🌐 Language ▾
🇬🇧 English 🇹🇷 Türkçe
☰

Kategori: Test Guvenlik

  • Siber Güvenlik Stratejisinde Ağ Segmentasyonunun Rolü

    Siber Güvenlik Stratejisinde Ağ Segmentasyonunun Rolü

    Makale No: 3487 

     

    Siber Güvenlik Stratejisinde Ağ Segmentasyonunun Rolü

    Siber güvenlikte en pahalı hata, her şeyi birbirine bağlamaktır. Düz ağ tasarımı, saldırgan için otoyol demektir. Bir uç nokta ele geçirildiğinde, tüm veri tabanına kadar yanal hareket serbesttir.

    Ağ segmentasyonu, bu otoyolu bölerek saldırganı yavaşlatan, görünürlüğü artıran ve zararı sınırlayan temel bir stratejidir. Güvenlik duvarı almak segmentasyon değildir. Segmentasyon bir mimari karardır.

    QIH kurucusu Ömer Akın’a göre, modern siber güvenlik stratejisinde segmentasyon, sıfır güven mimarisinin fiziksel karşılığıdır. Kimlik doğrulama olmadan hiçbir segment diğerine konuşamaz.

    Bu makalede ağ segmentasyonunun rolünü, türlerini, uygulama adımlarını ve sık yapılan hataları saha deneyimi ile ele alıyorum.

    Neden segmentasyon

    Saldırganlar artık doğrudan veri tabanına saldırmıyor. Önce bir kullanıcı hesabını ele geçiriyor, sonra ağ içinde keşif yapıyor, ayrıcalık yükseltiyor ve yanal hareket ediyor.

    Düz ağda bu hareket görünmez. Segmentli ağda her geçiş bir kontrol noktasıdır.

    Segmentasyon üç temel fayda sağlar.

    1. Patlama yarıçapını sınırlar.Bir segment ele geçirilse bile diğer segmentlere geçiş ek kimlik doğrulama gerektirir.
    2. Görünürlüğü artırır.Doğu batı trafiği izlenir hale gelir. Anormal segmentler arası iletişim hemen fark edilir.
    3. Uyumluluğu kolaylaştırır.PCI DSS, ISO 27001 ve KVKK, kritik verinin izole edilmesini ister. Segmentasyon bu gerekliliği teknik olarak karşılar.

    Segmentasyon türleri

    Fiziksel segmentasyon. Ayrı anahtarlar ve kablolama. En güvenli ama en pahalı ve esnek değil.

    VLAN tabanlı segmentasyon. Mantıksal ayrım. Maliyet etkin ama yanlış yapılandırılırsa VLAN atlama riski var.

    Mikro segmentasyon. İş yükü düzeyinde izolasyon. Yazılım tanımlı ağ ile her sunucu, hatta her uygulama kendi segmentinde. Sıfır güven için ideal.

    Kimlik tabanlı segmentasyon. Kullanıcı ve cihaz kimliğine göre dinamik erişim. Aynı VLAN içinde bile farklı politikalar.

    Nereden başlamalı

    Segmentasyon projesi envanter ile başlar. Ne koruyacağını bilmeden bölemezsin.

    Adım 1: Kritik varlık haritası. Veri tabanları, SCADA sistemleri, finans uygulamaları, yedekleme altyapısı.

    Adım 2: Trafik analizi. 30 gün boyunca doğu batı trafiğini izle. Kim kimle konuşuyor, hangi portlar kullanılıyor.

    Adım 3: Segment tasarımı. En az 5 temel segment önerilir:

    • Kullanıcı segmenti
    • Sunucu segmenti
    • Veri tabanı segmenti
    • Yönetim segmenti
    • Misafir ve IoT segmenti

    Adım 4: Politika tanımlama. Varsayılan reddet. Sadece bilinen iyi trafiğe izin ver.

    Adım 5: Aşamalı uygulama. Önce izleme modunda başla, sonra zorunlu hale getir.

    OT ve endüstriyel ağlarda segmentasyon

    Üretim ağları en kritik alan. Purdue modeli hala geçerli. Seviye 0-1 sensörler, seviye 2 kontrol, seviye 3 operasyon, seviye 4-5 kurumsal ağ.

    Bu seviyeler arasında tek yönlü veri diyodu veya sıkı güvenlik duvarı olmalı. Üretim ağından internete doğrudan çıkış olmamalı.

    QIH olarak endüstriyel tesislerde yaptığımız segmentasyon projelerinde en büyük kazanım, fidye yazılımının üretim hattına sıçramasını engellemek oldu.

    Sık yapılan hatalar

    1. Çok fazla izin veren kurallar yazmak. Herkes her şeye erişmesin.
    2. Segmentasyonu yapıp izlemeyi unutmak. Log yoksa segmentasyon kördür.
    3. Yönetim segmentini kullanıcı segmenti ile aynı yere koymak.
    4. Mikro segmentasyonu tüm ağa bir anda uygulamaya çalışmak.
    5. Üçüncü parti erişimlerini ayrı segmente almamak.

    Segmentasyon ve sıfır güven

    Sıfır güven, asla güvenme hep doğrula der. Segmentasyon bu ilkenin ağ katmanındaki uygulamasıdır.

    Kimlik doğrulama, cihaz sağlığı ve bağlam analizi olmadan segmentler arası geçiş olmaz. Bu sayede ele geçirilmiş bir hesap bile ağda serbest dolaşamaz.

