Siber Güvenlik Uzmanı Nasıl Olunur?

Siber güvenlik uzmanı olmak; derinlemesine ağ mimarisi bilgisi, işletim sistemleri hakimiyeti, zafiyet analizi ve sızma testi metodolojileri ile kurumsal risk yönetimini birleştiren kapsamlı bir teknik disiplin gerektirir. Kurumların dijital varlıklarını hedef alan tehditlerin karmaşıklaşması, güvenlik süreçlerini reaktif yaklaşımlardan çıkarıp proaktif, standart odaklı (ISO 27001, OWASP, NIST) ve regülasyon uyumlu (KVKK, GDPR) bir savunma hattına dönüştürmüştür. Bu rehberde, bir siber güvenlik uzmanının üstlendiği kurumsal sorumluluklar, edinilmesi zorunlu temel ve ileri teknik yetkinlikler, uluslararası geçerliliğe sahip sertifikasyon süreçleri ile savunma (Blue Team) ve saldırı (Red Team) eksenindeki kariyer patikaları detaylandırılmaktadır.

Kurumsal Yapılarda Siber Güvenlik Uzmanının Rolü ve Önemi

Kurumsal organizasyonlarda siber güvenlik uzmanı, yalnızca bilişim sistemlerine yönelik siber saldırıları engelleyen teknik bir operatör değil; şirketin iş sürekliliği (business continuity), operasyonel direnci, veri bütünlüğü ve yasal itibarını doğrudan koruyan stratejik bir risk yöneticisidir. Dijital altyapıların bulut sistemlerine, hibrit çalışma modellerine ve dağıtık mimarilere evrilmesiyle birlikte siber savunma hattı, fiziksel çevre güvenliğinden çıkarak kimlik doğrulama, mikro segmentasyon ve veri erişim politikaları ekseninde yeniden şekillenmiştir. Bu doğrultuda uzmanlar, sistem mimarilerini tasarlayan mühendislerle, finansal ve hukuki kararları veren yönetim kurulları arasında teknik bir köprü vazifesi görür.

Modern kurumsal mimarilerde güvenlik operasyonları "varsayılan güvensizlik" (Zero Trust) prensibi üzerine inşa edilir. Bu prensip gereği, iç ve dış ağlardaki her istek, kullanıcı ve cihaz sürekli olarak doğrulanmalı, en az yetki (least privilege) kuralı eksiksiz işletilmeli ve veri sızıntısı önleme (DLP) mekanizmalarıyla kritik kurumsal verilerin dışarı sızması engellenmelidir. Siber güvenlik uzmanı; sistemlerin tasarım aşamasından canlıya alınmasına, günlük log yönetiminden kritik kriz anlarının yönetimine kadar uzanan yaşam döngüsünün her evresinde aktif rol alır.

Tehdit İstihbaratı ve Proaktif Risk Yönetimi

Siber güvenlik mimarisinde reaktif yaklaşımlar—yani bir saldırı oluştuktan sonra savunma mekanizmalarını devreye sokmak—kurumlar için telafisi mümkün olmayan finansal ve itibar kayıplarına yol açar. Proaktif risk yönetimi, potansiyel saldırganların motivasyonlarını, hedeflerini, kullandıkları TTP'leri (Taktikler, Teknikler ve Prosedürler) önceden analiz eden siber tehdit istihbaratı (Cyber Threat Intelligence - CTI) süreçlerine dayanır. Siber güvenlik uzmanı; açık kaynak istihbaratı (OSINT), dark web izleme platformları ve kurumsal istihbarat beslemeleri (STIX/TAXII formatları) aracılığıyla elde edilen verileri işleyerek kurumun maruz kalabileceği tehdit senaryolarını önceden modeller.

Tehdit istihbaratı sayesinde, henüz kurumun altyapısına yönelmemiş olan sıfırıncı gün açıkları (Zero-Day vulnerabilities), kimlik avı (phishing) kampanyaları ve hedefli fidye yazılımı (ransomware) operasyonları tespit edilir. Uzman, MITRE ATT&CK matrisi gibi küresel tehdit modelleme çerçevelerini kullanarak kurumun savunma katmanlarındaki kör noktaları belirler. Böylece güvenlik duvarı (firewall) kuralları, uç nokta tespit ve müdahale (EDR) politikaları ve saldırı tespit sistemleri (IDS/IPS) proaktif olarak güncellenir. Bu yaklaşım, güvenlik operasyonlarının maliyetini düşürürken kurumun maruz kaldığı operasyonel riski minimize eder.

