Şirketler İçin Siber Güvenlik Politikası Nasıl Oluşturulur?

Kurumsal siber güvenlik politikası, ISO 27001 ve veri koruma yasaları (KVKK/GDPR) referans alınarak risk analizi, erişim yönetimi ve olay müdahale planlarının belgelenmesidir.

Şirketler İçin Siber Güvenlik Politikası Nasıl Oluşturulur sorusu, dijital varlıklarını fidye yazılımları, veri sızıntıları ve yetkisiz erişim tehditlerine karşı korumak isteyen her ölçekteki organizasyon için operasyonel bir zorunluluktur. Kapsamlı bir güvenlik politikası; bilgi varlıklarının sınıflandırılmasını, çalışanların erişim yetki sınırlarını, uç nokta koruma standartlarını ve yasal uyum kriterlerini yazılı kurallara bağlar. Bu rehber; risk analizinden olay müdahale süreçlerine, Zero Trust mimarisinden çalışan farkındalık eğitimlerine kadar uygulanabilir bir güvenlik çerçevesi kurmanız için gereken tüm adımları, teknik gereksinimleri ve yasal sorumlulukları detaylandırmaktadır.

Kurumsal Siber Güvenlik Politikası Nedir ve Neden Zorunluluktur?

Kurumsal siber güvenlik politikası, bir organizasyonun bilgi varlıklarını korumak amacıyla benimsediği yönetim ilkelerini, teknik kontrolleri, operasyonel prosedürleri ve çalışan davranış standartlarını tanımlayan resmi bir dokümantasyon bütünüdür. Bu politika; sunuculardan çalışan dizüstü bilgisayarlarına, bulut tabanlı SaaS yazılımlarından kurumsal e-posta sistemlerine kadar şirketin dijital ekosistemindeki tüm bileşenlerin nasıl yapılandırılacağını ve kullanılacağını kurala bağlar. Güvenlik politikası yalnızca teknik bir kılavuz değil, aynı zamanda kurum içi disiplini sağlayan, üst yönetim tarafından onaylanan ve tüm departmanlar için bağlayıcılığı bulunan yönetsel bir sözleşmedir.

Siber tehdit ortamının karmaşıklaşması ve hedef odaklı saldırıların (APT) artması, güvenlik politikalarını reaktif bir savunma aracından proaktif bir iş stratejisine dönüştürmüştür. Bir güvenlik ihlali yaşandığında kimin hangi adımı atacağı, hangi sistemlerin izole edileceği ve hangi yasal bildirimlerin yapılacağı önceden tanımlanmadığında; teknik ekipler koordinasyon kaybı yaşamakta, kesinti süreleri uzamakta ve veri kurtarma maliyetleri katlanmaktadır. Belgelenmiş bir siber güvenlik politikası, kriz anında karar alma süreçlerini otomatikleştirir ve hata payını asgariye indirir.

Kurumsal ölçekte bir güvenlik politikasının bulunmaması, şirketleri yalnızca dış tehditlere değil, içeriden gelebilecek ihmal veya kasıtlı eylemlere karşı da savunmasız bırakır. Zayıf şifre kullanımı, yetkilendirilmemiş üçüncü taraf yazılımların kurulumu (Shadow IT), şirket verilerinin şahsi depolama alanlarına aktarılması veya açık kablosuz ağlar üzerinden kritik sistemlere bağlanılması gibi operasyonel zafiyetler, ancak açıkça tanımlanmış ve denetlenen politikalarla engellenebilir.

Siber Güvenlik Politikası Neleri Kapsar?

Kapsamlı bir kurumsal siber güvenlik politikası, tek bir metinden ziyade birbirini tamamlayan alt politikalardan meydana gelir. Bu alt politikalar, organizasyonun farklı operasyonel katmanlarını hedefler ve uygulanabilir kurallar koyar:

• Kabul Edilebilir Kullanım Politikası (Acceptable Use Policy - AUP): Şirket donanımlarının, e-posta hesaplarının ve internet bağlantısının iş amaçlı kullanım sınırlarını belirler. Yasa dışı materyal indirme, yetkisiz yazılım çalıştırma ve kişisel veri depolama yasaklarını netleştirir.

• Kimlik ve Erişim Yönetimi Politikası (IAM): Kullanıcı hesaplarının açılması, yetkilerin rol bazlı tanımlanması (RBAC), güçlü parola standartları ve çok faktörlü kimlik doğrulama (MFA) zorunluluklarını düzenler.

