# Siber Hijyen Nedir? Kurumlar İçin Temel Siber Güvenlik Kontrolleri ve Uygulama Rehberi **URL:** https://securesys.com.tr/tr/bilgi-merkezi/siber-guvenlik-uyum-danismanlik/siber-hijyen-nedir-kurumsal-guvenlik-kontrolleri ![Siber Hijyen Nedir? Kurumlar İçin Temel Siber Güvenlik Kontrolleri ve Uygulama Rehberi](/images/bilgi-merkezi/covers/cover-uyum-01.webp) ### Siber Hijyen Nedir? **Siber hijyen (Cyber Hygiene), kurumların bilgi sistemlerini, kullanıcı hesaplarını, ağ altyapılarını, uygulamalarını ve verilerini siber tehditlere karşı korumak amacıyla düzenli olarak uyguladığı temel güvenlik kontrolleri ve operasyonel alışkanlıkların bütünüdür.** Siber hijyen yalnızca antivirüs kullanmak veya güçlü parola oluşturmak değildir. Kurumsal varlıkların bilinmesi, sistemlerin güncel tutulması, erişim yetkilerinin kontrol edilmesi, güvenli yapılandırmaların uygulanması, verilerin yedeklenmesi ve güvenlik olaylarının izlenmesi gibi birbirini tamamlayan faaliyetleri kapsar. Geleneksel bilgi güvenliği yaklaşımında kurumlar çoğu zaman güvenlik ürünlerine odaklanır. Firewall satın alınır. EDR çözümleri devreye alınır. SIEM sistemleri kurulur. Sızma testleri gerçekleştirilir. Ancak temel güvenlik kontrolleri yeterince uygulanmadığında bu yatırımların etkinliği sınırlanabilir. Örneğin kritik sunucuların güncel tutulmadığı, eski kullanıcı hesaplarının kapatılmadığı veya yedeklerin geri yükleme testlerinin yapılmadığı bir ortamda ciddi operasyonel riskler devam edebilir. Siber hijyenin temel amacı, bu tür önlenebilir güvenlik zayıflıklarını sistematik biçimde azaltmaktır. **Kısa cevap:** Siber hijyen, kurumun her gün uygulaması gereken temel siber güvenlik disiplinidir. Tek seferlik bir proje değil, sürekli yürütülen bir güvenlik yönetimi faaliyetidir. ### \1. Siber Hijyen Neden Önemlidir? Kurumların karşılaştığı siber saldırıların önemli bir bölümü, bilinen güvenlik zayıflıklarından yararlanılarak gerçekleştirilebilir. Güncellenmeyen yazılımlar, zayıf kimlik doğrulama, gereğinden geniş kullanıcı yetkileri ve yanlış yapılandırılmış sistemler saldırganlar için fırsat oluşturabilir. Bu nedenle kurumların yalnızca gelişmiş tehditlere değil, temel güvenlik eksikliklerine de odaklanması gerekir. #### Siber hijyenin temel faydaları - Bilinen güvenlik açıklarından kaynaklanan riskleri azaltmak. - Yetkisiz erişim olasılığını düşürmek. - Zararlı yazılım ve fidye yazılımı saldırılarına karşı dayanıklılığı artırmak. - Kurumsal veri güvenliğini desteklemek. - Operasyonel sürekliliği güçlendirmek. - Güvenlik denetimlerine hazırlığı kolaylaştırmak. - Güvenlik yatırımlarının etkinliğini artırmak. Örneğin bir kurumda bütün kullanıcılar MFA kullanıyor olabilir. Ancak kritik servis hesapları kontrolsüz bırakılmışsa kimlik güvenliği riski devam edebilir. Benzer şekilde bütün sunucularda EDR bulunması, güncel olmayan uygulamaların oluşturduğu riskleri ortadan kaldırmaz. Siber hijyen, bu kontrollerin birbirini tamamlayacak şekilde uygulanmasını hedefler. ### \2. Siber Hijyen ile Siber Güvenlik Arasındaki Fark Nedir? Siber güvenlik, bilgi sistemlerinin gizlilik, bütünlük ve erişilebilirliğini korumaya yönelik geniş bir disiplindir. Siber hijyen ise bu disiplinin temel ve sürekli uygulanan kontrollerine odaklanır. | Kriter | Siber Hijyen | Siber Güvenlik | | --- | --- | --- | | Temel amaç | Günlük güvenlik disiplinini sürdürmek | Siber riskleri bütünsel yönetmek | | Odak | Temel kontroller ve düzenli uygulamalar | Önleme, tespit, müdahale ve dayanıklılık | | Örnek | Yama yönetimi, MFA, yedekleme | SOC, Red Team, tehdit avcılığı | | Uygulama | Sürekli ve tekrarlanan | Stratejik, operasyonel ve teknik | | Kapsam | Temel güvenlik gereksinimleri | Kurumsal güvenliğin tamamı | Bu iki kavram birbirinin alternatifi değildir. Siber hijyen, etkili bir siber güvenlik programının temel bileşenlerinden biridir. ### \3. Kurumsal Siber Hijyen Hangi Alanları Kapsar? Kurumsal siber hijyen yalnızca kullanıcı bilgisayarlarını kapsamaz. Kurumun dijital varlıklarının tamamı değerlendirilmelidir. #### Başlıca alanlar Uç nokta güvenliği. Sunucu güvenliği. Ağ güvenliği. Kimlik ve erişim yönetimi. E-posta güvenliği. Uygulama güvenliği. Veritabanı güvenliği. Bulut güvenliği. Yedekleme. Güvenlik izleme. Tedarikçi erişimleri. Kullanıcı farkındalığı. Bu alanların her biri kurumun risk profiline göre önceliklendirilmelidir. Örneğin üretim sistemleri bulunan bir kurumda OT güvenliği önemli olabilir. Bulut tabanlı çalışan bir organizasyonda ise bulut yapılandırmaları ve kimlik yönetimi daha fazla öncelik gerektirebilir. ### \4. Varlık