Kurumsal SOME (Siber Olaylara Müdahale Ekibi) nedir? Görevleri, yasal dayanağı, USOM entegrasyonu ve siber olay müdahale süreçleri kılavuzu. İnceleyin.
Hızlı Özet (TL;DR)
SOME (Siber Olaylara Müdahale Ekibi); kamu kurumları, kritik altyapı işletmecileri (enerji, su yönetimi, elektronik haberleşme, ulaşım, bankacılık/finans, kritik kamu hizmetleri) ve Organize Sanayi Bölgeleri (OSB) ile büyük ölçekli üretim kuruluşlarının bünyesinde kurulması yasal mevzuatla zorunlu kılınan uzmanlaşmış siber savunma birimidir. Ulaştırma ve Altyapı Bakanlığı tarafından yayımlanan “Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul ve Esaslar Hakkında Tebliğ” ile Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (CBDDO) Bilgi ve İletişim Güvenliği Rehberi çerçevesinde faaliyet gösteren Kurumsal SOME’ler; kurum içi siber tehditleri 7/24 izlemek, saldırı anında izolasyon ve ilk müdahaleyi gerçekleştirmek, adli bilişim delillerini toplamak ve ulusal koordinasyon makamı olan USOM (Ulusal Siber Olaylara Müdahale Merkezi) ile anlık entegre çalışmakla yükümlüdür.
Kurumsal SOME Nedir ve Hangi Kuruluşlar İçin Zorunludur?
Modern siber savaş ve endüstriyel casusluk çağında, fabrikaların SCADA/OT (Operasyonel Teknoloji) hatlarını, enerji dağıtım şebekelerini veya kurumsal ERP veritabanlarını hedef alan saldırılar yalnızca bilgi işlem (IT) departmanının günlük arıza çözme rutiniyle karşılanamaz. Bir fidye yazılımı (Ransomware) veya APT (Gelişmiş Sürekli Tehdit) grubu ağa sızdığında, hangi sunucunun hangi sırayla izole edileceği, RAM imajının nasıl alınacağı ve resmi makamlara hangi formatta bildirim yapılacağı önceden tanımlanmış bir kriz yönetim disiplini gerektirir.
Türkiye’deki yasal düzenlemelere göre aşağıdaki kurum ve işletmeler bünyelerinde Kurumsal SOME kurmak ve personel bilgilerini USOM’a bildirmekle yükümlüdür:
- EPDK Lisanslı Enerji Şirketleri ve OSB’ler: Elektrik üretim santralleri, dağıtım şirketleri, doğalgaz/petrol tesisleri ve Organize Sanayi Bölgesi (OSB) müdürlükleri.
- Bankacılık, Finans ve Ödeme Kuruluşları: BDDK ve TCMB denetimine tabi finansal kuruluşlar ile elektronik para şirketleri.
- Büyük Ölçekli Sanayi ve Savunma Tedarikçileri: Kritik üretim altyapısına sahip fabrikalar, savunma sanayii alt yüklenicileri ve halka açık sanayi kuruluşları.
- Kamu Kurumları, Belediyeler, Üniversiteler ve Sağlık Tesisleri: Vatandaş verisi işleyen tüm merkezi ve yerel kamu idareleri.