Etik Kurallar ve Yasal Sınırlar Çerçevesinde Çalışmak

Siber güvenlik alanında çalışan bir profesyonelin elindeki yetki ve araçlar, hem savunma hem de saldırı amaçlı kullanılabilecek niteliktedir. Bu nedenle etik kurallar ve yasal mevzuata tam uyum, bu kariyerin en temel yapı taşını oluşturur. Bir bilişim sistemine izinsiz erişim sağlamak, yetkisiz zafiyet taraması yapmak veya veri paketlerini dinlemek, ceza kanunları kapsamında suç teşkil eder (örneğin Türk Ceza Kanunu Madde 243 ve 244). Etik hacker (beyaz şapkalı hacker) olarak adlandırılan uzmanlar, tüm faaliyetlerini ilgili sistem sahibinin yazılı onayını taşıyan angajman kuralları (Rules of Engagement - RoE) belgesi çerçevesinde yürütür.

Kurumsal ortamlarda güvenlik testleri gerçekleştirilirken aşağıdaki yasal ve operasyonel sınırlara titizlikle uyulmalıdır:

• Yazılı Yetkilendirme: Test kapsamı, hedef IP/alan adı listesi ve test saatleri yönetim ve sistem sahipleri tarafından imzalanmış sözleşmelerle netleştirilmelidir.

• Hizmet Kesintisi Riski: Üretim (production) ortamlarında DoS/DDoS benzeri hizmet kesintisine yol açabilecek saldırı vektörlerinden kaçınılmalı veya bu testler kontrollü bakım pencerelerinde uygulanmalıdır.

• Veri Gizliliği: Testler sırasında erişilen kişisel veriler, ticari sırlar veya finansal kayıtlar üçüncü taraflarla paylaşılmamalı, geçici test verileri test bitiminde güvenli şekilde imha edilmelidir.

• Sorumlu İfşa (Responsible Disclosure): Tespit edilen kritik güvenlik açıkları yalnızca yetkili mercilere raporlanmalı; kamuya açık platformlarda paylaşılmadan önce kuruma zafiyeti gidermesi için makul bir yama süresi tanınmalıdır.

---

Siber Güvenlikte Kariyer İçin Gereken Temel Teknik Altyapı

Siber güvenlik, bilişim teknolojileri ekosisteminin en üst uzmanlık katmanlarından biridir. Bir sistemi savunmak veya sistemdeki güvenlik açığını tespit etmek için, öncelikle o sistemin mimari düzeyde nasıl çalıştığını kavramak gerekir. Temel bilişim altyapısı eksik olan bir bireyin güvenlik araçlarını çalıştırması, onu bir uzman değil yalnızca bir "araç kullanıcısı" (script kiddie) seviyesinde bırakır. Gerçek bir analist, bir paket başlığındaki bayrakları okuyabilmeli, bellek yönetimindeki taşma noktalarını anlayabilmeli ve rutin süreçleri betiklerle otomatize edebilmelidir.

Aşağıdaki tablo, siber güvenlik uzmanlığına giriş sürecinde kazanılması gereken temel teknik disiplinleri, bunların kritik odak alanlarını ve sahada kullanılan pratik araçları özetlemektedir:

Ağ Sistemleri, TCP/IP ve Protokollerin İşleyişi

Ağ güvenliği, tüm siber güvenlik domainlerinin çekirdeğidir. İnternet ve kurumsal intranet altyapıları, OSI (Open Systems Interconnection) 7 katmanlı referans modeli ve TCP/IP protokol yığını üzerinde çalışır. Bir siber güvenlik uzmanının, veri paketlerinin fiziksel ortamdan uygulama katmanına kadar nasıl kapsüllendiğini (encapsulation) ve başlık (header) alanlarının nasıl manipüle edilebileceğini derinlemesine bilmesi zorunludur.

Özellikle TCP el sıkışma mekanizması (SYN, SYN-ACK, ACK), bağlantı sonlandırma süreçleri (FIN, RST) ve durum bilgisi tutma mantığı iyi kavranmalıdır. Örneğin, SYN Flood gibi bir Hizmet Dışı Bırakma (DoS) saldırısını analiz eden bir uzman; bağlantı kuyruklarının (backlog queue) nasıl dolduğunu ve SYN Cookie mekanizmasının savunmada nasıl çalıştığını kavramsal olarak bilmelidir. Benzer şekilde, DNS (Domain Name System) hiyerarşisi, DNS tünelleme teknikleri, ARP zehirlenmesi (ARP Spoofing), DHCP açlığı (DHCP Starvation) ve BGP yönlendirme manipülasyonları gibi ağ düzeyindeki saldırı vektörleri, ağ protokollerinin zayıflıklarından türetilmektedir. Wireshark ve tcpdump gibi paket analiz araçları üzerinden ham pcap dosyalarını inceleyerek anormal trafik paternlerini tespit etmek, günlük bir operasyonel reflekstir.