Envanteri: Korunacak Sistemleri Bilmek Siber hijyenin ilk adımı kurumsal varlıkların belirlenmesidir. Çünkü kurumun bilmediği bir sistemi etkin biçimde koruması zordur. #### Varlık envanterinde neler bulunmalıdır? Sunucular. İstemci bilgisayarlar. Mobil cihazlar. Ağ cihazları. Sanal makineler. Bulut kaynakları. Veritabanları. Uygulamalar. Kullanıcı hesapları. Servis hesapları. Yazılım lisansları. #### Örnek envanter alanları | Alan | Açıklama | | --- | --- | | Varlık adı | Sistem veya cihaz adı | | Varlık türü | Sunucu, istemci, ağ cihazı | | Sorumlu kişi | Teknik veya iş sahibi | | Kritik seviye | Düşük, orta, yüksek, kritik | | İşletim sistemi | Sistem ve sürüm bilgisi | | Ağ konumu | IP, VLAN veya bulut ortamı | | Güvenlik durumu | EDR, yama, yedekleme | | Son kontrol | Güncel değerlendirme tarihi | Envanterin yalnızca Excel dosyasında tutulması yeterli olmayabilir. Önemli olan kayıtların güncel, doğrulanabilir ve operasyonel süreçlerle ilişkili olmasıdır. ### \5. Yazılım Envanteri ve Yetkisiz Uygulamalar Kurumlarda yalnızca donanım değil, yazılım envanteri de yönetilmelidir. Kullanıcıların kontrolsüz biçimde uygulama yüklemesi güvenlik riskleri oluşturabilir. #### Olası riskler Güvenlik açığı bulunan yazılımlar. Destek süresi bitmiş uygulamalar. Lisanssız yazılımlar. Zararlı yazılım içeren paketler. Gereksiz tarayıcı eklentileri. Kontrolsüz uzaktan erişim araçları. #### Güvenlik yaklaşımı Onaylı yazılım listesi oluşturulmalıdır. Yetkisiz uygulamalar belirlenmelidir. Gereksiz yazılımlar kaldırılmalıdır. Yazılım sürümleri takip edilmelidir. Uygun ortamlarda uygulama kontrolü veya izin listesi uygulanmalıdır. Bu yaklaşım saldırı yüzeyinin azaltılmasına yardımcı olur. ### \6. Yama Yönetimi Nedir? Yama yönetimi, işletim sistemleri ve uygulamalardaki güvenlik güncellemelerinin planlı biçimde değerlendirilmesi, test edilmesi ve uygulanmasıdır. Yama yönetimi yalnızca otomatik güncelleme açmak değildir. Kritik sistemlerde güncellemelerin iş sürekliliğine etkisi de değerlendirilmelidir. #### Temel süreç Güvenlik duyurularının takip edilmesi. Etkilenen varlıkların belirlenmesi. Risk değerlendirmesi. Güncellemenin test edilmesi. Değişiklik onayı. Yamanın uygulanması. Sonuçların doğrulanması. #### Örnek önceliklendirme İnternete açık ve aktif istismar edilen bir güvenlik açığı, kurum içindeki düşük etkili bir uygulama güncellemesinden daha yüksek öncelik gerektirebilir. Bu nedenle yama yönetimi yalnızca CVSS puanına göre değil, gerçek tehdit ve varlık bağlamına göre yürütülmelidir. ### \7. Zafiyet Yönetimi ile Yama Yönetimi Arasındaki Fark Yama yönetimi, güvenlik güncellemelerinin uygulanmasına odaklanır. Zafiyet yönetimi ise güvenlik açıklarının tespit edilmesi, değerlendirilmesi, önceliklendirilmesi ve giderilmesi süreçlerini kapsar. Her güvenlik açığı yalnızca yama uygulanarak giderilemeyebilir. Bazı durumlarda yapılandırma değişikliği gerekebilir. Bazı durumlarda ilgili servis kapatılabilir. Bazı riskler için geçici azaltıcı kontroller uygulanabilir. #### Zafiyet yönetimi süreci Varlık keşfi. Zafiyet taraması. Doğrulama. Risk derecelendirmesi. İyileştirme planı. Düzeltme. Yeniden doğrulama. Bu süreçlerin düzenli yürütülmesi siber hijyen olgunluğunu artırır. ### \8. MFA: Çok Faktörlü Kimlik Doğrulama MFA, Multi-Factor Authentication ifadesinin kısaltmasıdır. Kullanıcının kimliğini doğrulamak için birden fazla farklı faktör kullanılmasını ifade eder. #### Faktör örnekleri Bilinen bilgi: Parola. Sahip olunan unsur: Güvenlik anahtarı veya kayıtlı cihaz. Biyometrik unsur: Parmak izi gibi özellikler. MFA, yalnızca parola ele geçirilmesi durumunda hesabın kötüye kullanılma riskini azaltabilir. Ancak bütün MFA yöntemleri aynı güvenlik seviyesini sağlamaz. Örneğin SMS tabanlı doğrulama bazı saldırılara karşı daha zayıf olabilir. Yüksek riskli sistemlerde phishing-resistant MFA yöntemleri değerlendirilmelidir. #### Öncelikli kullanım alanları Yönetici hesapları. VPN. E-posta. Bulut yönetim panelleri. Uzaktan erişim. Finansal sistemler. Kritik uygulamalar. ### \9. Parola Politikası Nasıl Olmalıdır? Güvenli parola yönetimi yalnızca karmaşık karakter zorunluluğuna dayanmamalıdır. Uzunluk, benzersizlik ve güvenli saklama önemlidir. #### Önerilen yaklaşım Uzun ve benzersiz parolalar kullanılmalıdır. Parola yöneticileri değerlendirilebilir. Bilinen veya ele geçirilmiş parolalar engellenmelidir. Parola paylaşımı önlenmelidir. MFA uygulanmalıdır. #### Parola değiştirme sıklığı Her durumda zorunlu periyodik parola değişimi uygulanması en iyi yaklaşım olmayabilir. Parola