• Uç Nokta ve Cihaz Güvenliği Politikası: Şirkete ait dizüstü bilgisayar, akıllı telefon ve tabletlerin şifrelenmesi (BitLocker, FileVault), antivirüs/EDR ajanlarının kurulu olması ve işletim sistemi güncelleme periyotlarını kapsar.

• Kendi Cihazını Getir (BYOD) Politikası: Çalışanların şahsi cihazlarıyla kurumsal ağa veya e-postalara erişim şartlarını, Mobil Cihaz Yönetimi (MDM) gereksinimlerini ve cihazdan ayrılma durumunda veri silme haklarını belirler.

• Veri Sınıflandırma ve Koruma Politikası: Kurumsal verilerin gizlilik derecelerine (Genel, Kurum İçi, Gizli, Çok Gizli) göre nasıl etiketleneceğini, depolanacağını ve şifreleneceğini standartlaştırır.

• Ağ ve İletişim Güvenliği Politikası: Güvenlik duvarı (Firewall) kuralları, sanal özel ağ (VPN) erişimleri, Wi-Fi segmentasyonu ve uzaktan bağlantı protokollerini açıklar.

• Üçüncü Taraf ve Tedarikçi Güvenliği Politikası: Dış kaynak hizmet sağlayıcılarının kurumsal ağa erişim şartlarını, sözleşmesel güvenlik maddelerini ve veri paylaşım protokollerini belirler.

Şirketler İçin Siber Güvenlik Neden Önemlidir?

Siber güvenlik politikasına sahip olmak, yalnızca teknik altyapıyı güvenceye almakla sınırlı kalmaz; şirketin finansal sürdürülebilirliğini, itibarını ve pazar güvenilirliğini doğrudan etkiler. Ponemon Institute ve IBM tarafından yayımlanan veri ihlali maliyet raporlarına göre, küresel ortalama bir veri ihlalinin maliyeti milyonlarca dolar seviyesindedir. Bu maliyet; adli bilişim (forensic) incelemeleri, sistem onarımları, fidye ödemeleri (varsa), yasal danışmanlıklar, regülasyon cezaları ve müşteri kaybından doğan operasyonel zararları içerir.

Finansal hasarın ötesinde, müşteri güveninin yitirilmesi telafisi en zor kayıplardan biridir. B2B ve B2C pazarlarda faaliyet gösteren işletmeler, iş ortaklarının ve müşterilerinin ticari sırlarını veya kişisel verilerini koruma taahhüdü verir. Güvenlik politikası eksikliği nedeniyle gerçekleşen bir sızıntı, marka değerinde ciddi bir erozyona yol açarak kurumsal müşterilerin sözleşmelerini feshetmesine neden olur.

Kurumsal siber güvenlik aynı zamanda regülasyon denetimlerinin merkezinde yer alır. Sigorta şirketleri siber risk sigortası (cyber insurance) poliçesi düzenlemeden önce şirketin yazılı güvenlik politikalarını, yama yönetim süreçlerini ve yedekleme mekanizmalarını incelemekte; politikası bulunmayan işletmeleri ya kapsam dışı bırakmakta ya da primlerini aşırı yükseltmektedir. Dolayısıyla güvenlik politikası, şirketin operasyonel dayanıklılığının bir teminatıdır.

---

Yasal Uyumluluk ve Standartlar: ISO 27001, KVKK ve GDPR

Siber güvenlik politikaları oluşturulurken yerel ve uluslararası yasal düzenlemeler ile sektör standartları ana çerçeveyi belirler. Şirketler faaliyet gösterdikleri coğrafyaya ve hizmet verdikleri müşteri kitlesine bağlı olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), Ödeme Kartı Sektörü Veri Güvenliği Standardı (PCI-DSS) ve ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) standartlarına uyum sağlamakla yükümlüdür. Bu yasal ve teknik düzenlemeler, güvenlik politikalarının biçimsel bir metin olarak kalmayıp uygulanabilir ve denetlenebilir olmasını zorunlu kılar.

