Bir bilgi güvenliği olayı çoğu zaman tek bir büyük hatanın sonucu değildir. Güncellenmemiş bir sunucu, gereğinden geniş bir kullanıcı yetkisi, test edilmemiş bir yedek veya fark edilmeyen bir oturum birleşerek işletmenin karar alma kapasitesini zayıflatır. Bu nedenle güvenlik, yalnızca saldırıyı engelleme faaliyeti olarak ele alınamaz; hangi bilginin korunduğunu, kimin eriştiğini, neyin değiştiğini ve sistemin ne kadar sürede toparlanacağını kanıtlayabilme disiplinidir. Kurumların sık yaptığı hata, güvenlik ürünlerini satın almayı kontrol kurmakla karıştırmaktır.
Oysa ISO 27001 yaklaşımında asıl soru, hangi riskin hangi kontrolle ve hangi kanıtla yönetildiğidir. En önemli beş önlem bu bakış açısıyla birlikte işletildiğinde anlam kazanır.
1. Önce neyi koruduğunuzu bilin
İlk önlem, bilgi varlıklarını ve bunların iş süreçlerindeki rolünü görünür kılmaktır. Sunucular, dizüstü bilgisayarlar, bulut hizmetleri, uygulamalar, yedekler, kâğıt kayıtlar ve dış hizmet sağlayıcılar aynı envanterin parçalarıdır. Envanter yalnızca cihaz adı ve IP adresinden oluşmamalıdır; varlığın sahibi, işlediği veri, bağımlı olduğu hizmet, saklama gereksinimi ve kritikliği de kaydedilmelidir.
Burada bilgi sınıflandırması belirleyici bir adımdır. Her dosyayı “gizli” olarak işaretlemek pratikte hiçbir şeyi korumaz; kişisel veri, finansal kayıt, ticari sır ve kamuya açık bilgi için farklı erişim, saklama ve imha kararları gerekir. KVKK bakımından kişisel verilerin işlenmesi, saklanması ve aktarılması süreçleri ayrıca değerlendirilmelidir. Envanter ile veri akışlarının eşleştirilmesi, hem risk değerlendirmesini hem de ihlal halinde etkilenen kayıtların belirlenmesini kolaylaştırır.
Denetçi genellikle yalnızca bir envanter dosyasına değil, onun güncel olduğunu gösteren kanıta bakar. Yeni bir uygulamanın devreye alınması, bir çalışanın ayrılması veya bir tedarikçinin değişmesi envantere nasıl yansıyor? Bu sorunun cevabı yoksa doküman hazırlanmış, fakat süreç kurulmamış demektir.
2. Erişimi daraltın, açıklıkları geciktirmeyin
İkinci önlem, kimlik ve erişim yönetimini görev gereksinimiyle sınırlamaktır. En az ayrıcalık ilkesi, kullanıcının işini yapabilmesi için gereken en düşük yetkiyi almasını gerektirir. Ayrıcalıklı hesaplar kişisel hesaplardan ayrılmalı, ortak hesaplar istisna olarak ele alınmalı ve kritik işlemler iz bırakacak şekilde gerçekleştirilmelidir. Çok faktörlü kimlik doğrulama özellikle uzaktan erişim, bulut yönetim panelleri ve ayrıcalıklı hesaplar için güçlü bir azaltıcı kontroldür; ancak tek başına erişim yönetimi değildir.
Yetki verme kadar yetki kaldırma da önemlidir. İşe giriş, görev değişikliği ve işten ayrılma süreçleri bilgi teknolojileri ekibine zamanında bildirilmediğinde, eski hesaplar sessiz bir saldırı yüzeyi oluşturur. Periyodik erişim gözden geçirmeleri, yöneticinin gerçekten gerekli yetkiyi onayladığını göstermelidir. Sadece “onaylandı” kutusunun işaretlenmesi yeterli değildir; erişimin hangi görev nedeniyle sürdürüldüğü anlaşılabilmelidir.
3. Zafiyet ve Değişiklik Yönetimi
Üçüncü önlem, zafiyet ve değişiklik yönetimini düzenli bir operasyon haline getirmektir. Güvenlik güncellemesini kurmak teknik bir işlem, hangi sistemin önce güncelleneceğine karar vermek ise risk yönetimidir. İnternete açık, kritik verileri işleyen veya kimlik doğrulama altyapısına bağlı sistemler daha yüksek öncelik gerektirebilir. Bu öncelik, üretim ortamının kesinti toleransı ve hizmet bağımlılıklarıyla birlikte belirlenmelidir.
