıt toplama

Yapılandırmalar, loglar ve ilgili kayıtlar incelenir.

Aşama 5: Risk değerlendirmesi

Eksiklikler iş etkisine göre önceliklendirilir.

Aşama 6: Raporlama

Bulgular ve iyileştirme önerileri sunulur.

Aşama 7: Doğrulama

Düzeltmelerin etkinliği yeniden değerlendirilir.

Bu yaklaşım kurumun temel güvenlik seviyesinin görünür hale getirilmesini sağlar.

34. Örnek Siber Hijyen Denetim Bulguları

Bir kurumun siber hijyen değerlendirmesinde aşağıdaki bulgular tespit edildiğini düşünelim.

Bulgu	Olası etki	Önerilen aksiyon
Kritik yönetici hesabında MFA yok	Yetkisiz erişim	Güçlü MFA
Eski kullanıcı hesapları aktif	Hesap kötüye kullanımı	Hesap yaşam döngüsü kontrolü
Kritik sunucularda güncelleme eksik	Bilinen açıkların istismarı	Risk bazlı yama planı
Yedek geri yükleme testi yok	Kurtarma belirsizliği	Düzenli test
Gereksiz firewall kuralları	Geniş saldırı yüzeyi	Kural temizliği
Merkezi loglama eksik	Olay tespitinde gecikme	Log toplama ve izleme

Bu bulgular örnektir.

Gerçek risk seviyesi varlığın kritikliğine ve mevcut kontrollere göre belirlenmelidir.

35. İlk 30 Günlük Siber Hijyen Planı

Kurumsal siber hijyen çalışmalarına başlamak için ilk 30 günlük örnek plan oluşturulabilir.

1–7. Gün: Görünürlük

Kritik varlıklar belirlenir.

Yönetici hesapları envantere alınır.

İnternete açık servisler değerlendirilir.

8–14. Gün: Kimlik ve Erişim

MFA eksiklikleri belirlenir.

Eski hesaplar gözden geçirilir.

Kritik yetkiler değerlendirilir.

15–21. Gün: Sistem Güvenliği

Kritik güvenlik açıkları incelenir.

Yama durumu değerlendirilir.

EDR kapsamı kontrol edilir.

22–30. Gün: Dayanıklılık ve İzleme

Yedekleme kontrolleri değerlendirilir.

Geri yükleme testi planlanır.

Log kaynakları incelenir.

İyileştirme planı hazırlanır.

Bu süreler kurumun büyüklüğüne göre değişebilir.

36. İlk 90 Günlük Siber Hijyen Yol Haritası

Faz 1: Mevcut Durum Analizi

Varlık envanteri.

Yazılım envanteri.

Kullanıcı hesapları.

Temel güvenlik kontrolleri.

Faz 2: Kritik Risklerin Azaltılması

MFA.

Yama yönetimi.

Güvenli yapılandırma.

Yedekleme.

Yetki kontrolü.

Faz 3: Operasyonel Süreklilik

Zafiyet yönetimi.

Loglama.

SOC entegrasyonu.

Periyodik denetim.

Performans göstergeleri.

Faz 4: Sürekli İyileştirme

Kontrol sonuçları değerlendirilir.

Riskler yeniden önceliklendirilir.

Yeni hedefler oluşturulur.

Bu yaklaşım siber hijyenin tek seferlik proje olmaktan çıkarılmasını destekler.

37. KOBİ'ler İçin Siber Hijyen

Küçük ve orta ölçekli işletmelerde güvenlik kaynakları sınırlı olabilir.

Bu nedenle kontrollerin önceliklendirilmesi önemlidir.

Öncelikli alanlar

MFA.

Güncel sistemler.

Güvenilir yedekleme.

Uç nokta koruması.

E-posta güvenliği.

Kullanıcı farkındalığı.

Yönetici hesaplarının korunması.

Önemli nokta

KOBİ'lerin bütün kurumsal güvenlik ürünlerini satın alması gerekmeyebilir.

Önemli olan risk seviyesine uygun temel kontrollerin etkin uygulanmasıdır.

Örneğin güvenilir yedekleme ve güçlü kimlik doğrulama, bazı kurumlar için ileri seviye güvenlik ürünlerinden önce ele alınması gereken ihtiyaçlar olabilir.