Yasal çerçevelere uyum sağlanmaması durumunda şirketler ağır idari para cezaları, ticari faaliyetten men edilme ve yöneticiler düzeyinde hukuki yaptırımlarla karşılaşabilir. KVKK ve GDPR, veri sorumlularına teknik ve idari tedbirleri alma zorunluluğu getirir. Yazılı bir güvenlik politikasının bulunması, veri sorumlusunun kanun karşısında "idari tedbirleri" yerine getirdiğini kanıtlayan en temel belgedir. Olası bir veri ihlali durumunda denetleyici otoriteler, şirketin bir güvenlik politikasına sahip olup olmadığını, bu politikanın çalışanlara duyurulup duyurulmadığını ve kuralların denetlenip denetlenmediğini inceler.

KVKK Kapsamında Veri Sorumlusunun Yükümlülükleri

KVKK mevzuatı uyarınca veri sorumlusu olan işletmeler, işledikleri kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı erişilmesini engellemek ve verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri almak zorundadır. Kişisel Verileri Koruma Kurumu'nun yayımladığı Veri Güvenliği Rehberi, şirketlerin siber güvenlik politikalarında yer vermesi gereken idari ve teknik tedbirleri açıkça sıralamıştır.

Bu kapsamda şirketin hazırlayacağı siber güvenlik politikasında şu KVKK yükümlülükleri doğrudan yer almalıdır:

• Özel Nitelikli Kişisel Verilerin Korunması: Sağlık, biyometrik veri, dernek/vakıf üyeliği gibi hassas verilerin kriptografik yöntemlerle şifrelenerek saklanması ve bu verilere erişen personelin ayrı bir gizlilik taahhütnamesi imzalaması.

• Yetki Matrisi ve Erişim Logları: Kişisel verilere erişim yetkilerinin görev tanımlarıyla sınırlandırılması, kullanıcı hesaplarının yetkilerinin periyodik kontrolü ve veri tabanı işlem loglarının (erişim, silme, güncelleme) değiştirilemez şekilde kayıt altına alınması.

• Veri İhlali Bildirim Prosedürü: Gerçekleşen veya şüphelenilen bir veri ihlalinin tespit edildiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurumu'na ve etkilenen ilgili kişilere bildirilmesi sürecinin operasyonel adımları.

• Aydınlatma ve Veri İmha Politikası: Verilerin saklama süreleri dolduğunda veya işleme şartları ortadan kalktığında periyodik olarak silinmesi, yok edilmesi veya anonim hale getirilmesi prosedürleri.

ISO 27001 Standartlarına Göre Politika Belgelendirmesi

ISO/IEC 27001, kurumsal bilgi güvenliği yönetiminin uluslararası referans noktasıdır. Standardın 2022 revizyonu (ISO/IEC 27001:2022), modern tehdit ortamına uyum sağlayarak tehdit istihbaratı, bulut hizmetleri güvenliği, veri sızıntısı önleme (DLP) ve güvenli kodlama gibi alanları doğrudan kapsayan 93 adet kontrol maddesi (Ek A Kontrolleri) içerir.

ISO 27001 uyumlu bir siber güvenlik politikası oluştururken izlenmesi gereken dokümantasyon hiyerarşisi şu yapıya dayanmalıdır:

[Seviye 1: Üst Düzey Bilgi Güvenliği Politikası]
       │
       ▼
[Seviye 2: Konuya Özel Alt Politikalar] (IAM, Yedekleme, Ağ Güvenliği vb.)
       │
       ▼
[Seviye 3: Standart İş Prosedürleri ve Kılavuzlar] (SOP)
       │
       ▼
[Seviye 4: Kayıtlar, Denetim Logları ve Formlar]

Üst düzey bilgi güvenliği politikası, yönetimin bilgi güvenliğine olan taahhüdünü, BGYS hedeflerini ve genel çerçeveyi belirler. Alt politikalar ise operasyonel kontrolleri tarif eder. Örneğin, parola politikası şifre uzunluğunun en az 12 karakter olması gerektiğini belirlerken, ilgili prosedür sistem yöneticisinin bu kuralı Active Directory veya kimlik sağlayıcı (IdP) üzerinde grup ilkeleri (GPO) aracılığıyla nasıl yapılandıracağını adım adım gösterir. ISO 27001 sertifikasyon sürecinde denetçiler, yalnızca yazılı politikaların varlığına değil, bu politikaların günlük iş süreçlerinde kanıtlanabilir kayıtlarla (formlar, loglar, toplantı tutanakları) uygulandığına odaklanır.

