Bilgi Güvenliği Olay Yönetimi Prosedürü Nasıl Yazılır?

Olay anında kimse prosedür okumaz. Ekip, prosedürde önceden verilmiş kararları uygular ya da doğaçlama yapar. Saat 03:00’te dosya sunucusunda şifrelenmiş dosyalar görüldüğünde nöbetçinin kimi arayacağı, sunucuyu kapatıp kapatmayacağı ve KVKK bildirimini kimin değerlendireceği belli değilse, prosedür yok demektir. Olay yönetimi prosedürü bu yüzden teori metni değil; kimin neyi ne zaman bildireceğini, olayın nasıl önceliklendirileceğini, kararın kime yükseleceğini ve hangi kaydın tutulacağını netleştiren bir belgedir. Aşağıda ISO/IEC 27001:2022 Annex A kontrollerini karşılayan bir prosedürü bölüm bölüm yazmayı ve KVKK ile müşteri bildirim yükümlülüklerini sürece bağlamayı anlatıyoruz.

Prosedürün karşılaması gereken kontroller

Annex A’da olay yönetimi birbirini izleyen bir kontrol zinciridir. Prosedürün her bölümü bu kontrollerden en az birine karşılık gelmelidir:

Kontrol	Konu	Prosedürdeki karşılığı
5.24	Olay yönetimi planlama ve hazırlık	Roller, ekip, araçlar, iletişim listesi
6.8	Bilgi güvenliği olaylarının raporlanması	Bildirim kanalları
5.25	Olayların değerlendirilmesi ve karar	Sınıflandırma ve önceliklendirme
5.26	Olaylara müdahale	Eskalasyon ve müdahale adımları
5.28	Kanıt toplama	Kanıt toplama ve saklama
5.27	Olaylardan öğrenme	Olay sonrası değerlendirme
5.5, 5.6	Otoritelerle ve özel ilgi gruplarıyla iletişim	Dış bildirim

Prosedür teknik müdahale adımlarının tamamını içermek zorunda değildir. Fidye yazılımı, hesap ele geçirme veya veri sızıntısı gibi senaryolar için ayrı müdahale kılavuzları (playbook) hazırlanır, prosedür bunlara atıf yapar. Prosedür kısa kalır. Kılavuzlar ayrıntılı olur. Prosedürün yapı ve yazım kuralları için prosedür ve talimat yazımı rehberine bakılabilir.

Olay, zayıflık ve ihlal tanımları

Tanımlar belirsizse aynı vaka bir ekipte “olay”, diğerinde “arıza” diye kaydedilir; yıl sonunda istatistik hiçbir şey söylemez. Prosedürün başında şu ayrımı net yazın:

• Bilgi güvenliği olayı (event): Güvenlik açısından önem taşıyabilecek gözlemlenen durum; örneğin başarısız oturum açma denemelerinde artış, şüpheli bir e-posta bildirimi.
• Bilgi güvenliği ihlal olayı (incident): Bilginin gizliliğini, bütünlüğünü veya erişilebilirliğini tehlikeye atan ya da atma olasılığı yüksek olan, değerlendirilmiş olay veya olaylar dizisi.
• Zayıflık: Henüz istismar edilmemiş bir açık; örneğin paylaşılan bir klasörün tüm kullanıcılara açık olduğunun fark edilmesi.
• Kişisel veri ihlali: Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi; 6698 sayılı KVKK madde 12 kapsamında ayrı bildirim yükümlülüğü doğurur.

Her olay ihlal değildir ve değerlendirme bir karar adımıdır; prosedür bunu açıkça göstermelidir. Karar ve gerekçesi kayda geçer. Denetçi özellikle “ihlal değil” denilen olayların gerekçesini görmek ister; gerekçe alanı boş kayıtlar ilk bulgudur.

Bildirim kanalları ve ilk kayıt

Annex A 6.8, personelin gözlemlediği veya şüphelendiği olayları uygun kanallardan zamanında bildirmesini ister. Kanallar tek noktaya akmalı ve kullanıcı için basit olmalıdır:

• Hizmet masası sistemi ve bu sistemde “güvenlik olayı” kategorisi.
• Mesai dışı için telefon numarası ve nöbet listesi.
• E-posta istemcisinde şüpheli ileti bildirme düğmesi.
• İzleme sistemlerinden (SIEM, EDR, firewall) gelen otomatik alarmlar.

