Finans sektörü siber güvenlik bütçeleri genellikle yanlış uçtan kurulur: pazarlama vaadi güçlü, entegrasyonu zor ve devreye alınması aylar süren bir ürün alınır; aynı kurumda ayrıcalıklı hesapların parolaları hâlâ ortak bir tablo dosyasında durur. Saldırgan bu ikisi arasında seçim yaparken tereddüt etmez.

Öncelik sırası, ürün kataloğundan değil saldırı zincirinden çıkarılır. Bir finans kurumuna yönelik gerçek bir olayda adımlar hemen her zaman benzer bir hat izler: dışa bakan bir yüzeyden ya da bir çalışandan elde edilen ilk erişim, ayrıcalıklı bir hesabın ele geçirilmesi, yanal hareketle (lateral movement) ödeme veya çekirdek bankacılık ortamına ulaşılması ve verinin dışarı taşınması. Yatırım sırası, bu adımların hangisini en düşük maliyetle kırdığınıza göre belirlenir.

Sırayı belirleyen üç soru

Her kalem için aynı üç soru sorulduğunda liste kendiliğinden sıralanır. Yanıtı belirsiz kalan bir yatırım, sırada aşağı iner.

• Bu yatırım, saldırı zincirinin hangi adımını kırıyor ve o adım gerçekleşmeden saldırgan hedefe ulaşabilir mi?
• Devreye alma süresi ne kadar; ilk ölçülebilir çıktısını haftalar içinde mi, yoksa bir yıl sonra mı veriyor?
• Ürettiği çıktı bir metrikle izlenebiliyor mu; izlenemiyorsa yatırımın etkisi bir sonraki bütçe döneminde savunulamaz.

Bu üç soru aynı zamanda uyum baskısıyla alınan kararları da dengeler. Düzenleyici denetimden geçmek gereklidir ancak yeterli değildir: denetim, kontrolün var olduğunu gösterir; saldırı zincirinin kırılıp kırılmadığını göstermez.

Sıfır noktası: varlık envanteri ve veri akış haritası

Hiçbir yatırım, neyi koruduğunu bilmeyen bir kurumda doğru sıraya konamaz. Bu yüzden ilk kalem bir ürün değil, bir çalışmadır: kritik iş süreçlerinin, bunları taşıyan sistemlerin ve aralarındaki veri akışlarının çıkarılması. Bu çalışma, kurumsal siber güvenlik danışmanlığı kapsamında yürütüldüğünde çoğu zaman kurumun kendi bildiğinden çok daha geniş bir saldırı yüzeyi ortaya çıkarır: unutulmuş test ortamları, üçüncü tarafla açık kalmış bağlantılar, kullanımdan kaldırıldığı sanılan ama hâlâ ayakta duran arayüzler.

• Ödeme başlatma, mutabakat ve muhasebeleştirme akışlarının uçtan uca çıkarılması
• Kart verisi, müşteri kimlik verisi ve kredi kararı verilerinin nerede saklandığı ve kimlerin eriştiği
• İnternete açık tüm alan adları, arayüzler ve uzaktan erişim noktalarının listesi
• Kritik süreçlerin bağımlı olduğu tedarikçiler ve bu tedarikçilerin erişim düzeyi

Öncelik bir: kimlik ve ayrıcalıklı erişim

Finansal kurumlara yönelik saldırıların büyük bölümünde kırılan ilk halka bir açık değil, bir hesaptır. Bu yüzden ilk yatırım kalemi kimlik katmanıdır ve etkisi haftalar içinde ölçülebilir.