---

Etkili Bir Siber Güvenlik Politikası Oluşturma Süreci

Bir siber güvenlik politikasının hazırlanması, şablon belgelerin kopyalanıp şirket logosu basılmasıyla tamamlanabilecek bir işlem değildir. Gerçekçi ve işlevsel bir politika; şirketin sektörüne, büyüklüğüne, teknik altyapısına, risk toleransına ve operasyonel alışkanlıklarına özel olarak tasarlanmalıdır. Süreç, teknik ekipler ile yönetim kadrosunun ortak çalışmasını gerektirir ve ortalama 4 ila 12 hafta arasında bir hazırlık, değerlendirme ve onay döngüsünü kapsar.

Politika oluşturma sürecinde en sık karşılaşılan tuzak, operasyonel süreçleri felç eden aşırı kısıtlayıcı kurallar koymaktır. İş akışlarını aşırı yavaşlatan politikalar, çalışanların güvenlik kontrollerini atlatmak için arka kapılar aramasına (Shadow IT kullanımı) neden olur. Bu nedenle güvenlik ile işlevsellik arasında dengeli bir mimari kurulmalıdır.

Kurumsal Risk Analizi ve Varlık Envanteri Çıkarma

Politika hazırlığının ilk ve en kritik fazı, neyin korunduğunun tam olarak tespit edilmesidir. Bilinmeyen veya envanterde yer almayan bir dijital varlığın korunması teknik olarak mümkün değildir. Varlık envanteri; şirket bünyesindeki fiziksel sunucuları, sanal makineleri, ağ cihazlarını (router, switch, firewall), çalışan bilgisayarlarını, mobil aygıtları, veri tabanlarını, lisanslı yazılımları, API uç noktalarını ve üçüncü taraf SaaS aboneliklerini eksiksiz içermelidir.

Envanter çıkarıldıktan sonra her bir varlığın taşıdığı verinin gizlilik (Confidentiality), bütünlük (Integrity) ve erişilebilirlik (Availability) ihtiyaçları (CIA Triad) puanlanır. Risk analizi aşamasında ise varlıklara yönelik tehditler ve mevcut zafiyetler değerlendirilir. Risk skoru genel kabul görmüş formül üzerinden hesaplanır:

$$\text{Risk Skoru} = \text{Olasılık (Likelihood)} \times \text{Etki (Impact)}$$

Elde edilen risk skorları doğrultusunda politikada yer alacak zorunlu tedbirler önceliklendirilir. Örneğin, müşteri kredi kartı verilerini işleyen bir ödeme sunucusunun ihlal edilme etkisi "Kritik", dış dünyaya açık olması nedeniyle olasılığı "Yüksek" ise bu varlık için uygulanacak erişim politikaları en sıkı seviyeye (ağ izolasyonu, çift katmanlı MFA, 7/24 SIEM log izleme) çekilmelidir.

Erişim Yönetimi ve Sıfır Güven (Zero Trust) Prensibi

Geleneksel "kale ve hendek" güvenlik yaklaşımı, şirket ağı içindeki her kullanıcının ve cihazın güvenilir olduğunu varsayar. Ancak günümüz hibrit çalışma modellerinde ve karmaşık bulut altyapılarında bu yaklaşım yetersiz kalmaktadır. Modern siber güvenlik politikaları, "Asla güvenme, her zaman doğrula" (Never Trust, Always Verify) ilkesine dayanan Sıfır Güven (Zero Trust) mimarisi üzerine inşa edilmelidir.

Erişim yönetimi politikasında tanımlanması gereken temel mekanizmalar şunlardır:

1. En Az Yetki Prensibi (Principle of Least Privilege - PoLP): Her kullanıcıya ve sisteme, yalnızca işini icra edebilmesi için zorunlu olan minimum düzeyde yetki verilmelidir. Bir pazarlama uzmanının kaynak kod veri tabanına erişimi olmamalı, bir yazılımcı ise yalnızca kendi geliştirme ortamına erişebilmelidir.

2. Rol Bazlı Erişim Kontrolü (RBAC): Yetkiler bireylere değil, tanımlanmış kurumsal rollere atanmalıdır. Çalışan departman değiştirdiğinde veya işten ayrıldığında yetkilerin tek tek toplanması yerine rol ataması güncellenmelidir.

3. Ayrıcalıklı Hesap Yönetimi (PAM): Domain Admin, Root veya veritabanı yöneticisi gibi kritik yetkilere sahip hesaplar kişisel kullanıcı hesaplarından ayrılmalıdır. PAM çözümleri kullanılarak bu hesapların şifreleri kasalanmalı, oturumları kaydedilmeli ve oturum süreleri sınırlandırılmalıdır.

