Burak Ekşi

Giriş: Proaktif Zafiyet Yönetiminin Önemi

Sıradan bir iş gününde tüm bilişim sistemlerinizin sorunsuz çalıştığını düşünürken aniden operasyonel akışın kesintiye uğradığı bir siber güvenlik olayıyla karşılaşabilirsiniz. İnceleme sonucunda arızanın; üretici tarafından aylar önce yaması yayımlanmış bilinen bir yazılım zafiyetinin istismar edilmesinden kaynaklandığı ortaya çıkabilir.

Planlı bir yama operasyonuyla önlenebilecek bir ihmal; kritik iş sürekliliği kayıplarına, saygınlık zedelenmesine ve yasal yaptırımlara yol açabilir. ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi, bu tür öngörülebilir olayları engellemek üzere Ek A.12.6.1 (2022 revizyonunda Madde 8.8) kontrolünü şart koşar.

Teknik Açıklık (Zafiyet) ve Tehdit Kavramları

ISO/IEC 27000 temel terminoloji standardı uyarınca:

• Açıklık (Vulnerability): Bir veya daha fazla tehdit unsuru tarafından istismar edilebilecek bir varlık veya kontrol zaafıdır.
• Tehdit (Threat): Bir sisteme veya kuruluşa zarar verme potansiyeli taşıyan istenmeyen durumların veya olayların nedenidir.

Bir varlığın tasarımında, kodlamasında, mimarisinde veya işletim yapılandırmasında meydana gelen aksaklıklar güvenlik açığı oluşturur. Tehdit aktörleri bu açığı hedef aldığında güvenlik ihlali gerçekleşir.

Standart Kontrol Dönüşümü: 2013 vs 2022

ISO/IEC 27001:2013 ile ISO/IEC 27001:2022 arasındaki yapısal farklar aşağıdaki tabloda özetlenmiştir:

Teknik Açıklık Yönetimi Yaşam Döngüsü

ISO/IEC 27002:2022 Madde 8.8 kılavuzluğu doğrultusunda teknik açıklık yönetimi beş temel aşamadan oluşur:

1. Güncel Varlık Envanteri

Kuruluş; ağındaki tüm işletim sistemleri, ağ cihazları, veritabanları, donanım sürümleri ve yazılım bileşenlerini lisans ve sürüm detaylarıyla kayıt altına almalıdır. Varlığından haberdar olunmayan bir sistemin zafiyeti takip edilemez.

2. Açıklık Bilgilerinin Zamanında İzlenmesi

Kuruluş, kullandığı varlıklarla ilişkili güvenlik bültenlerini düzenli olarak izlemelidir:

• Üretici bültenleri ve güvenlik bildirimleri
• Ulusal Güvenlik Açıklığı Veritabanı (NVD - National Vulnerability Database / CVE kayıtları)
• USOM (Ulusal Siber Olaylara Müdahale Merkezi) bültenleri
• CISA Bilinen İstismar Edilen Açıklıklar (KEV) kataloğu

3. Maruziyet ve Risk Değerlendirmesi

Her yayımlanan açıklık kurum için aynı risk düzeyine sahip değildir. Risk puanı; CVSS (Common Vulnerability Scoring System) baz puanının yanı sıra varlığın kritikliği, dış dünyaya açık olup olmaması ve mevcut ağ segmentasyonu göz önüne alınarak hesaplanmalıdır.

4. Düzeltici ve Telafi Edici Eylemler

• Yama Dağıtımı: Üretici tarafından sağlanan resmi güvenlik yamasının uygulanması.
• Telafi Edici Kontroller (Compensating Controls): Eğer resmi bir yama henüz mevcut değilse (sıfırıncı gün zafiyeti) veya yamanın uygulanması operasyonel bir kesintiye yol açacaksa; ilgili servisi devre dışı bırakmak, IP kısıtlaması uygulamak veya WAF üzerinde sanal yama (virtual patching) kuralları yazmak gibi önlemler devreye alınmalıdır.

5. Doğrulama ve Değişiklik Yönetimi

Hiçbir yama doğrudan canlı sistemlere uygulanmamalıdır. Yamalar öncelikle test ortamında doğrulanmalı, sistem bağımlılıkları incelenmeli ve kurumsal Değişiklik Yönetimi (Change Management) prosedürüne uygun olarak canlıya alınmalıdır.

Uygulamada Karşılaşılan Kritik Zorluklar

• Eski ve Üretici Desteği Biten (End-of-Life) Sistemler: Üreticisi tarafından artık güvenlik güncellemesi verilmeyen yazılımlar sistemde yer alıyorsa, bu sistemler doğrudan dış dünyadan izole edilmeli ve özel VLAN’lar içinde tutulmalıdır.
• Bulut ve Açık Kaynak Bileşenler: Yazılım geliştirme yaşam döngüsünde kullanılan açık kaynak kütüphaneler (örneğin Log4j benzeri bağımlılıklar) Software Bill of Materials (SBOM) kapsamında takip edilmelidir.

4. Yayın Bağımlılıkları ve İç Bağlantılar

• İç Bağlantılar (Yayındaki Güvenli Rotalar):
  • Hizmet İncelemesi: Bilgi Güvenliği Danışmanlığı
  • ISO/IEC 27001 Hizmeti: ISO/IEC 27001 Danışmanlığı
  • Kurumsal Eğitim: ISO 27001 Farkındalık Eğitimi
• İlişkili Makaleler:
  • Varlık Yönetimi: /iso-27001-varlik-yonetimi-varliklarin-sorumlulugu/ (Level B incelemesinde)
  • Zafiyet ve Sızma Testi: /penetrasyon-testi-sizma-testi-zaafiyet-analizi/ (Level A incelemesinde)

5. Resmî Kaynaklar ve Doğrulama Referansları

• ISO/IEC 27001:2022: Information security, cybersecurity and privacy protection — Information security management systems — Requirements (Annex A Control 8.8).
• ISO/IEC 27002:2022: Information security controls (Clause 8.8 Management of technical vulnerabilities).
• NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning.
• FIRST CVSS v3.1 / v4.0 Specification: Common Vulnerability Scoring System.
• USOM Bültenleri ve Güvenlik Bildirimleri: Bilgi Teknolojileri ve İletişim Kurumu.