Siber Güvenlikte Risk Modeli: Önce Neyi Korumalı?#

İyi güvenlik çalışması en pahalı aracı seçmekle değil, neyin gerçekten kritik olduğunu anlamakla başlar. Bir sistemin saldırı yüzeyini ölçmeden yapılan her kontrol listesi eksik kalır; çünkü aynı zafiyet iki farklı kurumda bambaşka riskler doğurabilir.

Risk modeli neden gerekli?#

Risk modeli, teknik bulguları iş etkisiyle birleştirir. Bir testte çıkan bulgu sadece "kritik" etiketiyle kalmamalı; hangi varlığı etkilediği, hangi veriye erişim sağladığı, istismar için hangi ön koşulları istediği ve saldırganın bundan ne kazanacağı netleşmelidir.

Bu yüzden başlangıç soruları basittir:

1. Hangi varlıklar dış dünyaya açık?
2. Hangi sistemler kimlik, ödeme, müşteri verisi veya üretim erişimi taşıyor?
3. Hangi ekip hangi servisin sahibi?
4. Bir servis devre dışı kalırsa iş etkisi ne olur?
5. Log, alarm ve müdahale süreci gerçekten çalışıyor mu?

Bu sorulara verilen yanıtlar, güvenlik bütçesini ve test zamanını doğru yere taşır.

Varlık envanteri güvenlik işinin haritasıdır#

Varlık envanteri güncel değilse güvenlik ekibi karanlıkta çalışır. Alan adları, alt alan adları, bulut hesapları, API uçları, üçüncü taraf entegrasyonları ve geliştirme ortamları aynı tabloda izlenmelidir.

Küçük bir ekip için bile şu alanlar yeterli bir başlangıç sağlar:

| Alan | Neden önemli? | | --- | --- | | Servis adı | Sahipliği ve kapsamı netleştirir | | Ortam | Üretim, staging ve test ayrımını gösterir | | Veri tipi | Kişisel veri, token veya finansal veri riskini belirtir | | Sahip ekip | Düzeltme sürecini hızlandırır | | Kritik seviye | Test önceliğini belirler | | Son kontrol tarihi | Kör nokta oluşmasını engeller |

Önceliklendirme nasıl yapılır?#

Tüm açıkları aynı hızda kapatmak mümkün değildir. Bu yüzden bulguları üç eksende değerlendirmek daha sağlıklıdır:

1. Etki: Başarılı istismar hangi veriyi veya yetkiyi etkiliyor?
2. Olasılık: Saldırganın ön koşulları ne kadar zor?
3. Tespit edilebilirlik: Mevcut log ve alarm yapısı bunu yakalayabiliyor mu?

Örneğin yalnızca iç ağdan erişilebilen düşük etkili bir ayar hatası ile internete açık kimlik doğrulama bypass riski aynı takvime konulmamalıdır. İyi program, en yüksek iş etkisini taşıyan yolu önce kapatır.

Ölçülebilir çıktı üretin#

Güvenlik raporu sadece bulgu listesi olmamalıdır. Yönetilebilir bir güvenlik programı şu çıktıları üretir:

• Kritik varlıkların listesi
• İnternete açık servislerin kapsamı
• Tekrarlanabilir test planı
• Her bulgu için sahip ekip ve hedef tarih
• Kapatılan risklerin kanıtı
• Tekrar eden kök nedenlerin özeti

Bu yapı, penetrasyon testi, bug bounty, kod inceleme ve bulut güvenliği çalışmalarını aynı risk dilinde buluşturur.

Kısa sonuç#

Siber güvenlikte olgunluk, daha çok araç çalıştırmakla değil, doğru soruları düzenli sormakla artar. Önce varlıkları görünür yapın, sonra riskleri iş etkisine göre sıralayın, ardından düzeltme sürecini sahiplik ve kanıt üzerinden yönetin.