Siber güvenlik ihlali artık yalnızca büyük teknoloji şirketlerinin sorunu değil. TÜİK'in 10 Eylül 2026'da yayımladığı Girişimlerde Bilişim Teknolojileri Kullanım Araştırması'na göre, en az 10 çalışanı olan girişimlerin %9,4'ü 2025 yılında en az bir bilgi ve iletişim teknolojileri (BİT) güvenliği ihlali yaşadığını beyan etti. Kabaca her on şirketten biri.
Aynı dönemde yasal çerçeve de değişti. 19 Mart 2025'te Resmî Gazete'de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, siber olayların bildirimine ilişkin bir yükümlülük içeriyor. Bu yazıda önce rakamlara, sonra kanun metninin bu konuda ne söylediğine, son olarak da bir olay anında izlenebilecek adımlara uluslararası bir çerçeve üzerinden bakıyoruz.
Rakamlar ne söylüyor?
TÜİK verilerine göre BİT sistemlerinde herhangi bir güvenlik önlemi alan girişimlerin oranı 2024'te %76,0 iken 2026'da %83,0'a yükseldi. Ölçek büyüdükçe oran artıyor: 10-49 çalışanlı girişimlerde %81,2, 50-249 çalışanlılarda %90,5, 250 ve üzeri çalışanlılarda %97,2 (TÜİK).
Ancak önlem almak, ihlali sıfırlamıyor. 2025'te en az bir ihlal yaşadığını beyan edenlerin oranı 10-49 çalışanlılarda %9,3, 50-249 çalışanlılarda %10,2, 250 ve üzeri çalışanlılarda %8,4 oldu. Büyük şirketlerin neredeyse tamamı önlem aldığı halde yaklaşık her on iki büyük şirketten biri yine de ihlal bildirdi.
İhlal türlerine bakıldığında tablo daha somutlaşıyor (TÜİK):
- Girişimlerin %6,4'ü dışarıdan gelen saldırılar nedeniyle BİT hizmetlerine erişemedi.
- %5,6'sı kötü amaçlı yazılım ya da yetkisiz erişim nedeniyle veri kaybı veya bozulması yaşadı.
- %5,3'ü izinsiz giriş, dolandırıcılık, oltalama ya da çalışanların kasıtlı eylemleri nedeniyle veri gizliliği ihlaliyle karşılaştı.
En yaygın ihlal türünün hizmete erişememe olması, siber olayın yalnızca bir BT konusu değil, doğrudan bir iş sürekliliği konusu olduğunu gösteriyor.
Kanun metni bildirim hakkında ne diyor?
Bu bölüm hukuki bir değerlendirme değil; kanun metninin ilgili hükümlerinin özetidir.
Kapsam (madde 2): Kanun metnine göre kapsam, siber uzayda varlık gösteren, faaliyet yürüten ya da hizmet sunan kamu kurumlarını, kamu kurumu niteliğindeki meslek kuruluşlarını, gerçek ve tüzel kişileri ve tüzel kişiliği olmayan kuruluşları içine alacak şekilde tanımlanmış (Resmî Gazete). Bazı istihbarat ve askerî faaliyetler kapsam dışında bırakılmış.
Bildirim (madde 7/1-b): Kanun, kapsamındaki ve bilişim sistemleri aracılığıyla hizmet sunan, veri toplayan, işleyen ya da benzeri faaliyet yürütenlere bir dizi sorumluluk yüklüyor. Bunlardan biri, kanunun ifadesiyle, "hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmek". Buradaki Başkanlık, Siber Güvenlik Başkanlığıdır.
Ayrıntıyı kim belirliyor (madde 6): Kanun, Başkanlığın bildirimlere ilişkin usul ve esasları belirleyeceğini; ayrıca kapsamdaki kurum ve kişileri sınıflandırabileceğini ve gerektiğinde yalnızca belirli bir kısmını kapsayan hükümler oluşturabileceğini söylüyor. Yani yükümlülüğün bir şirkete pratikte nasıl uygulanacağı, kanunun yanında Başkanlığın ikincil düzenlemelerine de bağlı.
Yaptırım (madde 16): Kanun, madde 7'nin ilgili bentlerindeki sorumlulukları yerine getirmeyenler için idari para cezası öngörüyor. Mevzuat Bilgi Sistemi'ndeki güncel metne göre bu hüküm, 31 Temmuz 2026'da yürürlüğe giren 7590 sayılı Kanunla değiştirildi (Mevzuat Bilgi Sistemi). Bu da metnin güncel hâlini resmî kaynaktan takip etmenin neden önemli olduğunu gösteriyor.
Şirketinizin bu yükümlülüğün hangi kapsamında yer aldığı, sektörünüze ve faaliyetinize göre değişebilir. Bu sorunun yanıtı için kanun metnine, Başkanlığın yayımladığı düzenlemelere ve hukuk danışmanınıza başvurmanızı öneririz. Bu yazı hukuki danışmanlık yerine geçmez.
