Siber Hijyen Hizmeti ve Siber Hijyen Uyum Danışmanlığı

Dijital sistemlerin iş süreçlerinin merkezine yerleşmesiyle birlikte siber güvenlik, yalnızca güvenlik duvarı, antivirüs veya birkaç güvenlik ürününün kullanılmasıyla sağlanabilecek bir yapı olmaktan çıkmıştır. Kurumların sahip olduğu kullanıcı hesapları, sunucular, istemci sistemleri, bulut servisleri, ağ cihazları, uygulamalar, veri tabanları, e-posta sistemleri ve diğer dijital varlıkların sürekli olarak güvenli tutulması gerekir.

Siber Hijyen (Cyber Hygiene), kurumların bilgi teknolojileri altyapısındaki temel güvenlik kontrollerini düzenli, ölçülebilir ve sürdürülebilir şekilde uygulamasını sağlayan bütüncül bir siber güvenlik yaklaşımıdır.

Nasıl fiziksel hijyen günlük hayatta sağlık risklerini azaltmayı amaçlıyorsa, siber hijyen de dijital ortamdaki temel güvenlik zafiyetlerinin saldırganlar tarafından kullanılmasını zorlaştırmayı amaçlar.

Güncellenmeyen bir işletim sistemi, unutulmuş bir kullanıcı hesabı, internete açık bırakılmış bir servis, zayıf bir parola, kullanılmayan fakat kapatılmamış bir VPN hesabı veya kontrol edilmeyen bir yedekleme sistemi saldırganlar için önemli bir giriş noktası oluşturabilir.

Bu nedenle etkili bir Siber Hijyen Hizmeti, yalnızca mevcut güvenlik açıklarının bulunmasına değil; kurum genelinde sürdürülebilir bir güvenlik disiplininin oluşturulmasına odaklanmalıdır.

SecureSys Siber Hijyen Hizmeti ile kurumların mevcut siber güvenlik durumu analiz edilir, eksiklikler belirlenir, riskler önceliklendirilir ve kurumun güvenlik seviyesinin sistematik biçimde geliştirilmesine yönelik yol haritası oluşturulur.

Siber Hijyen Nedir?

Siber hijyen; kurumların bilgi sistemlerini, kullanıcılarını, verilerini ve dijital varlıklarını siber tehditlere karşı korumak amacıyla uygulaması gereken temel güvenlik prensiplerinin bütünüdür.

Siber hijyen yaklaşımının temel amacı saldırı gerçekleşmesini beklemek yerine, saldırıya neden olabilecek zayıflıkları mümkün olduğunca önceden ortadan kaldırmaktır.

Bu kapsamda;

• BT varlıklarının envanterinin oluşturulması,
• işletim sistemlerinin güncel tutulması,
• güvenlik yamalarının uygulanması,
• güvenlik açıklarının düzenli olarak taranması,
• kullanıcı hesaplarının kontrol edilmesi,
• güçlü parola politikalarının uygulanması,
• MFA – Çok Faktörlü Kimlik Doğrulama kullanılması,
• ayrıcalıklı hesapların kontrol edilmesi,
• endpoint güvenliğinin sağlanması,
• ağların segmentlere ayrılması,
• güvenlik loglarının merkezi olarak izlenmesi,
• yedeklerin güvenliğinin doğrulanması,
• çalışanların siber güvenlik farkındalığının artırılması,
• kritik sistemlerin düzenli olarak test edilmesi

gibi kontroller siber hijyen programının temel bileşenlerini oluşturur.

Siber hijyen bir defalık gerçekleştirilen güvenlik kontrolü değildir.

Kurumun teknolojik altyapısı değiştikçe siber hijyen seviyesinin de sürekli izlenmesi ve geliştirilmesi gerekir.

Siber Hijyen Hizmeti Nedir?

Siber Hijyen Hizmeti, kurumların temel siber güvenlik kontrollerinin mevcut durumunun değerlendirilmesi, güvenlik eksikliklerinin tespit edilmesi ve bu eksikliklerin giderilmesine yönelik teknik ve yönetsel aksiyonların oluşturulmasını kapsayan profesyonel bir siber güvenlik hizmetidir.

Bu hizmet kapsamında kurumun yalnızca güvenlik ürünleri değerlendirilmez.

İnsan, süreç ve teknoloji birlikte ele alınır.

SecureSys tarafından gerçekleştirilen Siber Hijyen çalışmalarında kurumun;

Varlıkları → Kullanıcıları → Yetkileri → Ağları → Sistemleri → Verileri → Güvenlik Kontrolleri → İzleme Yetkinliği → Yedekleri → Olay Müdahale Kapasitesi

bir bütün olarak değerlendirilir.

Amaç kurumun sahip olduğu güvenlik ürünlerinin listesini çıkarmak değil, bu güvenlik kontrollerinin gerçekten çalışıp çalışmadığını ortaya koymaktır.

Kurumlar İçin Siber Hijyen Neden Önemlidir?

Siber saldırıların önemli bir bölümü son derece karmaşık yöntemlerle başlamak zorunda değildir.

Saldırganlar öncelikle kurumların kolay erişilebilir zayıflıklarını araştırır.

