Tedarikçi Bilgi Güvenliği Risk Değerlendirmesi: Katman, Form, Kanıt

Tedarikçi bilgi güvenliği değerlendirmesi sahada iki şekilde bozulur: ya hiç yapılmaz ya da her tedarikçiye aynı 200 soruluk form gönderilir. İkincisi dosyada iyi durur. Yanıtların çoğu okunmadan arşive gider, ekip yorulur, gerçekten kaynak kodunuza veya üretim veritabanınıza erişen tedarikçiye ayrılması gereken zaman kırtasiye temizliği ile geçer. Çözüm basit ama disiplin ister: tedarikçileri veri erişimi ve kritikliğe göre katmanlara ayırın, her katmana uygun derinliği seçin, sonucu sözleşmeye ve izleme döngüsüne bağlayın.

Konunun standart karşılığı ISO/IEC 27001:2022 Ek A’daki 5.19 (tedarikçi ilişkilerinde bilgi güvenliği), 5.20 (tedarikçi anlaşmalarında bilgi güvenliği), 5.21 (BİT tedarik zincirinde bilgi güvenliğinin yönetimi) ve 5.22 (tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi) kontrolleridir; bulut hizmetlerinde 5.23 de işin içine girer. Buradaki konu tedarikçinin bilgi güvenliği riskidir. Hizmet kesintisi ve bağımlılık riski ayrı bir başlık; onun için kritik tedarikçilerde iş sürekliliği yazısına bakın.

1. Tedarikçi envanteri ve sınıflandırma

Kimi değerlendireceğinizi bilmeden değerlendirme başlamaz. Satın alma sistemindeki cari listesi bunun için yetmez. Kredi kartıyla alınan SaaS abonelikleri, departmanların kendi açtığı bulut araçları, makine üreticilerinin uzaktan bakım bağlantıları ve serbest çalışan yazılımcılar bu listede neredeyse hiç görünmez. Envanteri birkaç kaynaktan birleştirerek çıkarın: satın alma kayıtları, muhasebe ödemeleri, firewall ve VPN erişim listeleri, kimlik sağlayıcıdaki kurumsal uygulama kayıtları (örneğin Microsoft Entra ID’deki enterprise application listesi) ve departman görüşmeleri.

Sahada en çok sürpriz firewall kural tablosundan çıkar. Açıklaması “geçici” yazan, kimin açtığı belli olmayan bir uzaktan erişim kuralı çoğu zaman listede olmayan bir tedarikçiye aittir.

Her tedarikçi için şu alanları toplayın:

• Hizmet tanımı: Ne sağlıyor, hangi süreci destekliyor?
• Veri erişimi: Hangi sınıftaki veriyi görüyor, işliyor veya saklıyor (kişisel veri, özel nitelikli kişisel veri, müşteri mühendislik verisi, finansal veri)?
• Sistem erişimi: Ağa, sunuculara veya uygulamalara doğrudan bağlantısı var mı; ayrıcalıklı hesap kullanıyor mu?
• Kritiklik: Hizmet durursa hangi süreç ne kadar sürede etkilenir?
• Alt yükleniciler: Tedarikçi veriyi başka bir tarafa (barındırma, destek merkezi) aktarıyor mu?
• İş sahibi: İlişkiden şirket içinde kim sorumlu?

İş sahibi alanını boş bırakmayın. Bilgi güvenliği ekibi değerlendirmeyi kurumsal bilgi güvenliği risk değerlendirmesi yöntemine göre yürütür; ama sözleşmeyi yöneten, tedarikçiyle konuşan ve düzeltmeyi takip ettiren iş birimidir. Sahibi olmayan bulgu kapanmaz.

2. Katmanlara göre değerlendirme derinliği

Sınıflandırma için iki eksen yeter: veri ve sistem erişiminin hassasiyeti, bir de hizmetin iş açısından kritikliği. İkisini birleştirince dört katmanlı bir model pratikte iyi çalışır. Aşağıdaki tablo örnek bir kurgudur; kendi risk kabul kriterlerinize göre uyarlayın.

