Siber Güvenlik Nedir ve Kurumlar İçin Neden Bu Kadar Önemlidir?

1. Siber güvenlik neden artık herkesi ilgilendiriyor?

Ne koruyoruz aslında?

Siber güvenlik denince akla hemen “bilgisayar virüsü” gelir. Ama konu bundan çok daha geniş. Kurumunuzun e-postaları, müşteri kayıtları, muhasebe sistemi, üretim makineleri, çalışanların hesapları… Bunların hepsi birer hedef. Bir saldırı olduğunda etki tek bir cihazla kalmaz; zincirleme yayılır.

Eskiden büyük şirketlerin sorunuydu. Şimdi ne değişti?

Yıllar önce siber saldırılar genellikle büyük bankaları ya da telekom şirketlerini hedef alıyordu. Bugün ise tablo tamamen farklı. Küçük bir belediye, orta ölçekli bir fabrika ya da bir okul da hedef olabiliyor. Çünkü artık hemen her kurum internete bağlı çalışıyor. İnternet bağlantısı varsa risk de var.

Bunu bir binayla anlatalım

Kurumunuzu büyük bir bina gibi hayal edin. Kapılar = kullanıcı hesapları. Pencereler = internete açık servisler. İç odalar = veritabanları ve kritik dosyalar. Eğer kapılar zayıfsa, içeride kimin gezdiğini bilmiyorsanız ve bazı pencereler açık kalmışsa — o bina ne kadar güvende? Dijital yapınız da tam böyle çalışır.

Saldırılar genellikle nasıl başlar?

Çoğu siber saldırı çok sofistike tekniklerle başlamaz. En yaygın başlangıç noktaları şunlardır:

• Sahte bir e-posta (örneğin “Parolanızı sıfırlayın” yazan bir link)
• Kolay tahmin edilebilen şifreler (“123456”, “şirketadı2024” gibi)
• Kapatılmayı unutulan uzak erişim bağlantıları
• Uzun süredir güncellenmeyen yazılımlar

Saldırganlar en karmaşık kapıyı kırmaya çalışmaz. Açık kalan küçük aralığı bulup oradan girer.

Kamu kurumları için ne anlama gelir?

Belediyeler, bakanlıklar, hastaneler gibi kamu kurumlarında bir saldırı sadece veri kaybı demek değildir. Vatandaş işlemleri aksayabilir, sağlık hizmetleri durabilir, kurumsal yazışmalar ele geçirilebilir. Birkaç saatlik bir sistem kesintisi bile hem idari hem de kamuoyu açısından ciddi sonuçlar doğurur.

Fabrikalar ve üretim tesisleri için ne anlama gelir?

Üretimde dijital sistemler makineye bağlıdır. Bir saldırı üretim hattını durdurabilir, reçeteleri bozabilir, sevkiyatı geciktirebilir. Ofis bilgisayarları ile fabrika sistemleri aynı ağda birbirine bağlıysa, bir taraftaki sorun diğer tarafa kolayca sıçrar.

Özel sektör için ne anlama gelir?

Şirketler için en büyük risk müşteri verilerinin çalınmasıdır. Müşterilerin adı, adresi, ödeme bilgileri — bunlar ele geçirildiğinde sadece teknik zarar olmaz. Müşteri güveni sarsılır, iş ortaklıkları zedelenir ve hukuki süreçler başlar.

Tehdit sadece dışarıdan gelmez

Büyük bir hata şudur: güvenlik sadece “dışarıdan gelecek saldırıya karşı” olmak demildir. İçerideki riskler de en az dışarıdakiler kadar tehlikelidir. Örneğin:

• Gereğinden fazla yetkiye sahip çalışanlar
• Birden fazla kişi tarafından kullanılan ortak hesaplar
• İşten ayrılan eski çalışanların hâlâ açık olan erişimleri
• Yanlışlıkla paylaşılan hassas belgeler

Gerçekte bir saldırı nasıl ilerler?