Örneğin;

internete açık unutulmuş bir servis,

güncellenmemiş bir VPN cihazı,

zayıf parola kullanan bir kullanıcı,

MFA uygulanmamış yönetici hesabı,

eski bir web uygulaması,

kontrol edilmeyen uzak erişim servisi,

hatalı yapılandırılmış bulut depolama alanı

veya kullanılmayan fakat aktif bırakılmış kullanıcı hesabı saldırı zincirinin başlangıç noktası olabilir.

Bu nedenle siber hijyen, kurumların saldırı yüzeyinin azaltılmasındaki en temel güvenlik katmanlarından biridir.

Etkili bir kurumsal siber hijyen programı;

risklerin görünür hale gelmesine, kritik zafiyetlerin önceliklendirilmesine, temel güvenlik kontrollerinin standartlaştırılmasına, saldırı yüzeyinin azaltılmasına ve güvenlik yatırımlarının doğru alanlara yönlendirilmesine yardımcı olur.

Siber Hijyen Uyumu Nedir?

Siber Hijyen Uyumu, kurumun belirlenen temel siber güvenlik kontrollerini ne ölçüde karşıladığının değerlendirilmesi ve eksik kontroller için iyileştirme çalışmalarının gerçekleştirilmesidir.

Uyum çalışması yalnızca bir kontrol listesine “uygun / uygun değil” işareti koyulmasından ibaret olmamalıdır.

Gerçek bir siber hijyen değerlendirmesinde her kontrolün kurum üzerindeki etkisi analiz edilmelidir.

SecureSys Siber Hijyen Uyum Danışmanlığı kapsamında mevcut durum değerlendirmesi yapılarak;

Mevcut Durum → Eksiklik → Risk → Öncelik → Aksiyon → Sorumlu → Hedef Tarih → Doğrulama

modeli oluşturulur.

Böylece siber hijyen çalışması teorik bir denetim dokümanı olmaktan çıkarak uygulanabilir bir siber güvenlik yol haritasına dönüşür.

Siber Hijyen GAP Analizi

Siber hijyen çalışmalarının başlangıç noktalarından biri GAP Analizi, yani mevcut durum ile hedef güvenlik seviyesi arasındaki farkın belirlenmesidir.

SecureSys Siber Hijyen GAP Analizi kapsamında kurumun mevcut güvenlik kontrolleri incelenir.

Her kontrol için;

• mevcut durum,
• uyumluluk seviyesi,
• tespit edilen eksiklik,
• oluşturduğu risk,
• önerilen iyileştirme,
• aksiyon önceliği

belirlenir.

Riskler kurumun yapısına göre kritik, yüksek, orta ve düşük gibi seviyelerde sınıflandırılabilir.

Bu yaklaşım sayesinde kurum yönetimi yüzlerce teknik bulgu arasında kaybolmak yerine hangi güvenlik problemlerinin öncelikle çözülmesi gerektiğini görebilir.

Siber Hijyen Kontrolleri Nelerdir?

Siber hijyen yalnızca antivirüs veya güvenlik duvarı kontrolünden oluşmaz.

Modern bir Siber Hijyen Programı, kurumun tüm dijital ekosistemini kapsamalıdır.

SecureSys tarafından gerçekleştirilen değerlendirmelerde kurumun yapısına göre aşağıdaki güvenlik alanları incelenebilir.

1. BT Varlık ve Envanter Yönetimi

Koruyamadığınız sistemi yönetemezsiniz; varlığından haberdar olmadığınız sistemi ise korumanız mümkün değildir.

Bu nedenle siber hijyenin ilk aşaması doğru ve güncel bir BT envanteridir.

Kurumun;

sunucuları,

istemci bilgisayarları,

ağ cihazları,

firewall sistemleri,

mobil cihazları,

IoT sistemleri,

bulut kaynakları,

web uygulamaları,

domainleri,

IP adresleri,

veri tabanları,

VPN sistemleri

ve diğer dijital varlıkları belirlenmelidir.

Shadow IT olarak tanımlanan BT biriminin kontrolü dışında kullanılan sistemler de saldırı yüzeyinin önemli bir parçasıdır.

2. Güvenlik Açığı ve Zafiyet Yönetimi

Siber hijyenin en önemli bileşenlerinden biri Vulnerability Management – Zafiyet Yönetimi sürecidir.

Kurum sistemleri belirli aralıklarla güvenlik açıklarına karşı kontrol edilmelidir.

Ancak yalnızca zafiyet taraması yapmak yeterli değildir.

Bulunan güvenlik açıklarının;

kritikliği,

internetten erişilebilirliği,

etkilenen sistemin önemi,

istismar edilebilirliği,

iş süreçlerine etkisi

birlikte değerlendirilmelidir.

SecureSys yaklaşımında amaç yüzlerce CVE numarasından oluşan bir rapor sunmak değil, kurum için gerçekten risk oluşturan zafiyetlerin önceliklendirilmesini sağlamaktır.

3. Yama ve Güncelleme Yönetimi

Patch Management yani Yama Yönetimi, siber hijyenin temel güvenlik kontrollerinden biridir.

İşletim sistemleri, uygulamalar, ağ cihazları ve güvenlik ürünleri düzenli olarak güncellenmelidir.