4. Zaman Sınırlı ve Bağlam Duyarlı Erişim: Hassas sistemlere erişim talepleri belirli bir onay mekanizmasına ve sınırlı bir süreye (Just-in-Time Access) bağlanmalıdır. Coğrafi konum, IP adresi ve cihaz güvenlik durumu eşzamanlı olarak kontrol edilmelidir.

Veri Yedekleme ve İş Sürekliliği Stratejisi

Fidye yazılımı (ransomware) saldırılarında saldırganlar, şirketin birincil üretim verilerini şifrelemekle kalmayıp aynı ağ üzerindeki yedekleme sunucularını da hedef alarak sistemi geri döndürülemez hale getirmeyi amaçlar. Bu nedenle güvenlik politikasının yedekleme bölümü, saldırıya dayanıklı yedekleme mimarilerini zorunlu kılmalıdır.

Politikada açıkça tarif edilmesi gereken yedekleme kuralı 3-2-1-1-0 Kuralıdır:

• Verinin en az 3 kopyası bulunmalıdır (1 birincil üretim verisi + 2 yedek).

• Yedekler en az 2 farklı depolama ortamında tutulmalıdır (örneğin yerel NAS + Bulut Depolama).

• Kopyalardan en az 1 tanesi şirket dışındaki (offsite) farklı bir lokasyonda barındırılmalıdır.

• Kopyalardan en az 1 tanesi çevrimdışı, yalıtılmış veya değiştirilemez (Immutable / WORM - Write Once Read Many) formatta olmalıdır.

• Yedekleme testlerinde 0 hata elde edilmeli, periyodik olarak felaket kurtarma (Disaster Recovery) geri yükleme tatbikatları yapılmalıdır.

Yedekleme stratejisi hazırlanırken Kurtarma Noktası Hedefi (RPO - kabul edilebilir maksimum veri kaybı süresi) ve Kurtarma Süresi Hedefi (RTO - sistemin yeniden çalışır hale gelmesi için izin verilen maksimum kesinti süresi) her kritik servis için ayrı ayrı belirlenmeli ve dokümante edilmelidir.

Olay Müdahale (Incident Response) Planının Hazırlanması

Siber güvenlik politikaları ne kadar kusursuz hazırlanırsa hazırlansın, sıfır risk diye bir kavram yoktur. Güvenlik ihlali gerçekleştiğinde paniği önlemenin ve zararı minimize etmenin yolu, önceden hazırlanmış ve tatbik edilmiş bir Olay Müdahale Planı'na (IRP) sahip olmaktır.

NIST SP 800-61 standardı referans alınarak hazırlanan bir Olay Müdahale Planı 6 temel aşamadan oluşur:

• 1. Hazırlık (Preparation): Olay Müdahale Ekibinin (CSIRT/CERT) kurulması, görev dağılımlarının yapılması, iletişim kanallarının belirlenmesi ve adli bilişim araçlarının hazır bulundurulması.

• 2. Tespit ve Analiz (Detection & Analysis): Güvenlik uyarılarının (SIEM/SOC alarmları, EDR tespitleri) incelenmesi, saldırının türünün (DDoS, fidye yazılımı, veri sızıntısı) ve etkilenen varlıkların belirlenmesi.

• 3. Sınırlandırma (Containment): Saldırının diğer sistemlere sıçramasını önlemek amacıyla etkilenen sunucu ve cihazların ağ bağlantısının kesilmesi (izolasyon), güvenlik duvarı kurallarının sıkılaştırılması veya geçici olarak servislerin durdurulması.

• 4. Kök Neden Temizleme (Eradication): Zararlı yazılımların silinmesi, saldırganın oluşturduğu yetkisiz hesapların ve arka kapıların kapatılması, istismar edilen zafiyetlerin yamalanması.

• 5. Kurtarma (Recovery): Temizliği yapılan sistemlerin doğrulanmış yedeklerden geri yüklenmesi, servislerin kademeli olarak canlıya alınması ve sistemlerin yüksek hassasiyetle izlenmesi.

• 6. Çıkarılan Dersler (Lessons Learned): İhlalden sonraki en geç 14 gün içinde tüm paydaşların katılımıyla toplantı yapılması, olayın kronolojisinin çıkarılması, güvenlik politikasındaki eksiklerin tespit edilerek revize edilmesi.

