Sıkça Sorulan Sorular

Firewall (güvenlik duvarı) ağa giren ve çıkan trafiği kurallara göre denetler; antivirüs veya EDR ise bilgisayar ve sunucuların üzerinde çalışarak zararlı yazılımları tespit eder. Biri ağın kapısını, diğeri cihazın içini korur; birbirinin yerine geçmezler.

Klasik güvenlik duvarı yalnızca IP adresi ve port bilgisine bakar. Yeni nesil güvenlik duvarı uygulamayı ve kullanıcıyı tanır, saldırı önleme (IPS), web filtreleme ve şifreli trafik denetimi gibi katmanları da sunar. Bu katmanların çoğu lisansla çalışır.

DLP'nin amacı kişiyi değil, hassas verinin kurum dışına çıkışını denetlemektir. Uygulamaya genellikle izleme modunda başlanır, çalışanlar bilgilendirilir ve politikalar orantılılık ilkesine göre ayarlanır. KVKK açısından hukuk danışmanınızla birlikte değerlendirme yapılması önerilir.

Evet. Mevcut cihazınızın yapılandırmasını gözden geçirebilir, kural temizliği, firmware planı ve lisans takibi gibi işleri üstlenebiliriz. Değişiklik gerekiyorsa gerekçesini yazılı olarak sunarız.

Güvenlik duvarı değişiminde kısa bir geçiş kesintisi olabilir. Bu nedenle geçiş, sizinle belirlenen bir bakım penceresinde ve geri dönüş planı hazır olarak yapılır.

Destek kapsamı, çalışma saatleri ve müdahale süreleri hizmetin içeriğine göre sözleşmede yazılı olarak tanımlanır. Teklif aşamasında bu koşullar açıkça paylaşılır.

FortiGate güvenlik duvarı satışı, kurulumu ve lisans yenilemesi; DLP, e-posta güvenliği, EDR/XDR, MFA, yedekleme ve güvenli uzaktan erişim çözümleri; siber güvenlik danışmanlığı, KVKK teknik tedbirler, sızma testi, ISO/IEC 27001 danışmanlığı ve bakım-destek hizmetleri sunuyoruz.

FortiGate fiyatı tek bir rakam değildir; model, lisans paketi (ATP, UTP, Enterprise gibi), lisans süresi, yüksek erişilebilirlik ihtiyacı ve kurulum kapsamına göre değişir, ayrıca döviz kuruna bağlıdır. Bu yüzden ihtiyacınıza göre kalem kalem teklif hazırlıyoruz.

Evet. Cihazınızın seri numarası ve mevcut lisans bitiş tarihleriyle yenileme teklifini hazırlarız; yenileme sonrası lisansın cihazda aktif göründüğünü birlikte kontrol ederiz.

Kurumunuzun adına. Yönetici erişimleri ve yapılandırma yedekleri de size teslim edilir; ileride farklı bir firmayla çalışmak isterseniz bağımlı kalmazsınız.

Erişim yetkilendirme, kayıt (log) yönetimi, şifreleme, DLP, yedekleme, sızma testi ve yama yönetimi gibi teknik tedbirlerin kurulmasında ve raporlanmasında destek veriyoruz. Hukuki değerlendirme için kurumunuzun hukuk danışmanıyla birlikte çalışılmasını öneririz.

Keşif, tasarım ve uzaktan yapılandırma çalışmalarını Türkiye genelinde yürütebiliyoruz. Yerinde kurulum gerektiren işlerde lokasyon ve planlama teklif aşamasında netleştirilir.

Kullanıcı ve cihaz sayısı, şube sayısı, internet hattı sayısı ve hızı, mevcut cihaz modeli ve lisans bitiş tarihi ile önceliklendirdiğiniz ihtiyaç teklifin doğruluğunu artırır. Bilmediğiniz alanları boş bırakabilirsiniz; görüşmede birlikte netleştiririz.

Mevcut güvenlik duvarı yapılandırmasına, lisans durumuna, uzaktan erişim yöntemine ve yedekleme düzenine kısa bir bakıştır. Amaç, öncelikli riskleri ve hangi adımın önce atılması gerektiğini netleştirmektir; kapsamı görüşmede birlikte belirlenir.

Donanım ve lisans fiyatları üretici fiyat listelerine bağlı olduğu için genellikle döviz bazlıdır. Teklifte para birimi, geçerlilik süresi ve kur koşulları açıkça yazılır.

Lisansı bitmek üzere olan cihazlar veya devam eden bir güvenlik olayı gibi acil durumlarda formda "Acil" seçeneğini işaretleyin ya da telefonla arayın; önceliklendirerek dönüş yaparız.

Donanım ve lisans fiyatları üreticinin fiyat listelerine bağlıdır ve bu listeler genellikle döviz cinsindendir. Teklifte para birimi, kur koşulu ve geçerlilik süresi açıkça yazılır.

Cihaz temel güvenlik duvarı ve yönlendirme işlevlerini lisans olmadan da yerine getirebilir; ancak saldırı önleme, zararlı yazılım taraması ve web filtreleme gibi yeni nesil özelliklerin güncel kalması için FortiGuard abonelikleri gerekir. Bu yüzden lisanssız kullanım önerilmez.

