Siber Güvenlik
Yönetilen güvenlik hizmetleri: KOBİ'ler ne zaman dışarıdan almalı?
Güvenlik duvarı, EDR ve yedekleme sürekli bakım ister. Bu görevleri bir hizmet sağlayıcıya devretmenin ne zaman mantıklı olduğunu, nelerin dahil olduğunu ve sözleşmede nelere dikkat etmeniz gerektiğini anlatıyoruz.
Q-entra Editör EkibiYayın tarihi 4 dk okuma
İçindekiler
- Kısa cevap: Dış kaynak kullanımı ne zaman mantıklı?
- Dış kaynak kullanma zamanının geldiğini gösteren beş işaret
- Yönetilen güvenlik hizmetlerine genellikle neler dahildir?
- Şirkette neler kalır?
- Yönetilen güvenlik sağlayıcısı nasıl değerlendirilir?
- Tam yönetim veya ortak yönetim: iki işletim modeli
- Sonuç: Görevleri devredin, sorumluluğu elinizde tutun
Kısaca
- Güvenlik görevleri düzenli olarak ortaya çıkıyor ama şirket içinde bunlara ayıracak zamanı veya uzmanlığı olan kimse yoksa dış kaynak kullanımı mantıklıdır.
- Tipik bileşenler izleme, uyarıların değerlendirilmesi, yama yönetimi, yedekleme kontrolü, zafiyet taramaları ve raporlamadır.
- Risklerle ilgili kararlar, onaylar ve acil durum kararları şirkette kalır.
- İyi bir sözleşmede kapsam, hizmet seviyeleri, eskalasyon, raporlama ve düzenli bir çıkış süreci açıkça belirlenir.
Kısa cevap: Dış kaynak kullanımı ne zaman mantıklı?
Güvenlik operasyonlarını dışarıdan almak, güvenlik görevleri düzenli olarak ortaya çıktığında ancak şirkette bunları güvenilir şekilde yürütecek zamanı veya uzmanlığı olan kimse bulunmadığında mantıklıdır. Tipik işaretler şunlardır: güvenlikten sorumlu bir çalışanın olmaması, araç ve uyarı sayısının artması ve NIS2, sigorta şirketleri veya müşterilerden gelen, kanıt gerektiren talepler.
Yönetilen güvenlik hizmetlerinde, çoğu zaman MSSP (Managed Security Service Provider) olarak adlandırılan bir hizmet sağlayıcı, güvenlik sistemlerinizin sürekli işletimini ve izlenmesini kararlaştırılan kapsam içinde üstlenir. Üstlenmediği şey ise risklerinizin sorumluluğudur. Bu sorumluluk şirkette kalır ve iyi bir sözleşme bu ayrımı açıkça ortaya koyar.
Dış kaynak kullanma zamanının geldiğini gösteren beş işaret
- Güvenlikten sorumlu çalışan yok: BT işleri başka bir görevin yanında yürütülüyor veya BT hizmet sağlayıcınız ağırlıklı olarak kullanıcı desteği veriyor.
- Daha fazla araç, daha fazla uyarı: Güvenlik duvarı, uç nokta güvenliği, yedekleme ve Microsoft 365 ayrı ayrı bildirim gönderiyor ve kimse resmin tamamını görmüyor.
- Güncellemeler sürekli erteleniyor: Sabit bir takvim yok, yamalar biri vakit bulduğunda yükleniyor.
- Dış talepler: NIS2, siber sigorta soru formları veya müşterilerinizin tedarikçi denetimleri, kolayca sunamadığınız kanıtlar istiyor.
- Büyüme veya kıl payı atlatılan bir olay: Yeni lokasyonlar, artan çalışan sayısı ya da yalnızca şans eseri iyi sonuçlanan bir olay eksikleri ortaya çıkardı.
Bunlardan birkaçı sizin için geçerliyse, dış kaynak kullanımını ciddi olarak değerlendirmeye değer. Amaç her şeyi devretmek değil, tekrarlanan görevlerin güvenilir şekilde yapılmasını sağlamaktır.
Yönetilen güvenlik hizmetlerine genellikle neler dahildir?
Kapsam sağlayıcıdan sağlayıcıya değişir, ancak tekliflerin çoğu aynı bileşenlerden oluşur:
- İzleme: Güvenlik duvarı, uç nokta güvenliği ve yedekleme; sistem durumu, lisanslar ve yapılandırma dahil olmak üzere izlenir.
- Uyarıların değerlendirilmesi: Uyarılar önem derecesine göre ayrılır, şüpheli etkinlikler incelenir ve kararlaştırılan adımlar başlatılır. Tespit teknolojilerinin birbirinden nasıl ayrıldığını antivirüs, EDR, XDR ve MDR yazımızda açıklıyoruz.
- Yama yönetimi: İşletim sistemleri, uygulamalar ve cihaz yazılımları (firmware) bir plana göre güncellenir. Nelere dikkat etmeniz gerektiğini yama yönetimi yazımızda bulabilirsiniz.
- Yedekleme kontrolü: Yedekler izlenir ve geri yükleme düzenli olarak test edilir.
- Zafiyet taramaları: Tekrarlanan taramalar yeni açıkları ortaya çıkarır, bu açıklar ardından öncelik sırasına göre kapatılır.
- Raporlama: Anlaşılır bir dille yazılmış düzenli raporlar, neler olduğunu ve neyin hâlâ açık olduğunu gösterir.
