"Saldırganlar açıkları yapay zekâ ile daha hızlı buluyorsa, bizim güncelleme ve yama süreçlerimiz bu hıza yetişebilir mi?" Bu soru, bilgi teknolojileri ekiplerinin yanında artık risk ve yönetim kurullarının gündeminde de yer alıyor.
Sorunun güncel bir dayanağı var. Gartner'ın 25 Ağustos 2026'da yayımladığı çeyreklik yükselen riskler araştırmasında, yapay zekâ ile siber zafiyet keşfi 2026'nın ikinci çeyreğinde kurumların karşı karşıya olduğu en kritik yükselen risk olarak öne çıktı. Araştırma, Nisan ve Mayıs 2026'da farklı sektör ve bölgelerden 316 üst yönetici ve risk yöneticisiyle yapıldı.
Bu yazıda riskin ne söylediğini, kamu otoritelerinin yama önceliklendirmesini nasıl yeniden düzenlediğini ve kurumların yama yönetimini hızlandırmak için atabileceği adımları ele alıyoruz. Bir ihlal yaşandıktan sonra yapılacaklar ise ayrı bir konu; onu siber ihlal ve olay müdahalesi yazımızda ele almıştık. Buradaki odak, ihlal olmadan önce açığı kapatma hızı.
Risk ne söylüyor?
Gartner'ın değerlendirmesine göre yapay zekâ, zafiyet keşfini hem daha verimli hem de daha erişilebilir hâle getiriyor; bu da geleneksel risk yönetimi yaklaşımlarının tempoyu tutmasını zorlaştırıyor. Yönetişim, güvenlik operasyonları ve giderme (remediation) kapasitesi buna paralel gelişmezse, yapay zekâ destekli zafiyet keşfinin kurumsal savunmaları geride bırakabileceği belirtiliyor.
Gartner, kurumların bu riske karşı varsayımlarını güncellemesi için dört yol öneriyor:
- Risk etki değerlendirmelerini büyüyen maruziyete göre yeniden ayarlamak,
- Risk iştahını, zafiyet keşfinin süreklilik taşıyan doğasına göre güncellemek,
- Tedarikçilerin yeni risk taşımaması için üçüncü taraf kontrollerini güçlendirmek,
- Daha hızlı yama ve otomatik giderme için siber müdahale stratejilerini hızlandırmak.
Tedarikçi tarafındaki sözleşme ve bildirim boyutunu tedarikçi kaynaklı veri ihlali yazımızda işlemiştik. Bu yazı dördüncü maddeye, yani yamanın hızına odaklanıyor.
Kamu otoriteleri yama önceliğini nasıl yeniden düzenliyor?
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 10 Haziran 2026'da federal kurumlar için bağlayıcı BOD 26-04 direktifini yayımladı. Direktifin gerekçesinde, saldırganların yapay zekâ kullanımının yamanın yayımlanması ile istismar arasındaki tepki süresini daha da daraltabileceği vurgulanıyor. Direktif, önceki iki düzenlemeyi (BOD 19-02 ve BOD 22-01) kaldırarak tek bir risk temelli çerçevede birleştiriyor.
Direktif yalnız ABD federal kurumlarını bağlıyor; Türk şirketleri için bir yükümlülük doğurmuyor. Ancak önceliklendirme mantığı her kurumun kendi sürecine uyarlanabilecek açık bir model sunuyor. Bir açığın ne kadar acil kapatılacağı dört soruya göre belirleniyor:
- Varlık internete açık mı?
- Açık, CISA'nın "bilinen istismar edilen zafiyetler" (KEV) kataloğunda mı?
- Saldırgan istismarın tüm adımlarını otomatikleştirebiliyor mu?
- İstismar sonrasında saldırgan sistemin kısmi mi, tam mı kontrolünü ele geçiriyor?
Bu sorulara verilen yanıtlara göre süreler belirgin biçimde ayrışıyor. İnternete açık, katalogda yer alan ve tam kontrol sağlayan bir açık için süre 3 takvim günü; buna ek olarak sistemin ele geçirilip geçirilmediğine dair adli ön inceleme isteniyor. Yelpazenin diğer ucunda, internete kapalı, katalogda olmayan ve otomatikleştirilemeyen açıklar bir sonraki planlı büyük güncellemede giderilebiliyor. Arada 14 ve 60 günlük kademeler bulunuyor.
Bu yaklaşımın arkasındaki gözlem, CISA'nın 2021'de yayımladığı BOD 22-01 sayfasında da yer alıyordu. O dönemki analize göre CVE kimliği almış tüm zafiyetlerin %4'ünden azı kamuya açık biçimde istismar edilmişti; ancak istismar edilenlerin %42'si açıklandığı gün, %50'si iki gün içinde ve %75'i 28 gün içinde kullanılmıştı. Kısacası her açığı aynı aciliyetle kapatmaya çalışmak yerine, gerçekten istismar edilenleri çok hızlı kapatmak gerekiyor.
