01

Bilgi Güvenliği Yönetimi

▾

• CIA üçgeni: Gizlilik (Confidentiality), Bütünlük (Integrity), Erişilebilirlik (Availability). Bilgi güvenliğinin temel üç hedefi. Ayrıca İnkar Edilemezlik (Non-repudiation) ve Özgünlük (Authenticity) ek hedefler.
• Bilgi güvenliği politikası: Üst yönetim tarafından onaylanan, tüm çalışanları bağlayan, bilgi güvenliği hedeflerini ve sorumluluklarını tanımlayan belge. Politika → Standart → Prosedür → Kılavuz hiyerarşisi.
• Üst yönetim sorumluluğu: Bilgi güvenliği kültürü 'tone at the top' ile şekillenir. CISO (Chief Information Security Officer): bilgi güvenliği stratejisinden sorumlu. Yönetim kuruluna raporlama.
• Risk yönetimi: Varlık belirleme → Tehdit analizi → Açıklık analizi → Risk değerlendirme → Risk yanıtı (kabul, azaltma, transfer, kaçınma) → İzleme. Risk = Tehdit × Açıklık × Varlık Değeri.
• İhlal yönetimi: Tespit → Kayıt → Sınıflandırma → Yanıt (kontrol altına alma, yok etme, kurtarma) → Kök neden analizi → Raporlama. Yasal bildirim yükümlülükleri (KVKK (kişisel verilerin korunması kanunu): 72 saat).

02

Varlık Yönetimi ve Veri Sınıflandırması

▾

• Varlık yaşam döngüsü: Satın alma/edinme → Devreye alma → Operasyon → Güncelleme/değişiklik → Elden çıkarma/imha. Her aşamada farklı güvenlik kontrolleri gerekir.
• Varlık envanteri: Tüm bilgi varlıklarının (donanım, yazılım, veri, personel, hizmet) tanımlandığı ve güncel tutulan kayıt. Sahip atama zorunlu. CMDB ile entegrasyon.
• Veri sınıflandırması: Gizlilik düzeyine göre: Gizli (Classified/Top Secret), Dahili (Internal/Confidential), Genel (Public). Her kategori için erişim, depolama, iletim ve imha kuralları. KVKK (kişisel verilerin korunması kanunu) kapsamında kişisel veri ayrı kategori.
• Taşınabilir varlıklar: Dizüstü bilgisayar, USB, akıllı telefon. Riskler: kayıp/çalınma ile veri sızıntısı. Kontroller: tam disk şifreleme, uzaktan silme, MDM (Mobile Device Management).
• Varlık elden çıkarma: Medya imhası — depolama ortamlarının güvenli silinmesi (veri silme, degaussing, fiziksel imha). Yazılım lisanslarının iade edilmesi. İmha belgesi tutulması.

03

Fiziksel ve Çevresel Güvenlik

▾

• Fiziksel güvenlik katmanları: Çevre güvenliği (duvar, tel örgü, bariyer) → Bina güvenliği (giriş kontrol, kapı kilitleri) → Katlı güvenlik → Oda/zona güvenliği → Ekipman güvenliği. Derinliğine savunma prensibi.
• Giriş kontrol yöntemleri: Kartlı erişim, biyometrik (parmak izi, retina, yüz), PIN, güvenlik personeli. Erişim kaydı (audit trail). Çift kapı (mantrap/airlock): bir seferde yalnızca bir kişi. Ziyaretçi yönetimi.
• CCTV ve güvenlik izleme: Kapalı devre kamera sistemi. Kayıtların belirli süre saklanması. Kör nokta olmaması. Güvenlik merkezi (NOC/SOC).
• Çevresel kontroller: İklim kontrolü (sıcaklık 20-25°C, nem %40-60). Yangın algılama (duman dedektörü, ısı sensörü) ve söndürme (gazlı: FM-200, HALON benzeri; su sprinkler BT ekipmanı için uygun değil). Kesintisiz güç kaynağı (UPS) ve jeneratör. Su sızıntısı tespiti.
• Ekipman güvenliği: Sunucu raflarının kilitleri, kablo yönetimi, çalınmaya karşı fiziksel kilitleme. Ekipman taşıma güvenliği — koruyucu ambalaj, imza zinciri.

