KVKK için Ağ Güvenliği Nasıl Kurulur? Güvenlik Duvarı ve Saldırı Tespit Sistemleri

1. KVKK Hangi Ağ Güvenliği Önlemlerini Zorunlu Kılıyor?

KVKK’nın 12. maddesi veri işleyen kurumlara açık bir yükümlülük getiriyor: Kişisel verilere yetkisiz kişilerin erişememesi, verilerin değiştirilememesi ve kaybolmaması için gerekli teknik önlemlerin alınması. Bu yalnızca bir politika belgesi imzalamak değil, altyapının gerçekten tahkim edilmesi demek.

Teknik tedbirler kâğıt üzerinde kalmamalı

Denetimlerimizde sık karşılaştığımız bir tablo var: Gizlilik sözleşmeleri imzalanmış, politika belgeleri hazırlanmış — ama ağa sızan biri hiçbir engelle karşılaşmadan veritabanına ulaşabiliyor. KVKK, idari düzenlemelerin yanında teknik önlemlerin de fiilen uygulanmasını istiyor. İkisi birbirinin yerini tutmuyor.

Hangi teknik önlemler gerekiyor?

KVKK rehberinde ağ güvenliğiyle ilgili öne çıkan gereksinimler şunlar: ağın güvenli bölgelere ayrılması, saldırı tespit ve önleme sistemlerinin kurulması, verilerin iletilirken şifrelenmesi, erişim kayıtlarının tutulması ve düzenli sızma testi yaptırılması.

Özel nitelikli veriler için daha sıkı kurallar

Sağlık verisi, biyometrik veri gibi KVKK’nın “özel nitelikli” saydığı veriler çok daha yüksek koruma gerektiriyor. Bu verilerin bulunduğu sistemler ağın geri kalanından tamamen ayrılmalı ve yalnızca yetkili kişilerin, yalnızca gerekli bağlantı noktaları üzerinden erişimine açık olmalı.

GAP analizi neden yapılmalı?

Kurumun şu anki güvenlik durumu ile KVKK’nın beklediği durum arasındaki farkı ortaya koymaya “GAP analizi” deniyor. Bu analiz, hangi boşlukların önce kapatılması gerektiğini belirlemenin en sağlıklı yolu. Tüm riskleri aynı anda gidermeye çalışmak yerine önceliklendirme yaparak başlamak daha sürdürülebilir bir yol.

2. Güvenlik Duvarı Nasıl Doğru Kurulur?

Güvenlik duvarı, kurumun iç ağı ile dış dünya arasındaki kapıyı temsil eder. Ama bu kapının doğru ayarlanmış olması gerekiyor. Kapının tamamen açık bırakılması — yani her trafiğe izin verilmesi — saldırganlara içeri girdikten sonra serbestçe dolaşabilecekleri bir ortam yaratır.

Yeni nesil güvenlik duvarı (NGFW) klasikten neden farklı?

Eski güvenlik duvarları trafiği yalnızca IP adresi ve bağlantı noktasına göre değerlendirirdi. Yeni nesil güvenlik duvarları (NGFW) ise trafiğin içeriğini de anlayabiliyor. “Bu bağlantı hangi uygulamadan geliyor, kim kullanıyor, ne tür veri taşıyor?” sorularını yanıtlayabiliyor. KVKK uyumu için bu düzey bir denetim gereklidir.

“Her şeyi engelle” prensibi neden önemli?

Pek çok kurumda iş süreçlerini bozmamak adına güvenlik duvarı “şüpheli görünene izin verme, gerisine izin ver” mantığıyla kurulur. Bu büyük bir hatadır. Doğru yaklaşım tam tersidir: Açıkça gerekçelendirilmemiş her trafik varsayılan olarak engellenmeli, yalnızca onaylanan bağlantılara izin verilmelidir. Bu prensibin adı “varsayılan engelleme” (default deny).

Ağı bölümlere ayırmak neden şart?