Yüksek erişilebilirlik için ikinci bir cihaz ve genellikle onun lisansı da gerekir; bu nedenle maliyet artar. Kesin lisans gereksinimi model ve pakete göre teklif aşamasında netleştirilir.

Şube sayısı, VPN ve SD-WAN ihtiyacı, mevcut cihazdan taşınacak kural sayısı, şifreli trafik denetimi ve dokümantasyon kapsamı kurulum ücretini belirleyen başlıca etkenlerdir.

Gerekli bilgiler (kullanıcı sayısı, hatlar, mevcut cihaz ve lisans durumu) eksiksiz olduğunda teklif hızla hazırlanır. Eksik bilgiler kısa bir görüşmeyle tamamlanır.

Antivirüs, bilinen zararlı yazılımları ağırlıklı olarak imza ve temel davranış analiziyle engeller. EDR ise uç noktadaki süreç, dosya ve ağ davranışlarını sürekli izleyerek şüpheli etkinlikleri tespit eder ve inceleme ile müdahale imkânı sunar. Günümüzde ikisi çoğunlukla aynı platformda birlikte kullanılır.

Hayır. VPN kullanıcıyı şifreli bir tünelle kurum ağına bağlar ve kullanıcı yetkilerine göre ağın geniş bir bölümüne erişebilir. ZTNA ise her bağlantıda kimlik ve cihaz durumunu doğrulayarak kullanıcıyı yalnızca yetkili olduğu uygulamalara bağlar.

SIEM, log ve olay kayıtlarını toplayan, ilişkilendiren ve alarm üreten bir teknoloji platformudur. SOC ise bu ve benzeri araçları kullanarak olayları izleyen, analiz eden ve müdahale eden ekip ve süreçlerin bütünüdür. Kısaca SIEM bir araç, SOC ise bir operasyon yapısıdır.

FortiGate, Fortinet'in yeni nesil güvenlik duvarı ürün ailesidir. Güvenlik duvarı, saldırı önleme (IPS), web filtreleme, uygulama kontrolü, VPN ve SD-WAN işlevlerini tek cihazda birleştirir. Cihazlar FortiOS ile çalışır ve tehdit bilgisini FortiGuard servislerinden alır.

UTM cihazı birden fazla güvenlik işlevini tek kutuda toplayan ürünleri anlatır; NGFW ise özellikle uygulama ve kullanıcı farkındalığına sahip güvenlik duvarlarını tanımlar. Günümüzde iki kavram büyük ölçüde örtüşür. FortiGate hem UTM hem NGFW olarak konumlandırılır.

Cihaz temel güvenlik duvarı ve yönlendirme işlevlerini lisans olmadan da sürdürür. Ancak IPS, antivirüs ve web filtreleme gibi servislerin güncellemeleri ile teknik destek ve yazılım güncellemeleri lisansa bağlıdır. Güncel imzası olmayan bir güvenlik cihazı yeni tehditlere karşı zayıf kalır.

Web trafiğinin büyük kısmı şifreli olduğu için, şifre çözülmeden yapılan denetim içerikteki zararlı dosyaları ve saldırıları göremez. SSL inspection bu görünürlüğü sağlar. Bankacılık ve sağlık siteleri gibi istisnalar ile cihaz performansı kurulumda birlikte planlanır.

Evet, mevcut kurallar, NAT tanımları ve VPN ayarları çıkarılıp FortiGate yapılandırmasına aktarılabilir. Bu aşamada kullanılmayan ve çakışan kurallar ayıklanır. Geçiş, planlı bir zaman diliminde ve kritik uygulamalar test edilerek yapılır.

Model seçimi; tüm güvenlik özellikleri açıkken gereken performansa, SSL inspection yüküne, kullanıcı ve VPN sayısına, internet hatlarına ve 3-5 yıllık büyüme beklentisine göre yapılır. Ham firewall performansına bakmak yanıltıcı olabilir. Ayrıntılı kriterler FortiGate modelleri rehberimizde yer alır.

Her ikisi de küçük ofis ve şubeler için tasarlanmış masaüstü modellerdir. 60F, port sayısı ve işlem kapasitesi bakımından 40F'nin bir üst sınıfında konumlanır. Aradaki kesin farklar için güncel FortiGate veri sayfaları karşılaştırılmalıdır.

Tek bir kullanıcı sayısı vermek yanıltıcı olur; çünkü kapasiteyi açık güvenlik servisleri, SSL inspection oranı ve trafik profili belirler. 100F, orta ölçekli kurumlar ve kampüs sınırı için konumlanan raf tipi bir modeldir. Kurumunuzun gerçek trafiğine göre boyutlandırma yapılmalıdır.

Fortinet yeni nesil G serisi modelleri satışa sunmuştur ve bazı F modellerinin muadili olarak konumlanmaktadır. Hangi modelin hangi tarihe kadar satılacağı ve destekleneceği üreticinin güncel duyurularına bağlıdır. Teklif aşamasında güncel ürün matrisi kontrol edilir.

Firewall throughput, güvenlik servisleri kapalıyken ölçülen ham geçiş hızıdır. Threat protection throughput ise IPS, uygulama kontrolü ve zararlı yazılım koruması açıkken ölçülür ve gerçek kullanıma daha yakındır. Model seçiminde ikincisi esas alınmalıdır.

