Hizmete neler dahil?
- Yazılı kapsam ile mevcut durum değerlendirmesi
- Ağ, kimlik, uç nokta, e-posta, veri ve yedekleme alanlarının incelenmesi
- Risk seviyesine göre sınıflandırılmış bulgu raporu
- Kısa sürede uygulanabilir hızlı kazanımlar listesi
- CIS Controls, ISO/IEC 27001 veya NIST CSF ile eşleştirme
- Kısa, orta ve uzun vadeli önceliklendirilmiş yol haritası
- Yönetim için teknik olmayan dilde özet ve sunum
Siber güvenlik danışmanlığı ne işe yarar?
Siber güvenlik danışmanlığı, "Nereden başlamalıyız?" ve "Bütçemizi neye harcamalıyız?" sorularına yazılı ve gerekçeli bir cevap üretir. Pek çok işletmede güvenlik yatırımları zaman içinde, ihtiyaç ortaya çıktıkça ve birbirinden bağımsız yapılır. Sonuçta bazı alanlarda birden fazla ürün bulunurken, yedekleme veya yetki yönetimi gibi temel konular gözden kaçabilir.
Danışmanlık çalışması bu tabloyu bütüncül olarak görmeyi sağlar. Hangi varlıkların kritik olduğu, hangi tehditlerin gerçekçi olduğu ve mevcut kontrollerin ne kadar etkili olduğu birlikte değerlendirilir. Çıktı, teknik ekibin uygulayabileceği ve yönetimin onaylayabileceği önceliklendirilmiş bir plandır.
Bir siber güvenlik firmasıyla bilgi güvenliği danışmanlığı çalışması planlarken kapsamın, teslim edilecek dokümanların ve çalışmaya kimlerin katılacağının baştan yazılı olarak belirlenmesi önemlidir. Böylece sonuçlar ölçülebilir ve takip edilebilir olur.
KOBİ'ler için siber güvenlik danışmanlığı farklı mı?
Evet; KOBİ'lerde amaç, kısıtlı ekip ve bütçeyle en çok riski azaltan temel kontrolleri hızla oturtmaktır. Büyük kurumlar için tasarlanmış kapsamlı programlar küçük bir BT ekibi için uygulanabilir olmayabilir. Bu yüzden KOBİ çalışmalarında şu temel alanlara öncelik verilir:
- Güncel ve test edilmiş yedekler
- Çok faktörlü kimlik doğrulama (MFA) ve yönetici hesaplarının sınırlandırılması
- Güvenlik duvarı ve uzaktan erişimin doğru yapılandırılması
- Uç nokta koruması ve yama yönetimi
- E-posta güvenliği ve kullanıcı farkındalığı
Değerlendirmede neler incelenir?
Değerlendirme; görüşmeler, yapılandırma incelemeleri ve gerektiğinde teknik taramalarla yapılır. Kapsam baştan yazılı olarak belirlenir. Tipik inceleme alanları şunlardır:
| Alan | İncelenen konular | Örnek bulgu türü |
|---|---|---|
| Varlık envanteri | Donanım, yazılım, bulut servisleri, veri konumları | Envanterde olmayan sunucu veya servisler |
| Ağ güvenliği | Güvenlik duvarı kuralları, segmentasyon, uzaktan erişim | Gereğinden geniş kurallar, internete açık yönetim arayüzleri |
| Kimlik ve erişim | Yönetici hesapları, MFA, ayrılan personel hesapları | Paylaşılan yönetici hesapları |
| Uç nokta | Koruma yazılımı, yama düzeni, yerel yönetici hakları | Güncellenmeyen işletim sistemleri |
| E-posta | Filtreleme, SPF/DKIM/DMARC, oltalama farkındalığı | Eksik alan adı doğrulama kayıtları |
| Veri koruma | Hassas verinin yeri, DLP, şifreleme | Kontrolsüz dosya paylaşımı |
| Yedekleme | Kapsam, izolasyon, geri dönüş testi | Hiç test edilmemiş geri yükleme |
| Olay müdahale | Loglama, sorumlular, iletişim planı | Yazılı müdahale planının olmaması |
Hangi çerçeveler kullanılır?
