Siber Olay Müdahale Planı Nasıl Oluşturulur?

Siber olay müdahale planı (IRP), siber saldırıları tespit etmek ve yönetmek için NIST ve ISO 27001 standartlarında hazırlanan stratejik bir süreçtir.

Kurumsal bilgi varlıklarına yönelik tehditler gelişirken, reaktif savunma mekanizmaları tek başına yeterli koruma sağlayamaz. Bir siber güvenlik olayının finansal, operasyonel ve itibar kaybına dönüşmesini engellemek için proaktif ve kuralcı bir yol haritası şarttır. "Siber Olay Müdahale Planı Nasıl Oluşturulur?" sorusu; teknik ekiplerden yönetim kuruluna kadar tüm paydaşların görev tanımlarını, yasal bildirim sürelerini ve teknik sınırlandırma adımlarını belirleyen stratejik bir sürecin inşasını ifade eder. Bu rehber; ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) ve NIST SP 800-61 çerçevelerine tam uyumlu bir müdahale mimarisinin uçtan uca nasıl kurulacağını, Siber Olaylara Müdahale Ekibi (SOME) yapılanmasını ve kriz anı operasyonel yönetim adımlarını incelemektedir.

Siber Olay Müdahale Planı (IRP) Nedir ve Neden Kritik Bir Zorunluluktur?

Siber Olay Müdahale Planı (Incident Response Plan - IRP), bir kuruluşun bilgi sistemlerine, verilerine veya operasyonlarına yönelik yetkisiz erişim, fidye yazılımı (ransomware), hizmet kesintisi (DDoS) veya veri sızıntısı gibi güvenlik olaylarına karşı izleyeceği dokümante edilmiş prosedürler bütünüdür. IRP; bir saldırının tespit anından başlayarak sistemlerin güvenli şekilde normal çalışma durumuna döndürülmesine ve yasal otoritelerle iletişime geçilmesine kadar her adımı standartlaştırır.

Modern tehdit ortamında güvenlik ihlallerinin engellenmesi kadar, ihlal anında "bekleme süresi" (Dwell Time) ile "Ortalama Tespit Süresi" (MTTD) ve "Ortalama Müdahale Süresi" (MTTR) metriklerinin minimize edilmesi esastır. Sektörel veriler, saldırganların bir ağa sızdıktan sonra tespit edilene kadar ortalama 15 ila 45 gün boyunca sistemlerde gizlendiğini göstermektedir. Yapılandırılmış bir IRP bulunmayan organizasyonlarda bu süre uzamakta, veri kaybı ve fidye taleplerinin toplam maliyeti katlanarak artmaktadır.

Plan, sadece IT ekiplerinin reaktif müdahalelerini değil; iş sürekliliğini, kurumsal itibar yönetimini ve yasal mevzuat uyumluluğunu doğrudan etkileyen bir risk azaltma aracıdır. Dokümante edilmemiş veya test edilmemiş bir müdahale süreci, saldırı anında karar alıcıların yetki karmaşası yaşamasına, yanlış sistemlerin izole edilerek operasyonel kesintilerin büyümesine ve adli bilişim (forensics) delillerinin bozulmasına yol açar.

Siber Güvenlikte Proaktif Yaklaşım: Savunma ile Yönetim Arasındaki Fark

Geleneksel siber güvenlik yaklaşımları ağırlıklı olarak çevre güvenliğine (Firewall, IDS/IPS, Antivirüs) ve yetkisiz erişimlerin engellenmesine odaklanır. Ancak "Sıfır Güven" (Zero Trust) mimarisi ve modern tehdit aktörlerinin teknikleri, ihlalin kaçınılmaz olduğu varsayımı üzerine kuruludur. Savunma katmanı saldırının gerçekleşmesini zorlaştırırken; olay müdahalesi (Incident Response), ihlal gerçekleştiğinde hasarın operasyonel derinliğini sınırlandırır.

Proaktif bir IRP; Tehdit İstihbaratı (Threat Intelligence), Güvenlik Bilgileri ve Olay Yönetimi (SIEM) korelasyonları ve Uç Nokta Tehdit Algılama ve Yanıt (EDR) telemetrilerini birleştirerek potansiyel anormal davranışları daha yatay yayılım (lateral movement) aşamasındayken durdurmayı amaçlar. Bu yapı, saldırı anındaki paniği ortadan kaldırarak operasyonel kontrolü kurumsal kurallarla güvenceye alır.