ele geçirilmesi, şüpheli erişim veya ilgili politika gereksinimleri bulunduğunda değişim zorunlu hale getirilmelidir. Bu yaklaşım güncel kimlik güvenliği prensipleriyle daha uyumludur. ### \10. Ayrıcalıklı Hesap Yönetimi Privileged Access Management, yüksek yetkili hesapların güvenli biçimde yönetilmesini amaçlar. Yönetici hesapları saldırganlar için önemli hedeflerdir. Çünkü bu hesaplar sistem yapılandırmalarını değiştirebilir veya kritik verilere erişebilir. #### Temel kontroller Ayrı yönetici hesapları. En az yetki. MFA. Oturum kayıtları. Yetki gözden geçirme. Geçici yetkilendirme. Hesap kullanım izleme. #### Örnek Bir sistem yöneticisinin günlük e-posta ve internet kullanımı için Domain Admin hesabı kullanması gereksiz risk oluşturabilir. Yönetici işlemleri için ayrı hesapların kullanılması daha güvenli bir yaklaşım olabilir. ### \11. En Az Yetki Prensibi Least Privilege, kullanıcı ve servislerin yalnızca görevleri için gerekli yetkilere sahip olmasıdır. Bu prensip kullanıcı hesaplarıyla sınırlı değildir. Servis hesapları, uygulamalar, otomasyon sistemleri ve AI Agent'lar için de uygulanmalıdır. #### Örnek Bir raporlama uygulamasının veritabanından yalnızca okuma yapması gerekiyorsa veri silme yetkisine sahip olmaması gerekir. Benzer şekilde bir yedekleme servisinin gereksiz yönetim yetkileri bulunmamalıdır. Yetkilerin düzenli gözden geçirilmesi, zaman içerisinde oluşan erişim birikimini azaltabilir. ### \12. Kullanıcı Yaşam Döngüsü Yönetimi Kurumlarda çalışanların işe başlaması, görev değiştirmesi ve işten ayrılması süreçleri bilgi güvenliği açısından önemlidir. #### Joiner Yeni çalışana görevine uygun hesap ve yetkiler tanımlanır. #### Mover Görev değişikliğinde eski yetkiler gözden geçirilir. #### Leaver İşten ayrılan çalışanın erişimleri zamanında kapatılır. #### Risk İşten ayrılmış kullanıcı hesaplarının aktif kalması yetkisiz erişim riskini artırabilir. Bu nedenle insan kaynakları ve bilgi teknolojileri süreçleri koordineli çalışmalıdır. ### \13. Uç Nokta Güvenliği Uç noktalar, kurumun saldırı yüzeyinin önemli parçalarıdır. Bilgisayarlar, dizüstü cihazlar ve mobil cihazlar güvenlik politikalarına uygun yönetilmelidir. #### Temel kontroller EDR veya uygun uç nokta koruması. Disk şifreleme. İşletim sistemi güncellemeleri. Ekran kilidi. Uygulama kontrolü. Yerel yönetici yetkilerinin sınırlandırılması. Cihaz envanteri. #### Önemli nokta EDR kurulmuş olması cihazın güvenli olduğu anlamına gelmez. Ajanın çalışması, güncel olması, merkezi izlenmesi ve uygun politikalarla yapılandırılması gerekir. ### \14. Sunucu Güvenliği Sunucular kurumsal uygulamaların ve verilerin çalıştığı kritik sistemlerdir. Bu nedenle güvenli yapılandırma ve düzenli bakım gerektirir. #### Kontroller Gereksiz servislerin kapatılması. Güncel işletim sistemi. Yetki sınırlandırması. Güvenli uzaktan erişim. Loglama. Zaman senkronizasyonu. EDR veya uygun sunucu koruması. Yedekleme. #### Hardening Hardening, sistemin gereksiz özelliklerinin kapatılması ve güvenlik yapılandırmalarının güçlendirilmesidir. CIS Benchmarks gibi rehberler güvenli yapılandırma çalışmalarında referans olarak kullanılabilir. Ancak kontroller uygulamanın teknik gereksinimleriyle uyumlu değerlendirilmelidir. ### \15. Ağ Güvenliği ve Segmentasyon Ağ güvenliği, sistemler arasındaki iletişimin kontrol edilmesini amaçlar. Kurum içindeki bütün sistemlerin birbirine sınırsız erişebilmesi güvenlik riskleri oluşturabilir. #### Temel kontroller Firewall kuralları. VLAN segmentasyonu. Ağ erişim kontrolü. Gereksiz portların kapatılması. Yönetim ağlarının ayrılması. Güvenli VPN. Ağ trafiği izleme. #### Örnek Kullanıcı bilgisayarlarının doğrudan kritik veritabanı sunucularına erişmesi gerekmeyebilir. Uygun segmentasyon ve erişim kuralları saldırıların sistemler arasında yayılmasını zorlaştırabilir. ### \16. Güvenli Firewall Yönetimi Firewall yalnızca kurulumu tamamlanan bir cihaz değildir. Kuralların düzenli değerlendirilmesi gerekir. #### Riskli yapılandırmalar Gereğinden geniş kaynak ve hedef tanımları. Kullanılmayan kurallar. Eski VPN erişimleri. Gereksiz yönetim portları. Açıklaması bulunmayan istisnalar. #### Güvenlik yaklaşımı Kuralların iş sahibi belirlenmelidir. Kullanılmayan erişimler kaldırılmalıdır. Kritik değişiklikler onaylanmalıdır. Yapılandırmalar yedeklenmelidir. Yönetim erişimleri sınırlandırılmalıdır. Bu kontroller firewall yatırımının etkinliğini destekler. ### \17. E-Posta Güvenliği E-posta, kurumlarda yaygın kullanılan iletişim kanallarından biridir. Aynı zamanda phishing, zararlı dosya ve kimlik