Katman	Tipik profil	Değerlendirme yöntemi	Yeniden değerlendirme
K1 – Kritik	Hassas veriyi işler veya altyapıya ayrıcalıklı erişimi vardır; kesintisi ana süreci durdurur	Kapsamlı soru formu + kanıt talebi + gerekirse yerinde veya uzaktan denetim	Yılda bir ve önemli değişiklikte
K2 – Yüksek	Kişisel veya gizli veriye erişir ya da sınırlı sistem erişimi vardır	Kapsamlı soru formu + seçili kanıtlar	Yılda bir
K3 – Orta	Sınırlı iç veri görür, sistem erişimi yoktur	Kısa soru formu	İki yılda bir
K4 – Düşük	Veri ve sistem erişimi yoktur	Güvenlik beyanı ve sözleşme maddeleri	Sözleşme yenilemesinde

Katman atamasını tek kişinin sezgisine bırakmayın. Üç dört sorudan oluşan bir ön eleme formu kullanın: “Tedarikçi kişisel veri işleyecek mi?”, “Ağımıza veya bulut kiracımıza erişim gerekecek mi?”, “Hizmet bir günden uzun durursa müşteri teslimatı etkilenir mi?”, “Müşterinin gizli olarak sınıflandırdığı veri paylaşılacak mı?”. Evet yanıtlarının kombinasyonu katmanı belirler. Böylece satın alma ekibi katmanı kendi başına doğru tahmin eder ve yeni tedarikçi açılışı bilgi güvenliği onayını beklerken haftalarca tıkanmaz.

3. Soru formu tasarımı

Hazır soru setleri iyi bir başlangıç noktasıdır. Cloud Security Alliance’ın CAIQ’su (Consensus Assessments Initiative Questionnaire) bulut hizmetleri için, Shared Assessments’ın SIG’i (Standardized Information Gathering) genel tedarikçiler için yaygın kullanılır. Otomotiv tedarik zincirinde ortak dil VDA ISA soru kataloğudur. Bu setleri olduğu gibi göndermeyin; katmana göre kısaltın, kendi riskinize göre uyarlayın.

İşe yarayan bir formun kuralları:

• Kapalı soru + kanıt alanı: “Erişim yönetiminiz var mı?” yerine “Ayrıcalıklı hesaplarda çok faktörlü kimlik doğrulama zorunlu mu? (Evet/Hayır/Kısmen) — Kanıt: politika maddesi veya yapılandırma ekranı” yazın.
• Hizmete özgü sorular: Uzaktan bakım yapan tedarikçiye yedekleme, SaaS sağlayıcıya fiziksel güvenlik sorusu sormak yanıt kalitesini düşürür. Formu modüllere ayırın: kurumsal yönetişim, erişim, veri koruma, geliştirme, barındırma, olay yönetimi, alt yükleniciler.
• Ağırlıklandırma: “Olay bildirim süresi taahhüdü” ile “güvenlik farkındalık eğitimi” aynı puanı taşımaz. Kritik soruları “eleme sorusu” olarak işaretleyin; hayır yanıtı toplam puandan bağımsız olarak bulgu üretsin.
• Kısmen seçeneği ve zorunlu açıklama: Evet/hayır ikiliği tedarikçiyi “evet” demeye iter. “Kısmen” seçildiğinde açıklama alanı zorunlu olsun.
• Sorumlu kişi ve tarih: Formu kimin, hangi tarihte doldurduğu kayıtta dursun; yanıtlara sözleşmede atıf yapılabilsin.

K1 ve K2 tedarikçiler için 60–120, K3 için 15–25 soru civarı uygulamada yönetilebilir bir aralıktır. Bu bir kural değil, ekip kapasitesine göre verilmiş başlangıç önerisidir. Ölçü basit: gönderdiğiniz her formu birinin gerçekten okuyup karara bağlayabilmesi gerekir. Okunmayan form risk azaltmaz.

4. Kanıt talebi ve sertifikaların değerlendirilmesi

Soru formu beyandır; kanıt beyanı doğrular. K1 ve K2 tedarikçilerde her eleme sorusu için kanıt isteyin. Tedarikçi sertifika veya güvence raporu sunduğunda şu kontrolleri yapın:

Belge	Kontrol edilecekler	Sık görülen sorun
ISO/IEC 27001 sertifikası	Kapsam ifadesi, lokasyonlar, geçerlilik tarihi, akredite belgelendirme kuruluşu	Kapsam yalnız merkez ofisi kapsar; size hizmet veren veri merkezi veya ekip dışarıdadır
SOC 2 Type 2 raporu	Gözlem dönemi, kapsamdaki sistem, istisnalar, alt hizmet sağlayıcılar, CUEC listesi	Raporun yalnız özet sayfası okunur; denetçinin istisnaları atlanır
TISAX etiketi	Değerlendirme seviyesi, hedefler, kapsam, geçerlilik (ENX portalında doğrulama)	Etiket başka bir lokasyona aittir
Sızma testi özeti	Test tarihi, kapsam, kritik bulguların kapatılma durumu	Bir yıldan eski rapor veya yalnız yönetici özeti