Bir kurumun tüm sistemlerinin aynı ağda bulunması, bir bölümde çıkan yangının tüm binayı sarması gibi bir risk taşır. Ağ bölümleme (segmentasyon), farklı sistemleri birbirinden ayırır. Örneğin müşteri verilerinin bulunduğu sunucular, çalışan bilgisayarları, misafir Wi-Fi’ı ve fabrika cihazları ayrı ağ bölgelerinde tutulmalıdır. Bir bölüm ele geçirilse bile diğerine geçiş engellenir.

Gölge kurallar neden tehlikelidir?

Güvenlik duvarı kuralları yıllarca birikince beklenmedik sorunlar oluşabilir. “Gölge kural” denen durumda daha yukarıda tanımlanmış geniş bir kural, alttaki özel güvenlik kuralını etkisiz hale getirir. O güvenlik kuralı varlığını sürdürüyor görünür ama hiçbir zaman devreye girmez. Bu tür kör noktaları bulmak düzenli kural denetimi olmadan mümkün değildir.

3. Saldırı Tespit Sistemleri (IDS/IPS) Ne İşe Yarar?

Güvenlik duvarı ne kadar iyi kurulmuş olursa olsun bazı saldırıları tek başına durduramaz. Çünkü birçok saldırı tamamen meşru görünen bağlantı noktaları ve protokoller üzerinden gelir. Bu noktada devreye saldırı tespit ve önleme sistemleri giriyor.

IDS ve IPS arasındaki fark nedir?

IDS (Saldırı Tespit Sistemi), ağ trafiğini izler ve şüpheli bir durum gördüğünde alarm üretir. Ama müdahale etmez, sadece bildirir. IPS (Saldırı Önleme Sistemi) ise bir adım daha ileri gider ve şüpheli trafiği anında durdurur. KVKK açısından değerlendirildiğinde IPS, veri sızıntısını anlık önleme kapasitesi sağladığı için daha güçlü bir seçenektir.

Bu sistemler tehditleri nasıl tanıyor?

İki farklı yöntem var. Birincisi bilinen saldırıların “parmak izini” tanımak: Antivirüslerin çalışmasına benzer şekilde gelen trafiğin bilinen saldırı kalıplarıyla karşılaştırılması. Bu yöntem güçlüdür ama listede olmayan yeni saldırılar karşısında yetersiz kalır.

İkinci yöntem ise davranış analizi. Sistem önce kurumun “normal” trafik profilini öğrenir. Sonra bu normalden sapan durumları tespit eder. Örneğin muhasebe bilgisayarının gece yarısı veritabanına gigabaytlarca veri indirme talebi göndermesi normalden sapmadır ve anında işaretlenir.

Yanlış alarm sorunu

IPS’nin en büyük zorluğu meşru bir işlemi saldırı olarak algılamasıdır. Örneğin normal bir veritabanı sorgusunu tehdit sanarak bağlantıyı kesmesi iş süreçlerini aksatır. Bu nedenle sistemin kurumun trafik yapısına göre ince ayar yapılması gerekir. Doğru yapılandırılmış bir IPS, güvenliği iş sürekliliğini bozmadan sağlar.

4. Fabrikalar ve Üretim Sistemleri İçin Ağ Güvenliği

Üretim tesislerinde ağ güvenliği yalnızca ofis bilgisayarlarını korumaktan ibaret değildir. Fabrika makinelerini yöneten sistemler — PLC’ler, sensörler, kontrol panelleri — de dijital ağa bağlı hale geldi. Bu dönüşüm yeni ve ciddi riskler doğuruyor.

Fabrika ağı neden farklı bir risk taşıyor?

Ofis ağında internet kesilse çalışanlar birkaç dakika bekler. Ama fabrikada üretim hattını kontrol eden sistem kesilirse ya da saldırıya uğrarsa sonuçlar çok daha ağır olabilir: üretim durabilir, ürünler zarar görebilir, hatta fiziksel güvenlik riskleri ortaya çıkabilir. Bunun yanında üretim parametreleri, çalışan performans verileri ve özel reçeteler KVKK kapsamında kişisel veri sayılabiliyor.

Modbus ve DNP3 neden savunmasız?