Basit bir örnek üzerinden gidelim:

1. Bir çalışan sahte görünen bir e-postadaki dosyayı açar.
2. Zararlı yazılım sessizce çalışmaya başlar; kimse fark etmez.
3. Saldırgan o çalışanın hesap bilgilerine ulaşır.
4. Bu hesabı kullanarak ağda hangi sunucuların, klasörlerin ve panellerin olduğunu keşfeder.
5. Ağ iyi bölünmemişse bu erişim kısa sürede çok daha kritik sistemlere taşınabilir.

Görüldüğü gibi sorun tek bir hatadan kaynaklanmaz. Zincirleme güvenlik açıkları bir araya gelir ve etki büyür.

Yöneticilerin kendine sorması gereken 5 soru

• Hangi sistemlerimiz internete açık?
• Kritik verilerimiz nerede tutuluyor ve kim erişebiliyor?
• Bir saldırı olduğunda biz ne kadar sürede haberdar oluruz?
• Olay yaşanırsa kim ne yapacak?
• En son güvenlik testi ne zaman yapıldı?

Bu soruların net cevapları yoksa, pahalı güvenlik ürünleri satın alınmış olsa bile kurum gerçek anlamda korumalı değildir.

Nesil Teknoloji ne yapıyor?

Nesil Teknoloji, TSE A Sınıfı Sızma Testi yetkisiyle kurumları “gerçekten sızdırılabilir mi?” sorusuna somut cevap verecek şekilde test eder. Sadece açık listesi çıkarmaz. O açığın gerçekten kullanılabilir olup olmadığını, hangi sisteme sıçrayabileceğini ve işe etkisinin ne olacağını analiz eder.

En yaygın tehdit türleri

Tehdit türü	Nasıl başlar?	Ne olur?	Kuruma etkisi
Kimlik avı (phishing)	Sahte e-posta veya giriş sayfası	Hesap ele geçirilir	Yetkisiz erişim, veri sızıntısı
Fidye yazılımı	Zayıf uzak erişim veya zararlı dosya	Tüm dosyalar şifrelenir	İş durur, fidye istenir
Yanlış yapılandırma	Açık bırakılan servis veya fazla yetki	İçeri girmek kolaylaşır	Ağda yayılma riski
Tedarikçi zinciri riski	Dışarıdan bağlanan üçüncü taraf	Dolaylı bulaşma	Geniş etki alanı
İç tehdit	Yetki kötüye kullanımı veya dikkatsizlik	Veri kopyalanır veya sızdırılır	KVKK riski, güven kaybı

Sonuç olarak…

Siber güvenlik, bir ürün alıp rafına koymak değildir. İnsanı, süreci ve teknolojiyi birlikte ele almak gerekir. Kurumunuzda bu üçü uyum içindeyse, güvenlik artık “ekstra bir iş” değil günlük işin doğal bir parçası haline gelir.

2. Ağlar ve endüstriyel sistemler neden farklı korunmalıdır?

Ofis ağı ile fabrika ağı aynı değildir

Ofiste internet birkaç dakika kesilse ne olur? Çalışanlar biraz bekler, işler yavaşlar. Ama bir fabrikanın üretim sistemi birkaç dakika kesilse? Üretim hattı durur, ürünler zarar görebilir, siparişler gecikir. Bu yüzden endüstriyel ortamlarda güvenlik farklı düşünülmesi gereken bir konudur.

TCP/IP nedir, neden önemlidir?

TCP/IP, internet üzerindeki tüm cihazların birbirleriyle konuşmasını sağlayan temel sistemdir. Bunu dijital posta ağı gibi düşünebilirsiniz: her cihazın bir adresi vardır ve veri “paketler” halinde hedefine iletilir. Bu sistem çok güçlüdür ancak tek başına güvenli değildir. Üzerine ek önlemler (erişim kontrolü, izleme, ağ bölümleme) eklenmezse ciddi riskler doğar.

Ağ bölümleme neden şart?

Her cihazın her cihazla konuşabilmesi güvenlik değil, tam tersine büyük bir risktir. Şunu düşünün: muhasebe bilgisayarının fabrika kontrol sistemlerine doğrudan erişimi varsa, muhasebe bilgisayarı hacklendiğinde fabrika sistemi de tehlikeye girer. Ağ bölümleme (segmentasyon), bu geçişleri engeller. Hangi sistemin hangi sisteme bağlanabileceği kontrol altına alınır.

