Zafiyet yönetimi nedir? Süreç, mevzuat ve kurumlar için önceliklendirme
kurumun bilgi ve iletişim sistemlerindeki güvenlik açıklarını sürekli olarak
keşfetmesi, riske göre önceliklendirmesi, gidermesi, doğrulaması ve
raporlaması için işletilen kapalı döngü süreçtir. 7545 sayılı Siber Güvenlik
Kanunu bu kavramı doğrudan tanımlar; tespit edilen zafiyetlerin gecikmeksizin
Siber Güvenlik Başkanlığına bildirilmesini zorunlu kılar. Zafiyet yönetimi,
yama yönetiminden daha kapsamlıdır: envanter, keşif, önceliklendirme,
hafifletme, doğrulama ve ölçüm adımlarını birlikte barındırır.
- Zafiyet yönetimi nedir?
- Zayıflık, zafiyet ve istismar ayrımı
- Zafiyet yönetimi döngüsü
- CVSS, EPSS ve KEV: hangisi neyi ölçer?
- Risk temelli önceliklendirme
- 7545 sayılı Kanun ne diyor?
- Zafiyet bildirimi nasıl yapılır?
- Kurumsal ekosistem: SIEM, EDR, SOAR ile ilişki
- Kritik altyapı işletmecisi için özel notlar
- Sık yapılan hatalar
- Sıkça sorulan sorular
- Kaynaklar ve doğrulama notu
Zafiyet yönetimi nedir?
Zafiyet yönetimi, bir kurumun kendi bilgi ve iletişim sistemlerindeki
güvenlik açıklarını rastlantısal biçimde değil, süreklilik ve ölçülebilirlik
ilkeleriyle yönetmesidir. Amaç, saldırganın istismar penceresini kapatmak;
yani bir açığın var olduğu andan giderildiği ana kadar geçen süreyi
kısaltmaktır.
7545 sayılı Siber Güvenlik Kanunu zafiyeti şöyle tanımlar: “Siber uzaydaki
varlıkları etkileyebilecek her türlü tehdit unsurları karşısında ortaya çıkan
zayıflıklar.” Kanun aynı zamanda tespit edilen zafiyetlerin gecikmeksizin
Siber
Güvenlik Başkanlığına bildirilmesini zorunlu kılar ve bildirim
yükümlülüğünün ihlaline idari yaptırım öngörür.
Zayıflık, zafiyet ve istismar ayrımı
| Kavram | Ne demek? | Kim adlandırır? |
|---|---|---|
| Zayıflık (weakness) | Bir yazılım ya da yapılandırma sınıfında ortaya çıkabilecek genel hata türü. Örnek: bellek arabelleği sınırının aşılması. | MITRE — CWE kataloğu |
| Zafiyet (vulnerability) | Zayıflığın belirli bir ürün sürümündeki somut örneği. Örnek: X ürünü Y sürümünde bir CWE-119 açığı. | CVE Numbering Authority — CVE kimliği |
| İstismar (exploit) | Zafiyeti tetikleyerek etki üreten teknik yol veya kod. İstismarın kamuya açık olması riski büyük ölçüde artırır. | Genellikle güvenlik araştırmacısı veya saldırgan grubu |
Zafiyet yönetimi döngüsü
- Envanter: Nelerin korunduğu bilinmeden hiçbir açık doğru
önceliklendirilemez. Donanım, yazılım, kütüphane ve bulut varlıklarının kayıt
altında tutulması ilk adımdır. - Keşif ve tarama: Zafiyet tarayıcıları, yapılandırma denetleyicileri
ve varlık-tabanlı kontrol araçlarıyla açıkların tespiti. - Doğrulama: Yanlış pozitiflerin ayıklanması ve etki senaryolarının
doğrulanması. - Önceliklendirme: Yalnızca puana göre değil; iş etkisi, varlık
kritikliği, aktif istismar durumu ve maruziyet yüzeyi birlikte
değerlendirilir. - Giderme: Yama, yapılandırma değişikliği, mimari izolasyon,
telafi edici kontrol veya kabul edilebilir risk kararı. - Doğrulama-2: Uygulanan tedbirin gerçekten etkili olduğunun
denetlenmesi. Uygulanmamış “uygulandı” kaydı en sık karşılaşılan operasyonel
hatadır. - Raporlama ve ölçüm: Ortalama giderme süresi (MTTR), aktif kritik
zafiyet sayısı, kritik varlıklardaki maruziyet oranı gibi metrikler. - Bildirim: Mevzuat ve sözleşme kapsamındaki bildirimlerin yerine
getirilmesi.