Evet, FortiGate HA kurgusu aynı modelden iki cihazla kurulur; biri arızalandığında diğeri trafiği devralır. Bu durumda her iki cihazın lisanslaması da planlanmalıdır. Kesintiye tahammülü olmayan merkez ofisler için değerlendirilir.

Kullanıcı ve cihaz sayısı, internet hatları ve hızları, şube sayısı, VPN kullanıcıları, açılacak güvenlik özellikleri, HA ihtiyacı ve 3-5 yıllık büyüme planı temel bilgilerdir. Mevcut cihazınızın trafik raporları varsa boyutlandırma daha isabetli olur.

DLP (Data Loss Prevention), hassas verinin kurum dışına izinsiz çıkmasını tespit eden ve engelleyen teknolojilerin genel adıdır. USB, e-posta, web, bulut ve yazdırma gibi kanalları denetler. Türkçede veri sızıntısı önleme veya veri kaybı önleme olarak da anılır.

USB, yazdırma, ekran görüntüsü ve ofis dışındaki dizüstü bilgisayarlar önemliyse endpoint DLP gerekir. Ağdan çıkan web ve e-posta trafiğini ajan kurmadan denetlemek için network DLP uygundur. Birçok kurumda iki yaklaşım birlikte kullanılır.

Süre; kullanıcı sayısına, kapsanacak kanallara ve sınıflandırma çalışmasının derinliğine bağlıdır. Ajan kurulumu görece hızlıdır, asıl zaman alan kısım izleme modunda kayıtların incelenmesi ve politikaların iş akışlarına göre ayarlanmasıdır. Planlama ilk görüşmede kurumunuza göre yapılır.

DLP kayıtları kişisel veri içerdiği için çalışanların bilgilendirilmesi, izlemenin güvenlik amacıyla sınırlı ve ölçülü tutulması ve kayıtlara erişimin kısıtlanması gerekir. Kurum içi politika ve aydınlatma metinleri bu çerçevede hazırlanmalıdır. Bu cevap genel bilgilendirmedir, hukuki danışmanlık yerine geçmez.

Hayır, DLP riski azaltır ancak her senaryoyu engelleyemez; örneğin ekranın telefonla fotoğraflanması teknik olarak kontrol edilemez. Bu yüzden DLP, erişim yetkilerinin sınırlandırılması, farkındalık eğitimi ve kayıt takibiyle birlikte ele alınır.

Birçok DLP yazılımı Microsoft 365 ve Google Workspace gibi bulut servisleriyle entegre olabilir veya bu platformların kendi DLP özellikleriyle birlikte kullanılabilir. Hangi entegrasyonların mevcut olduğu ürüne ve lisansa göre değişir. Ürün seçiminde bu konu ayrıca değerlendirilir.

Microsoft 365'in temel filtreleri belirli bir koruma sağlar, ancak hedefli oltalama, BEC ve teslimat sonrası müdahale gibi konularda ek katmanlar veya gelişmiş lisanslar gerekebilir. İhtiyaç, kurumun risk profiline ve mevcut lisansına göre değerlendirilir. Mevcut yapılandırmanın gözden geçirilmesi iyi bir başlangıçtır.

SPF, alan adınız adına posta göndermeye izinli sunucuları listeler. DKIM, giden postaya dijital imza ekler. DMARC ise bu iki kontrolden geçemeyen postaya ne yapılacağını belirler ve alan adı sahibine rapor gönderir.

Önerilmez; çünkü unutulmuş bir gönderim servisinin (fatura, pazarlama, CRM gibi) postaları reddedilebilir. Önce "none" politikasıyla raporlar toplanır, tüm meşru kaynaklar SPF ve DKIM'e eklenir. Ardından politika kademeli olarak quarantine ve reject seviyesine taşınır.

BEC, saldırganın yönetici, tedarikçi veya müşteri kılığına girerek ödeme ya da bilgi talep ettiği e-posta dolandırıcılığıdır. Genellikle zararlı ek veya bağlantı içermediği için klasik filtrelerden geçebilir. Teknik önlemlerin yanında ödeme talimatlarının telefonla teyidi gibi süreçler gerekir.

Kendi posta sunucusunu barındıran veya karma yapıdaki kurumlarda gateway modeli öne çıkar. Tamamen Microsoft 365 veya Google Workspace kullanan kurumlarda API tabanlı çözümler MX değişikliği gerektirmeden kurulabilir ve iç yazışmaları da denetleyebilir. Seçim mevcut altyapıya göre yapılır.

Oltalama simülasyonları, kullanıcıların gerçek bir saldırıya nasıl tepki verdiğini görmeyi ve eğitimi buna göre şekillendirmeyi sağlar. Yönetimin onayıyla, çalışanları cezalandırmak yerine eğitmek amacıyla yapılmalıdır. Düzenli ve kısa tekrarlar tek seferlik eğitimlerden daha etkilidir.

