Veri İhlali Acil Eylem Planı
Bu rehberde “Altın Saat”, olay tespitinden sonraki ilk 60 dakikalık müdahale planlama penceresi için kullanılır. Bu ifade, bütün olaylar için geçerli bilimsel bir eşik veya yasal bildirim süresi değildir. Atılan her adım; saldırganın içerideki hareketini durdurmak, veri sızıntısını engellemek ve yasal süreçleri doğru yönetmek adına hayati önem taşır.
Nesil Teknoloji olarak, TSE A Sınıfı Sızma Testi yetkimizle sadece savunma hatlarını test etmekle kalmıyor, aynı zamanda kriz anında uygulanacak profesyonel müdahale protokollerini yapılandırıyoruz. Veri ihlali yönetimi sadece teknik bir iş değil; hukuk, kurumsal iletişim ve üst yönetim arasında kurulması gereken stratejik bir köprüdür.
Veri ihlali yönetiminde ilk 60 dakika, kurumun itibarını kurtarmak için teknik izleme ile stratejik liderliği birleştiren metodolojik bir süreçtir.
1. Altın Saat Kavramı ve Stratejik Hazırlık
Başarılı bir müdahale saldırı anında başlamaz; olay öncesindeki hazırlığa bağlıdır. Hazırlık aşaması sadece yazılım kurmak değil, rollerin ve iletişim kanallarının netleşmesidir. Stres altındaki bir ekibin ne yapacağını düşünmek yerine, daha önce prova edilmiş adımları uygulaması en büyük gücüdür.
Nesil Teknoloji, planlarını NIST ve ISO 27001 standartlarına uyumlu şekilde kurgular. Risk analizleriyle kritik varlıklar belirlenir ve personelin siber farkındalığı artırılır. Unutmayın; çoğu ihlal bir insan hatasıyla başlar, bu yüzden personelin bir anomaliyi fark edip bildirmesi Altın Saat’in ilk tetikleyicisidir.
2. Tehdit Tespiti ve Teknik Triyaj Süreci
Saldırının ilk 15 dakikası belirsizliğin yönetildiği evredir. Binlerce alarm arasından hangisinin gerçek bir yıkım olduğunu anlamak hayati önem taşır. Yanlış bir karar, sistemlerin gereksiz yere durmasına ya da saldırganın daha derine sızmasına neden olabilir.
Tespit süreci; SIEM, EDR ve NDR platformlarından gelen verilerin birleştirilmesiyle başlar. Nesil Teknoloji analistleri, yetkisiz oturum açma veya anormal veri trafiği gibi emareleri saniyeler içinde netleştirir. Bu aşamada yapılan “Triyaj”, kaynakların en kritik sisteme yönlendirilmesini sağlar.
3. Müdahale Ekibi ve Stratejik Komuta
Kararsızlık, kriz anındaki en büyük düşmandır. Müdahale ekibindeki her üye yetkisini ve raporlama hattını bilmelidir. Nesil Teknoloji olarak SOME (Siber Olaylara Müdahale Ekibi) yapılarını şu rollerle organize ediyoruz:
- Olay Komutanı: Stratejik kararları verir ve üst yönetimi bilgilendirir.
- SOC Analistleri: Teknik operasyonu yürütür.
- Hukuk Ekibi: KVKK ve yasal bildirim süreçlerini yönetir.
- Kurumsal İletişim: Marka itibarını korumak için paydaşları bilgilendirir.
4. Sınırlandırma, İzolasyon ve Yayılımı Durdurma
Bu aşama, saldırganın içerideki hareketini (Lateral Movement) kesme evresidir. Hız ve hassasiyet dengeli olmalıdır. Şüpheli cihazlar ağdan mantıksal olarak izole edilmelidir. Ancak cihazın fişini çekmek yerine izole etmek tercih edilir; çünkü bu sayede adli bilişim için gerekli olan RAM üzerindeki veriler korunmuş olur.