IRP, İş Sürekliliği Planı (BCP) ve Felaket Kurtarma Planı (DRP) Arasındaki Farklar

Kurumsal kriz yönetiminde sıkça birbirinin yerine kullanılan IRP, BCP (Business Continuity Plan) ve DRP (Disaster Recovery Plan) kavramları, operasyonel kapsam ve müdahale hedefleri açısından birbirinden kesin sınırlarla ayrılır.

Bu üç plan birbirinden bağımsız değil, iç içe çalışan modüler süreçlerdir. Büyük ölçekli bir fidye yazılımı saldırısında IRP devreye girerek saldırının kök nedenini izole eder; DRP yedeklerden temiz sistem imajlarını ayağa kaldırır; BCP ise bu süreç boyunca müşteri hizmetleri, finans ve üretim hatlarının alternatif kanallardan yürümesini sağlar.

Uluslararası Standartlar Işığında Olay Müdahalesi

Kurumsal bir IRP oluşturulurken şablon belgeler yerine kanıtlanmış, global kabul görmüş güvenlik çerçeveleri (frameworks) referans alınmalıdır. Uluslararası standartlar; olayların sınıflandırılması, rol dağılımı, teknik adımlar ve raporlama gereksinimleri için metodolojik bir zemin sunar.

NIST Çerçevesi (SP 800-61 Rev. 2 ve NIST CSF 2.0)

Amerika Birleşik Devletleri Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından yayımlanan NIST SP 800-61 Rev. 2 (Computer Security Incident Handling Guide), dünyada en yaygın kullanılan olay müdahale kılavuzudur. NIST, olay yönetimini doğrusal bir çizgi yerine döngüsel bir yaşam döngüsü olarak ele alır:

1. Hazırlık (Preparation): Altyapı güvenliğinin sağlanması, araçların konuşlandırılması ve ekibin eğitilmesi.

2. Tespit ve Analiz (Detection & Analysis): Güvenlik uyarılarının incelenmesi, olayın kapsamının ve saldırı vektörünün doğrulanması.

3. Sınırlandırma, Ortadan Kaldırma ve Kurtarma (Containment, Eradication & Recovery): Saldırının yayılmasının durdurulması, tehdit unsurlarının temizlenmesi ve sistemlerin devreye alınması.

4. Olay Sonrası Faaliyetler (Post-Incident Activity): Süreç analizi, öğrenilen dersler ve planın güncellenmesi.

NIST Cybersecurity Framework (CSF) 2.0 ise bu döngüyü kurumsal düzeyde Govern (Yönetişim), Identify (Tanımlama), Protect (Koruma), Detect (Tespit Etme), Respond (Müdahale Etme) ve Recover (Kurtarma) fonksiyonları altında genişleterek üst yönetim seviyesine taşımıştır.

ISO/IEC 27001 ve ISO/IEC 27035 Standartları

ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) standardı, Ek-A kontrolleri (özellikle A.5.24 - A.5.28 maddeleri) kapsamında kuruluşların bilgi güvenliği olaylarını yönetmek için dokümante edilmiş süreçler oluşturmasını zorunlu kılar.

ISO/IEC 27035 ise bilgi güvenliği olay yönetiminin teknik detaylarını belirler:

• Olay Planlaması ve Hazırlık: Olay yönetimi politikasının belirlenmesi ve SOME yapısının kurulması.

• Tespit ve Raporlama: Olayların yetkili personele gecikmeksizin aktarılması.

• Değerlendirme ve Karar: Olayın ciddiyet derecesinin (Severity Level) sınıflandırılması.

• Müdahale: Doğrudan teknik müdahale ve adli bilişim incelemelerinin yürütülmesi.

• Öğrenilen Dersler: Güvenlik kontrollerinin ve risk değerlendirme matrislerinin güncellenmesi.

Kuruluşlar, IRP yapılarını hem NIST SP 800-61 döngüsünü teknik operasyon için benimseyerek hem de ISO 27035 süreçlerini kurumsal yönetişimle birleştirerek hibrit bir modelle oluşturmalıdır.

Adım Adım Siber Olay Müdahale Planı Nasıl Oluşturulur?

Etkili bir IRP oluşturmak; politikaların hazırlanmasından teknik playbook'ların (müdahale senaryoları) yazılmasına kadar katı bir sıralama gerektirir. Her aşamanın girdileri, çıktıları ve karar noktaları önceden netleştirilmelidir.

1. Hazırlık (Preparation): Kriz Öncesi Temellerin Atılması

Hazırlık aşaması, olay müdahalesinin en kritik fazıdır. Olay anında ne yapılacağını tartışmak operasyonel felakete yol açar; tüm yetkiler ve prosedürler bu aşamada belirlenmelidir.

