Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı

Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı

Siber güvenlik yalnızca firewall, antivirüs veya güvenlik ürünü kullanmak değildir. Kurumların gerçek güvenlik seviyesi; sahip oldukları varlıkları ne kadar iyi bildikleri, kimlerin bu sistemlere erişebildiği, mevcut zafiyetleri ne kadar hızlı tespit ettikleri ve ortaya çıkan riskleri ne kadar etkin yönettikleri ile belirlenir.

Eclipta olarak kurumların siber güvenlik ve bilgi güvenliği yapısını teknik görünürlük, risk yönetimi ve ölçülebilir aksiyonlar üzerinden değerlendiriyoruz.

Amacımız daha fazla güvenlik ürünü önermek değil; mevcut altyapının hangi noktalarda risk oluşturduğunu görünür hale getirmek ve kurumun ihtiyaçlarına uygun bir güvenlik yol haritası oluşturmaktır.

Siber Güvenlik ve Uyum: Tek Bir Güvenlik Yaklaşımı

Bilgi güvenliği, siber güvenlik ve mevzuat uyumu birbirinden bağımsız konular değildir. Bir kurumun kişisel verileri koruyabilmesi için öncelikle bu verilerin nerede bulunduğunu, hangi sistemlerde işlendiğini, kimlerin erişebildiğini, nasıl korunduğunu, nasıl yedeklendiğini, hangi sistemlere aktarıldığını ve olası bir güvenlik olayının nasıl tespit edileceğini bilmesi gerekir.

Bu nedenle Eclipta yaklaşımında ana çatı Siber Güvenlik ve Uyum olarak ele alınır. KVKK ise bu yapının içerisinde özellikle kişisel veri güvenliğine ilişkin teknik tedbirlerin değerlendirilmesi açısından ele alınır.

Siber Güvenlik Danışmanlığımız Neleri Kapsar?

Siber güvenlik değerlendirmelerimiz tek bir güvenlik ürününe veya teknolojiye bağlı değildir. Kurumun mevcut altyapısı ve risk profili dikkate alınarak aşağıdaki alanlar birlikte değerlendirilebilir.

BT Varlık Görünürlüğü

Koruyamadığınız bir sistemi yönetemezsiniz. Bu nedenle güvenlik çalışmalarının ilk adımı kurumun sahip olduğu dijital varlıkların görünür hale getirilmesidir.

Değerlendirme kapsamında sunucular, istemci sistemleri, internet üzerinden erişilebilen servisler, domain ve alt domainler, web uygulamaları, ağ cihazları, sanallaştırma sistemleri, bulut kaynakları, kritik uygulamalar ve veri tabanları gibi varlıklar belirlenebilir.

Amaç güvenlik ekibinin veya yöneticilerin bilmediği, unutulmuş ya da kontrol dışına çıkmış sistemleri görünür hale getirmektir.

Dış Saldırı Yüzeyi Değerlendirmesi

Bir saldırgan kurumun ağına girmeden önce internet üzerinden görülebilen sistemleri araştırır. Açık servisler, unutulmuş alt alan adları, eski uygulamalar ve yanlış yapılandırılmış servisler kurumun dış saldırı yüzeyini oluşturur.

Eclipta yaklaşımında dış saldırı yüzeyi; internet üzerinden erişilebilen sistemler, açık portlar ve servisler, domain ve subdomain yapısı, internete açık yönetim servisleri, kullanılmayan veya unutulmuş sistemler, web servisleri, potansiyel yanlış yapılandırmalar ve bilinen zafiyetlerle ilişkili servisler üzerinden değerlendirilir.

Amaç yalnızca açık sistemleri listelemek değil, saldırganların görebildiği yüzeyi kurumun da görebilmesini sağlamaktır.

Zafiyet ve Teknik Risk Yönetimi

Bir sistemde zafiyet bulunması tek başına o zafiyetin kurum için kritik olduğu anlamına gelmez. Önemli olan zafiyetin hangi sistemde bulunduğu, sistemin ne kadar kritik olduğu, dışarıdan erişilebilirliği ve olası iş etkisidir.

