Güvenlik duruşu, bir kurumun siber tehditlere karşı o anki hazırlık düzeyini bütün olarak ifade eden kavramdır. Kurulan kontrolleri, bu kontrollerin etkinliğini, ekibin kabiliyetini ve süreçlerin olgunluğunu birlikte kapsar. Tek bir ürünle değil, bütün bileşenlerin birlikte ölçülmesiyle anlaşılır.

Kavramın değeri, güvenliği anlık bir durumdan çıkarıp izlenebilir bir eğriye dönüştürmesindedir. “Güvenli miyiz?” sorusunun net bir yanıtı yoktur; ancak “duruşumuz geçen çeyreğe göre nerede?” sorusu ölçülebilir ve yönetilebilir.

Güvenlik Duruşu Nedir?

Güvenlik duruşu, bir kurumun varlıkları, mevcut kontrolleri, tespit ve müdahale kabiliyeti ile taşıdığı risk düzeyinin belirli bir andaki bütünsel görünümüdür.

Duruş üç soruya birlikte yanıt verir: neyi koruyoruz, hangi kontrollerle koruyoruz ve bu kontroller gerçekten çalışıyor mu? Üçüncü soru yanıtlanmadığında duruş değerlendirmesi bir envanter listesine dönüşür ve gerçek dayanıklılığı göstermez.

Duruş Nasıl Ölçülür?

Ölçüm varlık envanteriyle başlar; envanteri olmayan bir kurumun duruşu ölçülemez. Ardından kontrollerin kapsama oranı belirlenir: uç noktaların ne kadarında koruma var, sunucuların ne kadarı kayıt gönderiyor, kritik uygulamaların ne kadarı çok faktörlü doğrulamayla korunuyor?

Kapsama oranının ardından etkinlik ölçülür. Tespit kabiliyeti mor takım çalışmalarıyla, sömürülebilirlik sızma testleriyle, müdahale hızı ise gerçek olay ve tatbikat verileriyle sınanır. Bu üç ölçüm bir araya geldiğinde duruş sayısal olarak izlenebilir hâle gelir.

• Varlık envanteri kapsama oranı ve güncelliği
• Kritik zafiyetlerin ortalama kapanma süresi
• Kayıt gönderen sistem oranı ve kayıt kalitesi
• Tespit edilen saldırı tekniği oranı (kapsama haritası)
• Ortalama tespit ve müdahale süresi
• Yedeklerden geri yükleme tatbikatı başarı oranı

Olgunluk Modelleri ile İlişkisi

Duruş ölçümü çoğu zaman bir olgunluk modeli üzerinden yapılır. Model, her yetenek alanını tanımlı seviyelere böler ve kurumun hangi seviyede olduğunu belirler. Güvenlik olgunluk modelleri karşılaştırılabilir bir dil sunduğu için yönetim raporlamasında yaygın kullanılır.

Olgunluk seviyesinin tek başına hedef hâline gelmesi riskini de belirtmek gerekir. Amaç seviye atlamak değil, kurumun taşıdığı riski düşürmektir. Bir kurumun bazı alanlarda ileri, bazı alanlarda temel seviyede kalması, risk profiline uygunsa kabul edilebilir bir tercihtir.

Duruş ile Uyum Arasındaki Fark

Uyum, belirli bir standardın gerekliliklerinin karşılanmasıdır; duruş ise gerçek dayanıklılıktır. Bir kurum denetimden başarıyla geçip yine de zayıf bir duruşa sahip olabilir. Standartlar asgari çerçeve çizer, tehdit ortamı ise standardı beklemez.

Bu ayrım bütçe tartışmalarında sıkça ortaya çıkar. Uyum gereklilikleri somut ve tarihli olduğu için önceliklenir; duruş iyileştirmeleri ise ertelenir. Sağlıklı bir program ikisini ayrı ayrı takip eder ve uyum çalışmalarının duruşa katkısını ayrıca ölçer.

Duruş Nasıl İyileştirilir?

İyileştirme, ölçümün en zayıf gösterdiği alandan başlar. Çoğu kurumda bu alan görünürlüktür: kayıt toplanmayan sistemler, izlenmeyen bulut hesapları ve envanterde olmayan varlıklar. Görünürlük sağlanmadan yapılan diğer yatırımların etkisi ölçülemez.

İkinci adım genellikle kimlik tarafıdır; ele geçirilen kimlik bilgisi olayların büyük bölümünün başlangıç noktasıdır. Üçüncü adım ise müdahale kabiliyetidir: yazılı plan, tanımlı roller ve tatbikatla sınanmış bir olay müdahale planı duruşu belirgin biçimde yükseltir.

Sürekli izleme

Duruş sabit değildir; yeni bir sistem devreye alındığında, bir çalışan ayrıldığında ya da yeni bir zafiyet yayımlandığında değişir. Bu nedenle yılda bir yapılan değerlendirme yerine, temel göstergelerin sürekli izlendiği bir düzen kurulur ve sapmalar eşik aşıldığında uyarı üretir.