• Varlık Envanteri ve Risk Değerlendirmesi: Kritik sunucular, veri tabanları, API uç noktaları ve üçüncü parti entegrasyonlar sınıflandırılmalıdır. Hangi verinin nerede tutulduğu bilinmeden hasar tespiti yapılamaz.

• Log Yönetimi ve Merkezi İzleme: SIEM (Security Information and Event Management) platformları üzerinden merkezi log toplama mimarisi kurulmalıdır. Logların bütünlüğü, RFC 3164/5424 standartlarına uygun olarak zaman damgalı ve değiştirilemez (WORM - Write Once Read Many) depolama alanlarında tutulmalıdır.

• Acil Durum Araç Seti (Jump Bag): Adli bilişim yazılımları, izole edilmiş harici diskler, temiz işletim sistemi imajları, ağ dinleme araçları (Wireshark vb.) ve güvenli bant dışı iletişim (Out-of-Band Communication) kanalları hazır bulundurulmalıdır.

2. Tespit ve Analiz (Detection & Analysis): İhlalin Hızla Saptanması

Güvenlik altyapısından gelen binlerce alarm arasından gerçek bir güvenlik olayının ayrıştırılması (triage) bu aşamada gerçekleştirilir.

• Olay Önceliklendirme ve Sınıflandırma: Güvenlik uyarıları etki derecesine göre derecelendirilir:

• Seviye 1 (Düşük): Tekil kullanıcı hesabı parola denemeleri, izole malware tespiti.

• Seviye 2 (Orta): Çoklu sistemde zararlı aktivite, iç ağ tarama girişimleri.

• Seviye 3 (Kritik): Etki Alanı Yöneticisi (Domain Admin) parolalarının ele geçirilmesi, veri sızdırma (Data Exfiltration) veya fidye yazılımı yayılımı.

• Saldırı Vektörünün Belirlenmesi: Saldırganın içeriye oltalama (phishing), sıfırıncı gün açığı (zero-day), tedarik zinciri zafiyeti veya hatalı yapılandırılmış bulut depolama alanı üzerinden mi sızdığı MITRE ATT&CK matrisi referans alınarak eşleştirilir.

• Adli Bilişim (Forensics) Başlatma: Bellek (RAM) dökümleri, ağ pürüzleri ve disk imajları delil bütünlüğü (Chain of Custody) korunarak kopyalanır.

3. Sınırlandırma (Containment): Hasarın Büyümesinin Engellenmesi

Saldırının tespiti yapıldıktan sonra sistemlerin tamamen kapatılması her zaman doğru strateji değildir; zira bu durum uçucu bellekteki (RAM) saldırgan izlerinin silinmesine neden olabilir.

• Kısa Vadeli Sınırlandırma: Etkilenen uç noktaların EDR üzerinden ağ izolasyonuna alınması, şüpheli IP bloklarının güvenlik duvarından engellenmesi ve ele geçirilen kullanıcı hesaplarının derhal askıya alınması.

• Uzun Vadeli Sınırlandırma: Saldırganın erişim sağladığı arka kapıların (backdoors) tespit edilmesi, güvenli geçici yedek ağ segmentlerinin kurulması ve kritik sunucuların mikro-segmentasyon kurallarıyla korunması.

4. Ortadan Kaldırma (Eradication): Tehdidin Sistemden Temizlenmesi

Sınırlandırma sağlandıktan sonra saldırganın altyapıdaki tüm izleri temizlenmelidir.

• Zararlı Yazılım Analizi: Sisteme bırakılan trojan, rootkit veya web shell kodlarının statik ve dinamik analizi yapılır.

• Zafiyetlerin Kapatılması: Saldırganın kullandığı güvenlik açığına yönelik acil yama (patching) uygulanır, varsayılan parolalar değiştirilir ve yetkisiz oluşturulmuş kullanıcı hesapları silinir.

• Kimlik Bilgisi Sıfırlaması (Credential Rotation): Şirket genelinde, özellikle servis hesapları ve ayrıcalıklı erişim (PAM) hesaplarında tüm kimlik doğrulama anahtarları, API secret'ları ve parolalar sıfırlanır.

5. Kurtarma (Recovery): İş Sürekliliğinin Yeniden Sağlanması

Sistemlerin güvenli bir şekilde üretim ortamına döndürülmesi sürecidir.

• Doğrulanmış Yedeklerden Geri Yükleme: Saldırı tarihinden önceki "temiz" olduğundan emin olunan yedekler sisteme aktarılır.

• Kademeli Devreye Alma: Sistemler doğrudan tüm ağa açılmak yerine aşamalı olarak trafiğe açılır ve log izleme sıklığı maksimum düzeye çıkarılır.