Türkiye'de yasal çerçeve
19 Mart 2025'te Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu'nun 7. maddesi, kapsamdaki ve bilişim sistemleri üzerinden hizmet sunan, veri toplayan ya da işleyenlere, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirme sorumluluğu getiriyor. Kapsamın kurumunuza nasıl uygulandığını hukuk ekibinizle değerlendirmeniz gerekir. Ancak zafiyetin tespit edildiği andan itibaren kimin neye karar verdiğinin kayıt altında olması, hem bildirim hem de giderme açısından ortak bir ihtiyaç.
Yama yönetimini hızlandırmak için pratik yol
ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), SP 800-40 Rev. 4 rehberinde kurumsal yama yönetimini bir "önleyici bakım" olarak tanımlıyor. Rehberin temel ilkelerinden biri, her yeni zafiyet için ayrı risk değerlendirmesi yapmanın mümkün olmadığı; kararın önceden hazırlanmış planlarla hızla verilmesi gerektiği. Bir diğeri ise varlık, yazılım ve yama sayısı nedeniyle otomasyon olmadan yama temposunun tutturulamayacağı. Bu çerçeveden hareketle bir kontrol listesi:
- Envanteri güncel tutun. Hangi yazılımın hangi sürümle nerede çalıştığını, hangi varlığın internete açık olduğunu bilmeden önceliklendirme yapılamaz. NIST, envanter güncellemesinde mümkün olduğunca otomasyona dayanılmasını öneriyor.
- Varlıkları bakım gruplarına ayırın. Benzer özellikteki ve benzer bakım ihtiyacı olan varlıkları gruplamak, her grup için tek bir plan yazmayı mümkün kılıyor.
- Dört senaryoyu önceden yazın. NIST rutin yama, acil yama, yama çıkmadan önce acil geçici önlem ve yamalanamayan varlıklar için ayrı senaryolar tanımlanmasını öneriyor. Rutin yamaların ertelenmesi, acil durumda önce birikmiş yamaların kurulmasını gerektirdiği için krizi de ağırlaştırıyor.
- Öncelik kuralını yazılı hâle getirin. CISA'nın dört sorusu (internete açıklık, bilinen istismar, otomasyona uygunluk, kontrol düzeyi) kurum içi bir öncelik tablosu için iyi bir başlangıç. Süreleri kendi risk iştahınıza göre belirleyin; Gartner'ın önerdiği gibi bu iştahı da güncelleyin.
- Yalnız yamayı değil, tüm risk yanıtlarını tanımlayın. NIST dört yanıt sayıyor: kabul etme, azaltma (yama, özelliği kapatma, ağ ayrıştırma), aktarma (ör. sigorta ya da yamayı sağlayıcının üstlendiği SaaS kullanımı) ve kaçınma (yazılımı kaldırma, varlığı devreden çıkarma). Yama hemen mümkün değilse geçici önlem kararı da belirli bir süreye bağlanmalı.
- Dağıtımı ve doğrulamayı otomatikleştirin. Yamanın kurulduğunu ve açığın kapandığını doğrulamak, kurulumu tetiklemek kadar önemli. Raporlama otomatik değilse süre hedefleri ölçülemez.
- Tedarikçi ve bulut sözleşmelerini kontrol edin. Sağlayıcının kendi altyapısındaki açıkları hangi sürede kapattığını ve size nasıl bildirdiğini yazılı olarak netleştirin.
- Yönetime düzenli rapor verin. Kritik açıkların ortalama kapanma süresi, süreyi aşan açık sayısı ve yamalanamayan varlık listesi, yönetim kurulunun riski izleyebileceği sade göstergeler.
Sonuç
Yapay zekâ zafiyet keşfini hızlandırdıkça, açığın bulunması ile istismar edilmesi arasındaki süre kısalabilir. Gartner bunu çeyreğin en kritik yükselen riski olarak işaretliyor; CISA ise federal kurumlar için yama önceliğini internete açıklık, bilinen istismar, otomasyon ve kontrol düzeyine göre yeniden düzenledi. Kurumlar için çıkarılacak ders, her açığı aynı hızla kapatmaya çalışmak değil; gerçekten tehlikeli olanları önceden yazılmış bir kuralla günler içinde kapatabilmek.
Orient Global'in bakışıyla, sakin bir ilk adım internete açık varlıkların envanterini çıkarıp bunlar için yazılı bir öncelik ve süre tablosu oluşturmak.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez.
#interimmanagement #forwarddeployedengineering