İşletim Sistemleri Mimarisi (Linux ve Windows Kurumsal Sistemleri)

Kurumsal dünyada sunucu ve istemci altyapıları ağırlıklı olarak Linux dağıtımları ve Microsoft Windows ekosistemine emanettir. Güvenlik uzmanının her iki işletim sisteminin de dahili çekirdek (kernel) ve kullanıcı alanı (user space) çalışma prensiplerine hakim olması gerekir:

1. Linux Sistem Yönetimi ve Güvenliği: Linux; dosya izin yapıları (rwx, SUID, SGID, Sticky Bit), süreç (process) yönetimi, systemd servisleri ve bellek yönetimiyle güvenliğin merkezindedir. Uzman; @@CODE0@@, @@CODE1@@, /var/log gibi kritik dizinleri, PAM (Pluggable Authentication Modules) mimarisini, SSH sıkılaştırmasını ve iptables/nftables güvenlik duvarı kurallarını komut satırı arayüzünden (CLI) yönetebilmelidir. Kurumsal sistemlerde SELinux ve AppArmor gibi zorunlu erişim denetimi (MAC) mekanizmalarının yapılandırılması güvenlik sıkılaştırmasının (hardening) temelidir.

2. Windows ve Active Directory (AD) Mimarisi: Şirketlerin kurumsal kimlik yönetimi çoğunlukla Windows Active Directory üzerine kuruludur. Uzman; Kerberos kimlik doğrulama biletlerinin (TGT, TGS) işleyişini, NTLM hash yapılarını, Grup İlkesi Nesnelerini (GPO), Erişim Denetim Listelerini (ACL/DACL) ve Registry hiyerarşisini bilmelidir. Zira kurumsal ağlara yönelik saldırıların büyük kısmı Pass-the-Hash, Golden Ticket veya Kerberoasting gibi Active Directory tabanlı kimlik manipülasyonlarını hedefler.

Kodlama ve Otomasyon Dilleri (Python, PowerShell, Bash)

Siber güvenlik uzmanının bir yazılım geliştirici kadar mimari düzeyde kod yazması beklenmese de, güvenlik süreçlerini otomatize edecek, log dosyalarını filtreleyecek ve güvenlik araçlarını birbiriyle konuşturacak düzeyde betik dillerine hakim olması şarttır. Manuel işlemler hem zaman kaybına yol açar hem de insan hatası riskini artırır.

[Veri Kaynakları: SIEM / EDR / Firewall Logları]
                     │
                     ▼
[Otomasyon Katmanı: Python / Bash / PowerShell]
 ├── Log Ayrıştırma (Regex ile IP, Hash, Domain çıkarma)
 ├── Tehdit İstihbaratı API Sorgulaması (VirusTotal / AlienVault)
 └── Güvenlik Duvarında Otomatik IP Engelleme / EDR İzolasyonu
                     │
                     ▼
[Aksiyon: Olay Müdahale ve Raporlama Döngüsü]

• Python: Siber güvenlikte sektör standardı dildir. @@CODE0@@ kütüphanesi ile özel ağ paketleri oluşturulabilir, @@CODE1@@ ile REST API'ler üzerinden tehdit istihbaratı verileri çekilebilir, @@CODE2@@ ile web sayfaları taranabilir ve @@CODE3@@ programlama ile port tarayıcıları geliştirilebilir.

• PowerShell: Windows tabanlı kurumsal ortamlarda tehdit avcılığı (threat hunting), adli bilişim (forensics) ve sistem otomasyonu için vazgeçilmezdir. PowerShell betikleriyle Active Directory içindeki yetkisiz kullanıcı değişiklikleri, açık paylaşımlar veya anormal süreçler anlık olarak raporlanabilir.

• Bash: Linux/Unix sunucularda hızlı log analizi (@@CODE0@@, @@CODE1@@, @@CODE2@@, @@CODE3@@), cron görevleriyle yedekleme ve güvenlik denetimlerinin otomatikleştirilmesi için temel gerekliliktir.