38. Büyük Kurumlar İçin Siber Hijyen

Büyük kurumlarda varlık sayısı ve operasyonel karmaşıklık daha yüksek olabilir.

Bu nedenle manuel kontroller yeterli olmayabilir.

Öncelikli yaklaşımlar

Merkezi varlık yönetimi.

Otomatik zafiyet taraması.

Yama otomasyonu.

Kimlik yönetişimi.

PAM.

Merkezi loglama.

SOC.

Konfigürasyon uyumluluk yönetimi.

Operasyonel gereksinim

Kontrollerin yalnızca uygulanması değil, farklı departmanlarda tutarlı biçimde işletilmesi gerekir.

Bu nedenle süreç sahipliği ve raporlama önemlidir.

39. Siber Hijyen ve Zero Trust

Zero Trust, erişim kararlarında kullanıcıya veya cihaza yalnızca ağ konumuna göre güvenilmemesini esas alan güvenlik yaklaşımıdır.

Temel prensipler

Kimlik doğrulama.

Yetkilendirme.

En az yetki.

Cihaz güvenliği.

Bağlamsal erişim.

Sürekli değerlendirme.

Siber hijyen ilişkisi

Güncel varlık envanteri.

MFA.

Güvenli cihaz yapılandırması.

Erişim kontrolü.

Loglama.

gibi siber hijyen kontrolleri Zero Trust mimarisinin uygulanmasını destekleyebilir.

Ancak Zero Trust tek bir ürün veya yalnızca MFA uygulaması değildir.

40. Siber Hijyen ve Tedarikçi Güvenliği

Kurumlar farklı hizmet sağlayıcılarıyla çalışabilir.

Dış kaynak BT desteği.

Bulut sağlayıcıları.

Yazılım firmaları.

Bakım hizmetleri.

Siber güvenlik hizmet sağlayıcıları.

Bu tedarikçilerin kurumsal sistemlere erişimleri risk oluşturabilir.

Kontroller

Tedarikçi envanteri.

Erişim yetkisi.

MFA.

Sözleşmesel güvenlik gereksinimleri.

Erişim kayıtları.

Hizmet sonu erişim kaldırma.

Tedarikçi güvenliği siber hijyen programının dışında bırakılmamalıdır.

41. Siber Hijyen ve İş Sürekliliği

Siber hijyen yalnızca saldırıların önlenmesini hedeflemez.

Aynı zamanda sistemlerin güvenilir çalışmasını destekler.

Örneğin güncel sistemler belirli arızaların ve güvenlik sorunlarının azaltılmasına yardımcı olabilir.

Yedekleme veri kaybı riskini azaltır.

Erişim kontrolü yetkisiz işlemleri sınırlandırır.

İzleme sistemleri olayların erken fark edilmesini destekler.

İş sürekliliğiyle ilişkili alanlar

Kritik sistem envanteri.

Yedekleme.

Felaket kurtarma.

Olay müdahale.

Değişiklik yönetimi.

Yedekli altyapı.

Bu süreçler birlikte değerlendirildiğinde kurumsal dayanıklılık güçlenebilir.

42. Siber Hijyen Programında Yapılan Yaygın Hatalar

Yalnızca ürün satın almak

Güvenlik ürünleri doğru yapılandırılmadığında beklenen faydayı sağlamayabilir.

Envanteri güncel tutmamak

Bilinmeyen sistemler güvenlik kapsamı dışında kalabilir.

Yama yönetimini ertelemek

Bilinen açıklar gereksiz risk oluşturabilir.

Yönetici hesaplarını kontrol etmemek

Aşırı yetkilendirme saldırı etkisini artırabilir.

Yedekleri test etmemek

Geri yükleme başarısı doğrulanmamış olabilir.

Logları yalnızca saklamak

Olaylar zamanında tespit edilemeyebilir.

Denetim sonrası aksiyon almamak

Bulgular giderilmediğinde riskler devam eder.

Bu hataların önlenmesi için süreçlerin sahipleri ve ölçülebilir hedefleri belirlenmelidir.

43. SECURESYS Siber Hijyen Uyum ve Danışmanlık Yaklaşımı

SECURESYS olarak siber hijyen çalışmalarını yalnızca kontrol listelerinin doldurulması şeklinde değerlendirmiyoruz.

