Savunma olgunluk seviyesi, kurumun kaç güvenlik ürünü satın aldığıyla değil, gerçek bir saldırı zincirinin kaçıncı adımında durdurulabildiğiyle belirlenir. Uç nokta koruması, güvenlik duvarı ve log toplama platformu bulunan bir kurumda, bakım için verilmiş bir yüklenici hesabının parolası iki yıldır değişmemişse ve bu hesabın oturum açma davranışını izleyen tek bir kural yoksa, envanter zengin ama olgunluk düşüktür.

Aşağıda olgunluğun ölçülebilir biçimde değerlendirilmesini sağlayan beş kriter, her kriter için sahada bakılacak somut kanıtlar ve değerlendirmeyi yürütmenin adımları anlatılıyor. Ölçüt seti; bir kurumun kendi iç değerlendirmesinde de, dışarıdan yürütülen bağımsız bir incelemede de aynı biçimde kullanılabilir.

Envanter zenginliği neden olgunluk sayılmaz

Ürün sayısı, ancak o ürünün ürettiği veriye soru soruluyorsa anlam taşır. Sahada en sık karşılaşılan tablo şudur: pahalı bir tespit platformu kurulmuş, varsayılan kurallarla çalıştırılmış, ürettiği alarmların büyük bölümü yanlış pozitif olduğu için analistler tarafından sessize alınmıştır. Bu kurumda teknoloji vardır, kabiliyet yoktur.

İkinci yaygın yanılgı, belge olgunluğunu operasyonel olgunlukla karıştırmaktır. Yazılı bir olay müdahale prosedürü bulunması iyidir; ancak prosedürde adı geçen kişilerin bir kısmı kurumdan ayrılmışsa ve son tatbikat yapılalı bir yıl geçmişse, belge denetimde işe yarar, gece yarısı çalan telefonda yaramaz. Bağımsız bir kurumsal siber güvenlik danışmanlığı değerlendirmesinin ilk yaptığı iş, belgeyle uygulamayı yüzleştirmektir.

Beş seviyeli ölçek ve gözlemlenebilir işaretleri

Ölçek, kurumu tek bir kutuya koymak için değil, kriter bazında farklı seviyelerin görünmesi için kullanılır. Çoğu kurum görünürlükte dördüncü seviyedeyken müdahale provasında ikinci seviyede kalır; asıl değerli bilgi bu dengesizliktir.

Birinci kriter: görünürlük ve veri kalitesi

Görünürlük, “log topluyor muyuz” sorusundan ibaret değildir. Değerlendirmede şu kanıtlara bakılır.

• Kritik varlık listesi güncel mi ve bu varlıkların tamamı veri gönderiyor mu
• Kimlik sağlayıcısı, ayrıcalıklı erişim, uzaktan bağlantı ve bulut yönetim düzlemi kayıtları toplanıyor mu
• Saklama süresi, geriye dönük analiz için yeterli mi; sıkıştırılmış arşivden veri çıkarmak kaç saat sürüyor
• Saat senkronizasyonu tüm kaynaklarda sağlanıyor mu; zaman kayması varsa zincir kurulamaz
• Bir kaynak veri göndermeyi kestiğinde bunu fark eden bir kontrol var mı

Son madde küçük görünür ama kritiktir: sessizleşen bir log kaynağı, saldırganın en çok işine yarayan durumdur ve çoğu kurumda haftalarca fark edilmez.

İkinci kriter: tespit mühendisliği disiplini

Olgun kurumda tespit kuralları yazılım gibi yönetilir: sürüm kontrolü altındadır, değişiklik gerekçesi kayıtlıdır ve her kural en az bir kez gerçek bir teknikle test edilmiştir. Kuralların MITRE ATT&CK taktik başlıklarıyla eşlenmesi, hangi alanda tek noktaya bağımlı olunduğunu gösterir.

Kuralların yalnızca üretim ortamında değil, bir test alanında da çalıştırılabilir olması ayrı bir olgunluk işaretidir. Yeni yazılan kuralı gerçek trafiğe çıkarmadan önce doğrulayabilen ekipler, hem yanlış pozitif yükünü hem de kör noktayı aynı anda azaltır.

Disiplinin göstergesi kural sayısı değil, kuralların yaşam döngüsüdür. Devre dışı bırakılmış kurallar gözden geçiriliyor mu, yanlış pozitif üreten kurallar daraltılıyor mu, yeni bir sistem devreye alındığında kapsama otomatik olarak sorgulanıyor mu. Bu soruların yanıtı yoksa kural seti zamanla çürür ve gerçek bir olayda sessiz kalır.

Üçüncü kriter: müdahalenin prova edilmişliği

Olay müdahale kabiliyeti yalnızca gerçek olayda veya provada ölçülür. Değerlendirme, son on iki ayda yürütülmüş masa başı tatbikatların ve teknik simülasyonların kayıtlarına bakar: kimler katıldı, hangi kararlar ne kadar sürede alındı, hangi eksikler çıktı ve bunlardan kaçı kapatıldı.

Kritik ayrıntı yetki devridir. İzolasyon kararını gece yarısı kim verebiliyor, üretim sistemini kapatma yetkisi kimde, hukuk ve iletişim birimleri hangi eşikte devreye giriyor. Kararın onay beklediği her dakika, yanıt süresine doğrudan eklenir. Bir red team hizmetinin ardından yapılan değerlendirmede en sık rastlanan bulgulardan biri, tespitin aslında zamanında gerçekleştiği ama müdahalenin onay zincirinde beklediğidir.

