Dijital Dönüşümde Güvenliğin Yeni Oyunu: Tehdit İstihbaratı, Hukuki Uyum ve Operasyon

AI destekli saldırılar & deepfake

• Hedefli oltalama (spear phishing) ve stil klonlama
• Polimorfik/metamorfik zararlı yazılımlar
• Ses/yüz deepfake ile acil transfer dolandırıcılığı

Tedarik zinciri & Ransomware 2.0

• Yazılım güncelleme kanallarına sızma, MSP ihlalleri
• Çifte şantaj: Şifreleme + veri sızdırma tehdidi

IoT/OT zafiyetleri

Varsayılan parolalar, yamalanmayan cihazlar ve zayıf şifreleme; ağ içi yanal hareket için sıçrama tahtası.

Temel ilkeler (DNA)

• Hukuka uygunluk, doğruluk, amaçla sınırlılık
• Veri minimizasyonu, sınırlı süreli saklama
• Bütünlük ve gizlilik (teknik/idari tedbir)

Privacy by Design/Default

Gizlilik ve güvenlik tasarımdan itibaren; varsayılan ayarlar en yüksek gizlilikte.

Roller & sözleşmeler

• Veri sorumlusu ↔ veri işleyen ayrımı
• 3. taraf sözleşmelerinde güvenlik/denetim/ihlal bildirimi maddeleri

72 Saat Kuralı

• KVKK/GDPR: ihlali öğrenmeden itibaren 72s içinde otoriteye bildirim
• Yüksek riskte ilgili kişilere makul sürede bilgilendirme
• Bildirim içeriği: kapsam, DPO iletişimi, etki, alınan tedbirler

İdari cezalar (özet)

• KVKK: aydınlatma, güvenlik, VERBİS, kurul kararlarına uyum kalemlerinde yüksek yaptırımlar
• GDPR: 10–20M€ veya cironun %2–4’üne kadar

Teknik omurga

• RBAC/IAM/PAM · En az ayrıcalık
• Ağ segmentasyonu & mikro-segmentasyon
• Şifreleme (at-rest/in-transit)
• Sızma testi & zafiyet yönetimi
• SIEM · Log saklama & bütünlük

İdari omurga

• Bilgi güvenliği & saklama/imhâ politikaları
• Farkındalık eğitimleri & SİBER kültür
• Üçüncü taraf risk yönetimi & sözleşmeler

Algılama → Analiz → Müdahale

SIEM ile anomali tespiti, analist doğrulaması ve planlı containment/eradication/recovery akışı.

Threat Hunting & Forensics

Alarmsız APT izi arama; adli kanıt bütünlüğü (chain of custody) ve 72s bildirime veri sağlama.

Tarama ≠ Pentest

Zafiyet taraması “liste” çıkarır; pentest istismar edilebilirliği ve iş etkisini kanıtlar.

Türler

• Black-box · White-box · Grey-box

Uyum kesişimi

• “Yeterli tedbir” kanıtı
• Risk analizini doğrular
• Remediation & doğrulama döngüsü

Zorunluluk

• KVKK: VERBİS beyanı için şart
• GDPR m.30: İşleme kayıtları

Nasıl?

• Departman görüşmeleri + Data discovery araçları
• Her faaliyet için: amaç, hukuki sebep, kategori, kişi grubu, ortam, alıcı, süre, tedbir

Tipler

• Kötü niyetli
• İhmalkâr/dikkatsiz
• Ele geçirilmiş hesap

Sorumluluk matrisi

• İK: background check, onboarding/offboarding
• BT: RBAC, UEBA, DLP, hızlı erişim iptali
• Hukuk: politikalar, soruşturma, bildirim

Kültür

Şeffaf izleme, net politikalar, sürekli eğitim; “güven + kontrol” dengesi.

Risk & Uyum Matrisi

• Yüksek Risk + Yüksek Uyum Açığı → Acil yatırım
• Düşük Risk + Yüksek Uyum Açığı → Planlı yatırım
• Yüksek Risk + Düşük Uyum Açığı → Risk odaklı yatırım
• Düşük Risk + Düşük Uyum Açığı → İzle/ertele

ROI’yi hukukla hesapla

“Kaçınılan ceza + kriz maliyeti” = yatırımın geri dönüşünün görünür kılınması.