Bu nedenle Eclipta yaklaşımı yalnızca zafiyet sayısına odaklanmaz. Bulgular; teknik önem, varlığın kritiklik seviyesi, dış erişilebilirlik, istismar edilebilirlik, mevcut güvenlik kontrolleri ve olası iş etkisi gibi faktörlerle birlikte değerlendirilerek önceliklendirilir.

Amaç yüzlerce teknik bulgu üretmek değil, önce hangi riskin ele alınması gerektiğini göstermektir.

Active Directory ve Kimlik Güvenliği

Birçok kurumun BT altyapısının merkezinde Active Directory bulunur. Kullanıcı hesapları, sunucu erişimleri, yönetici yetkileri ve uygulama izinleri çoğu zaman bu yapı üzerinden yönetilir. Bu nedenle kimlik altyapısındaki güvenlik problemleri bütün kurumun güvenlik seviyesini etkileyebilir.

Değerlendirme kapsamında:

• Ayrıcalıklı kullanıcı hesapları
• Domain Administrator üyelikleri
• Servis hesapları
• Kullanılmayan hesaplar
• Parola politikaları
• Eski kimlik doğrulama yöntemleri
• Yönetici hesaplarının kullanımı
• Yetki dağılımı
• Kritik sistem erişimleri
• Active Directory yapılandırma riskleri

incelenebilir. Amaç kimlik altyapısındaki gereksiz yetkileri ve saldırganların kullanabileceği potansiyel geçiş yollarını azaltmaktır.

Erişim ve Yetki Yönetimi

Bilgi güvenliğinin temel prensiplerinden biri, kullanıcıların yalnızca görevlerini yerine getirmek için ihtiyaç duydukları kaynaklara erişebilmesidir.

Bu kapsamda kullanıcı yetkileri, ayrıcalıklı hesaplar, yönetici erişimleri, servis hesapları, paylaşılan hesaplar, uzaktan erişim, VPN erişimleri ve kritik uygulama yetkileri gibi alanlar değerlendirilir.

Amaç gereksiz yetkileri azaltmak ve ayrıcalıklı erişimleri daha kontrollü hale getirmektir.

Loglama, İzleme ve Olay Görünürlüğü

Bir güvenlik olayını engellemek kadar, gerçekleştiğinde hızlı şekilde fark edebilmek de önemlidir. Bu nedenle kurumların kritik sistemlerinden elde edilen logların güvenilir şekilde toplanması ve izlenmesi gerekir.

Değerlendirme kapsamında kritik sistemlerin log üretimi, Active Directory logları, güvenlik cihazları, sunucu logları, yönetici aktiviteleri, başarısız giriş denemeleri, kritik yapılandırma değişiklikleri, log saklama süreleri ve merkezi log yönetimi gibi konular değerlendirilebilir.

Amaç yalnızca log toplamak değil, güvenlik olaylarının izlenebilir hale gelmesini sağlamaktır.

Yedekleme ve Siber Dayanıklılık

Yedekleme yalnızca operasyonel bir BT fonksiyonu değildir. Özellikle ransomware gibi saldırılarda güvenilir yedekler kurumun operasyonlarını sürdürebilmesi için kritik öneme sahiptir.

Bu nedenle yedekleme kapsamı, yedek erişim yetkileri, offline ve immutable yedekleme, kritik sistemlerin yedeklenmesi, yedekleme altyapısının güvenliği, geri yükleme testleri ve kurtarma süreleri siber güvenlik perspektifiyle değerlendirilir.

KVKK Teknik Tedbir Danışmanlığı

KVKK uyumu yalnızca politika, prosedür ve hukuki dokümanlardan oluşmaz. Kişisel verilerin korunması için alınması gereken idari tedbirlerin yanında, bunların BT sistemlerinde karşılığını oluşturan teknik güvenlik kontrollerinin de uygulanması gerekir.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumluları; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, ayrıca kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlüdür.

Eclipta'nın KVKK danışmanlığındaki uzmanlık alanı teknik tedbirlerdir.

Eclipta'nın KVKK Kapsamındaki Rolü

Eclipta; teknik tedbirlerin mevcut durumunu değerlendirir, eksiklikleri tespit eder, teknik riskleri önceliklendirir ve uygulanabilir iyileştirme aksiyonları oluşturur.