04

Ağ Güvenliği — Modeller, Protokoller ve Saldırılar

▾

• OSI modeli (7 katman): 1-Fiziksel, 2-Veri Bağlantı, 3-Ağ, 4-Taşıma, 5-Oturum, 6-Sunum, 7-Uygulama. Her katmanda farklı güvenlik kontrolleri. TCP/IP modeli: Ağ erişimi, İnternet, Taşıma, Uygulama (4 katman).
• Temel protokoller: HTTP/HTTPS (web), FTP/SFTP (dosya), SMTP/POP3/IMAP (e-posta), DNS (isim çözümleme), DHCP (IP tahsisi), SSH (güvenli uzaktan erişim), SNMP (ağ yönetimi). TCP: bağlantı odaklı, güvenilir. UDP: bağlantısız, hızlı.
• Saldırı türleri: Sosyal mühendislik (phishing, spear phishing, vishing, smishing, pretexting). Kötü amaçlı yazılım (virüs, worm, trojan, ransomware, spyware, rootkit). Web uygulama saldırıları (SQL injection, XSS, CSRF). DDoS, MITM (Man-in-the-Middle), ARP poisoning, DNS spoofing.
• Saldırı aşamaları (Cyber Kill Chain): Keşif (reconnaissance) → Silahlanma → Teslim → İstismar → Kurulum → Komuta&Kontrol → Eylem.
• Ağ güvenliği kontrolleri: Güvenlik duvarı (packet filter, stateful, next-gen NGFW). IDS/IPS (saldırı tespit/engelleme). VPN (uzaktan güvenli erişim). NAC (ağ erişim denetimi). DMZ. Ağ segmentasyonu.

05

Erişim Güvenliği

▾

• Kimlik doğrulama faktörleri: Bilgi (şifre, PIN — 'bir şeyleri bilirim'), Sahiplik (token, akıllı kart, OTP — 'bir şeyim var'), Biyometri (parmak izi, retina — 'bir şeyimim'). Çok faktörlü doğrulama (MFA/2FA): iki veya daha fazla farklı faktör türü.
• Erişim kontrol modelleri: DAC (Discretionary Access Control) — kaynak sahibi karar verir. MAC (Mandatory Access Control) — merkezi politika, güvenlik etiketleri. RBAC (Role-Based Access Control) — roller üzerinden yetki. ABAC (Attribute-Based Access Control) — özellik bazlı esnek kural.
• Erişim kontrol prensipleri: En az yetki (least privilege). Görevler ayrılığı (SoD). Bilinmesi gereken (need to know). Varsayılan reddet (default deny). Periyodik erişim gözden geçirme (user access review). Hesap yaşam döngüsü yönetimi.
• Kimlik ve erişim yönetimi (IAM): Kimlik doğrulama (Authentication), Yetkilendirme (Authorization), Hesap verebilirlik (Accountability) — AAA modeli. LDAP, Active Directory. SSO (Single Sign-On): tek kimlik bilgisiyle birden fazla sisteme erişim.
• Parola yönetimi: Parola politikası: uzunluk, karmaşıklık, geçmişe dönülmeme. Parola hash'leme ve tuzlama (salting). Şifreli parola yöneticisi kullanımı. Varsayılan parolaların değiştirilmesi.

06

Veri ve İz Kayıtları Güvenliği — Şifreleme ve PKI

▾

• Şifreleme türleri: Simetrik şifreleme: aynı anahtar şifreleme ve çözme için (AES, DES, 3DES). Hızlı, büyük veri için uygun. Anahtar dağıtımı sorun. Asimetrik şifreleme: açık anahtar (şifreleme/doğrulama) ve özel anahtar (şifre çözme/imzalama) çifti (RSA, ECC). Yavaş, anahtar dağıtımı kolay.
• Kriptografik özet (hash): MD5, SHA-1 (artık zayıf), SHA-256, SHA-3. Tek yönlü, sabit uzunlukta çıktı. Veri bütünlüğünü kanıtlar. Küçük değişiklik çok farklı hash üretir (avalanche effect). HMAC: anahtarlı hash — bütünlük + kimlik doğrulama.
• PKI (Açık Anahtar Altyapısı): CA (Certificate Authority — Sertifika Otoritesi): dijital sertifika imzalar. RA (Registration Authority): kimlik doğrulama. CRL (Certificate Revocation List) ve OCSP: iptal sorgulama. X.509 sertifika standardı. Sertifika içeriği: açık anahtar, sahip bilgisi, geçerlilik süresi, CA imzası.
• İz kayıtları (audit logs): Kimin, ne zaman, hangi kaynağa, ne yaptığını kaydeder. Log bütünlüğü korunmalı (değiştirilemez, silinmez). Saklama süresi yasal gerekliliklere uygun. SIEM ile merkezi toplama ve korelasyon.
• Veri güvenliği kontrolleri: DLP (Data Loss Prevention) — hassas verinin dışarı çıkmasını engeller. Tam disk şifreleme (TDE, BitLocker). Veritabanı şifreleme. E-posta şifreleme (S/MIME, PGP).