    Ömer Akın’ın notu: Segmentasyon bir kere yapılan bir proje değil, yaşayan bir politikadır. Yeni uygulama geldiğinde segment politikası güncellenir.

    Sonuç

    Ağ segmentasyonu, siber güvenlik stratejisinde lüks değil, temel hijyendir. Saldırıyı önleyemezsin ama yayılmasını durdurabilirsin.

    Doğru tasarlanmış segmentasyon, SOC ekibine zaman kazandırır, uyum denetimlerini kolaylaştırır ve iş sürekliliğini korur.

    Güvenlik duvarı satın almak kolaydır. Ağı doğru bölmek zordur. Fark yaratan da budur.

     

    Not: Siber güvenlik, dijital dönüşüm ve endüstriyel sistemler konusunda danışmanlık ihtiyacı duyan kurumlar için destek sağlıyoruz. Şirketine dijital departman kurmak isteyenler için www.qihnetwork.com üzerinden dijital departman hizmeti sunuyoruz. Siber güvenlik kursları ve akademik eğitimler yakında academy.qihhub.com üzerinden başlayacak, duyurular qih.omerakin.nl/ adresinden yapılacaktır.

     

    Yazar

    Ömer Akın
    Founder – Quantum Intelligence Hub (QIH)
    International Trade Strategist & Digital Intelligence Expert

    Website: qih.omerakin.nl/
    Webshop: www.qihnetwork.com
    Academy: www.academy.qihhub.com ve www.edu.qihhub.com

     

  • Yapay Zeka Çağında Dijital Güvenlik ve Siber Tehditler

    Yapay Zeka Çağında Dijital Güvenlik ve Siber Tehditler

    Yapay Zeka Çağında Dijital Güvenlik ve Siber Tehditler

    Makale No: 3486 

    “Yapay zeka çağında dijital güvenlik, klasik siber güvenlikten farklı olarak karar verme hızı ve model güvenliği üzerine kuruludur.”
    Yapay zeka üretkenliği artırırken, saldırı yüzeyini de aynı hızda genişletiyor. Artık tehdit aktörleri sadece kod yazmıyor, model eğitiyor. Savunma tarafı da aynı silahı kullanmak zorunda. Bu yeni denklemde dijital güvenlik, klasik siber güvenlikten farklı bir disipline dönüşüyor.

    QIH kurucusu Ömer Akın’a göre, yapay zeka çağında güvenlik sorunu teknik bir açık meselesi değil, karar verme hızı meselesidir. İnsan hızında çalışan bir SOC, makine hızında çalışan bir saldırıyı yakalayamaz.

    Bu makalede yapay zekanın siber tehditleri nasıl dönüştürdüğünü, yeni risk türlerini, savunma mimarisini ve kurumların uygulaması gereken somut adımları akademik ve saha perspektifi ile ele alıyorum.

    Tehdit manzarasının dönüşümü

    Yapay zeka öncesi dönemde saldırılar insan emeğine bağlıydı. Oltalama kampanyası için yüzlerce e-posta manuel yazılırdı. Bugün büyük dil modelleri, hedef kişinin LinkedIn profilini analiz edip ona özel, hatasız ve yerel dilde oltalama metni üretebiliyor.

    Derin sahte ses ve video, CEO dolandırıcılığını yeni bir seviyeye taşıdı. 2024’te Hong Kong’da bir finans çalışanı, deepfake video konferansta CFO sandığı kişi tarafından 25 milyon dolar transfer etmeye ikna edildi.

    Yapay zeka destekli kötü amaçlı yazılımlar, ortamı analiz edip davranışını değiştiriyor. Sandbox gördüğünde uyuyor, gerçek kullanıcı görünce çalışıyor. İmza tabanlı antivirüs bu davranışı yakalayamıyor.

    Yeni nesil siber tehdit türleri

    1. Yapay zeka destekli oltalama ve sosyal mühendislik.Kişiselleştirilmiş, dil bilgisi hatasız, bağlama uygun saldırılar. Tespit oranı düşüyor.
    2. Derin sahte kimlik suistimali.Ses klonlama ile yardım masasını arama, video ile kimlik doğrulama bypass etme.
    3. Model zehirleme ve veri sızıntısı.Kurumsal yapay zeka asistanına sızan hassas verinin, model üzerinden dışarı çıkması.
    4. Otomatik zafiyet keşfi.Yapay zeka, açık kaynak kodu tarayıp sıfır gün zafiyeti buluyor ve istismar kodu üretiyor.
    5. Adversarial saldırılar.Görüntü tanıma sistemlerini kandıran piksel düzeyinde manipülasyonlar.
    6. Botnetlerin otonomlaşması.Kendi kendine yayılan, komuta kontrolsüz çalışan zararlı ağlar.

    Ömer Akın’ın saha notu: En tehlikeli saldırı, yapay zekanın ürettiği saldırı değil, yapay zekanın gizlediği saldırıdır. Normal trafik içinde kaybolan anomali.

    Savunma tarafında yapay zeka

    Savunma da aynı silahı kullanıyor.

    Tehdit avcılığı. Davranış analitiği ile anormal oturumları tespit etme. Kullanıcı normalde saat 9’da giriş yaparken gece 3’te farklı ülkeden giriş yapıyorsa risk puanı artıyor.

    SOAR ve otonom müdahale. Düşük riskli olaylarda insan onayı olmadan izolasyon yapma. Ortalama müdahale süresi dakikalardan saniyelere iniyor.

    Sahte içerik tespiti. Derin sahte ses ve videoyu piksel ve frekans analizi ile yakalama.