---

İleri Düzey Yetkinlikler: Zafiyet Analizi ve Sızma Testleri (Pentest)

Zafiyet analizi (Vulnerability Assessment) ve sızma testi (Penetration Testing / Pentest), birbirini tamamlayan ancak kapsam ve amaç bakımından ayrışan iki kritik güvenlik disiplinidir. Zafiyet analizi; kurumsal sistemlerdeki bilinen güvenlik açıklarını Nessus, Qualys veya OpenVAS gibi otomatik tarama araçlarıyla tespit edip kataloglama sürecidir. Sızma testi ise, tespit edilen bu açıkların gerçek bir saldırgan perspektifiyle istismar edilerek (exploit) sistemin ne derece ele geçirilebileceğini, şirket verilerine ne ölçüde ulaşılabileceğini ve savunma mekanizmalarının bu durumu fark edip edemeyeceğini ortaya koyan manuel ve metodolojik bir güvenlik denetimidir.

Sızma testleri; kara kutu (Black Box - saldırganın sistem hakkında hiçbir ön bilgiye sahip olmadığı), beyaz kutu (White Box - kaynak kodlar, mimari şemalar ve ağ haritalarının paylaşıldığı) ve gri kutu (Gray Box - sınırlı kullanıcı yetkisiyle yapılan) test modelleri olarak üçe ayrılır. Kurumlar, ihtiyaçlarına ve bütçelerine göre bu yaklaşımlardan birini veya hibrit modelleri tercih eder.

Kurumsal Ağlarda Etik Sızma Testi Metodolojileri

Başarılı bir sızma testi uzmanı, rastgele araçlar çalıştıran bir yaklaşımdan ziyade, uluslararası alanda kabul görmüş çerçevelere sadık kalarak çalışır. Bu çerçevelerin başında PTES (Penetration Testing Execution Standard), NIST SP 800-115 ve OSSTMM (Open Source Security Testing Methodology Manual) gelir.

Sızma testi operasyonlarında sektörde kabul görmüş araç setleri kullanılır. Web uygulama güvenliğinde Burp Suite Professional ve OWASP ZAP; ağ taramalarında Nmap ve Masscan; kimlik doğrulama testlerinde Hydra ve Hashcat; exploit geliştirme ve çalıştırmada Metasploit Framework; Active Directory denetimlerinde ise BloodHound, Impacket ve Mimikatz gibi araçlar standarttır.

Sistem Açıklarını Tespit Etme ve Yamalama Süreçleri

Zafiyet tespit edildikten sonra en kritik aşama, bu açığın kurum üzerindeki etki ve sömürülebilirlik olasılığını hesaplamaktır. Bu noktada uluslararası CVSS (Common Vulnerability Scoring System) standardı devreye girer. CVSS skoru 0.0 ile 10.0 arasında değişir ve zafiyetin ağdan tetiklenebilirliği, kullanıcı etkileşimi gereksinimi, gizlilik (Confidentiality), bütünlük (Integrity) ve erişilebilirlik (Availability) üzerindeki etkisine göre ağırlıklandırılır:

• Kritik (CVSS 9.0 - 10.0): Kullanıcı etkileşimi gerektirmeyen, doğrudan uzaktan kod çalıştırma (RCE) imkanı tanıyan açıklar. Kurumsal SLA'ler gereğince genellikle 24-72 saat içinde yamalanması veya geçici hafifletici önlemlerle (mitigation) izole edilmesi gerekir.

• Yüksek (CVSS 7.0 - 8.9): Ayrıcalık yükseltme sağlayan veya hassas kurumsal verileri sızdıran açıklar.

• Orta (CVSS 4.0 - 6.9): Belirli kullanıcı yetkileri veya özel yapılandırmalar gerektiren zafiyetler.

• Düşük (CVSS 0.1 - 3.9): Bilgi ifşası (information disclosure) sağlayan ancak doğrudan sistem kontrolü vermeyen bulgular.

Siber güvenlik uzmanı, yalnızca açığı bulup raporlamakla kalmaz; sistem yöneticileri (SysAdmin) ve yazılım geliştiricilerle koordineli olarak yama yönetimi (Patch Management) sürecini takip eder. Yamalama sonrası zafiyetin gerçekten kapandığını ve sistemin işlevselliğinin bozulmadığını doğrulamak adına tekrar testi (Retest) gerçekleştirir.

---

Global Güvenlik Standartları ve Regülasyonlara Uyum

Teknik araçları ustalıkla kullanmak siber güvenlik uzmanlığının yalnızca bir boyutudur. Kurumsal düzeyde görev yapan bir uzmanın, geliştirdiği veya koruduğu altyapıların uluslararası kabul görmüş çerçevelerle (frameworks) ve yasal mevzuatlarla tam uyumlu olmasını sağlaması gerekir. Güvenlik standartları, organizasyonların güvenlik açıklarını kapatırken ortak bir dil konuşmasını, ölçülebilir denetimler yapabilmesini ve üçüncü taraf risklerini yönetebilmesini sağlar.