Ulusal Siber Güvenlik Hiyerarşisi ve SOME Seviyeleri
Türkiye’nin ulusal siber savunma mimarisi, bilgi akışının ve kriz koordinasyonunun aksamaması için üç kademeli bir piramit yapısında kurgulanmıştır:
| Kademe / Seviye | Birim Adı | Bağlı Olduğu Kurum / Yapı | Temel Yetki, Görev ve Sorumluluk Alanı |
|---|---|---|---|
| 1. Kademe (Ulusal) | USOM (Ulusal Siber Olaylara Müdahale Merkezi) | Bilgi Teknolojileri ve İletişim Kurumu (BTK) | Ulusal siber tehdit istihbaratı üretmek (KASİP/AVCI/AZAD), zararlı IP/Alan adı listelerini yayınlamak, Sektörel ve Kurumsal SOME’leri koordine etmek. |
| 2. Kademe (Sektörel) | Sektörel SOME | Düzenleyici ve Denetleyici Kurumlar (EPDK, BDDK, SPK, Bakanlıklar) | Kendi sektöründeki (Örn. Enerji veya Finans) Kurumsal SOME’leri denetlemek, sektöre özgü siber güvenlik standartlarını ve tatbikatları yürütmek. |
| 3. Kademe (Kurumsal) | Kurumsal SOME | İşletmeler, Fabrikalar, OSB’ler ve Kamu Kurumları | Kurumun kendi BT ve OT altyapısını 7/24 izlemek, güvenlik sıkılaştırmalarını yapmak, siber olaylara yerinde müdahale etmek ve USOM/Sektörel SOME’ye raporlamak. |
Kurumsal SOME’nin 5 Temel Operasyonel Görevi ve Süreci
Bir işletmede kağıt üzerinde SOME listesi oluşturmak denetimlerden geçmek için yeterli değildir; ekibin NIST SP 800-61 ve ISO/IEC 27035 siber olay yönetimi standartlarına uygun beş fazlı bir operasyon döngüsünü işletmesi şarttır:
1. Hazırlık, Varlık Envanteri ve Proaktif Sıkılaştırma (Preparation)
Saldırı gerçekleşmeden önce kurum ağındaki tüm fiziksel/sanal sunucuların, kurumsal güvenlik duvarı cihazlarının, yönetilebilir anahtarların (Switch), PLC/SCADA kontrolcülerinin ve ERP/üretim takip yazılımlarının kritiklik derecelerine göre envanteri çıkarılır. USOM tarafından yayımlanan zararlı bağlantılar listesi güvenlik duvarlarına otomatik entegre edilir ve yılda en az bir kez bağımsız sızma testi (pentest) yaptırılarak açıklar kapatılır.
2. 7/24 İzleme, Tespit ve Korelasyon (Detection & Analysis)
Kurumsal SOME’nin gözü ve kulağı SIEM (Security Information and Event Management) ve merkezi log yönetim altyapısıdır. Güvenlik duvarlarından, Active Directory sunucularından, antivirüs/EDR ajanlarından ve 5651 yasal loglama sistemlerinden akan milyonlarca olay kaydı korelasyon kurallarıyla analiz edilir. Örneğin; gece saat 03:15’te bir servis hesabıyla 50 başarısız oturum denemesi ardından başarılı bir RDP girişi ve hemen sonrasında PowerShell üzerinden gölge kopyaların (vssadmin delete shadows) silinmeye çalışılması saniyeler içinde “Kritik Seviye Fidye Yazılımı Saldırısı” alarmı üretir.
3. Çevreleme, İzolasyon ve Eradikasyon (Containment & Eradication)
Saldırı doğrulandığı anda panikle sunucunun fişini çekmek (RAM’deki şifreleme anahtarlarını ve saldırgan izlerini yok edeceği için) yapılacak en büyük hatadır. SOME oyun kitabına (Playbook) göre enfekte olan sunucu veya VLAN, güvenlik duvarı ve EDR üzerinden Ağ İzolasyonuna (Network Quarantine) alınır; saldırganın komuta kontrol (C2) sunucusuyla iletişimi ve yanal hareketi (Lateral Movement) kesilir. Ardından sistemdeki arka kapılar (Backdoor), kalıcı zamanlanmış görevler ve zararlı ikili dosyalar temizlenir.