    Güvenli model geliştirme. Model eğitiminde veri sınıflandırma, erişim kontrolü ve çıktı filtreleme.

    Kurumsal mimari: Yapay zeka çağında güvenlik

    Geleneksel çevre güvenliği öldü. Yeni mimari sıfır güven ve kimlik merkezlidir.

    1. Kimlik ilk savunma hattıdır.Çok faktörlü kimlik doğrulama, risksiz oturum yok. Her erişim isteği doğrulanır.
    2. Veri merkezli güvenlik.Veriyi sınıflandır, etiketle, nerede olduğunu bil. Yapay zeka modellerine giden veri akışını izle.
    3. Sürekli doğrulama.Kullanıcı davranışını sürekli puanla. Anomali varsa adım yükseltmeli doğrulama iste.
    4. Model güvenliği.Kurum içinde kullanılan yapay zeka modelleri için MLOps güvenliği. Model envanteri, versiyon kontrolü, erişim logları.
    5. İnsan ve makine iş birliği.Yapay zeka gürültüyü azaltır, insan karar verir. SOC analisti artık log okumaz, risk hikayesi okur.

    90 günlük uygulama yol haritası

    0-30 gün: Görünürlük

    • Tüm kimlik sağlayıcılarını envantere al
    • Kritik veri haritasını çıkar
    • Yapay zeka kullanım envanteri oluştur, hangi departman hangi modeli kullanıyor

    30-60 gün: Temel kontroller

    • Tüm yönetici hesaplarında FIDO2 tabanlı MFA zorunlu kıl
    • EDR ve XDR tüm uç noktalara dağıt
    • E-posta güvenliğine yapay zeka destekli oltalama koruması ekle

    60-90 gün: Otonom savunma

    • SOAR playbooklarını devreye al
    • Kullanıcı davranış analitiğini başlat
    • Derin sahte farkındalık eğitimi ver

    QIH yaklaşımı ve dijital departman modeli

    QIH olarak biz, yapay zeka çağında güvenliği proje olarak değil, sürekli fonksiyon olarak ele alıyoruz. Dijital departman modelimizde kurumlara sanal CISO, tehdit istihbarat analisti ve SOC ekibi sağlıyoruz.

    Bu model, özellikle yapay zeka araçlarını hızla benimseyen ancak güvenlik ekibi kuramayan şirketler için tasarlandı. Merkezi politika, yerel uygulama.

    Ayrıca QIH Akademi’de yapay zeka güvenliği, model güvenliği ve derin sahte ile mücadele eğitimleri hazırlanıyor. Eğitimler başladığında, bu makaleleri okuyan yöneticiler aynı dili konuşan bir topluluğa dönüşecek.

    Sık yapılan hatalar

    1. Yapay zekayı sadece üretkenlik aracı görmek, güvenlik riskini değerlendirmemek
    2. Model eğitiminde kullanılan veriyi sınıflandırmamak
    3. Derin sahte tehdidini hafife almak
    4. SOC’u insan hızında bırakmak
    5. Tedarikçi yapay zeka araçlarının güvenlik durumunu sorgulamamak

    Sonuç

    Yapay zeka çağında dijital güvenlik, daha fazla ürün almak değil, daha hızlı karar vermek demektir. Saldırgan makine hızında çalışırken, savunma insan hızında kalamaz.

    Kazanan kurumlar, yapay zekayı hem kalkan hem de kılıç olarak kullananlar olacak. Güvenlik artık bir departman değil, kurumun sinir sistemidir.

     

    Not: Siber güvenlik, dijital dönüşüm ve endüstriyel sistemler konusunda danışmanlık ihtiyacı duyan kurumlar için destek sağlıyoruz. Şirketine dijital departman kurmak isteyenler için www.qihnetwork.com üzerinden dijital departman hizmeti sunuyoruz. Siber güvenlik kursları ve akademik eğitimler yakında academy.qihhub.com üzerinden başlayacak, duyurular qih.omerakin.nl/ adresinden yapılacaktır.

     

    Yazar

    Ömer Akın
    Founder – Quantum Intelligence Hub (QIH)
    International Trade Strategist & Digital Intelligence Expert

    Website: qih.omerakin.nl/
    Webshop: www.qihnetwork.com
    Academy: www.academy.qihhub.com ve www.edu.qihhub.com

  • Hükümetler Neden Siber Savunma Altyapısına Yatırım Yapıyor

    Hükümetler Neden Siber Savunma Altyapısına Yatırım Yapıyor

     

    Makale No: 3485 

    Hükümetler Neden Siber Savunma Altyapısına Yatırım Yapıyor

    Son on yılda savunma bütçelerinde dikkat çekici bir kayma yaşandı. Tank, uçak ve gemi alımları azalırken siber savunma, istihbarat ve komuta kontrol sistemlerine ayrılan pay hızla arttı. Bunun nedeni teknolojiye duyulan hayranlık değil, savaşın doğasının değişmesidir.

    QIH kurucusu Ömer Akın’a göre, modern devletler için siber savunma altyapısı artık bir tercih değil, egemenliğin devam şartıdır. Çünkü bir ülkenin elektrik şebekesi, finans sistemi ve haberleşme ağı çökerse, sınırlarını koruyacak ordu da işlevsiz kalır.

    Bu makalede hükümetlerin neden siber savunma altyapısına yatırım yaptığını, tarihsel örneklerle, stratejik gerekçelerle ve uygulanabilir çözüm modelleriyle akademik bir çerçevede ele alıyorum.