Sık görülen ek hizmetler arasında uzman sağlayıcıların sunduğu kesintisiz MDR, SIEM ile merkezi kayıt (log) analizi, farkındalık eğitimleri ve ağdaki kameraların veya geçiş kontrol sistemlerinin kapsama alınması yer alır. Günün her saatinde izleme ayrı bir hizmet bileşenidir. İhtiyacınız varsa bunu açıkça sorun.
Şirkette neler kalır?
Dış kaynak kullanımı görevleri devreder, sorumluluğu değil. Bilgi güvenliğinden yönetim sorumlu olmaya devam eder; NIS2 kapsamındaki kuruluşlarda yönetim organının bu sorumluluğu açıkça düzenlenmiştir. Pratikte şunlar sizde kalır:
- Riskler, öncelikler ve bütçe ile ilgili kararlar.
- Bakım zaman aralıklarının ve günlük işleyişi etkileyen değişikliklerin onaylanması.
- İşe kimin başladığını, kimin ayrıldığını ve kimin farklı erişim haklarına ihtiyaç duyduğunu sağlayıcıya bildirmek.
- Sistemlerin ağdan ayrılması ya da sigorta şirketinin ve polisin devreye sokulması gibi acil durum kararları. Örneğin GDPR kapsamındaki bildirim yükümlülükleri de veri sorumlusu olarak sizde kalır.
- Çalışanların güvenlik farkındalığı ve şirket içi kurallara uyulması.
| Görev | Hizmet sağlayıcı | Şirket |
|---|---|---|
| İzleme ve uyarılar | İnceler ve değerlendirir | Gerçek olaylarda bilgilendirilir |
| Güncellemeler ve yamalar | Planlar ve yükler | Bakım zaman aralıklarını onaylar |
| Yedekleme | Kontrol eder ve test eder | Neyin ne kadar süreyle yedekleneceğine karar verir |
| Kullanıcı hesapları | Değişiklikleri uygular | İşe girişleri, ayrılışları ve erişim haklarını bildirir |
| Acil durum | Olayın sınırlandırılmasına ve kurtarmaya destek olur | Karar verir ve bildirim yükümlülüklerini yerine getirir |
Yönetilen güvenlik sağlayıcısı nasıl değerlendirilir?
İyi bir teklif aşağıdaki noktaları yazılı ve somut olarak cevaplar:
- Net kapsam: Hangi sistemler, lokasyonlar ve cihazlar dahil, hangileri açıkça hariç?
- Sözleşmede hizmet seviyeleri: Hizmet saatleri, önem derecesine göre müdahale süreleri ve iletişim kanalları yalnızca sözlü olarak vaat edilmez, sözleşmede belirlenir.
- Eskalasyon: Bir acil durum iletişim listesi, kimin ne zaman bilgilendirileceğine dair net bir sıra ve sağlayıcının önceden sormadan hangi önlemleri (örneğin bir cihazın izole edilmesi) alabileceğine dair bir anlaşma vardır.
- Raporlar: İçerik, sıklık ve dil tanımlanmıştır. Sözleşmeden önce istenen örnek bir rapor, yönetimin bu raporla gerçekten çalışıp çalışamayacağını gösterir.
- Sağlayıcının kendi güvenliği: Uzaktan erişimler MFA ile korunur, belirli kişilere atanır ve kayıt altına alınır. Çok sayıda müşteriye erişimi olan bir sağlayıcı, kendisi de cazip bir hedeftir.
- Veri koruma: GDPR kapsamında yapılan bir veri işleme sözleşmesi, sağlayıcının kişisel verileri nasıl işleyeceğini düzenler.
- Çıkış: Sözleşme sona erdiğinde dokümantasyon, yapılandırmalar, erişim bilgileri ve lisanslar düzenli bir şekilde teslim edilir. Yönetici hesapları ve lisanslar şirketiniz adına kayıtlı olmalıdır.
Tam yönetim veya ortak yönetim: iki işletim modeli
Tam yönetilen modelde sağlayıcı tüm güvenlik operasyonlarını üstlenir. Bu model, kendi BT personeli olmayan işletmelere uygundur. Ortak yönetilen (co-managed) modelde ise günlük destek kurum içi BT ekibinde veya mevcut BT hizmet sağlayıcınızda kalır, güvenlik sağlayıcısı tanımlı güvenlik görevlerini üstlenir. Her iki durumda da sorumluluklar yazılı olarak belirlenmeli, en iyisi kimin neyi yaptığını gösteren basit bir tabloyla.
Mantıklı bir başlangıç, mevcut durumun tespitidir. Eksik MFA veya test edilmemiş bir yedek gibi acil açıklar önce kapatılır. Ardından kapsam kararlaştırılır ve en önemli sistemlerden başlayarak adım adım genişletilir.
Sonuç: Görevleri devredin, sorumluluğu elinizde tutun
Yönetilen güvenlik hizmetleri, güvenlik görevleri biriktiğinde ve kimsenin bunlarla gerektiği gibi ilgilenecek zamanı olmadığında işe yarar. Kapsam, hizmet seviyeleri ve sorumluluklar net olarak kararlaştırıldığında ve şirket sürecin içinde kaldığında en iyi sonucu verir. Sizin durumunuzda hangi görevleri dışarıdan almanın mantıklı olduğunu öğrenmek isterseniz Q-entra önce bir durum tespiti yapar ve ardından yönetilen güvenlik hizmetinin kapsamını sizinle birlikte belirler.