• Gelişmiş İzleme (Enhanced Monitoring): Kurtarılan sistemler üzerinde en az 30 gün boyunca 7/24 anomaliler ve saldırganın yeniden bağlanma girişimleri izlenir.

6. Olay Sonrası Değerlendirme (Lessons Learned): Sürekli İyileştirme

Olay kontrol altına alındıktan sonra en geç 14 gün içinde tüm paydaşların katıldığı bir "Post-Mortem" toplantısı düzenlenmelidir.

• Hangi kontroller başarısız oldu?

• Planlanan adımlar ile sahada uygulananlar arasında ne tür farklar oluştu?

• MTTD ve MTTR süreleri hedeflenen eşiklerin altında mı kaldı?

• IRP dokümanında hangi maddelerin revize edilmesi gerekiyor?

Siber Olaylara Müdahale Ekibi (SOME / CSIRT) Kurulumu

Siber Olay Müdahale Planı'nın başarısı, planı uygulayacak ekibin yetki, uzmanlık ve organizasyonel uyumuna bağlıdır. Siber Olaylara Müdahale Ekibi (SOME) veya uluslararası adıyla Computer Security Incident Response Team (CSIRT); yalnızca teknik personelden oluşan bir yapı olarak kurgulanmamalıdır.

Ekipte Yer Alması Gereken Roller ve Görev Dağılımı

• Olay Müdahale Yöneticisi (Incident Commander): Kriz anında nihai karar vericidir. Müdahale adımlarını koordine eder, kaynak tahsisini onaylar ve üst yönetime düzenli durum raporu sunar.

• Teknik Müdahale ve Adli Bilişim Uzmanları: EDR/SIEM analizi, zararlı yazılım tersine mühendisliği, ağ trafiği incelemesi ve sistem temizleme işlemlerini fiilen yürüten teknik çekirdektir.

• Hukuk ve Uyum Müşaviri: İhlalin yasal boyutunu değerlendirir; KVKK, GDPR, regülasyon otoriteleri ve adli makamlarla olan iletişimi yönetir.

• Kurumsal İletişim ve PR Lideri: Medya, müşteriler ve kamuoyu ile paylaşılacak resmi açıklamaları hazırlar; kriz kaynaklı itibar kaybını sınırlar.

• İnsan Kaynakları (İK) Temsilcisi: Olayın bir iç tehdit (insider threat) veya personel ihmali kaynaklı olması durumunda iç disiplin ve çalışan bilgilendirme süreçlerini yönetir.

• C-Level ve Yönetim Kurulu Temsilcisi (CISO / CIO / CEO): İş durdurma, fidye müzakeresi politikası (kesinlikle ödeme yapılmaması kuralı doğrultusunda) veya büyük maliyetli altyapı değişikliklerine ilişkin stratejik onayları verir.

Görev ve Sorumlulukların Netleştirilmesi: RACI Matrisi

Yetki karmaşasını engellemek için her olay aşaması bir RACI (Responsible, Accountable, Consulted, Informed) matrisi ile tanımlanmalıdır.

Yasal Yükümlülükler, Mevzuat Uyumu ve Kriz İletişimi

Siber güvenlik olayları yalnızca teknik bir problem değil; ağır idari para cezaları, lisans iptalleri ve tazminat davaları doğurabilecek yasal vakalardır. Bu nedenle IRP, yürürlükteki veri koruma mevzuatlarıyla tam entegre çalışmalıdır.

KVKK ve GDPR Kapsamında İhlal Bildirim Süreçleri

• KVKK (6698 Sayılı Kanun): Kişisel Verileri Koruma Kurumu, veri sorumlusunun kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiği tarihten itibaren en geç 72 saat içinde Kurum'a bildirimde bulunmasını zorunlu kılar. Gecikme halinde gerekçenin Kurum'a sunulması gerekir. Ayrıca ihlalden etkilenen kişilere de makul olan en kısa sürede bildirim yapılmalıdır.

• GDPR (Genel Veri Koruma Yönetmeliği): Avrupa Birliği vatandaşlarının verilerini işleyen kurumlar, Article 33 uyarınca yetkili denetim otoritesine 72 saat içinde detaylı ihlal raporu sunmak zorundadır. Article 34 gereğince, yüksek risk taşıyan ihlallerde veri sahiplerine doğrudan bilgilendirme yapılması şarttır.

