IBM'in 2023 Veri İhlali Maliyeti raporuna göre bir ihlalin tespit ve kontrol altına alınması ortalama 277 gün sürüyor; oysa ihlali hızlı bildiren kurumlar maliyeti milyonlarca lira düşürebiliyor. Bir olayı fark ettiğinizde geçen her dakika kuruma para ve itibar kaybettirir.
Merhaba, ben Güvenlik Uzmanı. Bu derste bir güvenlik olayını nasıl tanıyacağımızı, kime/nasıl bildireceğimizi ve müdahale akışının adımlarını öğreniyoruz. Soldaki interaktif sahnede (secEncryptionFlow3D) bir olayın tespit anından kapanışa kadar izlediği bildirim ve müdahale akışını adım adım takip et; her aşamada kimin devreye girdiğini incele.
GÜVENLİK OLAYI NEDİR? Bir "güvenlik olayı" (security incident), bilginin gizlilik, bütünlük veya erişilebilirliğini tehdit eden ya da kuruluşun güvenlik politikalarını ihlal eden her türlü istenmeyen durumdur. • Olay (event): Gözlemlenen herhangi bir durum (ör. başarısız oturum açma denemesi). • Olay/ihlal (incident): Gerçekten zarar veren veya verme ihtimali yüksek olan durum (ör. fidye yazılımı, yetkisiz erişim, kişisel veri sızıntısı). ISO/IEC 27001:2022 Annex A bu alanı "A.5.24–A.5.28 Bilgi güvenliği olay yönetimi" kontrolleriyle düzenler: planlama, raporlama, değerlendirme, müdahale ve kanıt toplama. NEDEN ÖNEMLİ? • Erken bildirim, yayılmayı (lateral movement) durdurur ve hasarı küçültür. • KVKK kapsamında kişisel veri ihlallerinde yasal bildirim yükümlülüğü vardır — gecikme idari para cezası riski doğurur. • Bir kişinin sustuğu küçük bir şüphe, kurum genelinde büyük bir ihlale dönüşebilir. Güvenlik herkesin işidir. OLAY TÜRLERİNE ÖRNEKLER (İŞ YERİ) • Oltalama (phishing) e-postasına tıklamak veya kimlik bilgilerini girmek. • Cihazın (laptop/telefon) kaybolması veya çalınması. • Fidye yazılımı: dosyaların şifrelenip erişilemez hâle gelmesi. • Yetkisiz erişim: başkasının hesabıyla giriş, yetki dışı dosyalara ulaşma. • Yanlış alıcıya kişisel veri içeren e-posta/dosya gönderme (veri sızıntısı). • USB bellek veya bilinmeyen ekin açılması. MÜDAHALE YAŞAM DÖNGÜSÜ (NIST SP 800-61) 1) HAZIRLIK (Preparation): Politikalar, iletişim listeleri, yedekler, eğitim. 2) TESPİT VE ANALİZ (Detection & Analysis): Olayı fark etme, doğrulama, önceliklendirme (kritiklik/etki). 3) KONTROL ALTINA ALMA, KÖKÜ KAZIMA, KURTARMA (Containment, Eradication & Recovery): İzole et, zararlı unsuru temizle, sistemleri güvenle geri al. 4) OLAY SONRASI ÖĞRENME (Post-Incident Activity): Kök neden analizi, ders çıkarma, iyileştirme. ÇALIŞAN OLARAK BİLDİRİM AKIŞI • Şüpheyi fark et → Hemen Bilgi Güvenliği / BT / SOC ekibine bildir (telefon, özel olay hattı veya bilet sistemi). • "Belki önemsizdir" diye SUSMA; teyit etmek uzmanın işidir. • Olayın saatini, ne gördüğünü ve hangi sistemi etkilediğini not et. YAPILMASI GEREKENLER (DO) • Şüpheli durumu DERHAL ve doğru kanaldan bildir. • Kanıtı koru: ekran görüntüsü al, oltalama e-postasını SİLME, ekte talimat verilirse uy. • Etkilenen cihazı ağdan ayır (kabloyu çek / Wi-Fi kapat) — ekip aksini söylemediyse. • Parola çalındıysa derhal değiştir ve çok faktörlü doğrulamayı (MFA) kontrol et. YAPILMAMASI GEREKENLER (DON'T) • Olayı gizleme, üstüne gitme veya kendi başına "düzeltmeye" çalışma. • Şüpheli e-postayı silme, dosyaları formatlama, log'ları temizleme (kanıt yok olur). • İhlali sosyal medyada/dışarıda konuşma; iletişim yalnız yetkili ekipten yapılır. • Fidye yazılımında fidyeyi ödeme kararını kendi başına verme. KVKK BAĞLANTISI Kişisel verilerin hukuka aykırı olarak ele geçirilmesi bir "kişisel veri ihlali"dir. KVKK 6698 kapsamında veri sorumlusu, ihlali öğrendiği andan itibaren en kısa sürede ve Kurul'un belirlediği usulde Kişisel Verileri Koruma Kurumu'na bildirmekle yükümlüdür (Kurul kararıyla 72 saat referans alınır); yüksek riskli durumlarda ilgili kişiler de bilgilendirilir. Bu yüzden bir çalışanın gecikmeden iç bildirim yapması, kurumun yasal süreye yetişmesini sağlar.
• Güvenlik olayı = gizlilik/bütünlük/erişilebilirliği tehdit eden her durum; küçük şüphe bile bildirilir. • Müdahale döngüsü (NIST SP 800-61): Hazırlık → Tespit/Analiz → Kontrol-altına-alma/Kök-kazıma/Kurtarma → Olay sonrası öğrenme. • DO: derhal doğru kanaldan bildir, kanıtı koru, etkilenen cihazı izole et, parola/MFA önlemi al. • DON'T: gizleme, kendi başına düzeltme, e-postayı/log'ları silme, fidye ödeme kararını tek başına verme. • ISO 27001:2022 Annex A.5.24–A.5.28 olay yönetimini düzenler; kişisel veri ihlalinde KVKK bildirimi (72 saat referansı) için hızlı iç bildirim şarttır. • Susmak değil, bildirmek doğru davranıştır — güvenlik herkesin sorumluluğudur.