EDR (Endpoint Detection and Response), uç noktalardaki süreç, dosya ve ağ etkinliklerini kaydeden, şüpheli davranışları tespit eden ve müdahale imkânı sunan güvenlik yazılımıdır. Klasik antivirüsün kaçırabileceği dosyasız ve davranış tabanlı saldırıları görünür kılar. Cihazı ağdan yalıtma gibi işlemler merkezi konsoldan yapılabilir.

XDR (Extended Detection and Response), EDR verisini e-posta, güvenlik duvarı, bulut ve kimlik sistemlerinden gelen verilerle ilişkilendiren tespit ve müdahale yaklaşımıdır. Farklı kaynaklardaki ipuçlarını tek bir olay altında birleştirir. Bu sayede analist saldırı zincirini daha hızlı anlayabilir.

Kurumsal antivirüs bilinen tehditlere karşı temel koruma sağlar, ancak meşru araçlarla ilerleyen saldırıları ve olay sonrası inceleme ihtiyacını karşılamakta yetersiz kalabilir. EDR bu boşluğu doldurur. Karar verirken alarmları izleyecek kaynak da hesaba katılmalıdır.

Bu durumda MDR veya yönetilen SOC hizmeti değerlendirilebilir; alarmlar dış bir ekip tarafından izlenir ve tanımlı yetkilerle müdahale edilir. Alternatif olarak otomatik engelleme kuralları güçlendirilip kurum içi ekibin belirli aralıklarla konsolu incelemesi sağlanabilir. Kapsam ve yetkiler sözleşmede net tanımlanmalıdır.

Güncel EDR ajanları genellikle günlük kullanımda belirgin bir yavaşlık yaratmayacak şekilde tasarlanır. Ancak eski donanımlar, çakışan güvenlik yazılımları veya yanlış tarama ayarları performansı etkileyebilir. Bu yüzden pilot grupta ölçüm yapılması önerilir.

EDR, fidye yazılımına özgü davranışları (toplu dosya şifreleme, yedek silme girişimleri gibi) tespit edip süreci durdurabilir ve cihazı yalıtabilir. Ancak hiçbir ürün tek başına tam koruma sağlamaz. Değiştirilemez yedekler, MFA ve yama yönetimiyle birlikte ele alınmalıdır.

MFA (çok faktörlü kimlik doğrulama), oturum açarken paroladan başka en az bir doğrulama faktörü daha istenmesidir. Bu faktör bir uygulama kodu, telefon bildirimi veya donanım güvenlik anahtarı olabilir. Parola çalınsa bile ikinci faktör olmadan hesaba erişim zorlaşır.

SMS, hiç MFA kullanmamaktan daha iyidir, ancak SIM değiştirme ve sahte giriş sayfası saldırılarına karşı zayıftır. Kimlik doğrulayıcı uygulamalar daha güçlüdür. Yönetici hesapları için FIDO2 güvenlik anahtarı veya passkey gibi oltalamaya dayanıklı yöntemler tercih edilmelidir.

Tiering, hesapları ve sistemleri katmanlara ayırarak üst katman yönetici hesaplarının alt katman cihazlarda oturum açmasını engelleyen yönetim modelidir. Böylece bir kullanıcı bilgisayarından çalınan kimlik bilgisi domain controller'lara ulaşamaz. Mevcut yapıya kademeli olarak uygulanır.

PAM (ayrıcalıklı erişim yönetimi), yönetici ve hizmet hesaplarının parolalarını kasada saklayan, erişimi onaya bağlayan ve oturumları kaydeden çözümlerdir. Küçük yapılarda ayrı yönetici hesapları, parola kasası ve tiering ile başlamak çoğu zaman yeterli ilk adımdır. Dış firmalara sunucu erişimi veriliyorsa PAM ürünü daha güçlü bir seçenektir.

Ayrılış günü; domain hesabı, e-posta, VPN ve bulut uygulamalarına erişim birlikte kapatılmalıdır. Çalışanın bildiği paylaşılan parolalar da değiştirilmelidir. Bunun için insan kaynakları ile BT arasında yazılı bir bildirim süreci bulunmalıdır.

Doğru planlandığında kullanıcı üzerindeki yük sınırlıdır; güvenilen cihazlar ve koşullu erişim kurallarıyla doğrulama sıklığı dengelenebilir. Kademeli geçiş, kısa kullanıcı rehberleri ve destek hattı uyum sürecini kolaylaştırır. Başlangıçta yönetici ve uzaktan erişim hesaplarına öncelik verilir.

3-2-1 kuralı, verinin en az üç kopyasının iki farklı depolama ortamında tutulmasını ve bir kopyanın farklı bir lokasyonda bulunmasını öngörür. Fidye yazılımı riskine karşı bu kural 3-2-1-1-0 olarak genişletilmiştir. Ek kurallar, bir kopyanın değiştirilemez veya çevrim dışı olmasını ve yedek doğrulamasında hata olmamasını ifade eder.

Immutable yedekleme, belirlenen saklama süresi dolana kadar silinemeyen ve değiştirilemeyen yedektir. Saldırgan yönetici yetkisi ele geçirse bile bu kopyayı şifreleyemez. Nesne depolama kilitleri, sertleştirilmiş yedek depoları veya bu özelliği sunan cihazlarla sağlanabilir.