İdari tedbirlerde ise Eclipta'nın rolü farklıdır. Eclipta; hukuki politika hazırlamaz, hukuki görüş vermez, aydınlatma ve açık rıza metinlerinin hukuki içeriğini oluşturmaz, veri işleme hukuki şartlarını belirlemez ve idari süreçlerin sahibi olarak hareket etmez.

Bunun yerine mevcut idari tedbirlerin teknik sistemlerde karşılığının bulunup bulunmadığını ve uygulamayla uyumunu kontrol eder.

Örnek

Kurum politikasında: "Kullanıcılar yalnızca görevleri için gerekli verilere erişebilir." ifadesi bulunabilir.

Eclipta bu politikanın hukuki metnini hazırlamak yerine teknik ortamda; kullanıcı yetkilerini, dosya erişimlerini, Active Directory gruplarını, uygulama yetkilerini ve ayrıcalıklı kullanıcıları kontrol ederek politikanın teknik olarak uygulanıp uygulanmadığını değerlendirir.

Bu yaklaşım sayesinde kağıt üzerinde tanımlanan güvenlik kuralları ile gerçek BT ortamı arasındaki farklar görünür hale gelir.

KVKK Teknik Tedbirleri Neleri Kapsar?

Kurumun yapısına ve işlediği kişisel verilerin niteliğine göre değerlendirme kapsamı değişebilir. Başlıca teknik kontrol alanları şunlardır:

Yetkilendirme ve Erişim Kontrolü — Kişisel verilere kimlerin erişebildiği değerlendirilir. Kullanıcı yetkileri, ayrıcalıklı hesaplar, role dayalı erişim, kullanılmayan hesaplar, servis hesapları, yönetici hesapları ve uzaktan erişimler incelenebilir.

Kimlik Doğrulama Güvenliği — Kullanıcı hesaplarının ele geçirilmesini zorlaştıran kontroller değerlendirilir. Parola politikaları, çok faktörlü kimlik doğrulama, ayrıcalıklı hesap güvenliği, hesap kilitleme politikaları ve ortak hesap kullanımı kontrol edilebilir.

Ağ Güvenliği — Kişisel veri işleyen sistemlerin ağ üzerinden nasıl korunduğu değerlendirilir. Firewall kuralları, ağ segmentasyonu, internete açık sistemler, uzaktan erişim, kritik sistem izolasyonu ve yönetim ağları gibi alanlar incelenebilir.

Sistem ve Uygulama Güvenliği — Kişisel veri işleyen sistemlerin güncel ve güvenli durumda olup olmadığı değerlendirilir. İşletim sistemi güncellemeleri, güvenlik yamaları, kullanılmayan servisler, açık portlar, yazılım sürümleri, hatalı yapılandırmalar ve bilinen zafiyetler değerlendirmeye dahil edilebilir.

Loglama ve İzleme — Kişisel verilere yönelik işlemlerin ve güvenlik olaylarının izlenebilirliği değerlendirilir. Kullanıcı erişimleri, yönetici aktiviteleri, başarısız oturum açma denemeleri, kritik değişiklikler, sistem logları, log saklama ve merkezi izleme kontrol edilebilir.

Yedekleme Güvenliği — Kişisel verilerin kaybolmasını veya saldırı sonucu kullanılamaz hale gelmesini önlemeye yönelik yedekleme kontrolleri değerlendirilir. Yedekleme sıklığı, yedeklerin erişim güvenliği, şifreleme, offline veya immutable yedekler, geri yükleme testleri ve yedeklerin saklandığı ortamların güvenliği incelenebilir.

Zararlı Yazılım ve Uç Nokta Güvenliği — Kişisel veri işleyen istemci ve sunucuların kötü amaçlı yazılımlara karşı korunması değerlendirilir. Endpoint koruma sistemleri, EDR/XDR kullanımı, güncelleme durumu, güvenlik politikaları ve yönetilmeyen cihazlar kontrol edilebilir.

Veri Güvenliği ve Şifreleme — Kişisel verilerin saklanması ve aktarılması sırasında uygulanan koruma yöntemleri değerlendirilir. Disk şifreleme, veri aktarım güvenliği, güvenli protokoller, kritik veri depoları, taşınabilir ortamlar ve hassas veri erişimleri incelenebilir.

