Bilgi güvenliği, bilginin gizlilik (confidentiality), bütünlük (integrity) ve erişilebilirlik (availability) özelliklerinin korunmasını sağlayan disiplindir — bu üç prensip CIA üçlüsü olarak bilinir. Gizlilik: bilgiye yalnızca yetkili kişilerin erişmesi. Bütünlük: bilginin doğru ve değiştirilmemiş olması. Erişilebilirlik: bilginin gerektiğinde kullanılabilir olması. Bu prensiplere ek olarak kimlik doğrulama, inkâr edememe (non-repudiation) ve hesap verebilirlik (accountability) de bilgi güvenliğinin temel unsurlarıdır.
ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS/ISMS) için uluslararası standarttır. Kuruluşların bilgi varlıklarını sistematik olarak korumasını sağlayan bir çerçeve sunar. ISO 27001:2022 güncel sürümü, 93 kontrol içeren Ek A (Annex A) ile birlikte gelir. Sertifika avantajları: yasal ve düzenleyici uyumluluk (KVKK, GDPR), müşteri ve iş ortağı güveni, ihale ve sözleşme gereksinimleri, siber risklerin sistematik yönetimi. Türkiye'de özellikle kamu ihaleleri ve finans sektöründe ISO 27001 sertifikası sıklıkla zorunlu tutulmaktadır.
6698 sayılı KVKK, kişisel verilerin işlenmesinde uyulması gereken usul ve esasları düzenler. KVKK'nın bilgi güvenliği gereksinimleri: Veri sorumlusu yeterli güvenlik önlemlerini almakla yükümlüdür. Teknik tedbirler (şifreleme, erişim kontrolü, log yönetimi) ve idari tedbirler (politikalar, eğitimler, sözleşmeler) birlikte uygulanmalıdır. Veri ihlali durumunda 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim zorunluluğu vardır. KVKK ihlallerinde idari para cezaları 2026 yılı için 500.000 TL'den 50.000.000 TL'ye kadar uygulanabilmektedir.
Risk değerlendirmesi, bilgi varlıklarına yönelik tehditlerin ve açıkların belirlenerek risk seviyelerinin hesaplandığı süreçtir. Adımlar: (1) Varlık envanteri çıkarma (donanım, yazılım, veri, insan kaynağı). (2) Tehdit ve zafiyet analizi. (3) Risk hesaplama: Risk = Olasılık × Etki. (4) Risk işleme kararı: kabul etme, azaltma, transfer etme (sigorta) veya kaçınma. (5) Artık risk değerlendirmesi. Metodolojiler: ISO 27005, NIST SP 800-30, OCTAVE, FAIR. Risk değerlendirmesi yılda en az bir kez veya önemli değişikliklerde tekrarlanmalıdır.
Veri sınıflandırma, bilgi varlıklarının hassasiyet seviyesine göre kategorilere ayrılması sürecidir. Yaygın sınıflandırma: Gizli (confidential — ticari sırlar, kişisel veriler), Dahili (internal — şirket içi bilgiler), Genel (public — kamuya açık). Her sınıf için farklı güvenlik kontrolleri uygulanır: şifreleme, erişim kısıtlama, etiketleme, saklama ve imha kuralları. Veri sınıflandırma politikası; veri sahipliğini tanımlar, kullanım kurallarını belirler ve yasal uyumluluk gereksinimlerini karşılar. DLP (Data Loss Prevention) çözümleri sınıflandırma politikalarının teknik olarak uygulanmasını sağlar.
Başlıca erişim kontrolü modelleri: DAC (Discretionary Access Control): Veri sahibi erişim izinlerini belirler; dosya sistemlerinde yaygın. MAC (Mandatory Access Control): Merkezi otorite erişim kurallarını belirler; askeri/devlet sistemlerinde kullanılır. RBAC (Role-Based Access Control): Roller üzerinden yetkilendirme; kurumsal ortamlarda en yaygın. ABAC (Attribute-Based Access Control): Kullanıcı, kaynak ve ortam özelliklerine göre dinamik karar; en esnek model. En az yetki prensibi (least privilege) tüm modellerde temel kuraldır: kullanıcıya yalnızca işini yapması için gereken minimum erişim verilmelidir.
MFA, kimlik doğrulamada birden fazla bağımsız faktörün kullanılmasıdır. Faktörler: Bildiğiniz bir şey (parola, PIN), sahip olduğunuz bir şey (telefon, donanım anahtarı), olduğunuz bir şey (parmak izi, yüz tanıma). MFA, çalınan parolaların tek başına yeterli olmasını engeller. FIDO2/WebAuthn tabanlı donanım anahtarları (YubiKey gibi) en güvenli MFA yöntemidir. SMS tabanlı doğrulama SIM swap saldırılarına açık olduğundan, kurumsal ortamlarda authenticator uygulamaları veya donanım anahtarları tercih edilmelidir.
