Siber olay müdahale planı hazırlama: evreler, roller ve iletişim

Siber olay müdahale planı neyi çözer?

Siber olay, bilgi sistemlerinin gizliliğini, bütünlüğünü ya da erişilebilirliğini tehdit eden ve bir kararla karşılanması gereken durumdur: fidye yazılımı, hesap ele geçirme, veri sızıntısı, kötü amaçlı yazılım bulaşması, hizmet engelleme. Olay anında insanlar aceleyle, eksik bilgiyle ve baskı altında karar verir. Müdahale planı, bu kararların büyük bölümünü önceden vermenin yoludur: kim neyi, hangi sırayla ve hangi yetkiyle yapar.

Plan olmadığında tipik sorunlar şunlardır: kimin olayı yönettiği belli değildir, deliller yanlışlıkla bozulur, sistemler panikle kapatılır ya da gereksiz yere açık bırakılır, yönetim ve hukuk geç haberdar olur, dış iletişim tutarsızdır. Bunların hiçbiri teknik beceriksizlik değil, hazırlık eksikliğidir.

NIST'in olay müdahale önerileri yayını, olay müdahalesine ilişkin önerilerin kurumun siber risk yönetimi faaliyetlerinin bütününe yerleştirilmesini amaçlar. Plan, tek başına bir teknik belge değil, risk yönetiminin işleyen parçasıdır.

Hazırlık: plan olaydan önce kurulur

Hazırlık evresi planın en büyük bölümüdür ve olay yaşanmadan yapılır. Önce rol ve yetkiler belirlenir: olay yöneticisi, teknik liderler, iletişim sorumlusu, hukuk, insan kaynakları, üst yönetim ve gerekirse dış uzman ya da hizmet sağlayıcı. Kimin hangi kararı verebileceği, örneğin bir sistemi kapatma ya da müşteriyi bilgilendirme, yazılı olmalıdır.

İkinci olarak olay sınıflandırma kriterleri tanımlanır: hangi olay düşük, hangisi yüksek öncelik, hangisi için yönetim ve düzenleyici bildirimi gerekir. Kritik varlıkların envanteri ve sahipleri güncel tutulmalıdır; hangi sistemin kurum için ne kadar önemli olduğunu bilmeyen ekip, olay anında öncelik veremez.

Üçüncüsü iletişim ve araçlardır: olay sırasında e-posta çalışmayabileceği için alternatif iletişim kanalı, iletişim listesi, adli kayıt toplama araçları, yedeklerin erişilebilirliği ve oyun kitapları (playbook). Son olarak tatbikatlar: masa başı senaryolar plandaki boşlukları gerçek olaydan çok önce gösterir.

Tespit ve analiz: ne oldu, ne kadar yayıldı?

Tespit; güvenlik izleme araçlarından, kullanıcı bildirimlerinden, dış kaynaklardan ya da operasyonel anormalliklerden gelir. İlk iş, uyarının gerçek bir olay olup olmadığını doğrulamaktır. Yanlış alarmlarla ekip yorulur, gerçek olay ise gözden kaçar; bu yüzden bildirim kanalı ve ilk değerlendirme adımı net olmalıdır.

Olay doğrulandığında kayıt açılır: ne zaman fark edildi, kim haberdar, ilk gözlemler neler. Analizde etkilenen sistemler, hesaplar ve veri türleri belirlenir; saldırganın nasıl girdiği, ne yaptığı ve hâlâ içeride olup olmadığı araştırılır. Bu bilgilerle olayın öncelik düzeyi belirlenir ve yönetim bilgilendirilir.

Bu aşamada deliller korunmalıdır. Sistemi aceleyle yeniden kurmak ya da kayıtları silmek, hem nedenin anlaşılmasını hem de olası hukuki süreçleri engeller. Adli inceleme için kayıtların bütünlüğünü sağlayan bir prosedür hazır bulundurulmalıdır.

Kontrol altına alma ve kurtarma

Kontrol altına alma, zararın büyümesini durdurmaktır. Kısa vadeli önlemler etkilenen hesapları devre dışı bırakmak, ağ bağlantısını kesmek ya da sistemi izole etmektir. Uzun vadeli önlemler ise güvenli ortamda temiz bir yapı kurmaya hazırlanmaktır. Kararlar iş etkisiyle dengelenir: üretimi durduran bir izolasyon kararı yönetim onayı gerektirebilir, bu yüzden yetki sınırları önceden belirlenmelidir.