Somut bir senaryo: nasıl başlar, nereye gider?

Bir bakım teknisyeninin hesabı ele geçirildiğini düşünelim. Eğer bu hesap internete açık bir bağlantıyla uzaktan sisteme girebiliyorsa ve ağda bölümleme yoksa, saldırgan önce ofis sistemine girer. Ardından izleme ekranlarına ulaşır. Sonra üretim ağına sızar. Asıl sorun zayıf parola değildir; asıl sorun ağın fazla “iç içe” olmasıdır.

Pasif izleme ne demek, neden önemli?

Endüstriyel sistemlerde çalışan makineleri aniden “taramak” tehlikeli olabilir. Bunun yerine pasif izleme kullanılır: sistem trafiği dinlenir ama müdahale edilmez. Böylece hangi cihaz kiminle konuşuyor, normal durum ne, anormal durum ne gibi sorular üretimi durdurmadan cevaplanır.

Eski cihazlar güncellenemiyorsa ne yapılır?

Bazı endüstriyel cihazlar o kadar eski ki yazılım güncellemesi mümkün değil. Bu durumda çözüm cihazı değiştirmek değildir. Cihazı izole etmek, erişimi kısıtlamak, kayıt tutmak ve belirli saatlerle sınırlamak gibi “telafi edici önlemler” alınır. Bu, hasarı sınırlamanın akıllıca yoludur.

Protokollerin kısa karşılaştırması

Protokol	Nerede kullanılır?	Ne işe yarar?	Temel güvenlik riski
TCP/IP	Her türlü ağ (ofis, fabrika, internet)	Cihazlar arasında veri taşır	Zayıf bölümlemede saldırı kolayca yayılır
Modbus	Otomasyon ve makine iletişimi	Cihazlara komut gönderir, veri okur	Kimlik doğrulama yok, komutlar açık gözükür
DNP3	Enerji ve dağıtım sistemleri	Kontrol merkezi ile sahayı bağlar	Eski cihazlarda güncelleme yapılamaz
HTTP / HTTPS	Yönetim panelleri, web arayüzleri	Tarayıcı üzerinden sisteme erişim	Zayıf şifre ile kolayca ele geçirilir
RDP / VPN	Uzaktan çalışma ve erişim	Şirket sistemine evden bağlanma	Zayıf şifre + çok faktörsüz giriş = büyük risk

Kamu kurumlarında ağ ayrımı nasıl olmalı?

Vatandaşa hizmet veren sistemler, iç yazışma sistemleri ve veritabanları aynı ağda bulunmamalıdır. Neden? Çünkü hepsi aynı alanda olursa, birine sızan biri diğerine de kolayca geçer. Her hizmetin kritiklik seviyesi farklıdır; ağ yapısı da bunu yansıtmalıdır.

Fabrikalar için doğru yaklaşım nedir?

Üretimi durdurmadan güvenliği sağlamak mümkündür. Bunun yolu ani ve kontrolsüz müdahaleler değildir. Planlı görünürlük, doğru ağ bölümleme, güvenli uzak erişim ve kontrollü testler — Nesil Teknoloji’nin sahadaki yaklaşımı tam olarak bu dengeyi kurar.

İyi bir test nasıl ilerler?

Profesyonel bir sızma testi şu adımları izler:

1. Kapsam belirlenir: Hangi sistemler test edilecek, hangileri kapsam dışı?
2. Kritik varlıklar tespit edilir: Hangi sistem dursa en çok zarar olur?
3. Keşif yapılır: Dışarıdan bakıldığında ne görünüyor?
4. Açıklar doğrulanır: Bulunan zayıflık gerçekten kullanılabilir mi?
5. Yayılım analizi yapılır: Bu açıktan giren biri nereye kadar ilerleyebilir?
6. Rapor hazırlanır: Hem teknik ekip hem yönetim anlayacak şekilde.
7. Düzeltme kontrolü yapılır: Sorun gerçekten kapandı mı?

Neden iyi bir rapor bu kadar önemli?