• Sektörel ve Uluslararası Düzenlemeler: Finans, bankacılık (BDDK), enerji (EPDK) ve sağlık sektörlerinde faaliyet gösteren kurumlar için ilgili regülatörlere bildirim süreleri bazen 24 saat veya daha kısa sürelere inebilmektedir. ABD pazarında faaliyet gösteren halka açık şirketler için SEC kuralları, maddi önem taşıyan olayların 4 iş günü içinde Form 8-K ile bildirilmesini emreder.

Kriz İletişimi ve İtibar Yönetimi

Bir siber saldırı sonrası yapılacak iletişimin tonu, şeffaflığı ve zamanlaması, şirketin ticari geleceğini belirler. Yanlış yönetilen bir kriz iletişimi, saldırının kendisinden daha fazla itibar kaybına yol açar.

• Tek Seslilik İlkesi: Şirket adına yalnızca önceden belirlenmiş resmi sözcü (PR lideri veya CEO) açıklama yapmalıdır. Çalışanların sosyal medyada spekülatif yorum yapması iç politikalarla kesin olarak yasaklanmalıdır.

• Şeffaf ve Doğrulanmış Bilgi Paylaşımı: "Hiçbir veri çalınmadı" gibi erken ve kanıtlanmamış mutlak açıklamalar yapılmamalıdır. Tehdit aktörleri çalınan verileri sızdırdığında bu tip açıklamalar kuruma olan güveni tamamen yok eder. Bildirimlerde; olayın ne zaman gerçekleştiği, hangi verilerin etkilendiği, alınan teknik önlemler ve kullanıcıların kendilerini korumak için atabileceği adımlar net bir dille aktarılmalıdır.

Planın Geçerliliğini Korumak: Test, Tatbikat ve Sürekli İyileştirme

Yalnızca kağıt üzerinde kalan ve güncellenmeyen bir IRP, operasyonel olarak geçersizdir. Kurumun altyapısı, çalışanları, kullandığı bulut sistemleri ve karşı karşıya olduğu tehdit aktörleri sürekli değişir. Planın etkinliği periyodik tatbikatlarla sınanmalıdır.

Masaüstü Tatbikatları (Tabletop Exercises - TTX)

Masaüstü tatbikatları, teknik ekiplerin yanı sıra üst yönetim, hukuk, İK ve iletişim departmanlarının katılımıyla gerçekleştirilen senaryo tabanlı simülasyonlardır. Bu tatbikatlar yılda en az iki kez düzenlenmelidir.

• Fidye Yazılımı (Ransomware) Senaryosu: Kritik veri tabanlarının şifrelendiği, yedeklerin hedef alındığı ve 5 milyon dolarlık fidye talep edildiği bir kriz masası canlandırılır. İletişim, iş sürekliliği ve yasal bildirim kararları simüle edilir.

• Tedarik Zinciri (Supply Chain) İhlali: Şirketin kullandığı üçüncü parti bir yazılım güncellemesi üzerinden ağa sızıldığı senaryo test edilir. Dış satıcı yönetimi ve izolasyon protokolleri değerlendirilir.

• İç Tehdit (Data Theft by Insider): Ayrıcalıklı yetkilere sahip bir personelin müşteri veri tabanını dışarıya aktardığı senaryoda İK, hukuk ve adli bilişim iş birliği sınanır.

Kırmızı Takım (Red Team) ve Mor Takım (Purple Team) Tatbikatları

Masaüstü tartışmalarının ötesinde, gerçek dünya saldırı tekniklerini taklit eden sızma testleri (penetration testing) ve Kırmızı Takım operasyonları düzenlenmelidir.

• Kırmızı Takım (Red Team): Kurumun haberi olmadan sisteme sızmaya çalışan bağımsız saldırı simülasyon ekibidir.

• Mavi Takım (Blue Team): Kurumun iç savunma ve SOME ekibidir.

• Mor Takım (Purple Team): Kırmızı ve Mavi takımların birlikte çalışarak tespit mekanizmalarını, SIEM kurallarını ve IRP playbook'larını anlık olarak optimize ettiği iş birliği modelidir.

Planın Düzenli Olarak Güncellenmesi ve Sürüm Kontrolü

Her tatbikat sonrası, kurumun altyapısına yeni bir teknoloji (yeni bir bulut sağlayıcı, ERP sistemi vb.) dahil edildiğinde veya sektörel büyük bir saldırı dalgası yaşandığında IRP dokümanı gözden geçirilmelidir. Doküman üzerinde sürüm kontrolü (Version Control) uygulanmalı; güncel kopyalar hem dijital ortamda hem de sistemlerin tamamen çökmesi ihtimaline karşı fiziksel/bant dışı ortamlarda güvenle saklanmalıdır.