CVSS, EPSS ve KEV: hangisi neyi ölçer?
| Ölçü | Neyi söyler? | Sınırı |
|---|---|---|
| CVSS | Bir zafiyetin teknik ciddiyeti (0-10). Erişim koşulları, gizlilik-bütünlük-erişilebilirlik etkisi. | Aktif istismar gerçekleşip gerçekleşmediğini söylemez. |
| EPSS | Belirli bir dönemde bir zafiyetin istismar edilme olasılığının tahmini. | Olasılıktır; kanıt değildir. |
| CISA KEV | Aktif olarak istismar edildiği belgelenen zafiyetlerin katalogu. | ABD federal odaklıdır; ulusal koordinasyon Başkanlık ve USOM bildirimleri üzerinden yürür. |
| Üretici bültenleri | Etkilenen sürümler, düzeltilmiş sürümler, uygulanacak hafifletme adımları. | Etki değerlendirmesi zamanla yeniden yükseltilebilir. |
Doğru önceliklendirme, bu ölçülerin birlikte kullanılmasını gerektirir.
Yalnızca CVSS 10 açıklarını önceliklendirmek, aktif istismar edilen bir CVSS
7.5 açığını gölgede bırakabilir.
Risk temelli önceliklendirme
Pratik bir önceliklendirme yaklaşımı şu üç bileşenden oluşur:
- Maruziyet: Açık internete açık mı? Kimliksiz erişilebiliyor mu?
- İş etkisi: Etkilenen varlık, kritik hizmet veya kritik veri
bulunduran bir sistem mi? - Tehdit durumu: Vahşi doğada istismar var mı? KEV katalogunda mı?
EPSS eşiği üstünde mi?
Bu üç bileşen “hemen”, “planlı” ve “sürekli izlem” olarak üç kova
oluşturur. “Hemen” kovası, saatler içinde işlem gerektirir; bu, çoğu
kurumda önceden tanımlanmış bir olağanüstü hâl süreciyle desteklenmelidir.
7545 sayılı Kanun ne diyor?
Kanun, tanım maddesinde zafiyet ve
siber
tehdit istihbaratı kavramlarını doğrudan tanımlar. Görev maddelerinde
Başkanlığa; zafiyetlerin ve siber olayların bildirim, koordinasyon ve
paylaşımına ilişkin usul ve esasları belirleme yetkisi verilmiştir.
Yükümlülük maddeleri açısından öne çıkanlar:
- Kamu kurum ve kuruluşları ile mevzuatın kapsadığı özel sektör
kuruluşları, tespit ettikleri siber olay ve zafiyetleri gecikmeksizin
bildirmekle yükümlüdür. - Bildirim yükümlülüğünün ihlali idari para cezasına bağlıdır.
- Kritik altyapı işletmecileri için ek yükümlülükler bulunmakta ve
Başkanlık tarafından çıkarılacak ikincil düzenlemelerle somutlaşmaktadır.
Zafiyet bildirimi nasıl yapılır?
- Bildirim yükümlülüğü doğrudan üst yönetim sorumluluğundadır; teknik ekip
tetikler, karar organı süreci onaylar. - Bildirim, Siber Güvenlik Başkanlığının belirlediği kanal ve şablonlar
üzerinden yapılır. Kurum içi SOME, koordinasyon noktasıdır. - Bildirim; olayın türü, etkilenen varlıklar, hafifletme adımları ve
sonraki takip süreçlerini içerir. - Ulusal koordinasyon açısından
USOM, hızlı iletişim ve
zararlı bağlantı verisi dağıtım katmanıdır. - Bildirim yükümlülüğü, olayın nihai kök nedeninin bulunmasını beklemez;
gecikmeksizin bildirim ilkesi geçerlidir.