İki temel şifreleme türü: Simetrik şifreleme (AES-256 gibi) — aynı anahtar şifreleme ve çözme için kullanılır; hızlıdır, veri şifreleme için uygundur. Asimetrik şifreleme (RSA, ECC gibi) — açık ve özel anahtar çifti kullanır; anahtar değişimi ve dijital imza için tercih edilir. Kullanım alanları: Durağan veri (data at rest) — disk şifreleme (BitLocker, LUKS). Aktarılan veri (data in transit) — TLS/SSL, VPN. İşlenen veri (data in use) — güvenli enklavlar (Intel SGX). Şifreleme anahtarlarının güvenli yönetimi (key management), şifrelemenin etkinliğinin ön koşuludur.
SOC (Security Operations Center), bir kuruluşun bilgi güvenliği olaylarını 7/24 izleyen, tespit eden ve müdahale eden merkezi birimdir. SOC bileşenleri: SIEM (log toplama ve korelasyon), SOAR (otomatik müdahale), EDR/XDR (uç nokta tespit ve yanıt), threat intelligence beslemeleri ve analist ekibi. SOC seviyeleri: L1 analistleri (ilk triage), L2 analistleri (derinlemesine inceleme), L3 analistleri (threat hunting, ileri analiz). KOBİ'ler için MDR (Managed Detection and Response) hizmeti maliyet etkin bir alternatiftir.
Olay müdahale planı, güvenlik ihlallerine sistematik ve hızlı yanıt verilmesini sağlar. NIST SP 800-61 çerçevesine göre aşamalar: (1) Hazırlık: Ekip oluşturma, araç ve prosedür hazırlığı. (2) Tespit ve Analiz: Olayın tanımlanması, kapsamının belirlenmesi, önceliklendirme. (3) Sınırlama, Yok Etme ve Kurtarma: Tehdidin izole edilmesi, ortamdan temizlenmesi, sistemlerin eski haline getirilmesi. (4) Olay Sonrası: Kök neden analizi, derslerin çıkarılması, planın güncellenmesi. Plan yılda en az iki kez masa başı tatbikatı (tabletop exercise) ile test edilmelidir.
İnsan faktörü, güvenlik ihlallerinin büyük çoğunluğunun ana nedenidir. Farkındalık eğitimi kapsamı: oltalama (phishing) tanıma ve raporlama, güçlü parola oluşturma ve yönetme, sosyal mühendislik tekniklerini tanıma, fiziksel güvenlik kuralları (temiz masa, ekran kilitleme), mobil cihaz güvenliği, uzaktan çalışma güvenlik kuralları. Etkili program unsurları: düzenli simülasyon testleri (aylık phishing simülasyonu), role-specific eğitimler (geliştiriciler için güvenli kodlama, yöneticiler için veri koruma), ölçülebilir KPI'lar (tıklama oranı, raporlama süresi). ISO 27001 ve KVKK kapsamında farkındalık eğitimi zorunludur.
Ağ güvenliğinin temel bileşenleri: Güvenlik duvarı (firewall): Ağ trafiğini filtreler; NGFW uygulama katmanı denetimi yapar. IDS/IPS: Saldırı tespit ve önleme sistemleri. VPN: Uzaktan erişimde şifreli tünel. NAC (Network Access Control): Ağa bağlanan cihazları doğrular ve politika uygular. Ağ segmentasyonu: VLAN ve mikrosegmentasyon ile yanal hareketi sınırlar. DNS güvenliği: DNS filtreleme ve DNSSEC. WAF (Web Application Firewall): Web uygulamalarına yönelik saldırıları engeller. Zero Trust Network Access (ZTNA): Her erişim isteğini doğrulayan modern yaklaşım.
Zero Trust (Sıfır Güven), "asla güvenme, her zaman doğrula" prensibine dayanan güvenlik modelidir. Geleneksel çevre güvenliği (perimeter security) anlayışını terk eder; ağ içi veya dışı fark etmeksizin her erişim isteği doğrulanır. Temel ilkeleri: Sürekli doğrulama (continuous verification), en az yetki (least privilege), mikrosegmentasyon, ihlal varsayımı (assume breach). Uygulama bileşenleri: kimlik doğrulama ve MFA, cihaz sağlık kontrolü, uygulama erişim politikaları, ağ mikrosegmentasyonu, sürekli izleme ve analitik. NIST SP 800-207, Zero Trust mimarisi için referans çerçevedir.
DLP (Data Loss Prevention), hassas verilerin yetkisiz olarak kurum dışına çıkmasını tespit eden ve engelleyen güvenlik çözümleridir. DLP türleri: Ağ DLP: E-posta, web ve dosya transferi trafiğini izler. Uç nokta DLP: USB, ekran görüntüsü, yazdırma ve bulut yükleme işlemlerini kontrol eder. Bulut DLP: SaaS uygulamalarındaki veri paylaşımını denetler. DLP politikaları; kredi kartı numaraları, TC kimlik numaraları, sağlık verileri gibi hassas bilgi kalıplarını (pattern) tanıyarak otomatik koruma sağlar. KVKK uyumluluğu açısından DLP, kişisel veri sızıntılarının önlenmesinde kritik bir kontroldür.
