Siber güvenlik, bilgi sistemlerini, ağları ve verileri dijital saldırılara, yetkisiz erişime ve hasara karşı koruma disiplinidir. Günümüzde işletmelerin dijital dönüşüm süreçleri hızlandıkça, siber tehditlerin hacmi ve karmaşıklığı da artmaktadır.
Türkiye'de 2025 yılında siber saldırı girişimleri bir önceki yıla göre %40'ın üzerinde artış göstermiştir. Siber güvenlik; veri kaybını önleme, iş sürekliliğini sağlama, yasal uyumluluk (KVKK, ISO 27001) ve kurumsal itibarı koruma açısından kritik öneme sahiptir.
Etkili bir siber güvenlik stratejisi; teknik kontroller (güvenlik duvarı, şifreleme, erişim kontrolü), süreç yönetimi (politikalar, prosedürler, olay müdahale planları) ve insan faktörü (farkındalık eğitimleri, güvenlik kültürü) olmak üzere üç temel katmandan oluşur.
Siber saldırılar farklı amaç ve yöntemlerle gerçekleştirilir. Başlıca türler:
Oltalama (Phishing): Sahte e-posta, web sitesi veya mesajlarla hassas bilgi elde etme girişimi. En yaygın saldırı vektörüdür.
Fidye Yazılımı (Ransomware): Dosyaları şifreleyerek fidye talep eden kötücül yazılım. Son yıllarda çift şantaj (veri sızıntısı tehdidi) yöntemi de yaygınlaşmıştır.
DDoS Saldırıları: Hedef sisteme aşırı trafik göndererek hizmeti devre dışı bırakma.
Sosyal Mühendislik: İnsan psikolojisini kullanarak bilgi veya erişim elde etme.
Man-in-the-Middle (MitM): İki taraf arasındaki iletişimi gizlice dinleme veya değiştirme.
SQL Injection ve XSS: Web uygulamalarındaki güvenlik açıklarını hedefleyen teknik saldırılar.
Sıfır Gün (Zero-day) Açıkları: Henüz yaması bulunmayan güvenlik açıklarının istismar edilmesi.
İç Tehditler (Insider Threats): Kurum içi çalışanların kasıtlı veya kasıtsız olarak güvenliği tehlikeye atması.
Oltalama (phishing), saldırganların güvenilir bir kurum veya kişi gibi görünerek kullanıcılardan hassas bilgi elde etmeye çalıştığı sosyal mühendislik saldırısıdır. E-posta, SMS, telefon ve hatta QR kod gibi farklı kanallar üzerinden gerçekleştirilebilir.
Spear Phishing: Belirli bir kişiyi veya küçük bir grubu hedef alan, kişiselleştirilmiş oltalama saldırısıdır. Saldırgan, hedef hakkında detaylı araştırma yapar ve güvenilir bir kaynakmış gibi görünen mesajlar gönderir.
Whaling: Üst düzey yöneticileri (CEO, CFO gibi) hedef alan oltalama türüdür. Genellikle kurumsal iletişim formatını taklit eder ve acil bir karar veya finansal işlem talep eder.
Vishing (Voice Phishing): Telefon araması yoluyla gerçekleştirilen oltalama saldırısıdır. Saldırgan, banka veya resmi kurum temsilcisi gibi davranarak kişisel bilgi talep eder.
Smishing (SMS Phishing): SMS veya mesajlaşma uygulamaları üzerinden yapılan oltalama saldırısıdır. Genellikle acil bir işlem gerektiren sahte linkler içerir.
Quishing (QR Phishing): Kötü amaçlı QR kodlar aracılığıyla gerçekleştirilen yeni nesil oltalama türüdür. Sahte QR kodlar, kullanıcıları zararlı web sitelerine yönlendirir. Restoran menüleri, ödeme noktaları ve kurumsal ortamlarda giderek yaygınlaşmaktadır.
Korunma Yöntemleri: E-posta filtreleme ve anti-phishing çözümleri, çok faktörlü kimlik doğrulama (MFA), düzenli farkındalık eğitimleri ve simülasyonlar, URL ve gönderici adres doğrulama alışkanlığı, şüpheli mesajları raporlama kültürü oluşturmak temel koruma katmanlarıdır.