Kullanıcı talimatı beş adımı geçmemeli: ne gördüğünü yaz, ekran görüntüsü al, cihazı kapatma, kendi başına müdahale etme, bildir. Cihazı ağdan ayırma kararını kullanıcıya değil, BT’ye bırakın. Sahada sık gördüğümüz hata, nöbet listesindeki numaranın ayrılmış bir çalışana ait olmasıdır; listeyi üç ayda bir arayarak test edin. İlk kayıtta toplanacak alanlar: bildirim zamanı, bildiren, etkilenen sistem veya varlık, gözlemlenen durum ve kaydı açan kişi. Etkilenen varlığı envanter kimliğiyle yazmak etki değerlendirmesini hızlandırır.

Sınıflandırma ve önceliklendirme tablosu

Önceliklendirme, ekibin neye ne hızla yanıt vereceğini belirler. Tabloyu olay anında tartışma gerektirmeyecek kadar somut ölçütlerle yazın. Aşağıdaki yapı örnektir; süre ve ölçütleri kuruluşun iş etki analizine göre belirleyin.

Öncelik	Örnek ölçüt	İlk müdahale (örnek)	Bilgilendirilecek
P1 – Kritik	Kritik iş süreci durdu, yaygın şifreleme, kişisel veri sızıntısı şüphesi	Hemen, 7/24	Üst yönetim, kriz ekibi, hukuk
P2 – Yüksek	Yönetici hesabı ele geçirme şüphesi, tek kritik sunucuda zararlı	Birkaç saat içinde, mesai dışı dahil	BGYS yöneticisi, BT müdürü
P3 – Orta	Tek kullanıcı cihazında zararlı, kimlik avı tıklaması	Mesai içinde	BT ekibi lideri
P4 – Düşük	Engellenen saldırı denemesi, politika ihlali şüphesi	Planlı	Aylık raporda

Önceliği iki eksen belirler: iş etkisi (kaç kullanıcı, hangi süreç, hangi veri sınıfı) ve yayılma potansiyeli. Tek cihazda başlayan zararlı, aynı yerel yönetici parolası tüm istemcilerde kullanılıyorsa dakikalar içinde P1 olur. Öncelik olay süresince yükseltilebilir; prosedür bunu ve her değişikliğin gerekçesiyle kaydedileceğini yazmalıdır.

Eskalasyon ve dış bildirim yükümlülükleri

Eskalasyon bölümü “kime haber verilir” sorusunu isimle değil, rol bazında ve vekilleriyle cevaplar. P1 olaylarda kriz yönetimine geçiş ölçütü burada tanımlanır; kriz iletişiminin nasıl yürütüleceği kriz yönetimi ve iletişim planı rehberinin konusudur.

Dış bildirim yükümlülükleri olay anında araştırılmaz. Prosedürün ekinde hazır bir tablo olarak durur:

• KVKK: Kanun’un 12. maddesinin beşinci fıkrası, kişisel verilerin kanuni olmayan yollarla elde edilmesi halinde veri sorumlusunun durumu en kısa sürede ilgilisine ve Kurul’a bildirmesini öngörür. Kişisel Verileri Koruma Kurulu’nun 2019/10 sayılı kararı “en kısa süre”yi Kurul’a bildirim için ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlar. Güncel karar ve bildirim formu kvkk.gov.tr üzerinden doğrulanmalıdır.
• Müşteri sözleşmeleri: Birçok müşteri sözleşmesi, tedarikçi güvenlik şartnamesi veya TISAX kapsamındaki müşteri talebi kendi bildirim süresini tanımlar. Bu süreleri sözleşme bazında listeleyin ve sorumlu rol atayın.
• Sektörel düzenlemeler ve sigorta: Kuruluşun tabi olduğu sektörel düzenlemeler ve siber sigorta poliçesindeki bildirim şartları da aynı tabloda yer alır.

Kanıt toplama ve olay kaydı

Annex A 5.28, kanıtın belirlenmesi, toplanması, edinilmesi ve korunması için prosedürler ister. Olay hukuki veya disiplin süreciyle sonuçlanabilecekse kanıtın bütünlüğü ispatlanabilmelidir. Prosedüre şu kuralları yazın:

• Etkilenen sistem, karar verilmeden kapatılmaz veya yeniden kurulmaz; bellek ve oturum bilgisi kaybolabilir.
• Toplanan her öğe için kim, ne zaman, nereden, hangi yöntemle aldı bilgisi kaydedilir (gözetim zinciri).
• Toplanan dosyaların özet değeri (hash) alınır ve kayda yazılır.
• Kanıtlar erişimi kısıtlı, yazma yetkisi sınırlı bir ortamda saklanır.