RTO, bir sistemin kesinti sonrası en fazla ne kadar sürede yeniden çalışır hale gelmesi gerektiğini ifade eder. RPO ise kabul edilebilir en fazla veri kaybı süresidir ve yedekleme sıklığını belirler. Her iki hedef de iş birimleriyle birlikte, sistem bazında tanımlanır.

Evet, yedekler ağdan erişilebilir durumdaysa ve aynı yönetici kimlik bilgileriyle yönetiliyorsa saldırgan tarafından silinebilir veya şifrelenebilir. Bu yüzden yedekleme altyapısı üretim ortamından ayrılmalı, konsol MFA ile korunmalı ve en az bir kopya değiştirilemez veya çevrim dışı tutulmalıdır.

Microsoft 365 ve benzeri bulut servisleri hizmet sürekliliğini sağlar, ancak yanlışlıkla silinen veya fidye yazılımıyla şifrelenen verilerin uzun süreli geri dönüşü için tasarlanmış yedekleme hizmetleri değildir. Saklama ve geri yükleme ihtiyacına göre üçüncü taraf bulut yedekleme çözümleri değerlendirilir. Sorumluluk paylaşımı servis sözleşmesinde tanımlıdır.

Sıklık sistemin kritikliğine göre belirlenir; kritik sistemler için daha sık, diğerleri için daha seyrek bir takvim oluşturulur. Ayrıca büyük altyapı değişikliklerinden sonra test tekrarlanmalıdır. Test sonuçları RTO hedefleriyle karşılaştırılarak kayıt altına alınır.

ZTNA (Zero Trust Network Access), kullanıcıya ağın tamamı yerine yalnızca izin verilen uygulamalara erişim veren uzaktan erişim yaklaşımıdır. Her bağlantıda kullanıcı kimliği ve cihazın güvenlik durumu kontrol edilir. Böylece ele geçirilmiş bir hesabın ağda ilerleme alanı daralır.

IPsec VPN ağ katmanında çalışır ve şubeler arası bağlantılarda standarttır. SSL VPN HTTPS üzerinden çalıştığı için kısıtlı ağlardan kolay bağlanır. FortiGate kullanıcıları, yeni FortiOS sürümlerinde SSL VPN tünel modunun kademeli olarak kaldırıldığını dikkate alarak resmi sürüm notlarını kontrol etmelidir.

Önce cihazınızın modelini ve FortiOS sürümünü, ardından planladığınız güncellemenin sürüm notlarını kontrol edin. Fortinet SSL VPN tünel modu yerine IPsec VPN veya ZTNA alternatiflerini önermektedir. Güncellemeden önce kullanıcı gruplarını kapsayan bir geçiş planı hazırlanması kesinti riskini azaltır.

SASE (Secure Access Service Edge), güvenli uzaktan erişim, web güvenliği, bulut uygulama güvenliği ve SD-WAN işlevlerini bulut üzerinden sunulan tek bir hizmette birleştiren mimaridir. Kullanıcı nerede olursa olsun trafiği bulut tabanlı güvenlik noktalarında denetlenir. Çok lokasyonlu ve bulut ağırlıklı kurumlar için değerlendirilir.

Evet, internete açık bir VPN girişinin yalnızca parolayla korunması ciddi bir risktir; tek bir sızdırılmış parola ağa erişim için yeterli olabilir. MFA bu riski önemli ölçüde azaltır. Yönetici hesapları için oltalamaya dayanıklı yöntemler tercih edilmelidir.

Hayır, geçiş kademeli yapılabilir. Genellikle kritik uygulamalar ve dış firma erişimleri ile başlanır, VPN bir süre paralel olarak çalışmaya devam eder. Uygulama ve kullanıcı envanteri çıkarıldıktan sonra gruplar halinde ilerlenir.

Süre; cihaz sayısına, şube ve VPN bağlantılarına, taşınacak kural miktarına ve test ihtiyacına göre değişir. Tek lokasyonlu basit bir yapı ile çok şubeli bir geçiş projesi aynı takvimde planlanmaz. Keşif görüşmesinden sonra aşamaları ve geçiş penceresini içeren bir plan paylaşılır.

Eski cihazdan yenisine geçiş anında kısa bir kesinti genellikle kaçınılmazdır. Bu nedenle geçiş, işletmenin belirlediği düşük yoğunluklu bir zaman aralığında ve yazılı bir geri dönüş planıyla yapılır. Hazırlık aşaması mevcut sistem çalışırken tamamlanır.

Kurallar birebir kopyalanmaz, önce analiz edilir. Kullanılmayan, tekrar eden veya gereğinden geniş kurallar tespit edilip sizinle birlikte karar verilerek temizlenir. Bu, geçişi güvenlik seviyesini artırmak için bir fırsata çevirir.

Günümüzde trafiğin büyük kısmı şifreli olduğundan, SSL inceleme olmadan web filtreleme ve zararlı yazılım taraması sınırlı kalır. Ancak sertifika dağıtımı, performans etkisi ve gizlilik gerektiren siteler için istisnalar planlanmalıdır. Hangi kapsamda açılacağı tasarım aşamasında birlikte belirlenir.