bilgisi ele geçirme girişimlerinde kullanılabilir. #### Temel kontroller Spam ve phishing filtreleri. Zararlı ek analizi. URL koruması. MFA. DMARC. SPF. DKIM. Kullanıcı farkındalığı. #### DMARC neden önemlidir? DMARC, alan adı üzerinden gerçekleştirilen belirli e-posta kimlik taklidi girişimlerinin azaltılmasına yardımcı olur. Ancak DMARC bütün phishing saldırılarını engellemez. Benzer alan adları veya ele geçirilmiş gerçek hesaplar üzerinden gerçekleştirilen saldırılar devam edebilir. ### \18. Phishing Farkındalığı Phishing, kullanıcıları manipüle ederek bilgi elde etmeyi veya zararlı işlem gerçekleştirmelerini sağlamayı hedefleyen saldırı yaklaşımıdır. #### Kullanıcıların dikkat etmesi gerekenler Beklenmeyen giriş talepleri. Şüpheli bağlantılar. Acil ödeme istekleri. Sahte dosya paylaşım bildirimleri. Kimlik bilgisi isteyen mesajlar. Beklenmeyen MFA onay talepleri. #### Eğitim yaklaşımı Farkındalık çalışmaları yalnızca yılda bir sunumla sınırlandırılmamalıdır. Kısa eğitimler, uygun simülasyonlar ve olaylardan çıkarılan derslerle desteklenmelidir. Amaç çalışanları cezalandırmak değil, güvenli davranışları geliştirmektir. ### \19. Yedekleme Siber Hijyenin Neden Kritik Parçasıdır? Yedekleme, veri kaybı ve hizmet kesintisi risklerini azaltmaya yönelik temel kontroldür. Ancak yalnızca yedek alınması yeterli değildir. Yedeklerin korunması ve geri yüklenebilir olması gerekir. #### Temel gereksinimler Düzenli yedekleme. Yedek bütünlüğü. Erişim kontrolü. Şifreleme. Ayrı güvenlik alanları. Geri yükleme testleri. Saklama politikası. #### 3-2-1 yaklaşımı Üç veri kopyası. İki farklı depolama türü. Bir kopyanın ayrı konumda tutulması. Bu yaklaşım yararlı bir başlangıçtır. Ancak modern fidye yazılımı riskleri için değiştirilemez veya çevrimdışı yedekler gibi ek kontroller de değerlendirilmelidir. ### \20. Yedekleme ile Felaket Kurtarma Arasındaki Fark Yedekleme, verilerin kopyalarının oluşturulmasını sağlar. Felaket kurtarma ise kritik sistemlerin kesinti sonrasında yeniden çalışır hale getirilmesini hedefler. #### RPO Recovery Point Objective, kabul edilebilir veri kaybı zaman hedefidir. #### RTO Recovery Time Objective, hizmetin yeniden kullanılabilir hale getirilmesi için belirlenen zaman hedefidir. #### Örnek Bir kurumun kritik uygulaması için RTO dört saat olarak belirlenmiş olabilir. Ancak geri yükleme işlemi on saat sürüyorsa hedef karşılanamaz. Bu nedenle yedekleme ve felaket kurtarma planları test edilmelidir. ### \21. Bulut Güvenliği ve Siber Hijyen Bulut ortamları güvenlik sorumluluklarını ortadan kaldırmaz. Kullanılan hizmet modeline göre sorumluluklar sağlayıcı ve müşteri arasında paylaşılır. #### Temel kontroller Bulut kimlik yönetimi. MFA. Erişim politikaları. Depolama erişimleri. Ağ güvenliği. Loglama. Secret Management. Yedekleme. #### Örnek Bulut depolama alanının yanlışlıkla herkese açık yapılandırılması hassas veri sızıntısına neden olabilir. Bu nedenle bulut yapılandırmaları düzenli kontrol edilmelidir. ### \22. SaaS Güvenliği Kurumlar e-posta, CRM, dosya paylaşımı ve proje yönetimi için SaaS çözümleri kullanabilir. #### Riskler Kontrolsüz kullanıcı hesapları. Gereğinden geniş paylaşım izinleri. Harici kullanıcı erişimleri. Eski entegrasyonlar. Yetkisiz OAuth uygulamaları. #### Güvenlik yaklaşımı SSO ve MFA kullanılmalıdır. Kullanıcı erişimleri gözden geçirilmelidir. Harici paylaşım politikaları belirlenmelidir. Entegrasyon yetkileri sınırlandırılmalıdır. Denetim kayıtları izlenmelidir. Bu kontroller özellikle bulut tabanlı ortak çalışma ortamlarında önemlidir. ### \23. Mobil Cihaz Güvenliği Mobil cihazlar kurumsal e-posta ve uygulamalara erişebilir. Bu nedenle mobil cihaz güvenliği de siber hijyen kapsamındadır. #### Kontroller Ekran kilidi. Güncel işletim sistemi. Cihaz şifreleme. Uygulama izinleri. Uzaktan silme. Mobil cihaz yönetimi. Kurumsal veri ayrımı. #### BYOD Bring Your Own Device yaklaşımında çalışanların kişisel cihazları iş amaçlı kullanılabilir. Bu durumda kişisel mahremiyet ile kurumsal güvenlik gereksinimleri dengeli biçimde yönetilmelidir. ### \24. Veritabanı Güvenliği Veritabanları çoğu zaman kurumun en değerli bilgilerini içerir. Bu nedenle temel güvenlik kontrolleri uygulanmalıdır. #### Kontroller Güçlü kimlik doğrulama. Rol tabanlı erişim. En az yetki. Güncelleme yönetimi. Ağ erişim kontrolü. Şifreleme. Denetim kayıtları. Yedekleme. #### Örnek Bir uygulamanın veritabanına yönetici hesabıyla bağlanması gereksiz risk oluşturabilir. Uygulamaya yalnızca ihtiyaç duyduğu işlemler için yetki verilmelidir. ### \25. Web ve API Güvenliği