4. Adli Bilişim (Dijital Forensics) ve Delil Muhafazası
Hukuki süreçlerin yürütülebilmesi, siber sigorta tazminatlarının alınabilmesi ve KVKK/USOM denetimlerinde kök nedenin (Root Cause) kanıtlanabilmesi için müdahale sırasında Adli Bilişim İlkelerine uyulur. Önce uçucu bellek (RAM Dump) imajı alınır, ardından diskin bit-bit kopyası SHA-256 özet değeriyle mühürlenerek delil teslim zinciri (Chain of Custody) tutanağı altına alınır.
5. Kurtarma (Recovery), USOM Bildirimi ve Olay Sonrası Raporlama
Temizlenen ortamda, değiştirilemez (Immutable) sunucu ve yedekleme ünitelerinden en son temiz yedekler geri yüklenir, tüm yönetici ve kullanıcı parolaları (Kerberos krbtgt dahil) sıfırlanır. Yaşanan siber olayın teknik detayları, saldırgan IP adresleri (IoC - Indicators of Compromise) ve alınan önlemler resmi USOM Siber Olay Bildirim Formu ile raporlanır; kişisel veri sızıntısı şüphesi varsa 72 saat içinde KVKK Veri İhlali Bildirimi yapılır.
Kurumunuzda mevzuata tam uyumlu SOME altyapısı kurmak, SIEM/Güvenlik duvarı mimarisini yapılandırmak ve zorunlu güvenlik testlerini gerçekleştirmek için Sızma Testi (Pentest) Hizmetleri ve Güvenlik Duvarı Çözümleri sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Şirketimizde tam zamanlı siber güvenlik uzmanı yoksa Kurumsal SOME yükümlülüğünü nasıl karşılayabiliriz?
Yasal mevzuat, Kurumsal SOME başkanının (İrtibat Kişisinin) kurumun kendi kadrolu personeli (genellikle Bilgi İşlem Müdürü veya Teknik Müdür) olmasını şart koşar; ancak 7/24 izleme, SIEM yönetimi, sızma testi, olay müdahale ve adli bilişim gibi ileri uzmanlık gerektiren teknik görevler için dışarıdan Siber Güvenlik ve SOME Danışmanlık Hizmeti (MSSP / MDR) alınmasına tam izin verir. Böylece yüksek personel maliyeti altına girmeden uzman bir mühendislik ekibinin desteğini 7/24 arkanıza alabilirsiniz.
USOM’dan şirketimize “IP adresinizde zafiyet veya zararlı trafik tespit edildi” bildirimi gelirse ne yapmalıyız?
USOM (KASİP/AVCI taramaları üzerinden) dış IP adresinizde açık unutulmuş bir RDP portu, güncel olmayan bir SSL VPN zafiyeti veya içeriden dışarıya giden bir Botnet trafiği tespit ettiğinde Kurumsal SOME iletişim adresinize resmi bildirim gönderir. Bu durumda bildirilen zafiyet derhal yamalanmalı, güvenlik duvarı üzerinde ilgili portlar kapatılmalı, iç ağda enfekte cihaz taranıp temizlenmeli ve yapılan teknik işlemlerin ekran görüntüleriyle birlikte USOM portalı üzerinden süresi içinde resmi cevabi rapor sunulmalıdır.
Kurumsal SOME kurmamanın veya siber olayı gizlemenin yasal yaptırımı nedir?
Kritik altyapı ve düzenlemeye tabi sektörlerde (EPDK, BDDK, BTK, CBDDO denetimleri) SOME kurmayan, yıllık sızma testlerini yaptırmayan veya yaşanan siber saldırıyı bildirmeyen kuruluşlara ilgili düzenleyici kurum tarafından yüksek tutarlı idari para cezaları ve lisans yaptırımları uygulanır. Ayrıca siber saldırı sonucunda çalışan veya müşteri verileri sızdığı halde bu durum gizlenirse, 6698 sayılı KVKK kapsamında veri ihlali bildirim yükümlülüğünün ihlalinden dolayı ayrıca ağır idari para cezası ve Türk Ceza Kanunu (TCK) kapsamında hukuki sorumluluk doğar.