Yasal regülasyonlar (KVKK, GDPR, HIPAA, PCI-DSS vb.) ise güvenlik önlemlerini bir tercih olmaktan çıkarıp, ihlali durumunda şirket cirolarına oranlanan ağır idari para cezaları ve operasyonel durdurma yaptırımları getiren yasal zorunluluklara dönüştürmüştür.

OWASP Kriterleri Çerçevesinde Uygulama Güvenliği

Açık Web Uygulaması Güvenlik Projesi (OWASP - Open Web Application Security Project), web ve mobil uygulamalarda en sık karşılaşılan kritik güvenlik risklerini düzenli olarak derleyen ve geliştiricilere güvenli kodlama rehberleri sunan global bir otoritedir. Siber güvenlik uzmanı, gerek kaynak kod analizi (SAST), gerek dinamik uygulama güvenliği testleri (DAST) yaparken OWASP standartlarını baz alır.

OWASP Top 10 listesinde yer alan başlıca zafiyet sınıfları şunlardır:

• Bozuk Erişim Kontrolü (Broken Access Control): Kullanıcıların yetkileri dışındaki nesnelere (örneğin diğer kullanıcıların faturalarına) erişebilmesi (IDOR açıkları).

• Kriptografik Hatalar (Cryptographic Failures): Hassas verilerin (parolalar, kredi kartları, sağlık verileri) zayıf algoritmalarla (MD5, SHA1) şifrelenmesi veya açık metin (plaintext) olarak iletilmesi.

• Enjeksiyon Saldırıları (Injection): SQL Injection, Komut Enjeksiyonu (Command Injection) ve LDAP Enjeksiyonu gibi kullanıcı girdilerinin filtrelenmeden yorumlayıcıya iletilmesi sonucu oluşan kritik açıklar.

• Güvensiz Tasarım (Insecure Design): Güvenlik kontrollerinin yazılım geliştirme yaşam döngüsünün (SDLC) başında mimariye dahil edilmemesinden kaynaklanan yapısal zayıflıklar.

• Güvenlik Yanlış Yapılandırmaları (Security Misconfiguration): Varsayılan şifrelerin bırakılması, gereksiz servislerin açık tutulması veya ayrıntılı hata mesajlarının (stack trace) son kullanıcıya gösterilmesi.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Prensipleri

ISO/IEC 27001, bir kurumun bilgi varlıklarını korumak amacıyla kurduğu Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) gereksinimlerini belirleyen uluslararası standarttır. Siber güvenlik uzmanı, ISO 27001 uyum süreçlerinde risk değerlendirmesi yapmaktan, uygulanabilirlik bildirgesi (SoA - Statement of Applicability) hazırlamaya ve Ek-A kontrollerinin uygulanmasını denetlemeye kadar aktif rol alır.

ISO 27001 mimarisi Bilgi Güvenliğinin CIA Üçlüsü (Confidentiality, Integrity, Availability) üzerine kuruludur:

1. Gizlilik (Confidentiality): Bilginin yalnızca yetkili erişime sahip kişilerce görüntülenebilmesi.

2. Bütünlük (Integrity): Bilginin yetkisiz veya kazara değiştirilmesinin engellenmesi ve doğruluğunun korunması.

3. Erişilebilirlik (Availability): Bilgi ve sistemlerin yetkili kullanıcılar ihtiyaç duyduğunda kesintisiz şekilde erişilebilir olması.

Uzman, ISO 27001:2022 revizyonuyla gelen Tehdit İstihbaratı (A.5.7), Bulut Hizmetlerinde Bilgi Güvenliği (A.5.23) ve Güvenli Kodlama (A.8.28) gibi yeni kontrol maddelerini kurumsal politikalara entegre eder.

KVKK ve GDPR Süreçlerinde Siber Güvenliğin Hukuki Boyutu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), kişisel verilerin işlenmesi, saklanması ve aktarılmasında katı teknik ve idari tedbirler zorunlu kılmaktadır. Siber güvenlik uzmanı, hukuk departmanı (DPO - Veri Koruma Görevlisi) ile birlikte çalışarak aşağıdaki teknik tedbirlerin kurumsal altyapıda işletilmesini sağlar:

• Erişim Loglarının Tutulması ve Zaman Damgası: 5651 sayılı kanun ve KVKK gereği, kritik verilere erişen kullanıcıların logları değiştirilemez (WORM depolama veya blokzincir tabanlı zaman damgasıyla) şekilde saklanmalıdır.

• Veri Maskeleme ve Pseudonymization: Test ve geliştirme ortamlarında gerçek kişisel veriler yerine maskelenmiş (anonymized) verilerin kullanılması.