Özellikle internete açık;

VPN,

Firewall,

Web Server,

Mail Gateway,

Remote Access,

Web Application,

API

gibi sistemlerde bulunan kritik zafiyetlerin takibi büyük önem taşır.

SecureSys Siber Hijyen değerlendirmelerinde kurumun yama yönetimi süreçleri ve kritik sistemlerdeki güncelleme durumu incelenir.

4. Kullanıcı Hesapları ve Kimlik Güvenliği

Modern saldırılarda saldırganların en önemli hedeflerinden biri kullanıcı kimlik bilgileridir.

Bu nedenle Identity Security – Kimlik Güvenliği, siber hijyen programının temel bileşenlerinden biridir.

Kurumdaki;

aktif kullanıcı hesapları,

eski çalışan hesapları,

servis hesapları,

yönetici hesapları,

domain administrator hesapları,

uzak erişim hesapları

kontrol edilmelidir.

Uzun süredir kullanılmayan hesapların aktif bırakılması gereksiz saldırı yüzeyi oluşturabilir.

5. Güçlü Parola Politikaları ve MFA

Zayıf veya tekrar kullanılan parolalar hesap ele geçirme saldırılarında önemli risk kaynaklarından biridir.

Bu nedenle kurum genelinde güçlü parola politikaları uygulanmalı ve kritik sistemlerde Multi-Factor Authentication – MFA kullanılmalıdır.

Özellikle;

VPN,

Microsoft 365,

Google Workspace,

Cloud Platformları,

ERP,

CRM,

Yönetici Panelleri,

Privileged Accounts

gibi kritik erişim noktalarında MFA kullanımı değerlendirilmelidir.

Parola güvenliği yalnızca minimum karakter uzunluğundan ibaret görülmemeli; kimlik doğrulama mimarisinin tamamı değerlendirilmelidir.

6. Ayrıcalıklı Hesap Güvenliği ve PAM

Administrator, root, domain admin ve benzeri ayrıcalıklı hesapların ele geçirilmesi saldırganın kurum içerisinde çok geniş yetkilere sahip olmasına neden olabilir.

Bu nedenle ayrıcalıklı hesapların;

kim tarafından kullanıldığı,

hangi sistemlere erişebildiği,

erişimlerin kayıt altına alınıp alınmadığı,

parolaların nasıl yönetildiği

kontrol edilmelidir.

Gerekli yapılarda Privileged Access Management – PAM çözümleriyle ayrıcalıklı erişimlerin merkezi olarak yönetilmesi değerlendirilmelidir.

7. Endpoint Güvenliği – EDR ve XDR

Çalışan bilgisayarları saldırganların kuruma erişmek için kullandığı temel hedeflerden biridir.

Endpoint sistemlerinde yalnızca geleneksel antivirüs kullanılması modern saldırı teknikleri karşısında yeterli olmayabilir.

Siber hijyen kapsamında;

Endpoint Protection,

EDR,

XDR,

Host Firewall,

Disk Encryption,

USB politikaları,

Application Control

gibi kontroller değerlendirilmelidir.

Amaç yalnızca endpoint üzerinde güvenlik yazılımı bulunması değil, güvenlik olaylarının algılanabilir ve müdahale edilebilir olmasıdır.

8. Ağ Güvenliği ve Segmentasyon

Düz bir ağ mimarisi, saldırganın bir sistemi ele geçirdikten sonra diğer sistemlere ulaşmasını kolaylaştırabilir.

Bu nedenle ağ segmentasyonu siber hijyen açısından kritik öneme sahiptir.

Kullanıcı ağı,

sunucu ağı,

misafir ağı,

yönetim ağı,

yedekleme ağı,

OT/IoT ağı

gibi kritik alanların mümkün olduğunca uygun güvenlik politikalarıyla ayrıştırılması gerekir.

Firewall kurallarının düzenli olarak gözden geçirilmesi de bu sürecin önemli bir parçasıdır.

9. E-Posta Güvenliği ve Phishing

E-posta, kurumlara yönelik saldırılarda yaygın olarak kullanılan kanallardan biridir.

Phishing saldırıları aracılığıyla kullanıcıların parolaları ele geçirilebilir, zararlı dosyalar çalıştırılabilir veya kullanıcılar sahte ödeme ve işlem taleplerine yönlendirilebilir.

Bu nedenle siber hijyen kapsamında;

SPF,

DKIM,

DMARC,

Anti-Spam,

Anti-Phishing,

Attachment Security,

URL Filtering

ve kullanıcı farkındalığı gibi kontroller değerlendirilmelidir.

10. Veri Güvenliği ve DLP

Siber hijyenin nihai hedeflerinden biri kurum verilerinin korunmasıdır.

Kritik verilerin nerede bulunduğu ve kimler tarafından erişilebildiği bilinmelidir.

Kurumun ihtiyaçlarına göre;

Data Classification,

Data Loss Prevention – DLP,

Encryption,

Access Control,

Database Activity Monitoring – DAM

gibi teknolojiler veri güvenliği mimarisinin parçası olabilir.

11. Log Yönetimi, SIEM ve Güvenlik İzleme

Bir saldırıyı engellemek kadar gerçekleşen güvenlik olayını hızlı şekilde tespit edebilmek de önemlidir.

Bu nedenle kritik sistemlerden üretilen güvenlik loglarının merkezi olarak toplanması ve analiz edilmesi gerekir.