Çünkü kurumsal güvenlik seviyesinin artırılması için teknik kontrollerin gerçek sistemler üzerinde doğrulanması gerekir.

Bu nedenle siber hijyen değerlendirmelerinde risk bazlı ve uygulanabilir yaklaşım önemlidir.

Siber Hijyen Mevcut Durum Analizi

Kurumsal altyapının temel güvenlik kontrolleri açısından değerlendirilmesi.

Varlık ve Güvenlik Envanteri

Kritik sistemlerin ve güvenlik bileşenlerinin belirlenmesi.

Zafiyet Yönetimi

Güvenlik açıklarının tespiti ve risk bazlı önceliklendirilmesi.

Sistem ve Ağ Güvenlik Denetimi

Sunucu, ağ cihazı ve güvenlik yapılandırmalarının değerlendirilmesi.

Kimlik ve Erişim Güvenliği

MFA, ayrıcalıklı hesaplar ve erişim politikalarının incelenmesi.

Yedekleme ve Dayanıklılık

Yedekleme politikalarının ve kurtarma hazırlığının değerlendirilmesi.

ISO/IEC 27001 Uyum Danışmanlığı

Bilgi güvenliği yönetim sistemi gereksinimleriyle ilişkili süreçlerin değerlendirilmesi.

SOC ve Sürekli Güvenlik İzleme

Güvenlik olaylarının izlenmesi ve müdahale süreçlerinin desteklenmesi.

Sızma Testi ve Teknik Doğrulama

Güvenlik kontrollerinin kontrollü testlerle değerlendirilmesi.

Bu çalışmaların kapsamı kurumun altyapısına, risk seviyesine ve ihtiyaçlarına göre belirlenmelidir.

Siber hijyenin amacı yalnızca eksikleri tespit etmek değil, kurumun güvenlik seviyesini sürdürülebilir biçimde iyileştirmektir.

44. Kurumsal Siber Hijyen Kontrol Listesi

Varlık yönetimi

• Donanım envanteri güncel mi?
• Yazılım envanteri oluşturuldu mu?
• Kritik sistemler sınıflandırıldı mı?
• Varlık sorumluları belirlendi mi?

Kimlik güvenliği

• Kritik hesaplarda MFA mevcut mu?
• Yönetici hesapları ayrıldı mı?
• Eski kullanıcı hesapları kapatıldı mı?
• Yetkiler düzenli gözden geçiriliyor mu?

Sistem güvenliği

• Kritik güvenlik yamaları uygulanıyor mu?
• Güvenli yapılandırmalar kullanılıyor mu?
• EDR kapsamı yeterli mi?
• Gereksiz servisler kapatıldı mı?

Ağ güvenliği

• Firewall kuralları gözden geçiriliyor mu?
• Kritik ağlar segmentlere ayrıldı mı?
• VPN erişimleri kontrol ediliyor mu?
• Yönetim arayüzleri korunuyor mu?

Veri güvenliği

• Hassas veriler sınıflandırıldı mı?
• Yedekleme politikası mevcut mu?
• Geri yükleme testleri yapılıyor mu?
• Veri erişimleri sınırlandırıldı mı?

Operasyonel güvenlik

• Güvenlik logları merkezi toplanıyor mu?
• Güvenlik olayları izleniyor mu?
• Olay müdahale planı mevcut mu?
• Periyodik güvenlik denetimi yapılıyor mu?

Bu kontrol listesi temel değerlendirme amacıyla kullanılabilir.

Kurumun sektörüne, altyapısına ve mevzuat yükümlülüklerine göre genişletilmelidir.

Siber Hijyen Hakkında Sık Sorulan Sorular

Siber hijyen nedir?

Siber hijyen, kurumların bilgi sistemlerini korumak amacıyla düzenli uyguladığı temel güvenlik kontrolleri ve operasyonel alışkanlıkların bütünüdür.

Siber hijyen neden önemlidir?

Bilinen güvenlik açıklarının, zayıf erişim kontrollerinin ve yanlış yapılandırmaların oluşturduğu riskleri azaltmaya yardımcı olur.

Siber hijyen ile siber güvenlik aynı şey midir?

Hayır. Siber hijyen, daha geniş kapsamlı siber güvenlik disiplininin temel ve sürekli uygulanan bölümüdür.

Siber hijyen kontrolleri nelerdir?