• Uçtan Uca Şifreleme (Encryption at Rest and in Transit): Veritabanlarında saklanan kişisel verilerin AES-256 gibi güçlü algoritmalarla şifrelenmesi; iletim halindeki verilerin TLS 1.3 protokolü ile korunması.

• Veri İhlali Bildirim Süreçleri: Olası bir veri sızıntısı durumunda GDPR kapsamında 72 saat, KVKK kapsamında en geç 72 saat içinde ilgili otoriteye (KVKK Kurulu / DPA) ve etkilenen kişilere yapılacak teknik bildirim raporunun hazırlanması.

---

Sektörde Geçerliliği Olan Uluslararası Sertifikasyonlar

Siber güvenlik sektöründe sertifikasyonlar, bir uzmanın teknik yeterliliğini, metodolojik disiplinini ve küresel standartlara hakimiyetini ispatlayan en somut belgelerdir. İşe alım süreçlerinde insan kaynakları ve teknik yöneticiler, adayların bilgi seviyesini ölçmek için bu sertifikaları filtreleme kriteri olarak kullanır. Ancak sertifikalar iki temel kategoriye ayrılır: teorik/çoktan seçmeli sınavlara dayalı sertifikalar ve 24-48 saatlik uygulamalı (hands-on) laboratuvar sınavlarına dayalı sertifikalar.

Aşağıdaki tablo, kariyer basamaklarına göre en çok talep gören global sertifikaları, odak alanlarını ve sınav formatlarını özetlemektedir:

Temel Düzey: CompTIA Security+ ve CEH

Sektöre yeni adım atan adaylar için ilk basamak, teorik altyapıyı ve küresel terminolojiyi oturtmaktır:

• CompTIA Security+ (SY0-701): Uluslararası geçerliliği olan, tarafsız (vendor-neutral) bir başlangıç sertifikasıdır. ISO 17024 standardına uygundur ve ABD Savunma Bakanlığı (DoD 8570) direktifleri tarafından tanınır. Adaya kriptografi temelleri, tehdit aktörleri, kimlik ve erişim yönetimi, uç nokta güvenliği ve kurumsal uyumluluk konularında kapsamlı bir vizyon kazandırır.

• CEH (Certified Ethical Hacker): Sektörde bilinirliği en yüksek sertifikalardan biridir. Saldırı metodolojilerinin aşamalarını (Keşif, Tarama, Erişim Kazanma, Erişimi Koruma, İzleri Gizleme) öğretir. Çoktan seçmeli teorik sınavının yanı sıra, adayın pratik becerilerini ölçen 6 saatlik CEH Practical sınavı ile desteklendiğinde kurumsal iş başvurularında ciddi bir avantaj sağlar.

İleri Kurumsal Düzey: CISSP, CISM ve OSCP

Kariyerinde belirli bir tecrübe seviyesine (genellikle 3-5 yıl üzeri) ulaşmış uzmanlar için teknik derinliği veya yönetsel yetkinliği tescilleyen üst düzey sertifikalar gereklidir:

• OSCP (OffSec Certified Professional): Sızma testi ve ofansif güvenlik alanında sektörün "altın standardı" olarak kabul edilir. Sınav, adayın 24 saat boyunca izole bir ağda bulunan birden fazla hedef makineyi ve bir Active Directory ortamını ele geçirmesini ve ardından detaylı bir teknik rapor hazırlamasını gerektirir. Sadece araç kullanmayı değil, manuel analiz ve metodolojik düşünme becerisini ölçer.

• CISSP (Certified Information Systems Security Professional): Bilgi güvenliği liderleri, güvenlik mimarları ve CISO adayları için en prestijli akreditasyondur. Sınava girmek için (ISC)² tarafından belirlenen 8 güvenlik alanından (Domain) en az ikisinde 5 yıllık belgelenebilir profesyonel iş tecrübesi şartı aranır. Kurumsal mimari, yazılım geliştirme güvenliği, felaket kurtarma ve yasal uyumluluk konularını kapsar.

• CISM (Certified Information Security Manager): ISACA tarafından sunulan bu sertifika, güvenliğin teknik operasyonundan ziyade yönetsel, stratejik ve kurumsal yönetişim (governance) boyutuna odaklanır.

---

Uzmanlık Alanını Seçmek: Kariyer Yollarının Ayrımı

Siber güvenlik sektörü, tek bir uzman profilinin tüm alanları kapsayamayacağı kadar geniş ve derin bir çalışma alanıdır. Temel teknik altyapıyı kazandıktan sonra profesyonellerin kendi ilgi ve yeteneklerine göre bir uzmanlık dalına (domain) odaklanması gerekir. Sektördeki roller temel olarak ofansif güvenlik (saldırı), defansif güvenlik (savunma), güvenlik denetimi/uyumluluk ve bulut güvenliği ekseninde ayrışır.