Fidye yazılımı (ransomware), kurbanın dosyalarını veya tüm sistemini şifreleyerek erişimi engelleyen ve şifre çözme anahtarı karşılığında fidye talep eden kötücül yazılım türüdür. Son yıllarda "çift şantaj" (double extortion) yöntemi yaygınlaşmış olup, saldırganlar verileri hem şifreler hem de sızdırmakla tehdit eder.
Bulaşma Yolları: Oltalama e-postaları, güvenlik açığı olan RDP bağlantıları, güncellenmeyen yazılımlar ve tedarik zinciri saldırıları başlıca bulaşma vektörleridir.
Önleme Stratejileri: Düzenli ve test edilmiş yedekleme (3-2-1 kuralı: 3 kopya, 2 farklı ortam, 1 offsite), güvenlik yamalarının zamanında uygulanması, uç nokta koruma çözümleri (EDR/XDR), ağ segmentasyonu ile yanal hareketin sınırlandırılması, çalışan farkındalık eğitimleri ve e-posta güvenlik gateway'leri. Fidye ödenmesi tavsiye edilmez — verinin kurtarılacağına dair hiçbir garanti yoktur.
Güvenlik duvarı (firewall), ağ trafiğini önceden belirlenmiş güvenlik kurallarına göre izleyen ve filtreleyen bir ağ güvenlik sistemidir. İç ağ ile dış ağ (internet) arasında bir bariyer oluşturarak yetkisiz erişimi engeller.
Paket Filtreleme: IP adresi, port numarası ve protokol bazında temel filtreleme yapar.
Durum Denetimli (Stateful) Filtreleme: Bağlantı durumunu izleyerek daha akıllı trafik kontrolü sağlar.
Uygulama Katmanı Güvenlik Duvarı: HTTP, FTP gibi uygulama protokollerini derinlemesine analiz eder.
Yeni Nesil Güvenlik Duvarı (NGFW): Derin paket inceleme (DPI), IPS, uygulama kontrolü ve gelişmiş tehdit koruması gibi özellikleri tek bir platformda birleştirir. Kurumsal ortamda doğru yapılandırılmış bir güvenlik duvarı, savunmanın temel taşlarından biridir.
Penetrasyon testi, bir sistemin güvenlik açıklarını tespit etmek amacıyla yetkili uzmanlar tarafından gerçekleştirilen kontrollü saldırı simülasyonudur. Gerçek saldırganların kullandığı teknikler ile sistemin dayanıklılığı test edilir.
Black Box: Test uzmanının hedef sistem hakkında hiçbir ön bilgiye sahip olmadığı yaklaşım. Gerçek bir dış saldırganın perspektifini yansıtır.
White Box: Kaynak kodu, ağ şeması ve kimlik bilgileri gibi tam bilgiye sahip olunan test türü. Daha kapsamlı bir analiz sağlar.
Grey Box: Sınırlı bilgi ile gerçekleştirilen, iç kullanıcı perspektifini simüle eden yaklaşım.
Düzenli pentest; güvenlik açıklarını gerçek saldırılardan önce tespit etme, yasal uyumluluk gereksinimlerini karşılama (PCI DSS, ISO 27001), güvenlik yatırımlarının etkinliğini doğrulama ve üçüncü taraf bağımsız değerlendirme sağlama açısından kritik öneme sahiptir.
SOC (Security Operations Center), bir kuruluşun bilgi güvenliği olaylarını 7/24 izleyen, tespit eden ve müdahale eden merkezi birimdir. SOC ekibi; güvenlik analistleri, olay müdahale uzmanları ve tehdit avcılarından oluşur.
Temel İşlevler: Gerçek zamanlı güvenlik izleme, olay tespit ve sınıflandırma, olay müdahale ve eskalasyon, tehdit istihbaratı entegrasyonu, güvenlik raporlama ve trend analizi.
SOC Olgunluk Seviyeleri: Temel (log toplama ve alarm), orta (korelasyon ve tehdit avcılığı) ve ileri (otomasyon, orkestrasyon ve proaktif savunma). Küçük ve orta ölçekli işletmeler, tam kapsamlı bir SOC kurmak yerine Managed SOC (yönetilen SOC) hizmetlerinden faydalanabilir.
SIEM (Security Information and Event Management), farklı kaynaklardan (sunucular, güvenlik duvarları, uygulamalar, uç noktalar) gelen güvenlik loglarını merkezi olarak toplayan, korelasyon kurallarıyla analiz eden ve anormallikleri tespit eden platformdur.