SIEM – Security Information and Event Management sistemleri farklı güvenlik kaynaklarından gelen logların merkezi olarak analiz edilmesini sağlar.

Kritik yapılarda SIEM sistemlerinin 7x24 SOC hizmeti ile birlikte kullanılması olayların daha hızlı değerlendirilmesine yardımcı olabilir.

12. Yedekleme Güvenliği ve Ransomware Dayanıklılığı

Yedek almak tek başına güvenli bir yedekleme stratejisi değildir.

Ransomware saldırıları sırasında saldırganların hedeflerinden biri kurumun yedeklerini de erişilemez hale getirmektir.

Bu nedenle;

yedeklerin ayrıştırılması,

yetkilerin sınırlandırılması,

offline veya immutable kopyaların değerlendirilmesi,

yedekten geri dönüş testlerinin yapılması

kritik öneme sahiptir.

Bir kurum “yedek alıyoruz” demek yerine:

“Bu yedekten gerçekten geri dönebiliyor muyuz?”

sorusuna cevap verebilmelidir.

13. Çalışan Siber Güvenlik Farkındalığı

Siber hijyen yalnızca teknoloji ekiplerinin sorumluluğu değildir.

Çalışanların güvenlik farkındalığı kurumun genel siber güvenlik seviyesini doğrudan etkiler.

Çalışanların;

phishing,

sosyal mühendislik,

parola güvenliği,

şüpheli bağlantılar,

dosya paylaşımı,

kişisel veri güvenliği,

uzaktan çalışma güvenliği

konularında bilinçlendirilmesi gerekir.

Farkındalık eğitimleri gerektiğinde phishing simülasyonlarıyla desteklenebilir.

Saldırı Yüzeyi Yönetimi ve Siber Hijyen

Modern kurumların saldırı yüzeyi yalnızca şirket binasındaki sunuculardan oluşmaz.

Bulut servisleri, domainler, alt domainler, public IP adresleri, web uygulamaları, API servisleri ve üçüncü taraf sistemler kurumun dış saldırı yüzeyinin bir parçası olabilir.

Bu nedenle Attack Surface Management (ASM) ve External Attack Surface Management (EASM) yaklaşımı siber hijyen çalışmalarını tamamlayan önemli güvenlik disiplinleridir.

Kurumun internetten görülebilen varlıklarının sürekli takip edilmesi;

unutulmuş sistemlerin,

açık portların,

yanlış yapılandırmaların,

eski servislerin

ve potansiyel güvenlik açıklarının daha erken fark edilmesine yardımcı olur.

Siber Hijyen ve KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının kişisel verilerin güvenliğinin sağlanmasına yönelik gerekli teknik ve idari tedbirleri almaları gerekmektedir.

Siber hijyen uygulamaları KVKK kapsamında alınması gereken teknik tedbirlerin sürdürülebilir biçimde yönetilmesine yardımcı olabilir.

Örneğin;

erişim kontrolü,

yetki yönetimi,

loglama,

güvenlik güncellemeleri,

zararlı yazılım koruması,

ağ güvenliği,

yedekleme,

veri güvenliği

gibi birçok siber hijyen kontrolü kişisel verilerin korunması açısından da önem taşır.

Bu nedenle siber hijyen ve KVKK uyum süreçleri birbirinden tamamen bağımsız düşünülmemelidir.

Siber Hijyen ve ISO/IEC 27001

ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, kurumların bilgi güvenliği risklerini sistematik şekilde yönetmesini amaçlayan uluslararası bir standarttır.

Siber hijyen çalışmaları ISO 27001 kapsamında oluşturulan bilgi güvenliği yönetim sisteminin teknik uygulamalarını destekleyebilir.

Varlık yönetimi, erişim kontrolü, zafiyet yönetimi, loglama, yedekleme, güvenlik olaylarının yönetimi ve farkındalık gibi alanlar iki yaklaşım arasında önemli kesişim noktaları oluşturur.

Bu nedenle ISO 27001 uyum sürecinde olan kurumlarda Siber Hijyen değerlendirmesi mevcut güvenlik kontrollerinin teknik olgunluğunun görülmesine yardımcı olabilir.

Siber Hijyen ve NIST Cybersecurity Framework

NIST Cybersecurity Framework, kurumların siber güvenlik risklerini sistematik şekilde yönetebilmesi için kullanılabilecek önemli çerçevelerden biridir.

NIST CSF 2.0 yaklaşımındaki;

Govern – Yönet

Identify – Tanımla

Protect – Koru

Detect – Tespit Et

Respond – Müdahale Et

Recover – Kurtar

fonksiyonları, siber hijyen programının daha geniş bir siber risk yönetimi yaklaşımıyla ilişkilendirilmesine yardımcı olur.

Bu nedenle SecureSys Siber Hijyen değerlendirmelerinde yalnızca güvenlik açıklarının bulunmasına değil, kurumun güvenlik risklerini tanımlama, koruma, tespit, müdahale ve kurtarma yetkinliklerine de bütünsel olarak bakılabilir.

Siber Hijyen ile Sızma Testi Arasındaki Fark Nedir?

Siber Hijyen ve Sızma Testi birbirinin alternatifi değildir.