Sahada en sık kaybedilen kanıt, iyi niyetle yapılan “hemen formatlayıp geri yükleyelim” müdahalesinde gider. Sunucu temiz kurulur ama saldırganın nereden girdiği hiç öğrenilmez. Bir Windows sunucusundan güvenlik günlüğünü dışa aktarıp özet değerini almak için yerleşik araçlar yeterlidir:

wevtutil epl Security D:\IR\OLY-2026-031\SRV01-Security.evtx
Get-FileHash -Path D:\IR\OLY-2026-031\SRV01-Security.evtx -Algorithm SHA256 |
  Format-List Algorithm,Hash,Path

Linux tarafında aynı işlem sha256sum dosya > dosya.sha256 ile yapılır. Günlük boyutunu da kontrol edin; varsayılan boyutta bırakılmış Security günlüğü yoğun bir sunucuda kısa sürede eski kayıtların üzerine yazar ve olay başlangıcı kayıtta kalmaz. Disk ve bellek imajı gibi adli işlemler uzmanlık ister; prosedür, bu durumda hangi dış ekibin çağrılacağını yazmalıdır. Hangi verilerin silinmeden korunması gerektiğine dair teknik ayrıntı siber olay sonrası adli delil koruma rehberinde yer alıyor.

Olay kaydı; zaman çizelgesi, alınan kararlar ve gerekçeleri, öncelik değişiklikleri, dış bildirimler ve kapanış özetini içerir. Kaydın saklama süresi kayıt listesinde tanımlanır; yöntem için kayıt listesi ve saklama süreleri yazısına bakılabilir.

Olay sonrası değerlendirme

Annex A 5.27, olaylardan elde edilen bilginin kontrolleri güçlendirmek için kullanılmasını ister. P1 ve P2 olaylar için değerlendirme toplantısı zorunlu olsun; diğerleri için dönemsel toplu inceleme yeterli olabilir. Değerlendirme kişiyi değil süreci sorgular ve şu sorulara yazılı cevap üretir:

1. Olay ne zaman başladı, ne zaman fark edildi, aradaki süreyi ne belirledi?
2. Prosedürde işlemeyen veya eksik kalan adım hangisiydi?
3. Hangi kontrol olayı önleyebilir veya erken tespit edebilirdi?
4. Hangi düzeltici faaliyetler, hangi sorumlu ve hangi tarihle açıldı?
5. Risk kaydında güncellenmesi gereken bir değerlendirme var mı?

İlk soru genellikle en rahatsız edici cevabı verir. Başlangıç ile fark edilme arasındaki süre uzunsa sorun müdahalede değil, izlemededir. Çıktılar düzeltici faaliyet sürecine ve yönetimin gözden geçirmesine girdi olur. Üretim ortamına özgü süreklilik senaryoları için IATF 16949 siber saldırı acil durum planı yazısı tamamlayıcıdır. Prosedürü müdahale planı ve bildirim akışlarıyla birlikte kurmak için siber olay müdahale planı ve olay bildirim süreçleri, kişisel veri ihlali yükümlülüklerini idari tedbirlerle bağlamak için KVKK teknik ve idari tedbirler sayfalarına bakabilirsiniz.

Sık sorulan sorular

Her bilgi güvenliği olayı ihlal sayılır mı?

Hayır. Olay, güvenlik açısından önem taşıyabilecek bir gözlemdir; ihlal ise değerlendirme sonucunda bilginin gizlilik, bütünlük veya erişilebilirliğini tehlikeye attığı belirlenen olaydır. Değerlendirme kararı ve gerekçesi kayda geçirilir.

KVKK’ya veri ihlali bildirimi ne kadar sürede yapılmalıdır?

Kanun “en kısa sürede” der; Kişisel Verileri Koruma Kurulu’nun 2019/10 sayılı kararı bunu Kurul’a bildirim için ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlar. Güncel düzenleme kvkk.gov.tr üzerinden doğrulanmalıdır.

Olay yönetimi prosedürü teknik müdahale adımlarını içermeli mi?

Prosedür rolleri, önceliklendirmeyi, eskalasyonu, kanıt ve kayıt kurallarını tanımlar. Fidye yazılımı veya hesap ele geçirme gibi senaryolara özgü teknik adımlar ayrı müdahale kılavuzlarında tutulur ve prosedür bunlara atıf yapar.

Olay sonrası değerlendirme hangi olaylar için yapılmalıdır?

Kritik ve yüksek öncelikli olaylar için ayrı değerlendirme toplantısı yapın. Düşük öncelikli olaylar dönemsel olarak toplu incelenebilir; tekrar eden örüntüler bu incelemede ortaya çıkar.