Temel Yetenekler: Merkezi log toplama ve normalizasyon, gerçek zamanlı olay korelasyonu, anormallik tespit ve alarm üretimi, uyumluluk raporlama (KVKK, ISO 27001, PCI DSS), adli analiz (forensics) desteği.
Modern SIEM çözümleri; UEBA (User and Entity Behavior Analytics) ile kullanıcı davranış analizi, SOAR (Security Orchestration, Automation and Response) entegrasyonu ile otomatik müdahale ve makine öğrenimi tabanlı tehdit tespiti yeteneklerini de sunmaktadır.
Zero Trust, "asla güvenme, her zaman doğrula" (never trust, always verify) ilkesine dayanan modern güvenlik modelidir. Geleneksel çevre güvenliği yaklaşımının aksine, ağ içindeki veya dışındaki hiçbir kullanıcı veya cihaza otomatik güven verilmez.
Temel Bileşenler: Sürekli kimlik doğrulama ve yetkilendirme, en az yetki ilkesi (least privilege), mikro segmentasyon ile ağ erişiminin sınırlandırılması, tüm trafiğin şifrelenmesi ve denetlenmesi, cihaz güvenlik durumunun sürekli değerlendirilmesi.
Zero Trust, uzaktan çalışma, bulut hizmetleri ve BYOD (Bring Your Own Device) politikalarının yaygınlaşmasıyla birlikte kurumsal güvenlik mimarisinin temel taşı haline gelmiştir. Uygulamaya geçiş kademeli olarak yapılmalıdır.
Çok faktörlü kimlik doğrulama (MFA), kullanıcı kimliğini doğrulamak için iki veya daha fazla bağımsız faktörün kullanılmasını gerektiren güvenlik mekanizmasıdır. Parola tek başına yeterli güvenlik sağlamamaktadır — veri sızıntılarında milyarlarca parola ele geçirilmiştir.
Doğrulama Faktörleri: Bilinen bir şey (parola, PIN), sahip olunan bir şey (telefon, donanım anahtarı), biyometrik özellik (parmak izi, yüz tanıma).
MFA Yöntemleri: SMS doğrulama kodu (en zayıf — SIM swap saldırılarına açık), authenticator uygulamaları (Google Authenticator, Microsoft Authenticator), donanım güvenlik anahtarları (YubiKey, FIDO2) ve biyometrik doğrulama.
Microsoft'un araştırmalarına göre MFA, hesap ele geçirme saldırılarının %99'unu engelleyebilmektedir. Kurumsal ortamda tüm kritik sistemlerde MFA zorunlu kılınmalıdır.
VPN (Virtual Private Network — Sanal Özel Ağ), internet üzerinden şifreli bir tünel oluşturarak güvenli iletişim sağlayan teknolojidir. Verilerin aktarım sırasında şifrelenmesi sayesinde, üçüncü tarafların iletişimi dinlemesi engellenir.
Kurumsal Kullanım Alanları: Uzaktan çalışanların şirket kaynaklarına güvenli erişimi, şubeler arası güvenli bağlantı (site-to-site VPN), harici iş ortaklarının sınırlı erişimi, hassas verilerin internet üzerinden güvenli iletimi.
Protokol Aileleri: IPSec (ağ katmanı şifreleme — site-to-site bağlantılar için ideal), SSL/TLS VPN (uygulama katmanı — uzaktan erişim için kullanışlı), WireGuard (yeni nesil, yüksek performanslı). VPN, Zero Trust mimarisi ile birlikte kullanıldığında daha kapsamlı bir güvenlik sağlar.
DDoS (Distributed Denial of Service — Dağıtık Hizmet Reddi), birden fazla kaynaktan eş zamanlı olarak hedef sisteme aşırı trafik göndererek hizmeti aksatan veya tamamen durduran saldırı türüdür.
Volumetrik Saldırılar: Bant genişliğini tüketmeyi hedefler (UDP flood, DNS amplification).
Protokol Saldırıları: Sunucu kaynaklarını tüketir (SYN flood, Ping of Death).
Uygulama Katmanı Saldırıları: Web sunucu kaynaklarını hedefler (HTTP flood, Slowloris).
Önleme Yöntemleri: CDN ve DDoS koruma servisleri (Cloudflare, Akamai), trafik analizi ve anomali tespiti, rate limiting ve bağlantı sınırlandırma, coğrafi IP filtreleme, yedek altyapı ve failover planı. Özellikle e-ticaret ve finansal hizmetler sektöründe DDoS koruması kritik önem taşır.