Güvenlik açığı yönetimi sürekli bir döngüdür: (1) Keşif: Ağdaki tüm varlıkların envanteri. (2) Tarama: Nessus, Qualys, OpenVAS gibi araçlarla düzenli zafiyet taraması. (3) Değerlendirme: CVSS skoru ve iş etkisine göre önceliklendirme. (4) İyileştirme: Yama uygulama, yapılandırma düzeltme veya telafi edici kontroller. (5) Doğrulama: Düzeltmelerin etkinliğinin test edilmesi. (6) Raporlama: Metrikler ve trendler. Kritik ve yüksek güvenlik açıkları için SLA tanımlanmalı (örneğin kritik: 72 saat, yüksek: 2 hafta). Yama yönetimi, güvenlik açığı yönetiminin en önemli bileşenidir.
Bulut ortamlarının temel riskleri: Yapılandırma hataları (açık S3 bucket'ları, varsayılan ayarlar), yetersiz erişim kontrolü, veri sızıntısı, hesap ele geçirme ve paylaşılan sorumluluk modelinin yanlış anlaşılması. Güvenlik kontrolleri: CSPM (Cloud Security Posture Management) ile yapılandırma denetimi, CWPP ile iş yükü koruması, CASB ile SaaS erişim kontrolü, şifreleme (veri sahibi tarafından yönetilen anahtarlar), IAM politikaları ve bulut güvenlik loglarının SIEM entegrasyonu. Bulut sağlayıcının SLA'ları ve veri lokasyonu (KVKK uyumluluğu) dikkatle değerlendirilmelidir.
Sosyal mühendislik, teknik açıklardan ziyade insan psikolojisini istismar eden saldırı yöntemidir. Başlıca türleri: Pretexting (sahte kimlik ve senaryo uydurma), baiting (USB veya dosya ile tuzak kurma), quid pro quo (yardım karşılığı bilgi alma), tailgating (fiziksel olarak yetkisiz alana girme) ve shoulder surfing (ekran veya klavye izleme). Önleme: güvenlik farkındalık eğitimi, çağrı doğrulama prosedürleri, fiziksel erişim kontrolleri (kartlı giriş, ziyaretçi kaydı), bilgi paylaşım politikaları ve düzenli sosyal mühendislik testleri.
İş sürekliliği ve bilgi güvenliği birbirini tamamlayan disiplinlerdir. Bilgi güvenliği ihlalleri (ransomware, veri sızıntısı, DDoS) iş sürekliliğini doğrudan tehdit eder. ISO 27001, Ek A kontrollerinde iş sürekliliği yönetimi gereksinimlerini içerir. ISO 22301 (İş Sürekliliği Yönetim Sistemi) ile entegre uygulanması önerilir. Bağlantı noktaları: IT felaket kurtarma planı (DRP), yedekleme ve geri yükleme stratejileri, alternatif çalışma alanları, iletişim planları. Her iki disiplin de iş etki analizi (BIA) sonuçlarına dayanır ve üst yönetim desteği gerektirir.
Tedarikçi ve iş ortaklarından kaynaklanan bilgi güvenliği riskleri, kuruluşun kendi riskleri kadar önemlidir. Yönetim süreci: (1) Tedarikçi envanter ve sınıflandırma (kritik, yüksek, orta, düşük). (2) Güvenlik değerlendirmesi: soru formları, SOC 2/ISO 27001 sertifikaları, penetrasyon testi raporları. (3) Sözleşmesel kontroller: veri işleme sözleşmeleri (KVKK madde 12), SLA'lar, denetim hakları, ihlal bildirim yükümlülükleri. (4) Sürekli izleme: yıllık yeniden değerlendirme, güvenlik puanı takibi (BitSight, SecurityScorecard). Bir tedarikçinin ihlali, veri sorumlusu kuruluşu da etkileyebilir.
Bilgi güvenliği olgunluk modeli, bir kuruluşun güvenlik yeteneklerinin sistematik değerlendirmesidir. Yaygın modeller: CMMI (5 seviye: Başlangıç → Optimized), NIST CSF (Identify, Protect, Detect, Respond, Recover), ISO 27001 uyumluluk seviyesi. Değerlendirme alanları: politika ve yönetişim, risk yönetimi, erişim kontrolü, olay müdahale yetkinliği, güvenlik farkındalığı, teknik kontroller, uyumluluk. Olgunluk değerlendirmesi; yönetim kuruluna güvenlik durumunu raporlamak, yatırım önceliklendirmesi yapmak ve sektör kıyaslaması (benchmark) oluşturmak için kullanılır. Yıllık olarak tekrarlanması önerilir.