Kurumsal uygulamalar internet üzerinden erişilebilir olabilir. Bu sistemler düzenli güvenlik değerlendirmesi gerektirir. #### Temel riskler Broken Access Control. Injection. Authentication problemleri. Güvensiz yapılandırma. Hassas veri açıklama. Güvensiz API erişimi. #### Kontroller Secure Coding. Kod inceleme. SAST. DAST. SCA. Sızma testi. API yetkilendirme. #### Önemli nokta WAF kullanılması uygulamanın bütün güvenlik açıklarını ortadan kaldırmaz. Uygulama güvenliği geliştirme yaşam döngüsünün bir parçası olmalıdır. ### \26. Güvenlik Logları ve İzleme Güvenlik olaylarının tespit edilebilmesi için uygun kayıtların tutulması gerekir. #### Önemli log kaynakları Firewall. VPN. Active Directory. Sunucular. EDR. E-posta sistemleri. Bulut servisleri. Kritik uygulamalar. Veritabanları. #### Loglama gereksinimleri Zaman senkronizasyonu. Bütünlük. Erişim kontrolü. Saklama politikası. Merkezi toplama. Olay korelasyonu. Logların yalnızca saklanması yeterli değildir. Önemli olayların değerlendirilmesi ve uygun müdahale süreçlerinin oluşturulması gerekir. ### \27. SOC ve Siber Hijyen İlişkisi SOC, Security Operations Center ifadesinin kısaltmasıdır. Güvenlik olaylarının izlenmesi, analiz edilmesi ve müdahale süreçlerinin desteklenmesi için kullanılan operasyonel yapıdır. Siber hijyen ve SOC birbirini tamamlar. #### Siber hijyen Bilinen güvenlik zayıflıklarını azaltmaya odaklanır. #### SOC Şüpheli olayları tespit etmeye ve değerlendirmeye odaklanır. #### Örnek Siber hijyen çalışmaları gereksiz kullanıcı hesaplarının kapatılmasını sağlayabilir. SOC ise şüpheli hesap erişim girişimlerini izleyebilir. Bu iki yaklaşım birlikte uygulandığında önleyici ve tespit edici kontroller güçlenir. ### \28. Siber Hijyen ve ISO/IEC 27001 ISO/IEC 27001, bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar. Siber hijyen kontrolleri, ISO/IEC 27001 kapsamında gerçekleştirilen risk değerlendirmeleri ve kontrol uygulamalarını destekleyebilir. #### İlişkili alanlar Varlık yönetimi. Erişim kontrolü. Güvenli yapılandırma. Zafiyet yönetimi. Yedekleme. Loglama. Güvenlik farkındalığı. Olay yönetimi. #### Önemli ayrım Siber hijyen kontrol listesinin tamamlanması, ISO/IEC 27001 uygunluğunun otomatik olarak sağlandığı anlamına gelmez. Yönetim sistemi gereksinimleri ayrıca değerlendirilmelidir. ### \29. Siber Hijyen ve NIST CSF 2.0 NIST Cybersecurity Framework 2.0, siber güvenlik risklerinin yönetilmesini destekleyen çerçevedir. Altı temel fonksiyon içerir. #### GOVERN Siber güvenlik yönetişimi. #### IDENTIFY Varlıkların ve risklerin belirlenmesi. #### PROTECT Koruyucu kontrollerin uygulanması. #### DETECT Güvenlik olaylarının tespiti. #### RESPOND Olaylara müdahale. #### RECOVER Hizmetlerin yeniden sağlanması. Siber hijyen kontrolleri bu fonksiyonların farklı bölümleriyle ilişkilendirilebilir. Örneğin varlık envanteri IDENTIFY, MFA ise PROTECT kapsamında değerlendirilebilir. ### \30. Siber Hijyen ve CIS Controls CIS Controls, kurumsal siber güvenlik kontrollerinin önceliklendirilmesinde kullanılabilen rehberler sunar. #### Örnek kontrol alanları Kurumsal varlık envanteri. Yazılım envanteri. Veri koruma. Güvenli yapılandırma. Hesap yönetimi. Erişim kontrolü. Zafiyet yönetimi. Audit log yönetimi. E-posta ve tarayıcı güvenliği. Zararlı yazılım savunması. #### Implementation Groups CIS Controls yaklaşımında farklı uygulama grupları bulunur. Bu gruplar kurumların kaynaklarına ve risk profillerine göre kontrolleri önceliklendirmelerine yardımcı olabilir. Ancak uygulama grubu seçimi kurumun gerçek risk değerlendirmesiyle birlikte yapılmalıdır. ### \31. Siber Hijyen Olgunluğu Nasıl Ölçülür? Siber hijyen olgunluğu yalnızca güvenlik ürünlerinin sayısıyla ölçülmemelidir. Kontrollerin kapsamı, sürekliliği ve etkinliği değerlendirilmelidir. #### Örnek olgunluk modeli **Seviye 1 – Başlangıç:** Kontroller düzensiz uygulanır. **Seviye 2 – Temel:** Kritik sistemlerde temel kontroller bulunur. **Seviye 3 – Yönetilen:** Politikalar ve düzenli süreçler oluşturulmuştur. **Seviye 4 – Ölçülen:** Kontrol etkinliği metriklerle takip edilir. **Seviye 5 – Optimize Edilen:** Süreçler sürekli iyileştirilir. Bu sınıflandırma örnek bir kurumsal değerlendirme modelidir. Resmî bir ISO/IEC 27001 olgunluk seviyesi olarak değerlendirilmemelidir. ### \32. Siber Hijyen KPI Örnekleri Siber hijyen programının başarısını ölçmek için performans göstergeleri kullanılabilir. #### Örnek KPI'lar Güncel varlık envanteri kapsamı. MFA kullanım oranı. Kritik yama uyumluluk oranı. EDR kapsamı. Yedekleme başarı oranı. Geri yükleme testi başarı