    Savaşın yeni cephesi

    Klasik savaş teorisi, Clausewitz’den bu yana fiziki güç üzerine kuruluydu. 21. yüzyılda ise güç, bilgiye erişim ve bilgiyi inkar etme kapasitesi ile ölçülüyor.

    Siber alan, kara, deniz, hava ve uzaydan sonra beşinci harekat alanıdır. NATO 2016 yılında siber alanı resmen bir harekat alanı olarak tanıdı. Bu tanıma, hukuki ve bütçesel sonuçları da beraberinde getirdi.

    Devletler için siber savunma altyapısı üç temel işlev görür.

    1. Caydırıcılık.Saldırgan, saldırının kaynağının tespit edileceğini ve misilleme göreceğini bilmelidir.
    2. Dayanıklılık.Saldırı gerçekleşse bile kritik hizmetler ayakta kalmalıdır.
    3. İstihbarat üstünlüğü.Düşmanın niyetini ve kapasitesini önceden görmek.

    Tarihsel örnekler

    Estonya, 2007. Parlamento, bankalar ve medya sitelerine yönelik dağıtık hizmet dışı bırakma saldırıları, ülkeyi neredeyse dijital olarak felç etti. Estonya bu olaydan sonra NATO Siber Savunma Mükemmeliyet Merkezi’ni kurdu ve bugün dünyanın en dirençli dijital devletlerinden biri haline geldi.

    Stuxnet, 2010. İran’ın nükleer santrifüjlerine yönelik bu operasyon, siber silahların fiziki yıkım yaratabileceğini gösterdi. Kod, santrifüjleri bozarken operatörlere her şey normal görünüyordu.

    Ukrayna elektrik şebekesi, 2015 ve 2016. İlk saldırıda 230 bin kişi elektriksiz kaldı. İkinci saldırıda otomatik koruma sistemleri hedef alındı. Bu, enerji altyapısının siber savunma olmadan korunamayacağını kanıtladı.

    ABD Colonial Pipeline, 2021. Bir fidye yazılımı saldırısı, ülkenin doğu yakasının yakıt tedarikini durdurdu. Panik alımları ve ekonomik kayıp, kritik altyapının özel sektörde olsa bile ulusal güvenlik meselesi olduğunu gösterdi.

    Bu örnekler, siber savunma yatırımının lüks değil, zorunluluk olduğunu ortaya koyar.

    Hükümetlerin yatırım yaptığı 7 alan

    1. Ulusal SOC ve CERT yapıları.7/24 izleme, olay müdahale ve koordinasyon. Türkiye’de USOM, ABD’de CISA bu görevi üstlenir.
    2. Kritik altyapı koruması.Enerji, su, ulaştırma, finans ve sağlık sektörleri için sektörel siber güvenlik standartları ve denetim mekanizmaları.
    3. Tehdit istihbaratı ve atıf kabiliyeti.Saldırının kimden geldiğini teknik, hukuki ve siyasi olarak kanıtlayabilme kapasitesi.
    4. Askeri siber komutanlıklar.Savunma ve taarruz kabiliyeti. ABD Cyber Command, Türkiye’de Siber Savunma Başkanlığı yapılanmaları.
    5. Yerli ve milli teknoloji geliştirme.Dışa bağımlılığı azaltmak için kriptografi, güvenli işletim sistemi ve donanım yatırımları.
    6. İnsan kaynağı ve akademi.Siber güvenlik uzmanı açığı küresel bir sorundur. Devletler üniversite programları, burslar ve yarışmalarla yetenek havuzu oluşturur.
    7. Kamu özel sektör iş birliği.Kritik altyapının büyük kısmı özel sektördedir. Bilgi paylaşım platformları ve teşvik mekanizmaları kurulur.

    Stratejik gerekçeler

    Ekonomik güvenlik. Bir günlük internet kesintisi, orta ölçekli bir ekonomi için milyar dolarlık kayıp demektir. Siber savunma, ekonomik süreklilik sigortasıdır.

    Ulusal egemenlik. Veri, modern egemenliğin hammaddesidir. Verisini koruyamayan devlet, karar alma bağımsızlığını kaybeder.

    Toplumsal güven. Seçim sistemleri, sağlık kayıtları ve kimlik sistemlerine yönelik saldırılar, vatandaşın devlete olan güvenini sarsar.

    Asimetrik caydırıcılık. Küçük bir aktör, düşük maliyetle büyük bir devlete zarar verebilir. Siber savunma, bu asimetriyi dengelemek için gereklidir.

    Ömer Akın’ın değerlendirmesi: Hükümetler siber savunmaya yatırım yaparken sadece teknoloji satın almaz, aynı zamanda bir anlatı inşa eder. Vatandaşa biz hazırız mesajı verilir.

    Çözüm modeli: Katmanlı kamu siber savunması

    Akademik literatürde ve sahada başarılı olan model katmanlıdır.

    Politika katmanı. Ulusal siber güvenlik stratejisi, yasal çerçeve ve sorumluluk matrisi.

    Operasyonel katmanı. Ulusal SOC, sektörel SOC’lar ve olay müdahale ekipleri.

    Teknik katmanı. Tehdit istihbarat platformu, SIEM, EDR ve güvenli haberleşme altyapısı.

    İnsan katmanı. Sürekli eğitim, tatbikat ve yetenek yönetimi.

    Bu modelin başarısı, katmanlar arası entegrasyona bağlıdır. Teknoloji var ama koordinasyon yoksa sistem çalışmaz.