Danışmanlık çalışmasında bulgular, sektörde tanınan çerçevelere göre sınıflandırılır. Böylece sonuçlar kişisel görüşe değil, ortak bir dile dayanır:
- CIS Controls: Önceliklendirilmiş, uygulamaya dönük güvenlik kontrolleri listesidir. KOBİ'lerde başlangıç noktası olarak sık kullanılır.
- ISO/IEC 27001: Bilgi güvenliği yönetim sistemi standardıdır. Belgelendirme hedefleyen kurumlar için ISO/IEC 27001 danışmanlığı ayrı bir hizmet olarak ele alınır.
- NIST CSF: Güvenlik programını üst seviyede yönetmek ve olgunluğu anlatmak için kullanılan çerçevedir.
Kişisel veri işleyen işletmelerde bulgular ayrıca KVKK kapsamındaki teknik ve idari tedbirlerle eşleştirilir; ayrıntılar için KVKK teknik tedbirler danışmanlığı sayfasına bakabilirsiniz.
Hızlı kazanımlar (quick wins) nelerdir?
Hızlı kazanımlar, düşük maliyetle ve kısa sürede uygulanabilen, riski belirgin biçimde azaltan adımlardır. Yol haritasının ilk bölümü genellikle bunlardan oluşur:
- İnternete açık yönetim arayüzlerinin ve gereksiz port yönlendirmelerinin kapatılması
- E-posta, VPN ve yönetici hesaplarında MFA'nın açılması
- Yedeklerden en az birinin ağdan ayrık veya değiştirilemez tutulması ve geri dönüş testi
- Ayrılan personel hesaplarının kapatılması, paylaşılan hesapların kişiselleştirilmesi
- Kritik sistemlerde bekleyen güvenlik yamalarının uygulanması
Danışmanlığın çıktıları nelerdir?
Çalışma sonunda teslim edilen dokümanlar, hem teknik ekibin hem yönetimin kullanabileceği biçimde hazırlanır:
- Yönetici özeti: Teknik olmayan dilde başlıca riskler ve önerilen yatırım alanları
- Bulgu raporu: Her bulgu için açıklama, risk seviyesi ve öneri
- Önceliklendirilmiş yol haritası: Kısa, orta ve uzun vadeli adımlar, sorumlu ve bağımlılıklar
- Çerçeve eşleştirmesi: Bulguların seçilen çerçeve kontrolleriyle ilişkisi
- Sunum: Sonuçların yönetim ve BT ekibiyle birlikte değerlendirildiği toplantı
Çalışmaya başlamadan önce neler hazırlanmalı?
Değerlendirmenin verimli geçmesi için aşağıdaki bilgilerin önceden toplanması süreci hızlandırır. Eksik olanlar çalışma sırasında birlikte tamamlanabilir:
- [ ] Lokasyon, çalışan ve bilgisayar/sunucu sayısı
- [ ] Kullanılan temel iş uygulamaları ve bulut servisleri (e-posta, ERP, dosya paylaşımı)
- [ ] Mevcut güvenlik ürünleri: güvenlik duvarı, uç nokta koruması, e-posta filtresi, yedekleme
- [ ] BT hizmetinin kim tarafından verildiği (iç ekip, dış kaynak veya karma)
- [ ] Varsa yazılı politikalar, önceki denetim veya test raporları
- [ ] Yaşanmış güvenlik olayları ve öğrenilen dersler
- [ ] Müşteri, sözleşme veya mevzuattan gelen güvenlik gereksinimleri
Danışmanlık ile ürün satışı arasındaki çizgi nasıl korunur?
Değerlendirme sonuçları, önce mevcut ürünlerin doğru yapılandırılıp yapılandırılmadığını sorgular. Pek çok bulgu yeni ürün gerektirmeden, ayar değişikliği veya süreç düzenlemesiyle kapatılabilir. Yeni bir çözüm önerildiğinde, hangi riski azalttığı ve alternatifleri yol haritasında açıkça belirtilir; karar her zaman sizindir.
Kimler için uygun?