Fabrikalarda yaygın kullanılan Modbus ve DNP3 gibi iletişim protokolleri onlarca yıl önce tasarlandı. O dönemde güvenlik kaygısı yoktu, sistemler dış dünyaya kapalıydı. Bugün bu protokollerin şifreleme ya da kimlik doğrulama gibi güvenlik özellikleri yok. Ağa sızan biri bu protokoller üzerinden cihazlara komut gönderebilir ya da üretim verilerini okuyabilir.

Fabrikalar için doğru güvenlik yaklaşımı ne?

Fabrika ağı ile ofis ağı birbirinden kesin olarak ayrılmalıdır. İki ağ arasındaki geçiş mümkünse tamamen kapatılmalı, zorunluysa yalnızca belirli ve denetlenen bağlantılara izin verilmelidir. Modbus ve DNP3 gibi endüstriyel protokolleri anlayabilen özel güvenlik duvarları kullanılmalıdır. Bu cihazlar yalnızca “bu bağlantı güvenli mi?” değil “bu komut bu cihaza verilmeli mi?” sorusunu da sormalıdır.

Tarama yaparken dikkat edilmesi gereken nokta

Ofis ağlarında kullanılan otomatik tarama araçları fabrika ortamlarında tehlikeli olabilir. Yoğun tarama trafiği hassas PLC cihazlarının kilitlenmesine neden olabilir. Bu nedenle üretim sistemleri için pasif izleme yöntemi tercih edilir: Sistemlere dokunmadan, trafik dinlenerek mevcut güvenlik durumu analiz edilir.

5. Şifreli Trafik Denetimi ve Kayıt Tutma Zorunluluğu

Kurumsal ağdaki trafiğin büyük bölümü şifreli. Bu hem güvenlik hem de gizlilik açısından iyi bir şey. Ama saldırganlar da bu şifreli kanalları kullanıyor. Güvenlik duvarı ve IPS sistemleri şifreyi göremezse tehdidin içeriğini de göremez.

Şifreli trafik nasıl denetlenir?

Şifreli trafiği incelemek için güvenlik cihazı araya girer, şifrelemeyi geçici olarak çözer, içeriği inceler ve yeniden şifreleyerek iletir. Bu yöntemin adı SSL denetimi. Teknik olarak güvenlik cihazı “aradaki adam” konumuna geçiyor; ama bu sefer amaç koruma.

Çalışan mahremiyeti meselesi

Burada KVKK açısından dikkat edilmesi gereken önemli bir nokta var. Bir çalışan iş yerinde e-nabız hesabına ya da internet bankacılığına girdiğinde, bu trafiğin şifresinin çözülmesi hassas kişisel verilerin işveren tarafından görülmesi anlamına gelir. Bu sorunun çözümü şu: Sağlık, finans ve kamu siteleri denetim kapsamının dışında bırakılır. Bilinmeyen ve kategori dışı siteler ise denetlenir.

5651 Sayılı Kanun ve KVKK birlikte ne istiyor?

5651 sayılı İnternet Kanunu, kurumların iç ağ trafiğini zaman damgasıyla kayıt altına almasını ve bu kayıtları en az 2 yıl saklamasını zorunlu kılıyor. KVKK ise bu kayıtların içindeki kişisel verilerin (IP adresleri, ziyaret edilen adresler gibi) saklama amacı ortadan kalktığında silinmesini ya da anonim hale getirilmesini istiyor. Bu iki zorunluluk aynı anda yönetilmek zorunda.

Kayıtların değiştirilemez olması neden önemli?

Bir siber saldırı yaşandığında ya da KVKK denetiminde “bu saldırı nasıl gerçekleşti?” sorusu sorulduğunda tek yanıt kaynağı kayıtlardır. Bu kayıtların sonradan değiştirilmediğini kanıtlamak için elektronik zaman damgası kullanılır. Ayrıca bu kayıtlara yalnızca yetkili güvenlik analistlerinin, yalnızca gerektiğinde erişimi olmalıdır.

Sık Sorulan Sorular