---

Siber Güvenlik Kültürü: Çalışan Farkındalığı Nasıl Artırılır?

Teknolojik yatırımlar, güvenlik duvarları ve şifreleme algoritmaları şirket altyapısını dış saldırılara karşı ne kadar güçlendirirse güçlendirsin, insan faktörü siber güvenlik zincirinin en zayıf veya en güçlü halkasını oluşturur. Verizon Veri İhlali İncelemeleri Raporu (DBIR) verilerine göre, gerçekleşen siber güvenlik ihlallerinin yüzde 70'ten fazlası insan hatası, sosyal mühendislik veya oltalama (phishing) saldırılarıyla tetiklenmektedir. Bu nedenle siber güvenlik politikası, çalışanların davranışlarını yönlendiren bir güvenlik kültürünü zorunlu kılmalıdır.

Güvenlik kültürü, personelin bir güvenlik uyarısını veya şüpheli bir e-postayı cezalandırılma korkusu yaşamadan hızla BT/Güvenlik birimine bildirebildiği bir ortamı ifade eder. Şirketler, çalışanlarını pasif birer kural uygulayıcısı olarak değil, kurumsal ağın en dış savunma hattı ("İnsan Güvenlik Duvarı - Human Firewall") olarak konumlandırmalıdır.

Oltalama (Phishing) Simülasyonları ve Düzenli Eğitimler

Statik, yılda bir kez düzenlenen ve çalışanların zorunlu olarak katıldığı uzun teorik sunumlar davranış değişikliği yaratmada yetersiz kalmaktadır. Modern siber güvenlik farkındalık programları, interaktif, kısa (micro-learning) ve periyodik modüller halinde yürütülmelidir.

Politikada tanımlanması gereken farkındalık bileşenleri şunlardır:

• Periyodik Oltalama Simülasyonları: Şirket çalışanlarına önceden haber verilmeksizin ayda veya çeyrekte bir sahte oltalama e-postaları gönderilmelidir. Simülasyonlar fatura bildirimleri, kargo takibi, İK duyuruları veya şifre sıfırlama talepleri gibi güncel saldırı senaryolarını taklit etmelidir.

• Anlık Eğitim Geri Bildirimi: Simülasyon e-postasındaki şüpheli bağlantıya tıklayan veya sahte sayfaya bilgi giren çalışanlar cezalandırılmamalı; bunun yerine anında açılan 2-3 dakikalık interaktif bir mini eğitimle oltalamayı ele veren işaretler (gönderici adresi tutarsızlığı, aciliyet hissi, sahte yönlendirme URL'leri) gösterilmelidir.

• Departman Bazlı Tehdit Eğitimleri: Finans departmanına CEO Sahtekarlığı (Business Email Compromise - BEC) ve sahte fatura saldırıları anlatılırken, yazılım ekibine güvenli kodlama pratikleri ve bağımlılık zafiyetleri (supply chain attacks), İK ekibine ise zararlı makro içeren sahte CV dosyaları özelinde eğitimler verilmelidir.

Temel Şifreleme ve MFA Kullanım Şartları

Zayıf ve tekrar eden şifreler, kimlik hırsızlığı saldırılarının birincil kaynağıdır. Siber güvenlik politikası, şifre güvenliğini çalışanların inisiyatifine bırakmamalı, teknik zorunluluklarla sınırları çizmelidir. NIST SP 800-63B rehberi referans alınarak oluşturulacak kimlik doğrulama politikası şu kuralları barındırmalıdır:

• Parola Karmaşıklığı ve Uzunluğu: Minimum 12-16 karakter uzunluk, büyük-küçük harf, rakam ve özel karakter kombinasyonu zorunlu tutulmalıdır. Kolay tahmin edilebilir ifadeler (şirket adı, mevsim/yıl kombinasyonları) yasaklanmalıdır.

• Çok Faktörlü Kimlik Doğrulama (MFA) Zorunluluğu: Kurumsal e-posta, VPN, bulut portalları, ERP ve kritik sunucu erişimlerinde MFA istisnasız zorunlu olmalıdır. SMS tabanlı doğrulama yerine (SIM swap risklerine karşı) Authenticator uygulamaları (TOTP) veya FIDO2/WebAuthn uyumlu donanım güvenlik anahtarları (YubiKey vb.) tercih edilmelidir.