Test sonucunda hazırlanan rapor, yalnızca teknik ekibin anlayacağı bir belge olmamalıdır. Yöneticiler hangi sorunun işi durdurma riski taşıdığını görmek ister. Teknik ekip ise adım adım ne yapması gerektiğini bilmek ister. İyi bir rapor her iki seviyeye de hitap eder.

Her açık aynı öneme sahip değildir

Test sırasında bulunan her sorun eşit ağırlıkta değildir. Kapalı bir test sunucusundaki küçük açık ile tüm çalışanların kullandığı giriş sistemindeki açık aynı tehlike seviyesinde değildir. Bu yüzden bulgular sadece “tehlike puanıyla” değil, işe etkisiyle birlikte sıralanmalıdır: önce iş sürekliliğini tehdit eden sorunlar çözülür.

TSE A Sınıfı yetkinlik ne fark yaratır?

Her firmadan “sızma testi” hizmeti alınabilir. Ama TSE A Sınıfı yetkinlik, testin belirli kalite standartlarını karşıladığının bağımsız bir kuruluş tarafından onaylanması demektir. Bu, kuruma daha güvenilir, daha anlamlı ve daha uygulanabilir sonuçlar sunar.

Düzeltme yapıldıktan sonra neden tekrar test gerekir?

“Açığı kapattık” demek ile açığın gerçekten kapandığını kanıtlamak farklı şeylerdir. Yeniden test, düzeltmenin işe yarayıp yaramadığını doğrular. Aynı zamanda benzer sorunların başka sistemlerde de var olup olmadığını ortaya çıkarır.

Sonuç

Araçlar tek başına güvenlik sağlamaz. Doğru araçları doğru kapsamda kullanan uzman bir yaklaşım gereklidir. Kurumunuzun ihtiyacı ürün kalabalığı değil, ölçülebilir ve somut güvenlik sonuçlarıdır.

3. Yasal zorunluluklar ve sürdürülebilir bir güvenlik planı

Siber güvenlik artık yasal bir konu

Güvenlik sadece IT ekibinin sorunu değildir. Artık hukuki bir sorumluluk da gerektiriyor. Özellikle müşteri veya vatandaş verisi işleyen kurumlar için güvenlik açığı doğrudan yasal risk anlamına gelebilir.

KVKK ne istiyor? (Kişisel Verilerin Korunması Kanunu)

KVKK özetle şunu sorar: “Kişisel verileri gerçekten koruyor musunuz?” Bunu somutlaştıralım:

• Müşteri verilerine kim erişiyor, kayıt tutuluyor mu?
• Erişim yetkileri gerçekten gerekli mi yoksa fazla mı verilmiş?
• Veriler rastgele paylaşılıyor mu, açık sistemlerde mi duruyor?
• Bir veri ihlali yaşansa ne kadar sürede anlaşılır?

Bu soruların cevabı yoksa veya “bilmiyoruz” ise KVKK açısından ciddi bir risk altındasınız demektir.

ISO 27001 ne işe yarar?

ISO 27001, güvenliği kişilere değil süreçlere bağlar. Şöyle düşünün: Güvenlik sadece “deneyimli bir IT çalışanının aklında” varsa, o kişi işten ayrıldığında ne olur? ISO 27001, güvenliği yazılı politikalara, net sorumluluklara ve düzenli denetimlere dayandırır. Böylece kurum değişse de güvenlik devam eder.

NIST nedir, neden faydalıdır?

NIST, ABD kökenli ama dünya genelinde kullanılan bir güvenlik çerçevesidir. Güvenliği 5 basit adımda ele alır:

1. Tanımla: Neyin korunması gerektiğini bil.
2. Koru: Gerekli önlemleri al.
3. Tespit et: Anormal durumları fark et.
4. Müdahale et: Sorun çıktığında hızlı hareket et.
5. Toparlan: Sistemleri normale döndür, ders çıkar.

Bu yapı kurumların “nerede duruyoruz, nereye gitmeliyiz?” sorularını cevaplamasını kolaylaştırır.