Sosyal mühendislik, teknik zafiyetler yerine insan psikolojisini hedef alarak bilgi veya erişim elde etmeye yönelik manipülasyon tekniklerinin genel adıdır. En sofistike güvenlik sistemleri bile insan faktörü nedeniyle aşılabilir.
Pretexting: Saldırganın sahte bir senaryo oluşturarak hedefi bilgi paylaşmaya ikna etmesi.
Baiting: USB bellek veya dosya indirme gibi cazibeli bir yemin kullanılması.
Tailgating: Yetkili bir çalışanın ardından fiziksel güvenlik alanına izinsiz giriş.
Quid Pro Quo: Bir hizmet veya yardım karşılığında bilgi elde etme (örneğin sahte teknik destek).
Tanıma İpuçları: Aciliyet ve baskı hissi, olağandışı istekler, tutarsız iletişim bilgileri, duygusal manipülasyon. Düzenli farkındalık eğitimleri ve simülasyonlar en etkili savunma yöntemidir.
Endpoint güvenliği, ağa bağlanan tüm uç noktaların (masaüstü bilgisayarlar, dizüstü bilgisayarlar, mobil cihazlar, sunucular, IoT cihazları) siber tehditlere karşı korunmasını kapsayan güvenlik disiplinidir.
EDR (Endpoint Detection and Response): Uç noktalardaki şüpheli aktiviteleri gerçek zamanlı izler, tespit eder ve müdahale imkânı sağlar.
XDR (Extended Detection and Response): EDR'nin ötesinde, ağ, e-posta, bulut ve kimlik kaynaklarını da kapsayan genişletilmiş tespit ve müdahale platformudur.
Uzaktan çalışmanın yaygınlaşması ve BYOD politikalarıyla birlikte her cihaz potansiyel bir saldırı vektörü haline gelmiştir. Merkezi yönetim, otomatik yama dağıtımı, cihaz şifreleme ve uygulama kontrolü modern endpoint güvenliğinin temel bileşenleridir.
İnsan faktörü, güvenlik ihlallerinin yaklaşık %82'sinin temel nedenidir (Verizon DBIR 2024). Teknik kontroller ne kadar güçlü olursa olsun, bilinçli olmayan bir kullanıcı güvenlik zincirinin en zayıf halkası olmaya devam eder.
Eğitim Kapsamı: Phishing tanıma ve raporlama simülasyonları, güvenli parola oluşturma ve yönetme uygulamaları, sosyal mühendislik farkındalığı, veri sınıflandırma ve güvenli veri paylaşımı, mobil cihaz güvenliği, olay raporlama prosedürleri.
Uygulama Prensipleri: Eğitimler yıllık değil, sürekli ve düzenli olmalıdır. Rol bazlı eğitim içerikleri (yönetici, teknik personel, genel kullanıcı) hazırlanmalıdır. Phishing simülasyonları ile ölçümleme yapılmalı ve eğitim etkinliği raporlanmalıdır. KVKK ve ISO 27001 uyumluluk gereksinimleri de farkındalık eğitimini zorunlu kılmaktadır.
Zafiyet yönetimi, bilgi sistemlerindeki güvenlik açıklarının sistematik olarak keşfedilmesi, değerlendirilmesi, önceliklendirilmesi ve giderilmesi sürecidir.
Süreç Adımları: Varlık envanteri oluşturma (neyi koruyacağınızı bilmek), düzenli zafiyet taraması (Nessus, Qualys, OpenVAS gibi araçlarla), CVSS puanlama ile risk bazlı önceliklendirme, yama uygulama ve yapılandırma düzeltme, doğrulama taraması ile giderme kontrolü.
Kritik Faktörler: Taramalar düzenli aralıklarla (en az aylık) ve her altyapı değişikliğinde yapılmalıdır. CVSS puanı 7.0 ve üzeri zafiyetler öncelikli olarak ele alınmalıdır. Yamalanması mümkün olmayan sistemler için telafi edici kontroller (compensating controls) uygulanmalıdır. Tüm süreç belgelenmeli ve uyumluluk raporlarına dahil edilmelidir.
Olay müdahale planı, güvenlik olaylarına hızlı ve etkili şekilde yanıt vermek için önceden tanımlanmış prosedürler bütünüdür. NIST SP 800-61 çerçevesi en yaygın kullanılan referanstır.