    Türkiye ve bölgesel perspektif

    Türkiye, jeopolitik konumu gereği hem doğu hem batı tehdit vektörlerine açıktır. Enerji hatları, finans merkezi ve savunma sanayi, öncelikli hedeflerdir.

    Son yıllarda USOM’un kapasite artışı, yerli SIEM çözümleri ve savunma sanayiinde siber güvenlik entegrasyonu olumlu adımlardır. Ancak kritik altyapı envanterinin tam görünürlüğü ve özel sektörle bilgi paylaşımının hızlandırılması gereklidir.

    QIH olarak biz, kamu kurumları ve kritik altyapı işletmecileri için dijital departman modeli ile siber savunma olgunluk değerlendirmesi ve yol haritası hizmeti sunuyoruz. Amaç, dışa bağımlılığı azaltan ve sürdürülebilir bir yapı kurmaktır.

    Akademik ve kurumsal gelecek

    Siber savunma, sadece bugünün değil, geleceğin de alanıdır. Kuantum kriptografi, yapay zeka destekli tehdit avcılığı ve uzay tabanlı haberleşme güvenliği, önümüzdeki on yılın başlıklarıdır.

    QIH Akademi’de bu alanlarda eğitim programları hazırlanmaktadır. Eğitimler başladığında, kamu ve özel sektörden uzmanlar aynı terminoloji ve metodoloji ile çalışacaktır. Bu, ulusal siber savunma kapasitesinin en önemli çarpanıdır.

    Sonuç

    Hükümetler siber savunma altyapısına yatırım yapıyor çünkü modern savaş artık sadece sınırda değil, ağda kazanılıyor. Elektriği, suyu, parayı ve bilgiyi koruyamayan bir devlet, fiziki sınırlarını da koruyamaz.

    Yatırımın amacı saldırıyı tamamen önlemek değil, maliyeti saldırgan için kabul edilemez hale getirmek ve toplum için tolere edilebilir kılmaktır.

    Siber savunma, bir teknoloji projesi değil, bir devlet aklı meselesidir.

     

    Not: Siber güvenlik, dijital dönüşüm ve endüstriyel sistemler konusunda danışmanlık ihtiyacı duyan kurumlar için destek sağlıyoruz. Şirketine dijital departman kurmak isteyenler için www.qihnetwork.com üzerinden dijital departman hizmeti sunuyoruz. Siber güvenlik kursları ve akademik eğitimler yakında academy.qihhub.com üzerinden başlayacak, duyurular qih.omerakin.nl/ adresinden yapılacaktır.

     

     

    Yazar

    Ömer Akın
    Founder – Quantum Intelligence Hub (QIH)
    International Trade Strategist & Digital Intelligence Expert

    Website: qih.omerakin.nl/
    Webshop: www.qihnetwork.com
    Academy: www.academy.qihhub.com ve www.edu.qihhub.com

     

     

  • Küresel İşletmeler İçin Siber Güvenlik Risk Yönetimi

    Küresel İşletmeler İçin Siber Güvenlik Risk Yönetimi

    Makale No: 3484 

    Küresel İşletmeler İçin Siber Güvenlik Risk Yönetimi

    Küresel işletmeler için siber güvenlik artık bir IT sorunu değil, bir yönetim kurulu sorunudur. Tek bir ülkede faaliyet gösteren bir şirket için risk yereldir. On ülkede ofisi, üç bulutta verisi, yüzlerce tedarikçisi olan bir yapı için risk zincirleme bir krizdir.

    QIH kurucusu Ömer Akın’a göre, küresel ölçekte siber güvenlik risk yönetimi, riski yok etmek değil, riski ölçülebilir, yönetilebilir ve kabul edilebilir seviyeye indirmektir. Çünkü sıfır risk yoktur, yönetilmeyen risk vardır.

    Bu makalede küresel işletmelerin karşılaştığı risk türlerini, tarihten gelen dersleri, modern risk yönetimi çerçevesini ve sahada uygulanabilir çözüm adımlarını anlatıyorum.

    Küresel işletmelerde risk neden farklıdır

    Yerel bir şirket için en büyük tehdit fidye yazılımıdır. Küresel bir şirket için tehdit portföyü çok daha geniştir.

    1. Regülasyon çeşitliliği.Avrupa’da GDPR, Türkiye’de KVKK, ABD’de CCPA ve eyalet bazlı yasalar, Çin’de PIPL. Aynı veri seti için dört farklı uyum kuralına uymanız gerekir.
    2. Tedarik zinciri riski.Siz güvenlisiniz ama Vietnam’daki alt yükleniciniz değil. 2021’de Kaseya saldırısı 1.500’den fazla şirketi tek bir tedarikçi üzerinden vurdu.
    3. Jeopolitik risk.Savaş, yaptırım, internet kesintisi. 2022’de Ukrayna’daki veri merkezleri fiziksel olarak hedef alındı.
    4. Kültürel ve operasyonel fark.Almanya’daki çalışan phishing eğitimini ciddiye alır, başka bir bölgedeki ekip aynı e-postaya tıklar.

    Ömer Akın’ın sahadan notu: Küresel şirketlerde en büyük risk teknoloji değil, görünmezliktir. Hangi ülkede hangi veri duruyor, kim erişiyor, kimse bilmiyor.

    Tarihten dersler: Küresel risk nasıl krize dönüşür

    NotPetya, 2017. Ukrayna merkezli bir muhasebe yazılımı üzerinden yayıldı, Maersk, Merck, FedEx dahil 60’tan fazla küresel devi vurdu. Maersk 300 milyon dolar zarar açıkladı. Tek bir tedarikçi, küresel operasyon durdurdu.