Siber Hijyen, kurumun temel güvenlik kontrollerinin ne kadar sağlıklı olduğunu değerlendirir.

Sızma Testi (Pentest) ise saldırgan bakış açısıyla belirlenen sistemlerde güvenlik açıklarının istismar edilebilirliğini test eder.

Örneğin siber hijyen çalışması bir sistemde MFA kullanılmadığını veya güncelleme sürecinin yetersiz olduğunu tespit edebilir.

Sızma testi ise mevcut bir güvenlik açığının gerçek saldırı senaryosunda nasıl kullanılabileceğini gösterebilir.

En güçlü yaklaşım iki disiplinin birlikte kullanılmasıdır.

Siber Hijyen ile Zafiyet Taraması Arasındaki Fark Nedir?

Zafiyet taraması genellikle sistemlerdeki teknik güvenlik açıklarını tespit etmeye odaklanır.

Siber hijyen ise çok daha geniştir.

Siber Hijyen;

İnsan + Süreç + Teknoloji + Politika + Kontrol + İzleme

bileşenlerini birlikte değerlendirir.

Bu nedenle bir vulnerability scanner tarafından oluşturulan zafiyet raporu tek başına Siber Hijyen değerlendirmesi olarak görülmemelidir.

SecureSys Siber Hijyen Hizmet Süreci

SecureSys tarafından gerçekleştirilen Siber Hijyen çalışmalarında kurumun büyüklüğü, sektörü, mevcut teknolojileri ve güvenlik ihtiyaçları dikkate alınarak kapsam belirlenir.

1. Kapsam Belirleme

Kurumun BT altyapısı, kritik sistemleri, kullanıcı yapısı ve mevcut güvenlik teknolojileri hakkında ön bilgi alınır.

2. Mevcut Durum Analizi

Mevcut siber güvenlik kontrolleri değerlendirilir.

3. Teknik Kontroller

Sistem, ağ, endpoint, kimlik, erişim, yedekleme ve güvenlik teknolojileri incelenir.

4. GAP Analizi

Mevcut durum ile hedeflenen güvenlik seviyesi arasındaki fark belirlenir.

5. Risklerin Önceliklendirilmesi

Tespit edilen eksiklikler kurum üzerindeki potansiyel etkilerine göre önceliklendirilir.

6. İyileştirme Yol Haritası

Her bulgu için uygulanabilir iyileştirme önerileri hazırlanır.

7. Teknik ve Yönetici Raporlama

Teknik ekiplerin kullanabileceği detaylı bulguların yanında yöneticilerin karar almasını kolaylaştıracak özet değerlendirmeler hazırlanır.

8. İyileştirme ve Doğrulama

Giderilen bulgular yeniden değerlendirilerek güvenlik seviyesindeki gelişim ölçülebilir.

Siber Hijyen Olgunluk Seviyesi Nasıl Ölçülür?

Siber güvenlik yalnızca “var” veya “yok” şeklinde değerlendirilmemelidir.

Bir güvenlik kontrolünün bulunması o kontrolün etkili olduğu anlamına gelmez.

Örneğin kurumda SIEM bulunabilir fakat kritik sistemlerin logları SIEM'e gönderilmiyor olabilir.

EDR bulunabilir fakat alarm üreten endpointler aktif olarak takip edilmiyor olabilir.

Yedekleme sistemi bulunabilir fakat geri dönüş testi hiç yapılmamış olabilir.

MFA kullanılıyor olabilir fakat kritik yönetici hesaplarında uygulanmıyor olabilir.

Bu nedenle SecureSys değerlendirmelerinde güvenlik kontrollerinin yalnızca varlığı değil, etkinliği ve sürdürülebilirliği de dikkate alınır.

Kimler Siber Hijyen Hizmeti Almalıdır?

Siber Hijyen Hizmeti belirli bir sektör veya kurum büyüklüğüyle sınırlı değildir.

Özellikle;

kamu kurumları,

savunma sanayi kuruluşları,

finans kuruluşları,

üretim şirketleri,

enerji şirketleri,

sağlık kuruluşları,

e-ticaret şirketleri,

teknoloji firmaları,

holdingler,

kritik altyapı işletmeleri,

kişisel veya kritik veri işleyen kuruluşlar

için düzenli siber hijyen değerlendirmeleri önemli bir güvenlik yaklaşımıdır.

Neden SecureSys Siber Hijyen Hizmeti?

Siber hijyen değerlendirmesi yalnızca bir checklist çalışması olarak ele alındığında kurumun gerçek siber risklerini ortaya koymakta yetersiz kalabilir.

SecureSys yaklaşımında değerlendirme; siber güvenlik, sızma testi, SOC, SIEM, zafiyet yönetimi, veri güvenliği ve GRC perspektiflerinin birlikte değerlendirilmesi üzerine kuruludur.

Amacımız yalnızca:

“Bu kontrol eksik.”

demek değildir.

Asıl sorularımız şunlardır:

Bu eksiklik hangi riski oluşturuyor?

Saldırgan bunu nasıl kullanabilir?

Önceliği nedir?

Nasıl giderilmelidir?

Hangi teknoloji veya süreç bunu çözebilir?

Düzeltildiğini nasıl doğrulayacağız?