Olay anında ne yapmalı? NIST'in güncel çerçevesi
Olay müdahalesi için yaygın başvuru kaynaklarından biri, ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) Nisan 2025'te yayımladığı SP 800-61 Rev. 3 rehberi. Rehber, 2012 tarihli önceki sürümün yerini aldı ve olay müdahalesini NIST Siber Güvenlik Çerçevesi (CSF) 2.0'ın altı işleviyle ilişkilendirdi (NIST).
Rehberin temel tespiti şu: eskiden olaylar seyrek, kapsamı dar ve bir-iki günde kapanabiliyordu; bugün sık yaşanıyor, daha fazla zarar veriyor ve toparlanma çoğu zaman haftalar ya da aylar sürüyor. Bu nedenle olay müdahalesi ayrı bir ekibin ara sıra yaptığı iş değil, risk yönetiminin bütününe yayılmış bir süreç olarak ele alınıyor.
NIST modeli iki katmana ayrılıyor:
1. Hazırlık (Yönet, Tanımla, Koru): Olay müdahalesinin kendisi değil ama onu mümkün kılan geniş risk yönetimi çalışmaları. Rolleri önceden tanımlamak burada kritik. Rehber; üst yönetim, olay müdahale ekibi, teknoloji uzmanları, hukuk, kurumsal iletişim, insan kaynakları, fiziksel güvenlik ve varlık sahiplerini olası roller arasında sayıyor. Dış hizmet sağlayıcılarla sorumluluk paylaşımının sözleşmede açıkça tanımlanmasını öneriyor.
2. Müdahale (Tespit Et, Müdahale Et, Kurtar): Olay anındaki adımlar. Rehberin önerilerinden öne çıkanlar:
- Doğrula ve önceliklendir: Gelen ihbarı ön incelemeden geçirip gerçekten bir olay olup olmadığını teyit etmek, ardından ciddiyet ve aciliyet düzeyini tahmin etmek. Her olay için bir sorumlu atanmasını değerlendirmek.
- Kapsamı ölç: Rehbere göre olayın büyüklüğünü belirlemek müdahalenin en zor yönlerinden biri; yüzeysel yapılırsa olay başka sistemlerde fark edilmeden sürebilir.
- Kayıt tut: Yapılan işlemleri ve toplanan verileri bütünlüğü korunacak şekilde kaydetmek. Her olay mahkemeye taşınmasa da toplanan veri delil niteliği taşıyabilir.
- Sınırla ve temizle: Önce yayılmayı durdurmak (izolasyon, karantina), sonra kalıcılık mekanizmalarını ve giriş noktalarını ortadan kaldırmak.
- Bildir ve iletişim kur: Rehber, bildirimlerin kurumun sektörüne, bulunduğu ve müşterilerinin bulunduğu coğrafyaya göre geçerli mevzuata uygun yapılmasını ve bu alanın sürekli değiştiğini vurguluyor. Kime, neyin, ne zaman bildirileceğinin önceden prosedüre bağlanmasını öneriyor.
- Kurtar ve öğren: Sistemleri normale döndürmek, çalıştığını doğrulamak ve öğrenilen dersleri olay bitmeden, fark edildikleri anda paylaşmak.
Bu son madde önemli bir değişikliği yansıtıyor: önceki modelde dersler olaydan sonra derlenirken, yeni modelde sürekli iyileştirme tüm işlevlere yayılıyor.
Yöneticiler için kontrol listesi
Kaynaklardan çıkan tabloyu yönetim gündemine taşımak için şu sorular başlangıç noktası olabilir:
- Yazılı bir olay müdahale planımız var mı ve son ne zaman tatbikat yaptık?
- Bir olay anında karar yetkisi kimde; sistemleri kapatma gibi yüksek etkili kararları kim veriyor?
- Dış hizmet sağlayıcılarımızla (bulut, ağ, güvenlik) olay anındaki sorumluluk paylaşımı sözleşmede yazılı mı?
- 7545 sayılı Kanun ve diğer mevzuat kapsamında kime, ne zaman bildirim yapacağımızı hukuk birimimizle netleştirdik mi?
- Hizmet kesintisi senaryosu için iş sürekliliği planımız güncel mi?
Orient Global'in bakışıyla
Olay müdahalesinin kalitesi çoğunlukla olay başlamadan belirleniyor: roller, yetkiler ve bildirim akışı önceden yazılmış kurumlar daha hızlı ve tutarlı hareket edebiliyor. Bu yüzden ilk adım olarak mevcut planı NIST gibi bir çerçeveyle karşılaştırmak, bildirim yükümlülüklerini hukuk birimiyle birlikte netleştirmek ve yılda en az bir masa başı tatbikatla planı sınamak pratik bir başlangıç olabilir.
#interimmanagement #forwarddeployedengineering