07

Üçüncü Taraflarla İletişim Güvenliği

▾

• Üçüncü taraf ilişkisi aşamaları: Başlama (due diligence, sözleşme, güvenlik gereklilikleri), Sürdürme (düzenli izleme, denetim, SLA izleme), Sonlandırma (veri iadesi/imhası, erişim iptali, sözleşme kapanışı).
• Tedarik zinciri güvenliği: Yazılım tedarik zinciri riskleri (üçüncü taraf kütüphaneler, açık kaynak bileşenler). Donanım tedarik zinciri manipülasyonu. SBOM (Software Bill of Materials). SolarWinds saldırısı örneği.
• Güvenlik gereklilikleri: Tedarikçinin güvenlik politikaları ve sertifikasyonları (ISO 27001, SOC 2). KVKK (kişisel verilerin korunması kanunu) kapsamında veri işleme sözleşmesi (DPA). NDA (gizlilik anlaşması). Sözleşmede denetim hakkı. Penetrasyon testi sonuçları paylaşımı.
• Bulut hizmet sağlayıcısı: Paylaşılan sorumluluk modeli. SOC 2 Tip 2 raporu incelemesi. Veri egemenliği ve lokasyon. Veri taşınabilirliği. Çıkış stratejisi (vendor lock-in riski).
• Üçüncü taraf erişim yönetimi: Minimum erişim prensibi. Zamanla sınırlı erişim (time-limited). Her üçüncü taraf için ayrı hesap. Ayrıcalıklı erişim için PAM. Etkinliklerin log kaydı. Sözleşme bitiminde erişimin derhal iptali.

08

Güvenlik Duvarları, IDS/IPS, VPN ve Derinliğine Savunma

▾

• Güvenlik duvarı türleri: Paket filtresi (stateless): IP/port bazlı kural. Durum bilgili (stateful): bağlantı durumunu izler. Uygulama katmanı (proxy/WAF): derin paket inceleme. Yeni nesil (NGFW): IPS, SSL inceleme, uygulama tanıma entegre.
• IDS ve IPS: IDS (Intrusion Detection System): saldırı tespit eder, alarm üretir — pasif. IPS (Intrusion Prevention System): saldırıyı gerçek zamanlı engeller — aktif. İmza tabanlı (bilinen saldırılar) ve anomali tabanlı (normal davranıştan sapma) analiz.
• DMZ (Demilitarized Zone): İç ağ ile dış ağ (İnternet) arasındaki tampon bölge. Web sunucusu, e-posta sunucusu, DNS gibi dışarıdan erişilen sistemler DMZ'de konuşlandırılır. İç ağa doğrudan erişim engellenir.
• VPN (Sanal Özel Ağ): Kamuya açık ağ üzerinde şifrelenmiş tünel. Site-to-site VPN: lokasyonlar arası. Client-to-site (remote access VPN): uzak kullanıcı. Protokoller: IPSec, SSL/TLS, OpenVPN. Split tunneling riski.
• Derinliğine savunma (Defence in Depth): Çok katmanlı güvenlik. Bir katman aşılsa diğerleri devreye girer. Katmanlar: fiziksel, ağ, uygulama, veri, son nokta, insan. Tek noktalı başarısızlıktan (SPOF) kaçınma.

Bu sayfada Bilgi Sistemleri Güvenliği konusunu 8 ana başlık altında inceleyebilirsiniz. Konu, Bilgi Sistemleri Bağımsız Denetim Lisansı sınavının önemli bölümlerinden birini oluşturmaktadır. Özeti okuduktan sonra 100 açıklamalı soru ile kendinizi test edebilirsiniz.

• Bilgi Güvenliği Yönetimi
• Varlık Yönetimi ve Veri Sınıflandırması
• Fiziksel ve Çevresel Güvenlik
• Ağ Güvenliği — Modeller, Protokoller ve Saldırılar
• Erişim Güvenliği