Bu yaklaşım, Siber Hijyen çalışmasını bir kontrol listesinden çıkararak uygulanabilir bir Siber Güvenlik İyileştirme Programına dönüştürür.

Siber Hijyen Hakkında Sıkça Sorulan Sorular

Siber Hijyen nedir?

Siber Hijyen, kurumların bilgi sistemleri ve dijital varlıklarını güvenli tutmak için düzenli olarak uygulaması gereken temel siber güvenlik uygulamalarının bütünüdür.

Siber Hijyen Hizmeti nedir?

Kurumun temel güvenlik kontrollerinin değerlendirilmesi, eksikliklerin tespit edilmesi, risklerin önceliklendirilmesi ve iyileştirme yol haritasının oluşturulmasını kapsayan profesyonel siber güvenlik hizmetidir.

Siber Hijyen çalışması ne kadar sürer?

Çalışma süresi kurumun büyüklüğüne, lokasyon sayısına, sistem sayısına ve değerlendirme kapsamına göre değişir.

Siber Hijyen ile pentest aynı şey midir?

Hayır. Pentest belirlenen sistemlerin saldırgan bakış açısıyla güvenliğini test ederken Siber Hijyen kurumun temel güvenlik kontrollerinin tamamını daha geniş bir perspektifle değerlendirir.

Siber Hijyen ile ISO 27001 aynı mıdır?

Hayır. ISO/IEC 27001 bir Bilgi Güvenliği Yönetim Sistemi standardıdır. Siber Hijyen ise temel siber güvenlik kontrollerinin uygulanmasına ve sürdürülebilirliğine odaklanan bir yaklaşımdır. Bununla birlikte iki çalışma birbirini destekleyebilir.

Siber Hijyen KVKK uyumuna katkı sağlar mı?

Evet. Erişim güvenliği, loglama, yetkilendirme, yama yönetimi, veri güvenliği ve yedekleme gibi siber hijyen kontrolleri kişisel verilerin korunmasına yönelik teknik tedbirlerin güçlendirilmesine katkı sağlayabilir.

Siber Hijyen bir defa yapılması yeterli midir?

Hayır. Yeni sistemler, kullanıcılar, uygulamalar ve güvenlik açıkları sürekli ortaya çıktığı için siber hijyenin periyodik bir süreç olarak yönetilmesi daha doğru bir yaklaşımdır.

Siber Hijyen çalışması sonunda rapor hazırlanır mı?

Evet. Çalışmanın kapsamına göre mevcut durum, tespit edilen eksiklikler, risk seviyeleri, iyileştirme önerileri ve aksiyon planını içeren teknik ve yönetici raporları hazırlanabilir.

Siber Hijyen Seviyenizi Bugün Ölçün

Siber saldırılara karşı güçlü bir güvenlik mimarisi, yalnızca yeni güvenlik ürünleri satın almakla değil; mevcut sistemlerin, kullanıcıların, süreçlerin ve güvenlik kontrollerinin doğru şekilde yönetilmesiyle oluşturulur.

Kurumunuzdaki unutulmuş hesaplar, güncellenmeyen sistemler, kontrol edilmeyen yetkiler, açık servisler veya yanlış yapılandırmalar saldırganların kullanabileceği görünmeyen bir saldırı yüzeyi oluşturabilir.

SecureSys Siber Hijyen Hizmeti ile mevcut güvenlik seviyenizi görünür hale getirin, kritik risklerinizi önceliklendirin ve kurumunuza özel uygulanabilir Siber Güvenlik Yol Haritası oluşturun.

Güvenlik açıklarının saldırıya dönüşmesini beklemeyin.

Siber Hijyen seviyenizi ölçün, saldırı yüzeyinizi azaltın ve güvenlik olgunluğunuzu sürekli geliştirin.

SecureSys Siber Hijyen Hizmeti için hemen teklif alın.

KVKK – Kullanıcı Güvenliğine İlişkin Teknik ve İdari Tedbirler

Güncel KVKK Kullanıcı Güvenliği Tedbirleri ve Siber Hijyen

Kişisel verilerin korunması yalnızca hukuki ve idari süreçlerin oluşturulmasıyla sınırlı değildir. Kurumların kullanıcı hesaplarını, erişim sistemlerini, parolaları, uygulamaları ve kişisel veri işleyen bilgi sistemlerini teknik güvenlik kontrolleriyle koruması gerekir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesi kapsamında veri sorumluları; kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Kişisel Verileri Koruma Kurumu tarafından kullanıcı güvenliğine ilişkin yayımlanan tavsiyeler, Siber Hijyen (Cyber Hygiene) yaklaşımının KVKK açısından önemini de açık biçimde ortaya koymaktadır.

Kurum tarafından değerlendirilen veri ihlallerinde; kullanıcı adı ve parola bilgilerinin ele geçirilmesi, aynı parolaların farklı platformlarda kullanılması, yeterli kimlik doğrulama mekanizmalarının bulunmaması ve son kullanıcı sistemlerindeki güvenlik açıkları gibi problemlerin kişisel veri güvenliği açısından risk oluşturabildiği görülmektedir.

Bu nedenle kurumların KVKK uyum süreçlerini yalnızca dokümantasyon çalışması olarak değil, aktif ve sürekli bir Siber Güvenlik ve Siber Hijyen Programı ile desteklemesi önemlidir.