Güncellemeler için yalnızca üreticinin duyurusunu takip etmek yeterli değildir. Varlığın gerçekten etkilenip etkilenmediği, yamanın uygulanıp uygulanmadığı ve istisnanın kim tarafından ne zamana kadar kabul edildiği kayıt altına alınmalıdır. ISO 27001 kapsamında risk işleme planı ve uygulanabilirlik bildirgesi, hangi kontrollerin neden seçildiğini veya neden uygulanmadığını açıklamak için kullanılabilir. “Sistem eski, güncelleyemiyoruz” ifadesi bir risk kabulü olabilir; fakat sahibi, süresi, telafi edici kontrolü ve yeniden değerlendirme tarihi yoksa yönetilebilir bir karar değildir.
4. Kesintiyi yönetin, olayı öğrenmeye dönüştürün
Dördüncü önlem, yedekleme ve iş sürekliliğini birlikte tasarlamaktır. Yedek almak ile geri dönebilmek aynı şey değildir. Yedeklerin üretim hesabından ayrılması, erişim bilgilerinin korunması ve kritik veriler için uygun saklama düzeninin belirlenmesi gerekir. Daha da önemlisi, geri yükleme tatbikatı yapılmalıdır. Bir yedeğin varlığını gösteren ekran görüntüsü, verinin kullanılabilir olduğunu kanıtlamaz; gerçek kanıt, belirlenen kapsamın hedeflenen sürede geri getirildiğini gösteren test kaydıdır.
5. Kilit Nokta: Müdahale Kabiliyeti
Beşinci önlem, olay tespiti ve müdahale kabiliyetini kurmaktır. Güvenlik kayıtları toplanmıyor, saatler senkronize edilmiyor veya kimsenin izlemediği bir depoda tutuluyorsa olay sonrası inceleme büyük ölçüde varsayıma dönüşür. Kritik sistemlerde başarılı ve başarısız oturumlar, ayrıcalıklı işlemler, yapılandırma değişiklikleri ve veri aktarımı gibi olaylar belirlenen saklama politikasına uygun biçimde izlenmelidir.
Olay müdahale planı, kriz anında okunamayacak kadar uzun bir prosedür olmamalıdır. İlk bildirim kanalı, karar yetkisi, sistemin izole edilmesi, delillerin korunması, hizmetin geri alınması ve gerekli bildirimlerin değerlendirilmesi açık olmalıdır. Kişisel veri ihlali şüphesinde KVKK kapsamındaki yükümlülükler, olayın niteliğine ve Kurul uygulamalarına göre ayrıca incelenmelidir. Her olayın saldırı olmadığı gibi, her olayın yalnızca teknik ekip tarafından çözülemeyeceği de unutulmamalıdır; hukuk, insan kaynakları, iletişim ve üst yönetim gerektiğinde sürece dahil olur.
Sonuç
Bu beş önlemi birbirinden bağımsız projeler olarak yürütmek yerine tek bir kontrol döngüsünde birleştirmek gerekir. Envanter riskin kapsamını gösterir, erişim kontrolü olasılığı azaltır, güncelleme yönetimi açıklıkları kapatır, yedekleme etkinin süresini sınırlar, izleme ve müdahale ise kalan riskin büyümesini engeller. Çalışan farkındalığı, tedarikçi kontrolleri ve fiziksel güvenlik bu yapının dışında değil, aynı risk değerlendirmesinin tamamlayıcı unsurlarıdır.
Uygulamada en değerli kanıt, politikanın kendisi değil, politikanın çalıştığını gösteren düzenli kayıtlardır: erişim gözden geçirme sonuçları, yama istisnaları, geri yükleme testleri, olay tatbikatları, eğitim katılımı ve yönetimin aldığı risk kararları. ISO 27001 belgelendirmesi bu kayıtların biçimini tek tip olarak belirlemez; ancak kurumun seçtiği kontrolleri planladığını, uyguladığını, izlediğini ve gerektiğinde iyileştirdiğini gösterebilmesi beklenir.
Pratik olarak işe, kritik bilgi varlıklarının güncel envanterini çıkararak ve en yüksek etkili üç riski yönetime görünür kılarak başlayın. Ardından ayrıcalıklı hesaplarda çok faktörlü doğrulamayı, yama istisnalarında süre ve sorumluyu, yedeklerde gerçek geri yükleme testini ve olay planında karar yetkisini netleştirin. Güvenlik yatırımı, en pahalı aracı almakla değil, bu zincirin herhangi bir halkasının sessizce kopmasını önlemekle değer üretir.