Altı Temel Aşama:
1. Hazırlık: Ekip oluşturma, roller ve sorumluluklar, araç ve altyapı hazırlığı.
2. Tespit ve Analiz: Olayın tanımlanması, kapsamının ve ciddiyetinin belirlenmesi.
3. Sınırlandırma: Olayın yayılmasının engellenmesi (kısa ve uzun vadeli).
4. Eradikasyon: Tehdidin sistemlerden temizlenmesi.
5. Kurtarma: Sistemlerin normal operasyona döndürülmesi.
6. Çıkarılan Dersler: Olay sonrası analiz, süreç iyileştirme ve plan güncelleme.
Plan; iletişim kanallarını, eskalasyon matrisini, üçüncü taraf koordinasyonunu (KVKK Kurulu bildirimi dahil) ve düzenli tatbikat takvimini de içermelidir.
Siber sigorta, siber saldırı veya veri ihlali sonucunda oluşan finansal kayıpları teminat altına alan poliçe türüdür. Teknik güvenlik önlemlerinin tamamlayıcısı olarak risk yönetimi stratejisinin önemli bir bileşenidir.
Kapsam Alanları: Veri kurtarma ve sistem onarım masrafları, iş durması kayıpları (iş kesintisi teminatı), yasal giderler ve para cezaları, müşteri bildirim masrafları (KVKK gereği), itibar yönetimi ve kriz iletişimi hizmetleri, fidye müzakere giderleri (poliçe koşullarına bağlı).
Dikkat Edilecek Noktalar: Poliçe kapsamı ve istisnaları dikkatle incelenmeli, siber hijyen gereksinimleri (MFA, yedekleme, yama yönetimi) karşılanmalıdır. Sigortacılar genellikle minimum güvenlik standartları talep eder — bu standartları karşılayamayan işletmelerin primleri yükselebilir veya poliçe reddedilebilir.
Dark web, standart arama motorlarıyla erişilemeyen ve Tor gibi özel yazılımlar gerektiren internet katmanıdır. Yasal kullanım alanları olsa da, çalıntı veri ticareti, kimlik bilgisi satışı ve hacking hizmeti satışı gibi yasadışı faaliyetler de bu alanda yoğun olarak gerçekleşmektedir.
Kurumsal Riskler: Çalışan kimlik bilgilerinin (e-posta/parola) satışa sunulması, müşteri verilerinin sızdırılması, kurumsal ağ erişim bilgilerinin ticareti, ticari sırlar ve fikri mülkiyetin ifşası.
Dark Web İzleme: Otomatik tarama araçları ile kurumsal alan adlarına ait sızan kimlik bilgilerinin tespiti, kredi kartı ve finansal veri izleme, marka ve itibar takibi, tehdit istihbaratı entegrasyonu. Erken tespit, bir veri sızıntısının etkisini önemli ölçüde azaltır — sızan kimlik bilgileri saatler içinde sıfırlanabilir.
Türkiye'de siber güvenlik, birden fazla yasal düzenleme ve sektörel rehber ile çerçevelenmiştir.
KVKK (6698 sayılı Kanun): Kişisel verilerin işlenmesi ve korunmasına ilişkin temel düzenleme. Veri ihlali durumunda 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim zorunluluğu bulunmaktadır.
5651 Sayılı Kanun: İnternet ortamındaki yayınların düzenlenmesi ve bu yayınlar yoluyla işlenen suçlarla mücadele. Erişim sağlayıcılar ve yer sağlayıcılar için yasal yükümlülükler tanımlar.
Bilgi ve İletişim Güvenliği Rehberi: 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ile yürürlüğe giren, kamu kurum ve kuruluşları ile kritik altyapı işletmecileri için zorunlu güvenlik tedbirlerini belirleyen rehber.
Sektörel Düzenlemeler: BDDK (bankacılık), EPDK (enerji), BTK (telekomünikasyon) ve SPK (sermaye piyasaları) gibi düzenleyici kurumlar kendi sektörlerine özel siber güvenlik yükümlülükleri belirlemiştir.
Kurumlar, faaliyet alanlarına göre bu düzenlemelerin tamamına veya bir kısmına uyumluluk sağlamak zorundadır. Uyumsuzluk halinde idari para cezaları, lisans iptali ve hukuki sorumluluk gündeme gelebilir.