oranı. Kapatılan zafiyet oranı. Yetki gözden geçirme tamamlanma oranı. #### Örnek hesaplama MFA kapsamı şu şekilde hesaplanabilir: MFA koruması bulunan uygun hesap sayısı / Toplam uygun hesap sayısı × 100. Ancak yalnızca oranı ölçmek yeterli değildir. Örneğin MFA kapsamı yüksek olsa bile MFA kullanmayan tek bir kritik yönetici hesabı önemli risk oluşturabilir. Bu nedenle KPI sonuçları kritik varlık bağlamıyla birlikte değerlendirilmelidir. ### \33. Siber Hijyen Denetimi Nasıl Yapılır? Siber hijyen denetimi, temel güvenlik kontrollerinin mevcut durumunun ve etkinliğinin değerlendirilmesidir. #### Aşama 1: Kapsam Denetlenecek sistemler belirlenir. #### Aşama 2: Envanter Varlık ve kullanıcı kayıtları incelenir. #### Aşama 3: Teknik kontroller Yama, MFA, EDR, ağ güvenliği ve yedekleme kontrolleri değerlendirilir. #### Aşama 4: Kanıt toplama Yapılandırmalar, loglar ve ilgili kayıtlar incelenir. #### Aşama 5: Risk değerlendirmesi Eksiklikler iş etkisine göre önceliklendirilir. #### Aşama 6: Raporlama Bulgular ve iyileştirme önerileri sunulur. #### Aşama 7: Doğrulama Düzeltmelerin etkinliği yeniden değerlendirilir. Bu yaklaşım kurumun temel güvenlik seviyesinin görünür hale getirilmesini sağlar. ### \34. Örnek Siber Hijyen Denetim Bulguları Bir kurumun siber hijyen değerlendirmesinde aşağıdaki bulgular tespit edildiğini düşünelim. | Bulgu | Olası etki | Önerilen aksiyon | | --- | --- | --- | | Kritik yönetici hesabında MFA yok | Yetkisiz erişim | Güçlü MFA | | Eski kullanıcı hesapları aktif | Hesap kötüye kullanımı | Hesap yaşam döngüsü kontrolü | | Kritik sunucularda güncelleme eksik | Bilinen açıkların istismarı | Risk bazlı yama planı | | Yedek geri yükleme testi yok | Kurtarma belirsizliği | Düzenli test | | Gereksiz firewall kuralları | Geniş saldırı yüzeyi | Kural temizliği | | Merkezi loglama eksik | Olay tespitinde gecikme | Log toplama ve izleme | Bu bulgular örnektir. Gerçek risk seviyesi varlığın kritikliğine ve mevcut kontrollere göre belirlenmelidir. ### \35. İlk 30 Günlük Siber Hijyen Planı Kurumsal siber hijyen çalışmalarına başlamak için ilk 30 günlük örnek plan oluşturulabilir. #### 1–7. Gün: Görünürlük Kritik varlıklar belirlenir. Yönetici hesapları envantere alınır. İnternete açık servisler değerlendirilir. #### 8–14. Gün: Kimlik ve Erişim MFA eksiklikleri belirlenir. Eski hesaplar gözden geçirilir. Kritik yetkiler değerlendirilir. #### 15–21. Gün: Sistem Güvenliği Kritik güvenlik açıkları incelenir. Yama durumu değerlendirilir. EDR kapsamı kontrol edilir. #### 22–30. Gün: Dayanıklılık ve İzleme Yedekleme kontrolleri değerlendirilir. Geri yükleme testi planlanır. Log kaynakları incelenir. İyileştirme planı hazırlanır. Bu süreler kurumun büyüklüğüne göre değişebilir. ### \36. İlk 90 Günlük Siber Hijyen Yol Haritası #### Faz 1: Mevcut Durum Analizi Varlık envanteri. Yazılım envanteri. Kullanıcı hesapları. Temel güvenlik kontrolleri. #### Faz 2: Kritik Risklerin Azaltılması MFA. Yama yönetimi. Güvenli yapılandırma. Yedekleme. Yetki kontrolü. #### Faz 3: Operasyonel Süreklilik Zafiyet yönetimi. Loglama. SOC entegrasyonu. Periyodik denetim. Performans göstergeleri. #### Faz 4: Sürekli İyileştirme Kontrol sonuçları değerlendirilir. Riskler yeniden önceliklendirilir. Yeni hedefler oluşturulur. Bu yaklaşım siber hijyenin tek seferlik proje olmaktan çıkarılmasını destekler. ### \37. KOBİ'ler İçin Siber Hijyen Küçük ve orta ölçekli işletmelerde güvenlik kaynakları sınırlı olabilir. Bu nedenle kontrollerin önceliklendirilmesi önemlidir. #### Öncelikli alanlar MFA. Güncel sistemler. Güvenilir yedekleme. Uç nokta koruması. E-posta güvenliği. Kullanıcı farkındalığı. Yönetici hesaplarının korunması. #### Önemli nokta KOBİ'lerin bütün kurumsal güvenlik ürünlerini satın alması gerekmeyebilir. Önemli olan risk seviyesine uygun temel kontrollerin etkin uygulanmasıdır. Örneğin güvenilir yedekleme ve güçlü kimlik doğrulama, bazı kurumlar için ileri seviye güvenlik ürünlerinden önce ele alınması gereken ihtiyaçlar olabilir. ### \38. Büyük Kurumlar İçin Siber Hijyen Büyük kurumlarda varlık sayısı ve operasyonel karmaşıklık daha yüksek olabilir. Bu nedenle manuel kontroller yeterli olmayabilir. #### Öncelikli yaklaşımlar Merkezi varlık yönetimi. Otomatik zafiyet taraması. Yama otomasyonu. Kimlik yönetişimi. PAM. Merkezi loglama. SOC. Konfigürasyon uyumluluk yönetimi. #### Operasyonel gereksinim Kontrollerin yalnızca uygulanması değil, farklı departmanlarda tutarlı biçimde işletilmesi gerekir. Bu nedenle süreç sahipliği ve raporlama önemlidir. ### \39. Siber Hijyen