• Kurumsal Parola Yöneticisi Kullanımı: Çalışanların şifreleri tarayıcılara kaydetmesi veya yapışkan notlara yazması yasaklanmalı; şirket tarafından sağlanan merkezi yönetimli kurumsal şifre yöneticisi (Password Manager) araçlarının kullanımı zorunlu kılınmalıdır.

---

Politikanın Uygulanması, Denetlenmesi ve Güncellenmesi

Hazırlanan bir siber güvenlik politikası kağıt üzerinde ne kadar kusursuz görünürse görünsün, sahadaki teknik kontrollerle denetlenmediği ve yaptırımlarla desteklenmediği sürece etkisiz kalacaktır. Güvenlik politikası yaşayan bir dokümandır; şirket altyapısına yeni bir yazılım eklendiğinde, uzaktan çalışma politikaları değiştiğinde veya yeni bir siber tehdit türü ortaya çıktığında güncellenmelidir.

Politikanın sahada karşılık bulabilmesi için otomatikleştirilmiş güvenlik araçlarından faydalanılmalıdır. Mobil Cihaz Yönetimi (MDM) sistemleri ile şifrelenmemiş cihazların şirket ağına girmesi engellenmeli, Veri Kaybı Önleme (DLP) yazılımları ile gizli belgelerin USB belleklere kopyalanması veya harici e-postalara gönderilmesi otomatik olarak bloke edilmeli ve Güvenlik Bilgi ve Olay Yönetimi (SIEM) platformları ile anormal kullanıcı hareketleri 7/24 izlenmelidir.

Sızma Testi ve Zafiyet Analizi

Şirket içi kuralların ve teknik savunma mekanizmalarının gerçek saldırganlar karşısında ne kadar dirençli olduğunu anlamanın en nesnel yolu periyodik zafiyet taramaları (Vulnerability Assessment) ve bağımsız sızma testleridir (Penetration Testing / Pentest).

Politikada denetim periyotları ve yöntemleri şu standartlarla belirlenmelidir:

• Otomatik Zafiyet Taramaları: Şirketin iç ve dış ağındaki tüm IP blokları, web uygulamaları ve sunucuları haftalık veya aylık periyotlarla otomatik tarama araçlarıyla kontrol edilmeli; tespit edilen CVE zafiyetleri için yama yönetim politikası işletilmelidir.

• Düzenli Sızma Testleri: Yılda en az bir kez (veya altyapıda majör bir mimari değişiklik yapıldığında) TSE, CREST veya OSCP sertifikasyonuna sahip bağımsız siber güvenlik firmalarına "Black Box" veya "Gray Box" metodolojileriyle sızma testi yaptırılmalıdır.

• Kritik Yama Uygulama Süreleri (SLA): Sızma testi ve zafiyet analizlerinde keşfedilen güvenlik açıklarının kapatılması için kesin takvimler belirlenmelidir (Örn: CVSS skoru 9.0 ve üzeri olan Kritik zafiyetler için maksimum 72 saat, Yüksek riskli açıklar için 14 gün, Orta riskli açıklar için 30 gün).

Periyodik Politika Gözden Geçirme ve Güncelleme

Siber güvenlik politikaları en az yılda bir kez resmi bir komite tarafından gözden geçirilmeli ve revizyon geçmişi belgelenmelidir. Yıllık rutin denetimin haricinde aşağıdaki tetikleyici olayların gerçekleşmesi durumunda politika derhal incelemeye alınmalıdır:

1. Şirket Birleşmeleri veya Satın Almalar: Yeni sistemlerin ve çalışanların şirket altyapısına entegrasyonu sürecinde güvenlik riskleri doğar.

2. Majör Altyapı Değişiklikleri: Şirket içi yerel sunuculardan (On-Premises) çoklu bulut (Multi-Cloud) veya hibrit bulut mimarisine geçiş yapılması.

3. Yeni Yasal Regülasyonlar: KVKK, GDPR veya sektörel otoritelerin (BDDK, EPDK vb.) yeni tebliğ ve güvenlik kılavuzları yayımlaması.

4. Kritik Güvenlik İhlali Yaşanması: Gerçekleşen bir siber saldırı sonrasında Olay Müdahale Ekibinin "Çıkarılan Dersler" raporu doğrultusunda sistemik açıkların giderilmesi.

---