    SolarWinds, 2020. Bir yazılım güncelleme mekanizması üzerinden 18.000 kuruma sızıldı. ABD hazinesi dahil. Risk, güvenilen bir satıcıdan geldi.

    MOVEit, 2023. Dosya transfer yazılımındaki açık, dünya çapında 2.700’den fazla kurumu etkiledi. Bankalar, devletler, üniversiteler aynı anda etkilendi.

    Bu olaylar şunu gösterdi: Küresel işletmelerde risk artık tekil değil, sistemiktir.

    Modern risk yönetimi çerçevesi

    Küresel ölçekte risk yönetimi 4 sütuna oturur.

    1. Tanımla.Varlık envanteri, veri haritası, tedarikçi envanteri. Ne koruduğunu bilmeden riski yönetemezsin.
    2. Ölç.Olasılık ve etki. NIST CSF, ISO 27005, FAIR modeli. Riski renklerle değil, sayılarla konuş.
    3. Azalt.Teknik kontrol, süreç, eğitim. Riski kabul et, transfer et, azalt veya kaçın.
    4. İzle.Sürekli izleme, tehdit istihbaratı, yönetim kurulu raporlaması. Risk statik değildir.

    Küresel işletmeler için 7 kritik risk alanı

    1. Kimlik ve erişim riski.Farklı ülkelerde farklı kimlik sağlayıcılar. Ayrıcalıklı hesaplar takip edilmiyor. Çözüm: Merkezi IAM, çok faktörlü kimlik doğrulama, PAM.
    2. Veri yerleşimi riski.Verinin nerede saklanacağı yasal zorunluluk. Çözüm: Veri sınıflandırma ve bölgesel veri merkezleri.
    3. Tedarikçi riski.Üçüncü taraf riski. Çözüm: Tedarikçi güvenlik skorlaması, sözleşmeye güvenlik maddesi, yıllık denetim.
    4. Bulut yapılandırma riski.Yanlış S3 bucket, açık veritabanı. Çözüm: CSPM araçları, altyapı olarak kod, sürekli uyum taraması.
    5. Operasyonel süreklilik riski.Fidye yazılımı sonrası üretim durması. Çözüm: Bölgesel yedekleme, kriz iletişim planı, masa başı tatbikat.
    6. Uyum riski.Farklı regülasyonlar. Çözüm: Ortak kontrol matrisi. Bir kontrol ile birden fazla yasaya uyum.
    7. İnsan riski.Sosyal mühendislik. Çözüm: Yerelleştirilmiş farkındalık eğitimi, phishing simülasyonu.

    Çözüm odaklı yol haritası

    Küresel işletmeler için uygulanabilir 12 aylık plan.

    0-90 gün: Görünürlük

    • Tüm varlık ve veri envanteri çıkarılır.
    • Kritik tedarikçiler listelenir.
    • Mevcut riskler FAIR modeli ile puanlanır.
    • Yönetim kuruluna ilk risk raporu sunulur.

    90-180 gün: Temel kontroller

    • Tüm yönetici hesaplarına MFA zorunlu hale getirilir.
    • EDR/XDR tüm uç noktalara yayılır.
    • Yedekleme 3-2-1 kuralına göre test edilir.
    • Tedarikçi sözleşmelerine güvenlik ekleri eklenir.

    180-270 gün: Olgunlaşma

    • SIEM ve SOAR entegrasyonu tamamlanır.
    • Bölgesel veri sınıflandırma politikası devreye alınır.
    • Çalışan eğitimleri ülkeye özel içerikle yapılır.
    • İlk tedarikçi denetimi yapılır.

    270-365 gün: Sürekli iyileştirme

    • Kırmızı takım tatbikatı yapılır.
    • Risk iştahı yeniden tanımlanır.
    • Yönetim kurulu için çeyreklik risk skorbord hazırlanır.

    Ömer Akın görüşü: Küresel risk yönetiminde en pahalı hata, her ülkeye aynı çözümü kopyalamaktır. Çerçeve global olmalı, uygulama yerel olmalı.

    Risk yönetimini dijital departman ile kurumsallaştırmak

    Birçok küresel işletme siber güvenlik risk yönetimini proje olarak görür. Oysa bu sürekli bir fonksiyondur. Bunun için iki yol var.

    Birincisi, içeride büyük bir ekip kurmak. Maliyetli ve yavaş.

    İkincisi, dışarıdan yönetilen bir dijital departman modeli ile başlamak. QIH olarak biz bu modeli uyguluyoruz. Şirketin mevcut yapısına entegre bir sanal CISO, risk analisti ve SOC ekibi sağlıyoruz. Böylece küresel risk yönetimi bir danışmanlık raporu olarak kalmıyor, operasyonel hale geliyor.

    Dijital departman paketi, özellikle birden fazla ülkede ofisi olan ama her ülkede ayrı güvenlik ekibi kurmak istemeyen şirketler için tasarlandı. Merkezi politika, yerel uygulama.

    Akademi ve uzun vadeli marka inşası

    Risk yönetimi sadece teknoloji ile olmaz, insan ile olur. Bu yüzden QIH Akademi tarafında siber güvenlik risk yönetimi eğitimleri hazırlıyoruz. Eğitimler başladığında, bugün bu makaleleri okuyan yöneticiler ve uzmanlar, aynı dili konuşan bir topluluk olacak.