En çok kaçırılan nokta sertifika kapsamıdır. Tedarikçinin ISO 27001 belgeli olması, size verdiği hizmetin belgelendirme kapsamında olduğu anlamına gelmez. Kapsam cümlesini okuyun. SOC 2 raporlarında “complementary user entity controls” (CUEC) bölümü, sizin tarafınızda uygulanması beklenen kontrolleri listeler; siz bunları uygulamıyorsanız raporun verdiği güvence eksik kalır. Rapor yapısının ayrıntısı için SOC 2 hazırlık rehberine bakın.

Sertifikası olmayan küçük tedarikçilerde kanıt talebi daha somut olmalı: MFA politikasının ekran görüntüsü, son erişim gözden geçirme kaydı, yedek geri yükleme testi kaydı, son olay müdahale tatbikatının özeti. Tedarikçinin kanıt paylaşmaktan kaçınması da tek başına bir değerlendirme girdisidir. Kayda geçirin.

5. Sonuçların sözleşme ve aksiyonlara bağlanması

Karara dönüşmeyen değerlendirme sadece dosya kalabalığıdır. Her değerlendirme şu dört sonuçtan biriyle kapanmalı:

1. Onay: Önemli bir bulgu yok; standart sözleşme maddeleri yeterli.
2. Koşullu onay: Bulgular var; tedarikçiden tarihli bir düzeltme planı alınır ve plan sözleşmeye veya ek protokole bağlanır.
3. Telafi edici kontrolle onay: Tedarikçi eksikliği gideremiyor; riski kendi tarafınızda düşürürsünüz (erişimi oturum kaydı tutan bir atlama sunucusundan vermek, veri paylaşımını maskeli veriyle sınırlamak gibi).
4. Red veya risk kabulü: Risk kabul eşiğinin üstündeyse tedarikçi kullanılmaz ya da yetkili risk sahibi kalıntı riski yazılı olarak kabul eder.

Son seçenekte kabul yetkisinin kimde olduğu önceden tanımlı olmalı; ayrıntısı risk kabul kriterleri yazısında.

Sözleşmeye taşınması gereken asgari bilgi güvenliği maddeleri: gizlilik yükümlülüğü, verinin işlenme amacı ve lokasyonu, alt yüklenici kullanımında önceden bildirim veya onay, olay bildirim süresi, denetim ve kanıt talep hakkı, sözleşme bitiminde verinin iadesi veya imhası ve imha kanıtı, erişim hesaplarının kapatılması. Kişisel veri işleyen tedarikçilerde 6698 sayılı KVKK kapsamında veri sorumlusu–veri işleyen ilişkisi ve teknik/idari tedbirler sözleşmede düzenlenmelidir. Makine üreticisi veya entegratör gibi uzaktan erişimle çalışan tedarikçilerde bağlantının teknik tasarımı ayrı bir iştir; kalıcı açık bir VPN tüneli, sözleşmedeki her maddeden daha büyük risk taşır. Bunun için güvenli tedarikçi uzaktan erişimi rehberine bakın.

6. Periyodik yeniden değerlendirme ve izleme

Tek seferlik değerlendirme, tedarikçinin o günkü fotoğrafıdır. İzleme döngüsünü üç tetikleyiciyle kurun:

• Takvim: Katman tablosundaki sıklıkla yeniden değerlendirme.
• Değişiklik: Hizmet kapsamının genişlemesi, yeni veri türü paylaşımı, tedarikçinin satın alınması veya birleşmesi, alt yüklenici değişikliği, barındırma lokasyonunun değişmesi.
• Olay: Tedarikçide yaşanan güvenlik olayı, kamuya açıklanan bir veri ihlali veya hizmetin kritik bir zafiyetten etkilendiğinin duyurulması.

Bu tetikleyicilerin yakalanması için satın alma, hukuk ve iş sahiplerinin bilgi güvenliği ekibini bilgilendirme yükümlülüğü prosedürde yazılı olmalı. Yazılı değilse haber gelmez. Koşullu onaylanan tedarikçilerin düzeltme planları ayrı bir takip listesinde izlenir; hedef tarihi geçen aksiyon otomatik olarak iş sahibine ve risk sahibine eskale edilir. Yıllık yönetimin gözden geçirmesine katmanlara göre tedarikçi sayısı, açık bulgu sayısı ve süresi geçmiş aksiyonlar girdi olarak sunulur.