Raporlamada Nelere Dikkat Edilir?

Yönetime sunulan duruş raporu teknik bulgu listesi değil, karar üretecek bir özet olmalıdır. Her gösterge için mevcut değer, hedef değer ve eğilim yer alır; kötüleşen göstergelerin nedeni ve önerilen aksiyon açıkça yazılır.

Rapor ayrıca kabul edilen riskleri de içermelidir. İyileştirilmeyen alanların bilinçli bir tercih mi yoksa ihmal mi olduğu ancak bu şekilde ayırt edilir; artık risk kaydıyla duruş raporu birlikte okunduğunda tablo tamamlanır.

Dış Duruş ve İç Duruş

Duruş iki yönden değerlendirilir. Dış duruş, kurumun internetten görünen yüzüdür: yayımlanmış hizmetler, sertifika durumu, alan adı kayıtları, sızmış kimlik bilgileri ve kamuya açık kaynaklardaki izler. İç duruş ise ağ, kimlik ve uç nokta tarafındaki gerçek yapılandırmadır.

İki yön çoğu zaman farklı sonuç verir. Dışarıdan derli toplu görünen bir kurum, içeride düz bir ağ ve geniş yetkilerle çalışıyor olabilir; tersi de mümkündür. Bu nedenle ölçüm tek yönden yapıldığında yanıltıcı bir güven duygusu oluşur.

Dış duruş sürekli izlenmeye daha uygundur çünkü otomatikleştirilebilir. İç duruş ise dönemsel değerlendirme ve testlerle ölçülür; ikisinin sonuçları aynı tabloda birleştirildiğinde bütünsel görünüm oluşur.

Duruş Ölçümünde Kullanılan Kaynaklar

Ölçüm birden çok kaynaktan beslenir. Varlık ve yapılandırma yönetimi sistemleri kapsama verisini, zafiyet yönetimi araçları kapanma sürelerini, kayıt ve izleme platformları tespit verisini, olay kayıtları ise müdahale sürelerini sağlar.

Kaynakların birbirini doğrulaması önemlidir. Envanterde görünmeyen ama kayıt gönderen bir sunucu ya da kayıt göndermeyen ama envanterde bulunan bir sistem, tek başına bir bulgudur; bu çapraz kontroller çoğunlukla en değerli tespitleri üretir.

Ölçüm kaynaklarının birbirinden bağımsız olması da değerlidir. Aynı aracın hem kontrolü uygulayıp hem de etkinliğini raporladığı durumlarda, aracın göremediği boşluklar raporda da görünmez ve duruş olduğundan iyi görünür.

Veri kalitesi ölçümün güvenilirliğini belirler. Eksik ya da yinelenen kayıtlarla hesaplanan oranlar, iyileşme izlenimi verirken gerçekte bir değişiklik olmadığını gizleyebilir; bu nedenle gösterge tanımları yazılı ve değişmez tutulur.

Duruş Değerlendirmesi Kim Tarafından Yapılır?

İç ekip tarafından yapılan değerlendirme süreklilik ve bağlam avantajı sunar; bağımsız dış değerlendirme ise kör noktaları görmede üstündür. İkisinin dönüşümlü kullanılması yaygın ve dengeli bir yaklaşımdır.

Dış değerlendirmede kapsamın net yazılması sonucun kullanılabilirliğini belirler. Yalnızca teknik testlerle sınırlı bir çalışma, süreç ve yönetişim tarafındaki zayıflıkları göstermez; kapsam baştan bu alanları da içerecek biçimde tanımlanmalıdır.

Değerlendirme sıklığı da kurumun değişim hızına göre belirlenir. Sürekli yeni sistem devreye alan bir kurumda yıllık değerlendirme geride kalır; görece durağan ortamlarda ise daha uzun aralıklar yeterli olabilir.

Sıklık kararı verilirken tetikleyici olaylar da tanımlanır: büyük bir altyapı değişikliği, şirket birleşmesi, yeni bir düzenleme ya da yaşanan bir güvenlik olayı, takvimden bağımsız olarak yeni bir değerlendirmeyi gerektirir.

Değerlendirme sonuçlarının bir önceki dönemle karşılaştırılabilmesi için yöntem sabit tutulur. Yöntem değiştiğinde puanların iyileşmesi gerçek bir gelişme mi yoksa ölçüm farkı mı olduğu ayırt edilemez.

Değerlendirme sonrası en kritik adım takip planıdır. Bulguların sorumluları, tarihleri ve doğrulama yöntemi yazılmadığında rapor bir sonraki değerlendirmeye kadar rafta bekler ve aynı bulgular yeniden çıkar.

Privia Security olarak kurumların güvenlik duruşunu ölçülebilir göstergelerle ortaya koyuyor, siber risk analizi çıktısını dönemsel olarak karşılaştırılabilir bir tabloya dönüştürüyoruz.