    Marka olmak, bir günde olmaz. Her makale, her eğitim, her saha notu ile inşa edilir. Ömer Akın ismi ve QIH markası, küresel işletmeler için siber güvenlik risk yönetiminde referans noktası haline gelmek için bu şekilde konumlanıyor.

    Sık yapılan 5 hata

    1. Riski sadece teknik ekip yönetiyor, yönetim kurulu dahil değil.
    2. Risk değerlendirmesi yılda bir yapılıyor, tehdit her gün değişiyor.
    3. Tedarikçi riski hiç ölçülmüyor.
    4. Farklı ülkelerdeki uyum kuralları ayrı ayrı yönetiliyor, ortak matris yok.
    5. Risk raporları teknik jargonla dolu, yönetim anlamıyor.

    Sonuç

    Küresel işletmeler için siber güvenlik risk yönetimi, bir güvenlik yatırımı değil, bir iş sürekliliği yatırımıdır. Doğru yapıldığında hem regülasyon cezalarını önler hem de müşteri güvenini artırır.

    Riskleri tanımla, ölç, azalt ve izle. Bu döngüyü kurumsallaştır. Teknoloji satın alabilirsin ama risk kültürünü inşa etmek zaman alır.

     

    Not: Siber güvenlik, dijital dönüşüm ve endüstriyel sistemler konusunda danışmanlık ihtiyacı duyan kurumlar için destek sağlıyoruz. Şirketine dijital departman kurmak isteyenler için www.qihnetwork.com üzerinden dijital departman hizmeti sunuyoruz. Siber güvenlik kursları ve akademik eğitimler yakında academy.qihhub.com üzerinden başlayacak, duyurular qih.omerakin.nl/ adresinden yapılacaktır.

     

    Yazar

    Ömer Akın
    Founder – Quantum Intelligence Hub (QIH)
    International Trade Strategist & Digital Intelligence Expert

    Website: qih.omerakin.nl/
    Webshop: www.qihnetwork.com
    Academy: www.academy.qihhub.com ve www.edu.qihhub.com

     

  • Siber Güvenlik Nedir? Nasıl Korunuruz?

    Siber Güvenlik Nedir? Nasıl Korunuruz?

    Makale 344

    Siber Güvenlik Nedir ve Neden Önemlidir?

    Siber güvenlik nedir sorusu, dijital çağda en çok araştırılan konuların başında gelmektedir. Günümüzde şirketler, devletler ve bireyler için veri en değerli varlıklardan biri haline gelmiştir. Bu nedenle siber güvenlik yalnızca teknik bir konu değil, aynı zamanda stratejik bir zorunluluktur. Siber saldırıların her geçen gün artması, hem bireysel kullanıcıları hem de kurumsal yapıları ciddi risklerle karşı karşıya bırakmaktadır. Dijital çağda güç artık sadece fiziksel varlıklarla ölçülmüyor. Veri, erişim ve kontrol; modern dünyanın en kritik unsurları haline geldi. Bu nedenle siber güvenlik, yalnızca teknik bir konu değil, doğrudan ekonomik, politik ve stratejik bir alandır.
    Bugün bir şirketin, devletin veya bireyin en zayıf noktası çoğu zaman fiziksel değil dijitaldir. Ve bu zayıflıklar doğru şekilde yönetilmezse, sonuçları telafisi zor krizlere dönüşebilir.
    Quantum Intelligence Hub (QIH) kurucusu Ömer Akın’ın değerlendirmelerine göre, günümüzde başarılı olan yapılar yalnızca büyüyenler değil, aynı zamanda kendilerini dijital tehditlere karşı koruyabilenlerdir.
    Siber Güvenlik Nedir?
    Siber güvenlik; sistemleri, ağları, yazılımları ve verileri dijital tehditlere karşı koruma disiplinidir.

    Bu yapı üç temel prensip üzerine kuruludur:
    Gizlilik (Confidentiality)
    Bütünlük (Integrity)
    Erişilebilirlik (Availability)

    Bu üçlüden biri zayıfladığında sistem çöker. Örneğin bir veri sızdırıldığında gizlilik ihlal edilir; bir veri değiştirildiğinde bütünlük bozulur; sistem kapandığında ise erişilebilirlik ortadan kalkar.
    Siber Güvenlik Neden Stratejik Bir Konudur?
    Geçmişte güvenlik daha çok askeri ve fiziksel alanlarla sınırlıydı. Ancak bugün savaşların önemli bir bölümü dijital altyapılar üzerinde gerçekleşmektedir.
    Enerji sistemleri, bankalar, lojistik ağları ve devlet altyapıları artık tamamen dijital sistemlere bağlıdır. Bu da siber saldırıları sadece teknik bir sorun olmaktan çıkarıp ulusal güvenlik meselesi haline getirir.
    Ömer Akın’a göre modern dünyada “veriyi koruyamayan yapı, geleceğini koruyamaz.”
    Siber Tehdit Türleri (Gerçek Dünya Örnekleriyle)
    Phishing (Oltalama Saldırıları)
    En basit ama en etkili yöntemdir.
    Bir şirket çalışanına “bankadan gelmiş gibi” görünen bir e-posta gönderilir. Çalışan linke tıklar ve şifresini girer. Bu noktada saldırgan sistemin içine girmiş olur.

    Örnek: Avrupa’da birçok finans şirketi bu yöntemle milyonlarca euro kaybetmiştir.
    Ransomware (Fidye Yazılımı)
    Sistem tamamen kilitlenir ve açılması için para talep edilir.