Sözleşme bitişi de sürecin parçasıdır. Tedarikçinin hesaplarının kapatıldığı, VPN ve firewall kurallarının kaldırıldığı, verinin iade veya imha edildiği kayda geçmeden ilişki kapanmış sayılmaz. Denetimlerde en sık rastlanan eksiklik, ayrılmış tedarikçinin hâlâ aktif bir hizmet hesabıdır. Bunu kontrol etmek on dakika sürer: kimlik sağlayıcıda ve VPN kullanıcı listesinde tedarikçi adıyla arama yapın, son oturum tarihine bakın.

7. Kontrol listesi ve sık yapılan hatalar

Süreci kurarken aşağıdaki listeyi kullanın:

• Tedarikçi envanteri satın alma dışındaki kaynaklarla da tamamlandı mı?
• Her tedarikçinin iş sahibi ve katmanı atandı mı?
• Ön eleme formu yeni tedarikçi açılış sürecine bağlandı mı?
• Soru formu katman ve hizmet türüne göre modüllere ayrıldı mı, eleme soruları belirlendi mi?
• Sertifika ve raporlarda kapsam, dönem ve istisnalar kontrol ediliyor mu?
• Her değerlendirme onay, koşullu onay, telafi edici kontrol veya red/kabul kararıyla kapanıyor mu?
• Sözleşme şablonu asgari güvenlik maddelerini içeriyor mu?
• Yeniden değerlendirme takvimi ve değişiklik/olay tetikleyicileri tanımlı mı?
• Sözleşme bitiminde erişim kapatma ve veri imha kanıtı alınıyor mu?

Sahada tekrar tekrar gördüğümüz hatalar: tüm tedarikçilere aynı formu göndermek; yanıtları okuyup karara bağlamadan arşivlemek; sertifikanın varlığını kapsamına bakmadan yeterli saymak; değerlendirmeyi yalnız bilgi güvenliği ekibinin işi sayıp iş sahibini dışarıda bırakmak; tedarikçinin kendi alt yüklenicilerini hiç sormamak. BT hizmet tedarikçilerinin kalite yönetim sistemi açısından kontrolü ayrı bir bakış ister; üretim tarafındaki gereklilikler için IATF 16949’da BT hizmet sağlayıcılarının kontrolü yazısına bakın.

Tedarikçi envanterinin çıkarılması, katman modelinin kurulması ve kritik tedarikçilerin değerlendirilmesinde tedarikçi ve üçüncü taraf güvenlik risk yönetimi hizmetimizle destek veriyoruz. Standardın tedarikçi ilişkilerine dair genel çerçevesi için başlangıç noktası ISO/IEC 27001 resmi sayfası.

Sık sorulan sorular

Her tedarikçiye bilgi güvenliği soru formu göndermek gerekir mi?

Hayır. Veri ve sistem erişimi olmayan düşük katmandaki tedarikçilerde sözleşmedeki gizlilik maddeleri ve kısa bir güvenlik beyanı genellikle yeterlidir. Derinliği, tedarikçinin eriştiği verinin hassasiyeti ve hizmetin kritikliği belirler.

Tedarikçinin ISO 27001 sertifikası varsa ayrıca değerlendirme yapmak gerekir mi?

Sertifika değerlendirmeyi kısaltır, ortadan kaldırmaz. Size verilen hizmetin, lokasyonun ve ekibin sertifika kapsamında olup olmadığını, sertifikanın geçerliliğini ve belgelendirme kuruluşunun akreditasyonunu kontrol edin. Kapsam dışında kalan konular için hedefli sorular sorun.

Tedarikçi soru formunu doldurmayı reddederse ne yapılmalı?

Önce talebin katmana uygun ve makul olup olmadığına bakın. Tedarikçi yine de bilgi vermezse bunu risk girdisi olarak kaydedin; riski kendi tarafınızda telafi edici kontrollerle düşürebilir, alternatif tedarikçi arayabilir veya yetkili risk sahibinin yazılı kabulüyle devam edebilirsiniz.

Tedarikçi değerlendirmesi ne sıklıkla tekrarlanmalı?

Sıklığı katman belirler; kritik tedarikçilerde yılda bir, düşük katmanlarda sözleşme yenilemesinde yaygın bir uygulamadır. Takvimden bağımsız olarak hizmet kapsamının değişmesi, tedarikçide güvenlik olayı veya alt yüklenici değişikliği yeniden değerlendirmeyi tetikler.