İdari Tedbirlerde Uyum Kontrolü

Eclipta idari tedbirlerin hazırlanmasını veya hukuki olarak yönetilmesini üstlenmez. Ancak idari tedbirlerin teknik sistemlerde uygulanabilirliğini ve karşılığını kontrol eder.

Örneğin:

• Politika: Kullanıcı işten ayrıldığında erişimleri kapatılmalıdır. Teknik kontrol: İşten ayrılmış kullanıcıların Active Directory ve uygulama hesapları halen aktif mi?
• Politika: Kritik verilere yalnızca yetkili personel erişmelidir. Teknik kontrol: Paylaşımlarda veya uygulamalarda gereğinden fazla kullanıcı yetkisi bulunuyor mu?
• Politika: Kişisel veri bulunan sistemler düzenli olarak yedeklenmelidir. Teknik kontrol: İlgili sistemler gerçekten yedek kapsamına alınmış mı ve geri yükleme testleri yapılıyor mu?
• Politika: Güvenlik olayları kayıt altına alınmalıdır. Teknik kontrol: İlgili sistemlerde yeterli log üretiliyor mu, loglar saklanıyor mu ve gerektiğinde incelenebilir mi?

Bu yöntemle idari karar ile teknik gerçeklik arasındaki uyum değerlendirilir.

KVKK Teknik Tedbir Değerlendirmesi Sonucunda Ne Elde Edilir?

Çalışma sonunda kurumun mevcut durumuna göre teknik kontrol envanteri, mevcut güvenlik durumu, teknik eksiklikler, risk seviyesi, idari tedbir–teknik uygulama uyumsuzlukları, öncelikli aksiyonlar, sorumlu teknik birimler, iyileştirme önerileri ve takip edilebilir aksiyon planı oluşturulabilir.

Amaç yalnızca eksiklikleri listelemek değil, hangi teknik tedbirin önce uygulanması gerektiğini gösterebilmektir.

Bilgi Güvenliği Risk Değerlendirmesi

Her kurumun risk profili farklıdır. Aynı güvenlik problemi bir kurum için düşük risk oluştururken başka bir kurumda kritik sonuçlar doğurabilir.

Bu nedenle değerlendirmelerde Varlık → Tehdit → Zafiyet → Mevcut Kontrol → İş Etkisi → Risk ilişkisi dikkate alınır. Teknik bulgular yalnızca teknik seviyeleri üzerinden değil, kurum üzerindeki potansiyel etkileri üzerinden değerlendirilir.

Önceliklendirme

Siber güvenlik çalışmalarında en önemli problemlerden biri çok sayıda bulgunun ortaya çıkmasıdır. Her sorunu aynı anda çözmek gerçekçi değildir.

Bu nedenle Eclipta yaklaşımı: Önce görünürlük → Sonra risk → Sonra öncelik → Sonra aksiyon mantığıyla ilerler. Kritik sistemleri etkileyen ve saldırganların kullanabileceği risklere öncelik verilir.

Kimler İçin Uygundur?

Siber Güvenlik ve Bilgi Güvenliği Danışmanlığı özellikle KOBİ'ler, orta ölçekli işletmeler, bilgi güvenliği ekibi bulunmayan kurumlar, küçük BT ekiplerine sahip şirketler, siber güvenlik seviyesini ölçmek isteyen işletmeler, KVKK teknik tedbirlerini değerlendirmek isteyen kurumlar, Active Directory güvenliğini kontrol etmek isteyen şirketler, güvenlik yatırımlarını önceliklendirmek isteyen yöneticiler ve denetim öncesi teknik hazırlık yapmak isteyen kurumlar için uygundur.

Eclipta Yaklaşımı

1. Görünürlük — Öncelikle mevcut durum anlaşılır. Hangi varlıklar mevcut? Hangi sistemler internete açık? Kritik sistemler hangileri? Kişisel veriler hangi teknik sistemlerde bulunuyor?