    Örnek senaryo:
    Bir lojistik firması sabah sistemlerine giremez. Tüm sevkiyat durur. Ekranda şu yazı çıkar:
    “Verileriniz şifrelendi. 72 saat içinde ödeme yapmazsanız silinecek.”
    Bu sadece IT problemi değil, doğrudan operasyonel felakettir.
    DDoS Saldırıları
    Sunucuya aşırı yük bindirilir ve sistem çökertilir.
    E-ticaret siteleri için bu, doğrudan gelir kaybı demektir.
    Veri Sızıntıları
    En tehlikeli saldırı türlerinden biridir çünkü çoğu zaman fark edilmez.
    Şirketin müşteri verileri, finansal kayıtları veya stratejik belgeleri sessizce dışarı çıkarılır.
    Sosyal Mühendislik

    En kritik nokta burası:
    Sistemler değil, insanlar hacklenir.
    Bir çalışan aranır ve kendisini IT departmanı olarak tanıtan biri şifre ister. Çalışan verir. Sistem düşer.
    Siber Güvenlikte En Büyük Hata: “Bize Bir Şey Olmaz”
    Bu düşünce, şirketlerin %80’inin çöküş sebebidir.

    Gerçek şu:
    Küçük şirketler daha çok hedef alınır
    Çünkü savunmaları zayıftır
    Ve saldırganlar için kolay kazançtır

    QIH analizlerine göre saldırıların büyük bölümü otomatik sistemler ile yapılır. Yani hedef seçilmez, açık bulunur.
    Nasıl Korunuruz? (Stratejik ve Uygulanabilir Model)
    Burada teori değil, uygulanabilir sistem veriyorum.
    1. Kimlik ve Erişim Güvenliği
    Tüm sistemlerde 2FA zorunlu olmalı
    Aynı şifre farklı yerlerde kullanılmamalı
    Admin yetkileri sınırlanmalı
    Basit bir kural:
    Yetkisi gerekmeyen kimse hiçbir şeye erişmemeli.
    2. Güncelleme ve Patch Yönetimi
    Eski sistem = açık kapı
    Birçok saldırı, güncellenmemiş yazılımlar üzerinden yapılır.
    3. Çalışan Eğitimi
    Siber güvenlik teknik değil, kültürel bir konudur.
    Phishing simülasyonları yapılmalı
    Çalışanlar test edilmeli
    Refleks kazandırılmalı
    4. Veri Yedekleme Stratejisi
    En kritik konu:
    Offline yedek + Cloud yedek birlikte kullanılmalı
    Haftalık değil günlük yedek alınmalı
    Ransomware saldırısında kurtaran tek şey budur.
    5. Ağ ve Sistem Güvenliği
    Firewall aktif olmalı
    IDS/IPS sistemleri kurulmalı
    Gereksiz portlar kapatılmalı
    6. Sürekli Denetim
    Penetration test yapılmadan güvenlik olmaz.
    Kendi sistemine saldırı yaptırmayan şirket, gerçek saldırıya hazır değildir.
    Şirketler İçin Siber Güvenlik Stratejisi

    Doğru model:
    Risk analizi
    Açık tespiti
    Önceliklendirme
    Koruma
    İzleme
    Müdahale

    Bu döngü sürekli çalışmalıdır.
    QIH Perspektifi: Siber Güvenlik = Ticari İstihbarat
    Quantum Intelligence Hub yaklaşımı klasik IT güvenliğinden farklıdır.

    Burada amaç sadece sistemi korumak değil:
    Rakip risklerini analiz etmek
    Tedarik zinciri güvenliğini sağlamak
    Dijital tehditleri önceden öngörmek
    Bu yaklaşım, siber güvenliği bir savunma değil, stratejik avantaj haline getirir.
    Gerçek Hayat Senaryosu

    Bir şirket düşün:
    Güçlü satış ekibi var
    Reklam bütçesi yüksek
    Müşteri sayısı artıyor

    Ama:
    Şifreler zayıf
    Yedekleme yok
    Çalışan eğitimi yok

    Bir gün sistem hackleniyor.
    Tüm müşteri verileri çalınıyor.

    Sonuç:
    Güven kaybı
    Hukuki süreç
    Finansal çöküş

    Bu senaryo nadir değil, her gün yaşanıyor.
    Gelecekte Siber Güvenlik
    2026 ve sonrası için trendler:
    Yapay zeka destekli saldırılar
    Otomatik hack sistemleri
    Devlet destekli siber operasyonlar
    Kritik altyapı hedefli saldırılar
    Bu nedenle güvenlik artık opsiyon değil, zorunluluktur.

    Sonuç
    Siber güvenlik bir yazılım değil, bir zihniyettir.
    Teknik önlemler tek başına yeterli değildir. İnsan, süreç ve teknoloji birlikte çalışmalıdır.
    Ömer Akın’ın yaklaşımıyla ifade edersek:
    “Güvenlik, bir maliyet değil; doğru yönetildiğinde doğrudan rekabet avantajıdır.”
    Quantum Intelligence Hub (QIH), siber güvenliği sadece koruma değil, aynı zamanda stratejik güç unsuru olarak ele alır.

    Ömer Akın
    Kurucu | Stratejik İstihbarat & Siber Güvenlik Uzmanı
    Quantum Intelligence Hub (QIH)
    Global Risk Analizi • Siber Güvenlik • Dijital İstihbarat
    qih.omerakin.nl/

    “Güvenlik bir maliyet değil, stratejik bir güçtür.”