Temizleme ve kurtarma evresinde önce saldırganın ortamdan çıkarıldığından emin olunur. Kötü amaçlı yazılım temizlenir ya da sistem temiz bir kurulumdan yeniden oluşturulur, ele geçirilmiş hesapların parolaları ve anahtarları yenilenir, açık kapatılır. Sistemler güvenli sırayla ve izleme altında devreye alınır; çünkü saldırgan geri dönmeyi deneyebilir. Yedeklerden geri dönüşte yedeğin temiz olduğu doğrulanmalıdır.

Bu evrede iş sürekliliği ekibi ile birlikte çalışılır. Hangi hizmetin önce açılacağı iş önceliğine göre belirlenir ve kullanıcılara kısa, doğru bilgi verilir.

İletişim ve bildirim yükümlülükleri

Siber olayda iletişim, teknik müdahale kadar kritiktir. İç iletişimde kimin ne zaman, hangi bilgiyle haberdar edileceği planda yer alır. Dış iletişimde müşteri, iş ortağı, düzenleyici kurum ve medya için tek bir sözcü ve onaylı mesaj şablonları hazırlanır. Aceleyle yapılan tutarsız açıklamalar güveni, teknik sorundan daha fazla zedeler.

Bildirim yükümlülükleri sektöre ve veri türüne göre değişir; kişisel veri ihlalinde kanuni bildirim süreleri olabilir. Bu süreler ve hangi olayın bildirim gerektirdiği hukuk ve uyum ekibiyle önceden netleştirilmelidir. Olay sırasında yükümlülüğü araştırmak değerli zamanı tüketir.

Üçüncü taraflar da planın parçasıdır: bulut ve hizmet sağlayıcıları, sigorta, adli bilişim uzmanları ve kolluk kuvvetleriyle iletişim yolları önceden bilinmelidir.

Bu plan, nöbet düzeni ve felaket kurtarmadan nasıl ayrılır?

Siber olay müdahale planı güvenlik tehdidine odaklanır: bir saldırgan ya da kötü niyetli etki söz konusudur. Delil, adli inceleme ve saldırganın uzaklaştırılması bu planın merkezindedir. BT kesinti nöbeti ve olay yönetimi ise genellikle teknik arızaya ya da hizmet kesintisine odaklanır; amaç hizmeti hızla geri getirmektir.

Felaket kurtarma planı, büyük bir kesintiden sonra sistemleri ve verileri geri getirme hedeflerini ve prosedürlerini tanımlar. Bir fidye yazılımı olayında bu planlar birlikte devreye girer: müdahale planı saldırıyı yönetir, kurtarma planı verileri ve sistemleri geri getirir, nöbet düzeni hizmet kesintisini ele alır. Planlar birbirine atıf yapmalı, roller çakışmamalıdır.

Bu ayrımı net tutmak, olay sırasında kimin neyin sahibi olduğunu bilmek anlamına gelir. Karışık sorumluluk, müdahale kararlarını yavaşlatır.

Sık yapılan hatalar

İlk hata, planı yazıp tatbikat yapmamaktır. Test edilmeyen plan, olay anında beklenmedik boşluklarla karşılaşır: eski iletişim listeleri, erişilemeyen yedekler, kaldırılmış yetkiler.

İkinci hata, roller ve karar yetkilerini belirsiz bırakmaktır. Sistemi kimin kapatabileceği o anda tartışılıyorsa saldırgan avantaj kazanır.

Üçüncü hata, delilleri korumadan acele temizlik yapmaktır. Nedeni bilmeden yeniden kurulan sistem, aynı açıkla tekrar ele geçirilebilir.

Dördüncü hata, olay sonrası gözden geçirmeyi atlamaktır. Her olay, planı geliştirmenin en değerli fırsatıdır. Suçlayıcı olmayan bir inceleme yapıp çıkan aksiyonları sahip ve tarihle takip etmek döngüyü kapatır.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Siber Güvenlik Bootcamp Programı'nın Güvenlik Operasyonları konusu, izleme, tespit ve olay müdahalesini operasyonel düzeyde ele alır. Güvenlik operasyonları, BT yönetimi ve risk ekiplerinde çalışanlar için müdahale planını günlük operasyonla ilişkilendirmeye uygun bir çalışma alanıdır.