2. Teknik Değerlendirme — Sistemler, kimlik yapısı, erişimler, zafiyetler, güvenlik kontrolleri ve KVKK teknik tedbirleri değerlendirilir.

3. Risk — Bulgular teknik önem ve kurum üzerindeki potansiyel etkileri açısından değerlendirilir.

4. Önceliklendirme — Kritik riskler ve hızlı iyileştirilebilecek alanlar belirlenir.

5. Yol Haritası — Kısa, orta ve uzun vadeli güvenlik aksiyonları oluşturulur.

6. Takip — Aksiyonların uygulanma durumu takip edilir ve güvenlik seviyesindeki gelişim ölçülür.

Eclipta Suite ile Sürekli Teknik Görünürlük

Geleneksel güvenlik değerlendirmeleri çoğu zaman bir raporla sona erer. Ancak BT altyapıları sürekli değişir. Yeni sistemler eklenir, kullanıcılar değişir, servisler açılır ve yeni zafiyetler ortaya çıkar.

Eclipta Suite; Recon, Active Directory değerlendirmesi, zafiyet görünürlüğü, risk değerlendirmesi, KVKK teknik kontrolleri ve aksiyon takibi gibi süreçleri merkezi bir yapı altında bir araya getirmeyi amaçlar. Böylece güvenlik değerlendirmesi yalnızca belirli bir tarihte yapılan kontrol olmaktan çıkarak sürekli görünürlük ve iyileştirme sürecine dönüşür.

Güvenlik Durumunuzu Görünür Hale Getirin

Siber güvenlikte ilk adım daha fazla teknoloji satın almak değildir. Öncelikle neye sahip olduğunuzu, hangi risklerle karşı karşıya olduğunuzu ve hangi kontrollerin gerçekten çalıştığını bilmeniz gerekir.

Savunma hızınız saldırı hızına yetişiyor mu?

Sık Sorulan Sorular

Siber güvenlik danışmanlığı neleri kapsar?

Kurumun varlıkları, dış saldırı yüzeyi, Active Directory yapısı, erişim yetkileri, zafiyetler, loglama, yedekleme ve diğer güvenlik kontrollerinin değerlendirilmesini kapsayabilir.

Bilgi güvenliği ile siber güvenlik arasındaki fark nedir?

Siber güvenlik ağırlıklı olarak dijital sistemlerin ve altyapının korunmasına odaklanırken bilgi güvenliği, bilginin gizlilik, bütünlük ve erişilebilirliğini daha geniş bir kapsamda ele alır.

KVKK danışmanlığı veriyor musunuz?

Eclipta'nın KVKK kapsamındaki temel uzmanlık alanı kişisel veri güvenliğine yönelik teknik tedbirlerin değerlendirilmesidir. Hukuki/idari dokümanların hazırlanması hizmetin ana kapsamı değildir. Mevcut idari tedbirlerin teknik sistemlerde karşılığının bulunup bulunmadığı ve uygulamayla uyumu kontrol edilir.

KVKK teknik tedbir değerlendirmesinde neler kontrol edilir?

Yetkilendirme, kimlik doğrulama, ağ güvenliği, zafiyet yönetimi, loglama, yedekleme, uç nokta güvenliği, veri güvenliği ve ilgili diğer teknik kontroller değerlendirilebilir.

Mevcut idari tedbirler kontrol ediliyor mu?

Evet. İdari tedbirlerin hukuki içeriğini hazırlamak yerine, tanımlanan tedbirlerin teknik altyapıda uygulanıp uygulanmadığı ve teknik kontrollerle uyumlu olup olmadığı değerlendirilir.

Çalışma sonunda ne elde edilir?

Mevcut durum analizi, teknik riskler, KVKK teknik tedbir eksiklikleri, öncelikli aksiyonlar ve kurumun ihtiyaçlarına uygun bir güvenlik yol haritası oluşturulur.

Eclipta güvenlik ürünleri satıyor mu?

Eclipta yaklaşımı belirli bir güvenlik ürününün satışına değil, kurumun mevcut yapısındaki risklerin belirlenmesine ve ihtiyaçların ortaya çıkarılmasına odaklanır. Gerekli teknolojiler değerlendirme sonucunda ihtiyaç bazlı olarak ele alınabilir.