Red Team (Saldırı) ve Blue Team (Savunma) Kavramları

Kurumsal güvenlik tatbikatları ve operasyonları genellikle iki ana ekibin çatışması ve iş birliği (Purple Team) üzerinden modellenir:

┌─────────────────────────────────────────────────────────────┐
│                 PURPLE TEAM İŞ BİRLİĞİ                      │
├──────────────────────────────┬──────────────────────────────┤
│    RED TEAM (SALDIRI)        │     BLUE TEAM (SAVUNMA)      │
├──────────────────────────────┼──────────────────────────────┤
│ • Hedef Odaklı Sızma Testi   │ • SIEM Log Analizi ve İzleme │
│ • Sosyal Mühendislik / Oltalama │ • Tehdit Avcılığı (Threat Hunting) │
│ • AD Hak Yükseltme & Sıçrama │ • EDR / XDR Kural Yapılandırma │
│ • Güvenlik Kontrollerini Aşma │ • Olay Müdahalesi (Incident Response) │
└──────────────────────────────┴──────────────────────────────┘

• Red Team (Ofansif Güvenlik): Kurumun güvenlik mekanizmalarını, çalışanlarının farkındalık düzeyini ve fiziksel güvenlik katmanlarını test etmek üzere yetkilendirilmiş saldırı ekibidir. Standart sızma testinden farklı olarak, Red Team operasyonları belirli bir süreye yayılır, gürültü çıkarmadan (stealth) hedef sistemi ele geçirmeyi ve Blue Team'in tespit kabiliyetini ölçmeyi amaçlar. Sosyal mühendislik, fiziksel sızma ve özel zararlı yazılım (malware) geliştirme bu ekibin yetkinliklerindendir.

• Blue Team (Defansif Güvenlik): Kurumsal sistemleri 7/24 korumak, saldırıları gerçek zamanlı tespit etmek, zafiyetleri kapatmak ve bir siber olay meydana geldiğinde hasarı sınırlandırmakla görevli savunma ekibidir. Güvenlik duvarları, EDR sistemleri, e-posta güvenlik ağ geçitleri ve SIEM araçlarının yönetimi bu ekibin sorumluluğundadır.

SOC (Güvenlik Operasyon Merkezi) Analisti Olmak

Siber güvenlik kariyerine adım atan birçok profesyonel için ilk kurumsal durak SOC (Security Operations Center) analistliğidir. SOC analistleri, kurumsal ağlardan toplanan milyonlarca log kaydını izleyerek potansiyel siber saldırı göstergelerini (IoC - Indicator of Compromise) ve anormal davranışları (IoA - Indicator of Attack) tespit eder.

SOC hiyerarşisi genellikle üç seviyeden oluşur:

1. Tier 1 (L1 Analist - Triage): SIEM (Splunk, IBM QRadar, Microsoft Sentinel) alarmlarını 7/24 izler, yanlış alarmları (False Positive) eler, gerçek tehditleri doğrular ve temel olay müdahale adımlarını başlatarak bileti L2 seviyesine iletir.

2. Tier 2 (L2 Analist - Incident Response): Doğrulanan siber olayın kök nedenini araştırır. Enfekte olan makinelerin ağdan izole edilmesi, zararlı yazılımın sistem üzerindeki kalıcılık (persistence) mekanizmalarının temizlenmesi ve olay müdahale (Incident Response) adımlarının yürütülmesinden sorumludur.

3. Tier 3 (L3 Analist / Threat Hunter): Sistemlerde henüz alarm üretmemiş derin tehditleri arar (Threat Hunting), gelişmiş zararlı yazılım analizi (Malware Analysis) ve tersine mühendislik (Reverse Engineering) yapar, SIEM korelasyon kurallarını optimize eder.

---

Kullanıcıların Sıkça Sorduğu Sorular (Siber Güvenlik Kariyeri)

Siber güvenlik alanına geçiş yapmak isteyen profesyoneller ve öğrenciler, eğitim gereksinimleri, yazılım bilgisi ihtiyacı ve sektörün sunduğu maddi/operasyonel imkanlar konusunda çeşitli sorularla karşılaşmaktadır. Bu başlık altında, kariyer planlamasında en sık merak edilen üç ana konu kurumsal gerçekler ışığında incelenmektedir.

Siber güvenlik uzmanı olmak için hangi üniversite bölümü veya mühendislik okunmalıdır?