Çerçevelerin kısa karşılaştırması

Çerçeve / Düzenleme	Ne ile ilgili?	Kuruma ne kazandırır?	Somut çıktısı
KVKK	Kişisel verilerin korunması	Yasal cezaları önler	Veri envanteri ve erişim kayıtları
ISO 27001	Güvenlik yönetim sistemi	Süreçlere bağlı, kişiye bağımsız güvenlik	Politikalar ve denetim izi
NIST	Operasyonel güvenlik yetenekleri	Ne yapacağını bilen bir kurum olmak	Tespit, müdahale ve toparlanma planı

Her kurum için ayrı plan gerekir

Bir hastanenin riskleri ile bir fabrikanın riskleri farklıdır. Bir belediyenin sistemleri ile bir e-ticaret şirketinin sistemleri farklı çalışır. Bu yüzden güvenlik planı da “herkese uyan tek beden” olamaz. Planın kurumun gerçek ihtiyaçlarına göre hazırlanması şarttır.

Nereden başlanmalı? 4 adımlı yol haritası

Adım 1 — Neye sahip olduğunuzu bilin

Hangi sistemler var? Hangisi internete açık? Kritik veriler nerede duruyor? Kim neye erişebiliyor? Bu sorulara cevap veremiyorsanız ilk adım burasıdır.

Adım 2 — Kolay kazanımları hemen alın

Zayıf şifreleri değiştirin. İki adımlı doğrulamayı açın. Kullanılmayan ve gereksiz servisleri kapatın. Kritik sistemleri ağda ayırın. Bu adımlar büyük yatırım gerektirmez ama büyük fark yaratır.

Adım 3 — Gerçekten işe yarıyor mu? Test edin

Aldığınız önlemler gerçekten çalışıyor mu? Bunu anlamanın tek yolu test etmektir: sızma testi, yapılandırma kontrolü, tatbikat. Güvenlik tatbikatı yapmak, yangın tatbikatı yapmak gibidir — sorun çıkmadan önce ne yapacağınızı öğrenmek.

Adım 4 — Sürekliliği sağlayın

Güvenlik bir proje değil, sürekli bir süreçtir. Düzenli test, politika güncellemesi ve denetim hazırlığıyla güvenlik kalıcı hale gelir.

Gerçek dünyadan bir örnek

Birden fazla şehirde tesisi olan bir üretim şirketini hayal edin. Tüm tesislerde aynı bakım hesabı kullanılıyor, merkez ofisten her tesise geniş erişim veriliyor, yedekler aynı ağda tutuluyor. Bu durumda tek bir olay tüm yapıyı felç edebilir. Bu kuruma “yeni cihaz al” demek yeterli değildir. Kimlik ayrımı, rol bazlı yetki, tesis başına ayrı ağ ve güvenli yedek mimarisi gerekir.

Yöneticiler için asıl değer nedir?

Doğru güvenlik yatırımı sadece saldırıyı engellemez. Aynı zamanda şunları sağlar:

• Üretim veya hizmet kesintisini azaltır
• Denetim ve uyum hazırlığını güçlendirir
• Müşteri ve iş ortağı güvenini korur
• Olası hukuki cezaları önler

Yani güvenlik bütçesi aslında iş sürekliliğine yapılan en akıllı yatırımlardan biridir.

Nesil Teknoloji ile çalışmanın avantajı

Nesil Teknoloji, kamu kurumları, fabrikalar, üretim tesisleri ve özel sektör şirketleri için güvenliği sadece teknik açık listesi olarak görmez. TSE A Sınıfı Sızma Testi yetkinliğiyle riski ölçer, neye öncelik verilmesi gerektiğini belirler ve uygulanabilir bir yol haritası oluşturur. Mevcut güvenlik seviyenizi görmek ve somut bir plan oluşturmak istiyorsanız Nesil Teknoloji ile iletişime geçebilirsiniz.

Kapanışta bir düşünce

Siber güvenlikte en doğru zaman bir saldırı yaşandıktan sonrası değildir. En doğru zaman, risk henüz görünmezken onu görünür kılmaktır. Güçlü kurumlar güvenliği “sonradan ekledikleri bir katman” olarak değil, işin başından planlanan bir refleks olarak ele alır.

Sık Sorulan Sorular