- BT ekibi küçük olan veya güvenlik konusunda dış destek arayan KOBİ'ler
- Bir güvenlik olayı yaşamış ve tekrarını önlemek isteyen işletmeler
- Müşteri veya tedarik zinciri denetimlerinde güvenlik soru formlarına cevap vermesi gereken firmalar
- KVKK veya ISO/IEC 27001 çalışmasına başlamadan önce mevcut durumu görmek isteyen kurumlar
- Güvenlik bütçesini gerekçelendirmek isteyen yöneticiler
Süreç nasıl işler?
- Ön görüşme: İşletmenin yapısı, kritik süreçleri ve beklentiler konuşulur; kapsam yazılı olarak netleştirilir.
- Bilgi toplama: Görüşmeler, doküman incelemesi ve yapılandırma kontrolleri yapılır.
- Teknik inceleme: Kapsamda yer alıyorsa güvenlik duvarı, uç nokta ve e-posta ayarları incelenir; gerekirse zafiyet taraması ve sızma testi önerilir.
- Analiz: Bulgular risk seviyesine göre sınıflandırılır ve çerçevelerle eşleştirilir.
- Yol haritası: Hızlı kazanımlar ve orta/uzun vadeli adımlar önceliklendirilir.
- Sunum ve takip: Sonuçlar paylaşılır; istenirse uygulama aşamasında destek verilir.
Yol haritasında yer alan ürün ve çözümler için çözümler sayfamıza göz atabilirsiniz. Kendi durumunuz için bir değerlendirme planlamak isterseniz siber güvenlik danışmanlığı teklifi isteyin.
Siber Güvenlik Danışmanlığı: sık sorulanlar
Siber güvenlik danışmanlığı ile sızma testi aynı şey mi?
Hayır. Sızma testi, belirli sistemlerdeki teknik açıkları saldırgan bakış açısıyla test eder. Danışmanlık ise teknik, süreç ve insan boyutlarını birlikte değerlendirip önceliklendirilmiş bir yol haritası çıkarır. Danışmanlık çalışması, gerektiğinde sızma testini de içeren bir planın parçası olabilir.
Küçük bir işletmenin siber güvenlik danışmanlığına ihtiyacı var mı?
Küçük işletmeler de fidye yazılımı, e-posta dolandırıcılığı ve hesap ele geçirme gibi saldırıların hedefidir. KOBİ'lere yönelik danışmanlık, kapsamı dar tutarak yedekleme, MFA ve güvenlik duvarı gibi temel kontrollere odaklanır. Böylece sınırlı bütçe en çok riski azaltan adımlara yönlendirilir.
Danışmanlık sonunda hangi dokümanlar teslim edilir?
Genellikle bir yönetici özeti, ayrıntılı bulgu raporu, önceliklendirilmiş yol haritası ve bulguların seçilen çerçeveyle eşleştirmesi teslim edilir. Sonuçlar bir toplantıda yönetim ve BT ekibiyle birlikte değerlendirilir. Teslim edilecek dokümanlar teklif aşamasında yazılı olarak belirlenir.
Hangi çerçeveyi esas almalıyız?
Belgelendirme hedefi varsa ISO/IEC 27001, uygulamaya dönük hızlı bir başlangıç isteniyorsa CIS Controls sık tercih edilir. NIST CSF, güvenlik programını üst seviyede anlatmak için kullanışlıdır. Seçim, işletmenin hedeflerine ve müşteri beklentilerine göre birlikte yapılır.
Danışmanlık sonrasında uygulamayı siz mi yaparsınız?
Yol haritasındaki adımları kendi ekibiniz uygulayabilir veya uygulama aşamasında destek alabilirsiniz. Güvenlik duvarı kurulumu, lisans yenileme, DLP ve e-posta güvenliği gibi adımlar ayrı hizmet kalemleri olarak planlanabilir. Hangi adımın kimde olacağı yol haritasında belirtilir.
Değerlendirme işleyişimizi aksatır mı?
Çalışma ağırlıklı olarak görüşme ve yapılandırma incelemesine dayandığı için günlük işleyişe etkisi sınırlıdır. Teknik taramalar yapılacaksa zamanlaması ve kapsamı önceden sizinle birlikte belirlenir. Kritik sistemler için taramalar düşük yoğunluklu saatlerde planlanabilir.