Evet. Teslim dokümanı ve bilgi aktarımı, BT ekibinizin günlük yönetimi üstlenebilmesi için hazırlanır. Dilerseniz periyodik kontrolleri ve firmware planlamasını bir bakım anlaşmasıyla birlikte yürütebiliriz.

Evet, farklı üreticilerin cihazlarından geçiş yaygın bir kurulum senaryosudur. Mevcut yapılandırma dışa aktarılır, kurallar ve nesneler analiz edilir ve FortiGate üzerinde yeniden kurgulanır. Kritik uygulamalar geçiş öncesinde belirlenen test senaryolarıyla doğrulanır.

Cihaz genellikle mevcut yapılandırmasıyla trafiği geçirmeye devam eder. Ancak imza ve veritabanı güncellemeleri durduğu, bazı filtreleme servisleri çalışmaz hale gelebildiği için koruma seviyesi düşer. Destek süresi de bittiyse üretici desteği ve yeni firmware sürümlerine erişim sona erer.

Hayır. FortiGuard, antivirüs, IPS, web filtreleme gibi güvenlik servislerinin güncellemelerini sağlar. FortiCare ise üretici teknik desteği, donanım değişimi ve firmware erişimini kapsar. İkisi bir paketin içinde birlikte veya ayrı kalemler olarak yer alabilir.

Seçim, kullandığınız servislere bağlıdır. Web ve DNS filtreleme kullanıyorsanız yalnızca temel tehdit korumasını içeren bir paket yetmeyebilir. Paket içerikleri üretici tarafından güncellendiği için teklif aşamasında cihaz modelinize göre güncel paket tablosu birlikte kontrol edilir.

Genellikle evet, ancak üreticinin geç yenileme kuralları uygulanabilir ve yeni sürenin hangi tarihten başlayacağı bu kurallara bağlıdır. Ayrıca cihazın üretici yaşam döngüsünde hâlâ desteklenen bir model olup olmadığı kontrol edilmelidir. Seri numaranızla durumu netleştirip seçenekleri paylaşırız.

1, 3 veya 5 yıllık seçenekler genellikle bulunur, güncel seçenekler teklif aşamasında teyit edilir. Çok yıllık seçim, yıllık yenileme takibini azaltır. Cihazın planlanan kullanım ömrü de süre seçiminde dikkate alınmalıdır.

Lisansın kaydı seri numarası üzerinden üretici portalında yapılır, bu nedenle cihaza erişim zorunlu değildir. Kayıt sonrası servislerin cihazda aktif göründüğünün doğrulanması için kısa bir kontrol yapılması önerilir. Bu kontrolü BT ekibinizle birlikte veya uzaktan bağlantıyla yapabiliriz.

Hayır. Sızma testi, belirli sistemlerdeki teknik açıkları saldırgan bakış açısıyla test eder. Danışmanlık ise teknik, süreç ve insan boyutlarını birlikte değerlendirip önceliklendirilmiş bir yol haritası çıkarır. Danışmanlık çalışması, gerektiğinde sızma testini de içeren bir planın parçası olabilir.

Küçük işletmeler de fidye yazılımı, e-posta dolandırıcılığı ve hesap ele geçirme gibi saldırıların hedefidir. KOBİ'lere yönelik danışmanlık, kapsamı dar tutarak yedekleme, MFA ve güvenlik duvarı gibi temel kontrollere odaklanır. Böylece sınırlı bütçe en çok riski azaltan adımlara yönlendirilir.

Genellikle bir yönetici özeti, ayrıntılı bulgu raporu, önceliklendirilmiş yol haritası ve bulguların seçilen çerçeveyle eşleştirmesi teslim edilir. Sonuçlar bir toplantıda yönetim ve BT ekibiyle birlikte değerlendirilir. Teslim edilecek dokümanlar teklif aşamasında yazılı olarak belirlenir.

Belgelendirme hedefi varsa ISO/IEC 27001, uygulamaya dönük hızlı bir başlangıç isteniyorsa CIS Controls sık tercih edilir. NIST CSF, güvenlik programını üst seviyede anlatmak için kullanışlıdır. Seçim, işletmenin hedeflerine ve müşteri beklentilerine göre birlikte yapılır.

Yol haritasındaki adımları kendi ekibiniz uygulayabilir veya uygulama aşamasında destek alabilirsiniz. Güvenlik duvarı kurulumu, lisans yenileme, DLP ve e-posta güvenliği gibi adımlar ayrı hizmet kalemleri olarak planlanabilir. Hangi adımın kimde olacağı yol haritasında belirtilir.

Çalışma ağırlıklı olarak görüşme ve yapılandırma incelemesine dayandığı için günlük işleyişe etkisi sınırlıdır. Teknik taramalar yapılacaksa zamanlaması ve kapsamı önceden sizinle birlikte belirlenir. Kritik sistemler için taramalar düşük yoğunluklu saatlerde planlanabilir.

Veri güvenliğine ilişkin yükümlülükler 6698 sayılı Kanun'un 12. maddesinde düzenlenir. Bu madde, veri sorumlusunun uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almasını öngörür. Kurum'un yayımladığı Kişisel Veri Güvenliği Rehberi, bu tedbirlerin neler olabileceğini ayrıntılı olarak açıklar.

Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra en kısa sürede ve en geç 72 saat içinde Kurul'a bildirmelidir. Bu süre içinde ihlalin kapsamını tespit edebilmek için logların, veri envanterinin ve müdahale planının önceden hazır olması gerekir. Bildirimin hukuki içeriği hukuk danışmanınızla birlikte hazırlanmalıdır.

Kanun belirli bir ürün veya marka zorunlu tutmaz. Veri sorumlusundan, işlediği verinin niteliğine ve risklere uygun teknik ve idari tedbirleri alması beklenir. DLP, loglama veya şifreleme gibi çözümler bu tedbirleri uygulamanın yollarıdır.

Hayır. Bu hizmet KVKK uyumunun teknik ve idari tedbirler boyutuna odaklanır. Aydınlatma metinleri, açık rıza, sözleşmeler ve hukuki yorum gerektiren konular için kurumunuzun hukuk danışmanıyla birlikte çalışırız.

DLP (Data Loss Prevention, veri sızıntısı önleme) çözümleri, kişisel verilerin e-posta, USB bellek, bulut depolama veya yazıcı gibi kanallardan kontrolsüz biçimde çıkmasını tespit eder veya engeller. Bu, Kanun'un 12. maddesinde öngörülen hukuka aykırı erişimin önlenmesi amacını destekleyen teknik tedbirlerden biridir. DLP tek başına uyum sağlamaz; erişim kontrolü ve loglama gibi diğer tedbirlerle birlikte ele alınmalıdır.

Yazılı politika ve prosedürler, sistem yapılandırma kayıtları, erişim ve log raporları, yedek geri dönüş testleri ve sızma testi raporları kanıt olarak kullanılabilir. Bu kanıtların düzenli olarak güncellenmesi önemlidir. Çalışma sonunda hangi tedbir için hangi kanıtın tutulacağını gösteren bir liste hazırlanır.

Zafiyet taraması, bilinen açıkları otomatik araçlarla tespit eder ve istismar denemesi içermez. Sızma testi ise bulunan açıkların gerçekten istismar edilip edilemeyeceğini ve etkisinin ne olduğunu uzmanların elle yaptığı testlerle gösterir. Tarama düzenli olarak, sızma testi ise belirli aralıklarla veya önemli değişikliklerden sonra yapılır.

Yaygın uygulama, yılda en az bir kez ve büyük altyapı veya uygulama değişikliklerinden sonra test yapılmasıdır. Müşteri sözleşmeleri, sektör düzenlemeleri veya belgelendirme gereksinimleri farklı sıklık öngörebilir. Arada düzenli zafiyet taraması yapılması önerilir.

Testler, hizmet kesintisi riskini en aza indirecek şekilde ve önceden onaylanan kurallar çerçevesinde yapılır. Kesintiye yol açabilecek yöntemler yalnızca yazılı onayla ve belirlenen zaman aralığında uygulanır. Kritik sistemler için test saatleri işletmeyle birlikte planlanır ve acil durumda testi durdurma yöntemi tanımlanır.

CVSS (Common Vulnerability Scoring System), güvenlik açıklarının ciddiyetini standart bir yöntemle puanlayan sistemdir. Raporlarda bulgular bu puanlamaya göre kritik, yüksek, orta veya düşük olarak sınıflandırılır. Puan, kurumun kendi ortamı ve verinin önemi dikkate alınarak yorumlanır.

Evet, doğrulama testi (retest) sızma testi sürecinin parçası olarak planlanabilir. Bu testte raporlanan bulguların gerçekten kapatıldığı kontrol edilir ve güncellenmiş durum raporlanır. Doğrulama testinin kapsamı ve zamanı teklif aşamasında belirlenir.

Evet, ancak bulut veya barındırma sağlayıcısının test politikalarına uyulması gerekir. Bazı sağlayıcılar belirli test türlerini kısıtlar veya önceden bildirim ister. Bu konu, kapsam görüşmesinde ve yazılı izin dokümanında netleştirilir.

SOC, güvenlik olaylarının izlendiği ve değerlendirildiği ekip ve süreçlerin genel adıdır; kurum içinde veya dışarıdan sağlanabilir. MSSP, güvenlik izleme ve yönetimini dışarıdan sunan hizmet sağlayıcıyı ifade eder. MDR ise tespit ve müdahaleye odaklanan, genellikle EDR/XDR ürünleri üzerinden sunulan yönetilen hizmettir.

İzleme saatleri ve mesai dışı olayların nasıl ele alınacağı, hizmet sözleşmesinde tanımlanır. Farklı ihtiyaçlar için farklı hizmet saatleri ve bildirim süreleri planlanabilir. Kapsam görüşmesinde işletmenizin risklerine uygun model birlikte belirlenir.

Güvenlik duvarı, uç nokta güvenliği (EDR), e-posta güvenliği, kimlik sistemleri (ör. Active Directory, bulut kimlik servisleri) ve kritik sunucular sık izlenen kaynaklardır. Hangi kaynakların bağlanacağı, mevcut ürünlerinize ve log gönderme yeteneklerine göre belirlenir. Önce en kritik kaynaklarla başlanıp kapsam zamanla genişletilebilir.