1. Çok Faktörlü Kimlik Doğrulama – MFA / 2FA

Kullanıcı hesabının yalnızca kullanıcı adı ve parola ile korunması, kimlik bilgilerinin ele geçirilmesi durumunda yeterli güvenlik sağlamayabilir.

Bu nedenle kritik sistemlerde Multi-Factor Authentication (MFA) veya Two-Factor Authentication (2FA) mekanizmalarının kullanılması hesap güvenliğinin önemli katmanlarından biridir.

Özellikle;

• VPN erişimleri,
• Microsoft 365 ve bulut servisleri,
• yönetici hesapları,
• ERP ve CRM sistemleri,
• kişisel veri işleyen uygulamalar,
• uzaktan erişim sistemleri,
• kritik web uygulamaları

gibi ortamlarda çok faktörlü kimlik doğrulama uygulanması değerlendirilmelidir.

SecureSys Siber Hijyen çalışmalarında yalnızca MFA teknolojisinin bulunup bulunmadığı değil, hangi kullanıcı ve sistemlerde gerçekten uygulandığı da değerlendirilir.

2. Güçlü Parola Politikalarının Oluşturulması

Kullanıcı hesaplarının korunmasında güçlü parola politikaları temel siber hijyen kontrollerinden biridir.

KVKK'nın kullanıcı güvenliği tavsiyelerinde sistemlere giriş parolalarının asgari 10 karakter olması ve büyük/küçük harf, rakam ve özel karakterlerin birlikte kullanılması yönünde öneri bulunmaktadır.

Aynı zamanda yeni oluşturulan parolaların önceki parolalarla aynı olmamasının sağlanması ve aynı parolanın birden fazla platformda kullanılmaması gerektiği de vurgulanmaktadır.

Kurumsal parola politikaları oluşturulurken;

parola güvenliği,

hesap kritikliği,

ayrıcalıklı kullanıcılar,

MFA kullanımı,

servis hesapları,

parola saklama yöntemleri

bir bütün olarak değerlendirilmelidir.

3. Başarısız Giriş Denemelerinin Sınırlandırılması

Saldırganlar kullanıcı hesaplarını ele geçirmek amacıyla Brute Force, Password Spraying ve Credential Stuffing gibi parola tabanlı saldırı yöntemlerinden yararlanabilir.

Bu nedenle kullanıcı hesaplarına yönelik başarısız giriş denemelerinin kontrol altında tutulması gerekir.

KVKK tarafından yayımlanan kullanıcı güvenliği tavsiyelerinde IP adresinden gerçekleştirilecek başarısız giriş denemelerinin sayısının sınırlandırılması önerilmektedir.

Kurumların buna ek olarak;

• başarısız girişleri loglaması,
• anormal oturum açma davranışlarını izlemesi,
• yüksek sayıda başarısız giriş için alarm üretmesi,
• şüpheli IP adreslerini değerlendirmesi,
• kullanıcı hesaplarını Credential Stuffing saldırılarına karşı koruması

kurumsal siber hijyen seviyesini güçlendirebilir.

4. Kullanıcıların Başarılı ve Başarısız Girişleri Görebilmesi

Hesap güvenliğinde önemli konulardan biri de kullanıcıların kendi hesaplarında gerçekleşen olağan dışı aktiviteleri fark edebilmesidir.

KVKK tavsiyelerinde ilgili kişilerin en az son beş başarılı ve başarısız giriş denemesine ilişkin bilgileri görüntüleyebilmesinin sağlanması önerilmektedir.

Bu yaklaşım, yetkisiz erişim girişimlerinin kullanıcı tarafından daha erken fark edilmesine yardımcı olabilir.

Kurumsal sistemlerde ise bu kayıtların SIEM ve SOC altyapıları üzerinden merkezi olarak izlenmesi güvenlik görünürlüğünü daha ileri bir seviyeye taşıyabilir.

5. Yeni veya Farklı Cihazlardan Yapılan Girişlerin Bildirilmesi

Bir kullanıcı hesabına normalde kullanılan cihazların dışında farklı bir cihazdan erişim gerçekleştirilmesi potansiyel bir hesap ele geçirme göstergesi olabilir.

KVKK kullanıcı güvenliği tavsiyelerinde sık kullanılan cihazların dışında farklı cihazlardan gerçekleştirilen girişlerde kullanıcıların e-posta, SMS veya benzeri yöntemlerle bilgilendirilmesi önerilmektedir.

Modern güvenlik mimarilerinde bu yaklaşım;

Identity Threat Detection, Conditional Access, Risk-Based Authentication ve User Behavior Analytics

gibi teknolojilerle daha ileri seviyeye taşınabilir.

6. Parolaların Güvenli Şekilde Saklanması

Parolaların veri tabanlarında açık metin olarak tutulması ciddi bir güvenlik riski oluşturur.

KVKK tavsiyelerinde kullanıcı parolalarının siber saldırılara karşı korunabilmesi için güvenli ve güncel hashing yöntemlerinin kullanılması gerektiği belirtilmektedir.

Bir veri tabanının saldırganların eline geçmesi durumunda parola saklama mimarisinin güvenliği, saldırının etkisini doğrudan değiştirebilir.