ve Zero Trust Zero Trust, erişim kararlarında kullanıcıya veya cihaza yalnızca ağ konumuna göre güvenilmemesini esas alan güvenlik yaklaşımıdır. #### Temel prensipler Kimlik doğrulama. Yetkilendirme. En az yetki. Cihaz güvenliği. Bağlamsal erişim. Sürekli değerlendirme. #### Siber hijyen ilişkisi Güncel varlık envanteri. MFA. Güvenli cihaz yapılandırması. Erişim kontrolü. Loglama. gibi siber hijyen kontrolleri Zero Trust mimarisinin uygulanmasını destekleyebilir. Ancak Zero Trust tek bir ürün veya yalnızca MFA uygulaması değildir. ### \40. Siber Hijyen ve Tedarikçi Güvenliği Kurumlar farklı hizmet sağlayıcılarıyla çalışabilir. Dış kaynak BT desteği. Bulut sağlayıcıları. Yazılım firmaları. Bakım hizmetleri. Siber güvenlik hizmet sağlayıcıları. Bu tedarikçilerin kurumsal sistemlere erişimleri risk oluşturabilir. #### Kontroller Tedarikçi envanteri. Erişim yetkisi. MFA. Sözleşmesel güvenlik gereksinimleri. Erişim kayıtları. Hizmet sonu erişim kaldırma. Tedarikçi güvenliği siber hijyen programının dışında bırakılmamalıdır. ### \41. Siber Hijyen ve İş Sürekliliği Siber hijyen yalnızca saldırıların önlenmesini hedeflemez. Aynı zamanda sistemlerin güvenilir çalışmasını destekler. Örneğin güncel sistemler belirli arızaların ve güvenlik sorunlarının azaltılmasına yardımcı olabilir. Yedekleme veri kaybı riskini azaltır. Erişim kontrolü yetkisiz işlemleri sınırlandırır. İzleme sistemleri olayların erken fark edilmesini destekler. #### İş sürekliliğiyle ilişkili alanlar Kritik sistem envanteri. Yedekleme. Felaket kurtarma. Olay müdahale. Değişiklik yönetimi. Yedekli altyapı. Bu süreçler birlikte değerlendirildiğinde kurumsal dayanıklılık güçlenebilir. ### \42. Siber Hijyen Programında Yapılan Yaygın Hatalar #### Yalnızca ürün satın almak Güvenlik ürünleri doğru yapılandırılmadığında beklenen faydayı sağlamayabilir. #### Envanteri güncel tutmamak Bilinmeyen sistemler güvenlik kapsamı dışında kalabilir. #### Yama yönetimini ertelemek Bilinen açıklar gereksiz risk oluşturabilir. #### Yönetici hesaplarını kontrol etmemek Aşırı yetkilendirme saldırı etkisini artırabilir. #### Yedekleri test etmemek Geri yükleme başarısı doğrulanmamış olabilir. #### Logları yalnızca saklamak Olaylar zamanında tespit edilemeyebilir. #### Denetim sonrası aksiyon almamak Bulgular giderilmediğinde riskler devam eder. Bu hataların önlenmesi için süreçlerin sahipleri ve ölçülebilir hedefleri belirlenmelidir. ### \43. SECURESYS Siber Hijyen Uyum ve Danışmanlık Yaklaşımı SECURESYS olarak siber hijyen çalışmalarını yalnızca kontrol listelerinin doldurulması şeklinde değerlendirmiyoruz. Çünkü kurumsal güvenlik seviyesinin artırılması için teknik kontrollerin gerçek sistemler üzerinde doğrulanması gerekir. Bu nedenle siber hijyen değerlendirmelerinde risk bazlı ve uygulanabilir yaklaşım önemlidir. #### Siber Hijyen Mevcut Durum Analizi Kurumsal altyapının temel güvenlik kontrolleri açısından değerlendirilmesi. #### Varlık ve Güvenlik Envanteri Kritik sistemlerin ve güvenlik bileşenlerinin belirlenmesi. #### Zafiyet Yönetimi Güvenlik açıklarının tespiti ve risk bazlı önceliklendirilmesi. #### Sistem ve Ağ Güvenlik Denetimi Sunucu, ağ cihazı ve güvenlik yapılandırmalarının değerlendirilmesi. #### Kimlik ve Erişim Güvenliği MFA, ayrıcalıklı hesaplar ve erişim politikalarının incelenmesi. #### Yedekleme ve Dayanıklılık Yedekleme politikalarının ve kurtarma hazırlığının değerlendirilmesi. #### ISO/IEC 27001 Uyum Danışmanlığı Bilgi güvenliği yönetim sistemi gereksinimleriyle ilişkili süreçlerin değerlendirilmesi. #### SOC ve Sürekli Güvenlik İzleme Güvenlik olaylarının izlenmesi ve müdahale süreçlerinin desteklenmesi. #### Sızma Testi ve Teknik Doğrulama Güvenlik kontrollerinin kontrollü testlerle değerlendirilmesi. Bu çalışmaların kapsamı kurumun altyapısına, risk seviyesine ve ihtiyaçlarına göre belirlenmelidir. **Siber hijyenin amacı yalnızca eksikleri tespit etmek değil, kurumun güvenlik seviyesini sürdürülebilir biçimde iyileştirmektir.