Siber güvenlik sektöründe en çok tercih edilen akademik disiplinler; Bilgisayar Mühendisliği, Yazılım Mühendisliği, Bilişim Sistemleri Mühendisliği, Adli Bilişim Mühendisliği ve son yıllarda doğrudan açılan Siber Güvenlik Mühendisliği lisans programlarıdır. Bu bölümler; algoritma mantığı, veri yapıları, bilgisayar mimarisi ve matematiksel kriptografi temellerini akademik düzeyde kazandırması açısından büyük bir avantaj sağlar.

Bununla birlikte, siber güvenlik sektörü pratik yetkinliğin diplomadan daha fazla önceliklendirilebildiği dinamik bir alandır. Elektrik-Elektronik, Endüstri Mühendisliği, Yönetim Bilişim Sistemleri (YBS), Matematik ve Fizik gibi sayısal alanlardan mezun olup; ağ altyapısını, sistem mimarilerini ve siber güvenlik araçlarını laboratuvar ortamlarında (TryHackMe, HackTheBox, Blue Team Labs Online) kendi kendine öğrenerek sektöre başarıyla entegre olan çok sayıda uzman bulunmaktadır. Kurumsal şirketler ve savunma sanayii kuruluşları lisans diplomasını bir ön filtre olarak kullanabilse de, teknik mülakatlarda adayın problem çözme yeteneği, portföyü (GitHub projeleri, zafiyet bildirimleri, CTF başarıları) ve sertifikaları belirleyici unsurdur.

Siber güvenlik uzmanı olmak için ileri düzey yazılım bilmek şart mıdır?

Siber güvenlikte başarılı olmak için bir kıdemli yazılım mühendisi kadar karmaşık kurumsal uygulamalar geliştirmek zorunlu değildir; ancak hiç kod bilmeden üst düzey bir siber güvenlik uzmanı olmak mümkün değildir. İhtiyaç duyulan yazılım seviyesi, seçilen uzmanlık alanına göre doğrudan değişir:

• SOC Analisti ve Güvenlik Yöneticileri: İleri düzey kodlama gerekmez. Temel Python, PowerShell veya Bash bilgisiyle log filtreleme, regex sorguları yazma ve SIEM alarmlarını korele etme yeteneği yeterlidir.

• Web / Mobil Sızma Testi Uzmanları: Orta ve ileri düzey web teknolojileri bilgisi (HTML, JavaScript, PHP, Java, C#, SQL) şarttır. Bir SQL Injection veya Cross-Site Scripting (XSS) açığını anlamak ve exploit etmek, arka plandaki kaynak kodun mantığını kavramayı gerektirir.

• Tersine Mühendislik ve Zararlı Yazılım Analistleri: İleri düzey C, C++ ve Assembly (x86/x64) bilgisi zorunludur. İşletim sistemi bellek mimarisini, register yapılarını ve derlenmiş ikili (binary) dosyaları analiz edebilmek bu seviyede kodlama hakimiyeti gerektirir.

Siber güvenlik uzmanlarının kurumsal sektördeki maaş beklentileri ve iş imkanları nelerdir?

Küresel çapta yaşanan nitelikli siber güvenlik uzmanı açığı (ISC2 Siber Güvenlik İş Gücü Çalışması verilerine göre dünya genelinde milyonlarca açık pozisyon bulunmaktadır), bu alandaki uzmanların kurumsal pazardaki değerini ve talep edilebilirliğini artırmaktadır. Bankacılık, finans, e-ticaret, telekomünikasyon, savunma sanayii, enerji altyapıları ve uluslararası denetim/danışmanlık firmaları sürekli olarak yetkin güvenlik personeli istihdam etmektedir.

Maaş skalaları; uzmanın deneyim yılına, sahip olduğu sertifikalara (OSCP, CISSP vb.), çalıştığı sektöre ve coğrafi konuma (Türkiye pazarı, Körfez bölgesi, Avrupa veya ABD uzaktan çalışma modelleri) göre geniş bir aralıkta seyreder:

• Giriş Seviyesi (Junior SOC Analisti / Junior Pentester): Standart yazılım geliştirici giriş maaşlarıyla paralel veya bir miktar üzerinde başlar.

• Orta Seviye (Mid-Level Security Specialist / Pentester): 3-5 yıl deneyim ve kritik sertifikalarla birlikte sektör ortalamasının belirgin şekilde üzerine çıkar.

• Kıdemli ve Yönetici Seviyesi (Senior Architect / Red Team Lead / CISO): Kurumun tüm bilgi güvenliği sorumluluğunu üstlenen, uluslararası projeler yöneten veya yurt dışına uzaktan danışmanlık veren profesyoneller, bilişim sektörünün en üst gelir diliminde yer alır.

---