Bu nedenle SecureSys Siber Hijyen ve uygulama güvenliği değerlendirmelerinde yalnızca kullanıcı giriş ekranı değil, gerektiğinde kimlik bilgilerinin nasıl işlendiği ve korunduğu da değerlendirilir.

7. CAPTCHA ve Otomatik Saldırıların Engellenmesi

Otomatik araçlarla gerçekleştirilen parola saldırılarına karşı kullanıcı ile otomatik sistemleri birbirinden ayırmaya yardımcı olacak güvenlik kontrolleri kullanılabilir.

KVKK tavsiyelerinde CAPTCHA veya benzeri mekanizmaların kullanılmasına yer verilmektedir.

Bu kontroller özellikle;

Brute Force,

Credential Stuffing,

bot saldırıları,

otomatik hesap denemeleri

gibi saldırılara karşı ek güvenlik katmanı oluşturabilir.

8. Erişime İzin Verilen IP Adreslerinin Sınırlandırılması

Her sistemin dünyanın her noktasından erişilebilir olması gerekmez.

Özellikle yönetim panelleri ve kritik kurumsal sistemlerde erişim kaynaklarının sınırlandırılması saldırı yüzeyini önemli ölçüde azaltabilir.

KVKK tavsiyelerinde de erişime izin verilen IP adreslerinin sınırlandırılması değerlendirilebilecek teknik tedbirlerden biri olarak belirtilmektedir.

SecureSys Siber Hijyen değerlendirmelerinde internete açık sistemler incelenerek gereksiz erişim noktalarının azaltılması hedeflenir.

9. HTTPS ve Güvenli İletişim

Kullanıcı ile uygulama arasındaki veri trafiğinin korunması kişisel veri güvenliğinin temel gereksinimlerindendir.

KVKK kullanıcı güvenliği tavsiyelerinde uygulamaların HTTPS veya aynı güvenlik seviyesini sağlayabilecek yöntemlerle korunması önerilmektedir.

SecureSys değerlendirmelerinde;

SSL/TLS yapılandırmaları,

sertifika güvenliği,

eski protokoller,

güvensiz şifreleme algoritmaları,

web uygulaması güvenliği

gibi alanlar da siber hijyen perspektifinden değerlendirilebilir.

10. Üçüncü Taraf Yazılım ve Servislerin Güncel Tutulması

Kurumların güvenliği yalnızca kendi geliştirdikleri sistemlere bağlı değildir.

VPN çözümleri, firewall sistemleri, web frameworkleri, CMS sistemleri, eklentiler, bulut servisleri ve diğer üçüncü taraf teknolojiler kurumun saldırı yüzeyinin bir parçasıdır.

KVKK kullanıcı güvenliği tavsiyelerinde, sistemlere giriş amacıyla üçüncü taraf yazılım veya servis kullanılması halinde bunların güvenlik güncellemelerinin düzenli gerçekleştirilmesi ve gerekli kontrollerin yapılması önerilmektedir.

Bu yaklaşım doğrudan Patch Management – Yama Yönetimi ve Vulnerability Management – Zafiyet Yönetimi süreçleriyle ilişkilidir.

Bir kurumun güvenliği çoğu zaman en güçlü sisteminin değil, güncellenmemiş en zayıf bileşeninin güvenliği kadar güçlüdür.

KVKK Uyumu Artık Yalnızca Dokümantasyon Olarak Görülmemelidir

KVKK kapsamında gerçekleştirilen çalışmaların yalnızca politika, prosedür, envanter ve hukuki dokümanlardan oluşması yeterli bir siber güvenlik yaklaşımı değildir.

Kişisel verilerin işlendiği bilgi sistemlerinde teknik güvenlik kontrollerinin uygulanması ve bu kontrollerin etkinliğinin düzenli olarak doğrulanması gerekir.

Bu nedenle;

KVKK Uyumu + Siber Hijyen + Zafiyet Yönetimi + Sızma Testi + SIEM/SOC + Veri Güvenliği

birbirini tamamlayan güvenlik katmanları olarak ele alınmalıdır.

SecureSys Siber Hijyen Hizmeti kapsamında kurumların kullanıcı güvenliği, kimlik doğrulama, parola politikaları, erişim kontrolleri, güncelleme süreçleri, log yönetimi ve diğer teknik güvenlik mekanizmaları bütüncül şekilde değerlendirilerek mevcut risklerin görünür hale getirilmesi hedeflenir.

KVKK Teknik Tedbirlerinizi Siber Hijyen Yaklaşımıyla Güçlendirin

Kullanıcı hesaplarının ele geçirilmesi, zayıf parola politikaları, güncellenmeyen sistemler veya kontrol edilmeyen erişimler kişisel veri güvenliği açısından ciddi riskler oluşturabilir.

SecureSys Siber Hijyen ve KVKK Teknik Uyum Hizmetleri ile mevcut güvenlik kontrollerinizi değerlendirin, eksiklerinizi belirleyin ve kurumunuza özel uygulanabilir güvenlik yol haritası oluşturun.

Uyumu yalnızca belge üzerinde bırakmayın. Teknik kontrollerle doğrulayın, ölçün ve sürekli geliştirin.

KVKK ve Siber Hijyen teknik uyum seviyenizi değerlendirmek için SecureSys'ten hemen teklif alın.