** ### \44. Kurumsal Siber Hijyen Kontrol Listesi #### Varlık yönetimi - Donanım envanteri güncel mi? - Yazılım envanteri oluşturuldu mu? - Kritik sistemler sınıflandırıldı mı? - Varlık sorumluları belirlendi mi? #### Kimlik güvenliği - Kritik hesaplarda MFA mevcut mu? - Yönetici hesapları ayrıldı mı? - Eski kullanıcı hesapları kapatıldı mı? - Yetkiler düzenli gözden geçiriliyor mu? #### Sistem güvenliği - Kritik güvenlik yamaları uygulanıyor mu? - Güvenli yapılandırmalar kullanılıyor mu? - EDR kapsamı yeterli mi? - Gereksiz servisler kapatıldı mı? #### Ağ güvenliği - Firewall kuralları gözden geçiriliyor mu? - Kritik ağlar segmentlere ayrıldı mı? - VPN erişimleri kontrol ediliyor mu? - Yönetim arayüzleri korunuyor mu? #### Veri güvenliği - Hassas veriler sınıflandırıldı mı? - Yedekleme politikası mevcut mu? - Geri yükleme testleri yapılıyor mu? - Veri erişimleri sınırlandırıldı mı? #### Operasyonel güvenlik - Güvenlik logları merkezi toplanıyor mu? - Güvenlik olayları izleniyor mu? - Olay müdahale planı mevcut mu? - Periyodik güvenlik denetimi yapılıyor mu? Bu kontrol listesi temel değerlendirme amacıyla kullanılabilir. Kurumun sektörüne, altyapısına ve mevzuat yükümlülüklerine göre genişletilmelidir. ### Siber Hijyen Hakkında Sık Sorulan Sorular #### Siber hijyen nedir? Siber hijyen, kurumların bilgi sistemlerini korumak amacıyla düzenli uyguladığı temel güvenlik kontrolleri ve operasyonel alışkanlıkların bütünüdür. #### Siber hijyen neden önemlidir? Bilinen güvenlik açıklarının, zayıf erişim kontrollerinin ve yanlış yapılandırmaların oluşturduğu riskleri azaltmaya yardımcı olur. #### Siber hijyen ile siber güvenlik aynı şey midir? Hayır. Siber hijyen, daha geniş kapsamlı siber güvenlik disiplininin temel ve sürekli uygulanan bölümüdür. #### Siber hijyen kontrolleri nelerdir? Varlık envanteri, MFA, yama yönetimi, güvenli yapılandırma, erişim kontrolü, yedekleme, loglama ve farkındalık gibi kontrollerdir. #### Siber hijyen denetimi nedir? Kurumun temel güvenlik kontrollerinin mevcut durumunun ve etkinliğinin değerlendirilmesidir. #### Siber hijyen değerlendirmesi ne sıklıkla yapılmalıdır? Sıklık kurumun risk seviyesine göre belirlenmelidir. Kritik kontroller sürekli izlenmeli, kapsamlı değerlendirmeler ise planlı aralıklarla gerçekleştirilmelidir. #### ISO/IEC 27001 siber hijyen standardı mıdır? ISO/IEC 27001 bilgi güvenliği yönetim sistemi standardıdır. Siber hijyen kontrolleri bu yönetim sisteminin uygulanmasını destekleyebilir. #### NIST CSF 2.0 siber hijyen için kullanılabilir mi? Evet. NIST CSF 2.0, siber güvenlik risklerinin yönetimi ve kontrollerin yapılandırılması için kullanılabilir. #### CIS Controls nedir? CIS Controls, kurumların siber güvenlik kontrollerini önceliklendirmelerine yardımcı olan rehberler bütünüdür. #### MFA siber hijyen için gerekli midir? MFA, özellikle kritik hesaplar ve uzaktan erişimler için önemli temel güvenlik kontrollerinden biridir. #### EDR kullanmak siber hijyen için yeterli midir? Hayır. EDR; yama yönetimi, kimlik güvenliği, yedekleme ve diğer kontrollerin yerine geçmez. #### Yedekleme neden önemlidir? Veri kaybı ve sistem kesintilerinin etkisini azaltmaya yardımcı olur. Ancak yedeklerin geri yüklenebilirliği test edilmelidir. #### Siber hijyen KOBİ'ler için gerekli midir? Evet. KOBİ'ler de kimlik güvenliği, yedekleme, güncelleme ve uç nokta koruması gibi temel kontrolleri uygulamalıdır. #### Siber hijyen olgunluğu nasıl ölçülür? Kontrollerin kapsamı, sürekliliği, etkinliği ve ölçülebilir performans göstergeleri üzerinden değerlendirilebilir. #### Siber hijyen ile SOC arasındaki ilişki nedir? Siber hijyen önleyici kontrolleri güçlendirirken SOC güvenlik olaylarının tespiti ve değerlendirilmesini destekler. #### Siber hijyen danışmanlığı ne sağlar? Kurumun mevcut güvenlik durumunun değerlendirilmesini, eksikliklerin belirlenmesini ve risk bazlı iyileştirme planı oluşturulmasını destekler. ### Sonuç: Güçlü Siber Güvenlik, Temel Kontrollerin Sürekli Uygulanmasıyla Başlar Siber güvenlik tehditleri gelişmeye devam ediyor. Yeni saldırı teknikleri ortaya çıkıyor. Kurumların kullandığı teknolojiler çeşitleniyor. Bulut sistemleri yaygınlaşıyor. Uzaktan çalışma modelleri genişliyor. Yapay zekâ uygulamaları iş süreçlerine entegre ediliyor. Ancak bütün bu değişimlere rağmen temel güvenlik kontrollerinin önemi devam ediyor. Güncel varlık envanteri. Güçlü kimlik doğrulama. En az yetki. Düzenli yama yönetimi. Güvenli yapılandırma. Yedekleme. Güvenlik izleme. Kullanıcı farkındalığı. Bu kontroller etkili biçimde uygulanmadığında gelişmiş güvenlik yatırımlarının beklenen faydayı sağlaması zorlaşabilir. Bu nedenle kurumların siber hijyeni tek seferlik denetim faaliyeti olarak değil, sürekli güvenlik yönetimi süreci olarak ele alması gerekir. Kontrollerin sahipleri belirlenmelidir. Riskler önceliklendirilmelidir. Güvenlik eksiklikleri giderilmelidir. Performans göstergeleri izlenmelidir. Ve süreçler düzenli olarak iyileştirilmelidir. **Siber güvenlikte sürdürülebilir başarı, yalnızca gelişmiş teknolojilere sahip olmakla değil, temel güvenlik kontrollerini her gün doğru uygulamakla mümkündür.**