Alarm önce analist tarafından değerlendirilir ve yanlış pozitif olup olmadığı kontrol edilir. Gerçek bir olaysa, önem derecesine göre tanımlı kişilere ne olduğu ve önerilen adımlarla birlikte bildirilir. Sözleşmede yetki verildiyse cihaz izolasyonu veya hesap kilitleme gibi müdahaleler doğrudan uygulanabilir.

Her zaman gerekmez; mevcut güvenlik duvarı ve uç nokta ürünlerinizin logları çoğu durumda izlemeye dahil edilebilir. Ancak bazı eski ürünler yeterli log üretmeyebilir veya uç noktalarda EDR bulunmayabilir. Kapsam görüşmesinde mevcut altyapı incelenip gerekli eklemeler ayrıca belirtilir.

Logların nerede saklanacağı, ne kadar süre tutulacağı ve kimlerin erişebileceği hizmet sözleşmesinde tanımlanır. Kişisel veri içeren loglar için KVKK açısından yurt dışı aktarım gibi konular hukuk danışmanınızla birlikte değerlendirilmelidir. Bu sorular kapsam görüşmesinin parçasıdır.

Hayır. ISO 27001 belgesini, akredite bir belgelendirme kuruluşu iki aşamalı denetim sonunda verir. Danışmanlık firması sistemin kurulmasına ve denetime hazırlanmasına destek olur. Bağımsızlık gereği danışmanlık ve belgelendirme farklı kuruluşlar tarafından yürütülür.

ISO/IEC 27001:2022 Ek A'da 93 kontrol bulunur. Bu kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada gruplanmıştır. Kurum, risk değerlendirmesi sonucunda hangi kontrolleri uygulayacağını uygulanabilirlik bildirgesinde gerekçesiyle belirtir.

Süre; kapsamın büyüklüğüne, mevcut kontrollerin olgunluğuna ve kurumun ayırabildiği iç kaynağa bağlıdır. Sistemin denetimde kayıtlarla gösterilebilmesi için bir süre işletilmesi de gerekir. Boşluk analizinden sonra kuruma özel bir çalışma planı paylaşılır.

Uygulanabilirlik bildirgesi, Ek A'daki her kontrol için kurumun bu kontrolü uygulayıp uygulamadığını ve nedenini belirten dokümandır. Risk değerlendirmesinin sonuçlarına dayanır ve belgelendirme denetiminde incelenen temel dokümanlardan biridir. Kontrollerin uygulanma durumu ve gerekçesi açık olmalıdır.

Aşama 1 denetiminde belgelendirme kuruluşu BGYS dokümantasyonunu, kapsamı ve kurumun Aşama 2'ye hazır olup olmadığını değerlendirir. Aşama 2 denetiminde ise kontrollerin uygulamada etkin biçimde çalışıp çalışmadığı kayıtlar, görüşmeler ve gözlemlerle denetlenir. Belgelendirme kararı Aşama 2 sonuçlarına göre verilir.

ISO 27001, KVKK'nın öngördüğü teknik ve idari tedbirlerin önemli bir kısmını sistematik biçimde ele almaya yardımcı olur. Ancak KVKK'nın aydınlatma, açık rıza ve VERBİS gibi hukuki yükümlülüklerini tek başına karşılamaz. İki çalışma birbirini tamamlayacak şekilde planlanmalıdır.

Sıklık, altyapının büyüklüğüne ve değişim hızına göre belirlenir. Yapılandırma yedeği ve log kontrolleri daha sık, kural gözden geçirme ve kapsamlı sağlık kontrolleri daha seyrek planlanabilir. Kritik güvenlik duyuruları ise takvim beklenmeden değerlendirilir.

Bakım hizmeti lisans ve bitiş tarihlerinin takibini ve önceden hatırlatılmasını kapsar. Lisansın satın alınması ise ayrı bir teklif kalemi olarak ele alınır. Böylece servislerin habersizce sona ermesi önlenir.

Firmware güncellemesi genellikle cihazın yeniden başlatılmasını gerektirir ve kısa bir kesintiye yol açabilir. Bu nedenle güncelleme, işletmeyle birlikte belirlenen bakım penceresinde ve önceden alınmış yedekle yapılır. Yüksek erişilebilirlik (HA) yapılarında kesinti süresi kısaltılabilir.

Destek kanalları, çalışma saatleri ve müdahale süreleri bakım sözleşmesinde tanımlanır. Mesai dışı taleplerin nasıl ele alınacağı da sözleşme aşamasında belirlenir. İhtiyacınıza göre farklı destek modelleri planlanabilir.

Evet. Hizmete başlamadan önce mevcut yapılandırma, kurallar, firmware sürümü ve lisans durumu bir başlangıç incelemesiyle değerlendirilir. Kritik bulgular önceliklendirilir ve bakım takvimi bu incelemeye göre oluşturulur.

Rapor; dönem içinde yapılan periyodik işleri, firmware ve lisans durumunu, kural gözden geçirme bulgularını, sağlık kontrolü sonuçlarını ve önerileri içerir. Rapor, yönetim ve denetimler için güvenlik altyapısının bakımının yapıldığını gösteren bir kanıt olarak da kullanılabilir.