Kurumsal ekosistem: SIEM, EDR, SOAR ile ilişki
Zafiyet yönetimi tek başına ayakta durmaz. SIEM üzerinde tespit kuralı
yazımı, EDR üzerinde uç nokta görünürlüğü, SOAR üzerinde otomatik yanıt ve
tehdit istihbaratı ile birlikte işletilir. Aktif istismar sinyali gelen bir
zafiyet, aynı gün SIEM tespit kurallarıyla tarama başlatabilmelidir.
Türkiye’deki tehdit istihbaratı ekosistemi ve kurum içi kullanım için:
Siber
tehdit istihbaratı nedir? ve
Türkiye’nin
siber güvenlik şirketleri.
Kritik altyapı işletmecisi için özel notlar
- İnternete açık yönetim yüzeyleri: VPN geçidi, uygulama teslim
denetleyicisi, güvenlik duvarı yönetim arayüzü gibi bileşenlerdeki
zafiyetler doğrudan giriş kapılarıdır. Yama ekonomisi bu bileşenler için
kısaltılmalıdır. - OT/ICS ortamı: Sürekli yama uygulanamayan bileşenlerde telafi
edici kontroller (segmentasyon, tek yönlü geçitler, denetimli uzak erişim)
öne çıkar. - Tedarik zinciri: Bileşen ve kütüphane düzeyinde zafiyetlerin
takibi için SBOM disiplini kurulmalıdır. - Tatbikat: Sektörel siber tatbikatlar, gerçek bir kriz yaşanmadan
önce zafiyet yönetimi süreçlerinin sınanmasına imkân verir.
Sık yapılan hatalar
- Yalnızca CVSS’e göre önceliklendirme: Aktif istismarı olan orta
şiddetli açıklar, öncelik listesinin sonuna atılır. - Envanterin güncel olmaması: Görünmeyen varlığın açığı
yönetilemez. - Yamanın uygulanma doğrulamasının atlanması: “Uygulandı” olarak
işaretlenmiş ancak yeniden başlatılmadığı için etkin olmayan yamalar tipik
bir denetim bulgusudur. - Bildirim yükümlülüğünün geciktirilmesi: 7545 sayılı Kanun
bakımından risk yaratır. - İstismar kodu yayımlamak: Habercilik ve savunma perspektifinde
sınırın ötesindedir; kurum içi paylaşımda dahi denetimli kanallar
kullanılmalıdır.
Sıkça sorulan sorular
Zafiyet yönetimi nedir?
Zafiyet ile zayıflık aynı şey mi?
CVSS puanı yeterli bir öncelik ölçüsü müdür?
Zafiyet bildirimi kime yapılır?
Zero-day zafiyeti ne demek?
Zafiyet yönetimi sadece yama yönetiminden mi ibarettir?
Kaynaklar ve doğrulama notu
- Resmî Gazete, 19 Mart 2025, Sayı 32846 — 7545 sayılı Siber Güvenlik Kanunu, tanımlar ve Başkanlığın görevlerine ilişkin maddeler.
- T.C. Siber Güvenlik Başkanlığı — güvenlik bildirimleri ve zararlı bağlantı veri tabanı.
- MITRE — CVE ve CWE programları.
- FIRST.org — CVSS 3.1 kullanım kılavuzu.
- FIRST.org — EPSS (Exploit Prediction Scoring System) modeli.
- CISA — Known Exploited Vulnerabilities Catalog ve Binding Operational Directive 26-04.
Kanuni tanım ve yükümlülük çerçevesi Resmî Gazete metnine dayanmaktadır. Ölçüm modelleri (CVSS, EPSS, KEV) ilgili kurumların kendi resmî belgelerine atıfla açıklanmıştır. Envanter Medya bu içerikte istismar kodu, payload veya sistem aşma talimatı paylaşmamıştır.
Son güncelleme: 28 Ağustos 2026. Siber güvenlik mevzuatı ve kurumsal yapı hızla değişmektedir; bu sayfa yeni düzenleme yayımlandıkça güncellenir.