Dördüncü kriter: kimlik ve ayrıcalık yönetimi

Saldırı zincirlerinin büyük bölümü teknik bir zafiyetten değil, birikmiş yetkilerden ilerler. Bu kriterde bakılacaklar nettir.

• Yönetici gruplarının üye sayısı ve son gözden geçirme tarihi
• Servis hesaplarının parola yaşı, etkileşimli oturum açma hakkı olup olmadığı
• Ayrıcalıklı erişimin geçici mi kalıcı mı verildiği, oturum kaydının tutulup tutulmadığı
• Ayrılan personel ve sonlanan tedarikçi sözleşmelerinde erişimin kapanma süresi
• Çok faktörlü doğrulamanın uzaktan erişim, yönetim panelleri ve bulut konsollarında istisnasız uygulanması

Bu kriterde düşük puan alan bir kurum, diğer dört kriterde iyi olsa bile yanal hareketi (lateral movement) yavaşlatamaz.

Beşinci kriter: yönetişim ve uyum bağlantısı

Olgunluğun kalıcı olması, güvenliğin bir ekibin gayretine değil kurumsal sürece bağlanmasıyla mümkündür. ISO 27001 kapsamında işletilen bir bilgi güvenliği yönetim sistemi; risk kaydı, düzeltici faaliyet takibi ve yönetim gözden geçirme mekanizmalarıyla bu bağı kurar. KVKK açısından ise veri ihlali bildiriminin gerektirdiği hızda karar üretebilen bir yapı, olgunluğun doğrudan göstergesidir.

Yönetişim kriterinin ikinci bileşeni bütçe ve sahiplik netliğidir. Güvenlik iyileştirmelerinin hangi bütçe kaleminden karşılandığı belirsizse, bulgular teknik ekipte doğru tespit edilse bile uygulama aşamasında askıda kalır.

Burada aranan kanıt sertifika değil işleyiştir: risk kaydındaki maddelerin sahibi var mı, kapatma tarihleri gerçekçi mi, geciken maddeler yönetim gündemine taşınıyor mu. Denetim öncesi toplu güncellenen bir risk kaydı, olgunluk değil uyum performansı gösterir.

Değerlendirmeyi yürütmenin adımları

1. Kapsamı belirleyin: hangi iş birimleri, hangi ortamlar ve hangi kritik süreçler değerlendirmeye girecek.
2. Kanıt listesi hazırlayın; her kriter için hangi ekran görüntüsü, kayıt veya yapılandırma çıktısının isteneceğini önceden yazın.
3. Beyan yerine kanıt toplayın; “yapıyoruz” cevabını sistem çıktısıyla doğrulamadan puanlamayın.
4. Kriter bazında puan verin ve gerekçeyi tek cümleyle kaydedin; toplu tek puan üretmeyin.
5. Bulguları etki ve efor eksenine yerleştirip önceliklendirin; düşük eforlu yüksek etkili maddeler ilk çeyreğe alınır.
6. Her bulgu için sahip, hedef tarih ve doğrulama yöntemi atayın; doğrulaması tanımlanmamış madde kapanmış sayılmaz.
7. Altı ay sonra yalnızca kapatılan maddelerin doğrulanmasına yönelik dar kapsamlı bir tekrar değerlendirme planlayın.

Sık sorulan sorular

Savunma olgunluk seviyesi ne sıklıkla ölçülmeli?

Yılda bir kapsamlı değerlendirme, altı ayda bir ise yalnızca kapatılan bulguların doğrulanmasına yönelik dar bir gözden geçirme çoğu kurum için yeterlidir. Büyük altyapı değişikliklerinden veya şirket birleşmelerinden sonra takvim beklenmeden tekrarlanmalıdır.

Değerlendirmeyi iç ekip yapabilir mi?

Yapabilir, ancak kendi kurduğu sistemi puanlayan ekipte kör nokta oluşması olağandır. İç değerlendirmeyi dışarıdan bağımsız bir gözle dönüşümlü olarak desteklemek, özellikle görünürlük ve ayrıcalık yönetimi kriterlerinde daha gerçekçi sonuç verir.

Sızma testi sonucu olgunluk ölçmeye yeter mi?

Yetmez. Sızma testi belirli sistemlerdeki teknik zafiyetleri 1-2 haftalık bir çalışmayla ortaya koyar; tespit ve müdahale kabiliyetini ölçmek için 2-6 haftalık, uçtan uca saldırı zinciri kuran bir tatbikat gerekir.

Düşük seviyeden başlayan bir kurum nereye odaklanmalı?

Önce görünürlük ve kimlik yönetimi. Log kapsaması olmadan tespit yazılamaz, ayrıcalık birikimi temizlenmeden de tespit edilen olay hızla kontrolden çıkar. Bu iki kriter, sonraki tüm iyileştirmelerin zeminidir.

Sonuç raporu kimlere sunulur?

Rapor çift katmanlı hazırlanır: yönetim için iş etkisi ve karar maddeleri, teknik ekip için kanıt düzeyinde bulgu listesi. Aynı belgenin tek dille yazılması, taraflardan birinin raporu okumamasıyla sonuçlanır.

Sonuç

Olgunluk, satın alınan ürünlerin değil; toplanan verinin sorgulanmasının, yazılan kuralın test edilmesinin, verilen yetkinin geri alınmasının ve alınan kararın prova edilmesinin toplamıdır. Beş kriteri ayrı ayrı puanlayan bir değerlendirme, kurumun hangi alanda gerçekten güçlü, hangi alanda kâğıt üstünde iyi olduğunu ortaya çıkarır. Değerlendirmeyi tek bir puan üretmek için değil, önümüzdeki iki çeyreğin yatırım sırasını belirlemek için yapın.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.