Varlık envanteri, MFA, yama yönetimi, güvenli yapılandırma, erişim kontrolü, yedekleme, loglama ve farkındalık gibi kontrollerdir.

Siber hijyen denetimi nedir?

Kurumun temel güvenlik kontrollerinin mevcut durumunun ve etkinliğinin değerlendirilmesidir.

Siber hijyen değerlendirmesi ne sıklıkla yapılmalıdır?

Sıklık kurumun risk seviyesine göre belirlenmelidir. Kritik kontroller sürekli izlenmeli, kapsamlı değerlendirmeler ise planlı aralıklarla gerçekleştirilmelidir.

ISO/IEC 27001 siber hijyen standardı mıdır?

ISO/IEC 27001 bilgi güvenliği yönetim sistemi standardıdır. Siber hijyen kontrolleri bu yönetim sisteminin uygulanmasını destekleyebilir.

NIST CSF 2.0 siber hijyen için kullanılabilir mi?

Evet. NIST CSF 2.0, siber güvenlik risklerinin yönetimi ve kontrollerin yapılandırılması için kullanılabilir.

CIS Controls nedir?

CIS Controls, kurumların siber güvenlik kontrollerini önceliklendirmelerine yardımcı olan rehberler bütünüdür.

MFA siber hijyen için gerekli midir?

MFA, özellikle kritik hesaplar ve uzaktan erişimler için önemli temel güvenlik kontrollerinden biridir.

EDR kullanmak siber hijyen için yeterli midir?

Hayır. EDR; yama yönetimi, kimlik güvenliği, yedekleme ve diğer kontrollerin yerine geçmez.

Yedekleme neden önemlidir?

Veri kaybı ve sistem kesintilerinin etkisini azaltmaya yardımcı olur. Ancak yedeklerin geri yüklenebilirliği test edilmelidir.

Siber hijyen KOBİ'ler için gerekli midir?

Evet. KOBİ'ler de kimlik güvenliği, yedekleme, güncelleme ve uç nokta koruması gibi temel kontrolleri uygulamalıdır.

Siber hijyen olgunluğu nasıl ölçülür?

Kontrollerin kapsamı, sürekliliği, etkinliği ve ölçülebilir performans göstergeleri üzerinden değerlendirilebilir.

Siber hijyen ile SOC arasındaki ilişki nedir?

Siber hijyen önleyici kontrolleri güçlendirirken SOC güvenlik olaylarının tespiti ve değerlendirilmesini destekler.

Siber hijyen danışmanlığı ne sağlar?

Kurumun mevcut güvenlik durumunun değerlendirilmesini, eksikliklerin belirlenmesini ve risk bazlı iyileştirme planı oluşturulmasını destekler.

Sonuç: Güçlü Siber Güvenlik, Temel Kontrollerin Sürekli Uygulanmasıyla Başlar

Siber güvenlik tehditleri gelişmeye devam ediyor.

Yeni saldırı teknikleri ortaya çıkıyor.

Kurumların kullandığı teknolojiler çeşitleniyor.

Bulut sistemleri yaygınlaşıyor.

Uzaktan çalışma modelleri genişliyor.

Yapay zekâ uygulamaları iş süreçlerine entegre ediliyor.

Ancak bütün bu değişimlere rağmen temel güvenlik kontrollerinin önemi devam ediyor.

Güncel varlık envanteri.

Güçlü kimlik doğrulama.

En az yetki.

Düzenli yama yönetimi.

Güvenli yapılandırma.

Yedekleme.

Güvenlik izleme.

Kullanıcı farkındalığı.

Bu kontroller etkili biçimde uygulanmadığında gelişmiş güvenlik yatırımlarının beklenen faydayı sağlaması zorlaşabilir.

Bu nedenle kurumların siber hijyeni tek seferlik denetim faaliyeti olarak değil, sürekli güvenlik yönetimi süreci olarak ele alması gerekir.

Kontrollerin sahipleri belirlenmelidir.

Riskler önceliklendirilmelidir.

Güvenlik eksiklikleri giderilmelidir.

Performans göstergeleri izlenmelidir.

Ve süreçler düzenli olarak iyileştirilmelidir.

Siber güvenlikte sürdürülebilir başarı, yalnızca gelişmiş teknolojilere sahip olmakla değil, temel güvenlik kontrollerini her gün doğru uygulamakla mümkündür.