Nesil Teknoloji, iş süreçlerini tamamen felç etmeden dinamik izolasyon stratejileri uygular. Hedef; saldırganı hapsetmek ve sistemleri güvenli bölgeye çekmektir.
5. Adli Bilişim ve Kanıtların Korunması
Sınırlandırma yapılırken adli bilişim prensipleri göz ardı edilmemelidir. Bozulmuş bir kanıt, kök neden analizini imkansız kılar. Her veri bir “suç mahalli delili” titizliğiyle toplanmalıdır.
Toplanan delilin hash ve delil zinciriyle nasıl korunacağını dijital kanıt bütünlüğü rehberimizde adım adım anlattık.
RAM içerikleri ve disk kopyaları uzmanlarca mühürlenmelidir. Log kayıtlarının merkezi bir sistemde güvenliğe alınması, saldırganın kimliği hakkında paha biçilemez bilgiler sunar. Kanıt zinciri ve bütünlük kayıtları hukuki değerlendirmeye katkı sağlar; delilin kabulü somut olay ve ilgili yargılama kuralları çerçevesinde değerlendirilir.
6. KVKK Bildirimi ve Yasal Yükümlülükler
Bildirim zamanlaması ve aşamalı bilgi sağlama usulü için KVKK Kurulunun 2019/10 sayılı kararı esas alınmalıdır. İlgili kişilere bildirim, etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılır.
Türkiye’deki veri sorumluları, ihlali öğrendikleri andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildirim yapmalıdır. Altın Saat, bu bildirimin temel verilerinin toplandığı zamandır.
Etkilenen kişi sayısı ve veri kategorileri hızla belirlenmelidir. Nesil Teknoloji, teknik ve hukuk ekipleri arasında köprü kurarak bildirim taslaklarını hazırlar. Doğru ve zamanında yapılan bildirim, kurumun şeffaflığını kanıtlar ve idari yaptırım riskini azaltır.
7. Endüstriyel Sistemlerde (OT) Kritik Müdahale
Fabrikalar ve enerji tesislerinde siber olay, fiziksel güvenlik riski demektir. Modbus veya DNP3 gibi endüstriyel protokoller BT ağlarından farklı çalışır. Burada öncelik daima can güvenliği ve fiziksel varlıkların korunmasıdır. Endüstriyel izolasyon adımları, işletme ve emniyet ekipleriyle birlikte risk değerlendirmesi yapılarak planlanmalıdır.
8. Kriz Sonrası Analiz ve Alınan Dersler
Kriz bittiğinde en öğretici aşama başlar. Yaşanan olay, savunma duvarlarının gerçek testidir.
- Saldırgan içeri nasıl girdi?
- Müdahale planının hangi noktası yetersiz kaldı?
- Ekibin hızı yeterli miydi?
Sık Sorulan Sorular
Siber olay müdahalesinde Altın Saat tam olarak nedir?
Bu yazıda olayın tespitinden sonraki ilk 60 dakikalık planlama penceresini ifade eder. Öncelikler olayın riskine göre belirlenir; bu süre yasal bildirim süresinin yerine geçmez.
KVKK 72 saatlik bildirim süresi ne zaman başlar?
Kurulun 2019/10 sayılı kararına göre süre, veri sorumlusunun ihlali öğrendiği tarihten başlar. Kurula gecikmeden ve en geç 72 saat içinde bildirim yapılmalıdır; bütün ayrıntıların tamamlanması beklenerek bildirim ertelenmemelidir.
Saldırı anında sistemleri kapatmalı mıyız?
Tamamen kapatmak yerine ağdan izole etmek daha iyidir. Kapatma işlemi RAM üzerindeki kritik kanıtları silebilir.
Nesil Teknoloji kriz anında nasıl destek verir?
TSE A Sınıfı uzman kadromuzla teknik müdahale, adli bilişim ve yasal bildirim koordinasyonunda uçtan uca destek sunuyoruz.