• Kimlik avına dayanıklı çok faktörlü doğrulamanın önce yöneticiler, sistem yöneticileri ve uzaktan erişim için zorunlu kılınması
• Ayrıcalıklı hesapların kasaya alınması, oturum kaydı ve talep üzerine yetki verilmesi
• Servis hesaplarının envanteri, parola rotasyonu ve etkileşimli oturum açma yetkisinin kapatılması
• Ayrılan personel ve tedarikçi hesaplarının kapatılma süresinin izlenmesi
• Ödeme yetkisi olan kullanıcılarda ayrı ve daha sıkı oturum politikası

Öncelik iki: tespit ve yanıt kapasitesi

İkinci kalem, saldırganın içeride kaldığı süreyi kısaltır. Buradaki hedef ürün almak değil, iki sayıyı ölçülebilir hâle getirmektir: MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi).

Log toplamanın kapsamı, ürünün markasından daha belirleyicidir. Kimlik sağlayıcı, uç nokta, ödeme uygulaması, veritabanı erişimi ve ayrıcalıklı oturum kayıtları merkezî olarak toplanmıyorsa, kurulan izleme merkezi kör noktalarla çalışır. Uyarıların kime, hangi sürede ve hangi yetkiyle ulaştığı da aynı ölçüde önemlidir; gece yarısı gelen bir uyarıyı sabah okunacak bir posta kutusuna düşüren kurgu, tespit kabiliyeti sayılmaz.

Öncelik üç: segmentasyon, ödeme akışları ve tedarik zinciri

Üçüncü kalem, ilk erişimi olaydan felakete dönüştüren adımı hedefler. Ofis ağındaki bir dizüstü bilgisayardan ödeme sunucusuna doğrudan erişilebiliyorsa, tek bir oltalama e-postası kurumun tamamını riske atar.

• Ödeme ve çekirdek bankacılık ortamlarının ayrı ağ bölgelerine alınması ve yönetim erişiminin yalnızca sıçrama sunucusu üzerinden verilmesi
• Ofis ağı ile üretim ortamı arasındaki trafiğin varsayılan olarak kapalı, izinlerin listeye dayalı olması
• Tedarikçi bağlantılarının süreli, kayıt altında ve yalnızca gerekli sistemle sınırlı açılması
• Yedeklerin ana kimlik altyapısından bağımsız kimlik doğrulamayla korunması ve geri dönüş tatbikatının yapılması

Öncelik dört: uygulama ve arayüz güvenliği

Mobil bankacılık, internet şubesi ve açık bankacılık arayüzleri, kurumun en görünür yüzüdür. Bu katmanda yatırım, OWASP referanslarına dayalı bir güvenli geliştirme akışı kurmak anlamına gelir: tasarım aşamasında tehdit modellemesi, kod deposunda gizli bilgi taraması, bağımlılık kontrolü ve sürüm öncesi güvenlik testi.

Uygulama katmanının en sık atlanan parçası arayüz yetkilendirmesidir. Kimlik doğrulaması yapılmış bir kullanıcının, kendisine ait olmayan bir kayda erişebilmesi finans uygulamalarında en sık rastlanan kritik bulgulardandır ve otomatik taramaların çoğu bunu yakalayamaz; iş mantığını bilen manuel test gerekir.

Öncelik beş: bağımsız doğrulama

Kurulan kontrollerin çalıştığını yalnızca kurumun kendi ekibi söylüyorsa, doğrulama yapılmamış demektir. Bu aşamada iki farklı çalışma birbirine karıştırılmamalıdır.

Sızma testi, belirli bir uygulama ya da sistemdeki teknik zafiyetleri hedefler ve tipik olarak bir ila iki haftada tamamlanır; yeni devreye alınan internet şubesi sürümü için doğru araç budur. Buna karşılık iki ila altı hafta süren bir red team hizmetiyle yürütülen çalışma, belirli bir sistemi değil kurumun tamamını hedef alır: keşifle başlar, oltalama ya da zafiyet istismarıyla ilk erişimi sağlar, yetki yükseltme ve yanal hareketle ödeme ortamına ilerler, veri sızdırma simülasyonuyla hedefi tamamlar ve saldırı zincirini MITRE ATT&CK teknikleriyle eşleştirerek raporlar. Ölçtüğü şey zafiyet listesi değil, kurumun bu zinciri nerede fark ettiği ve ne kadar sürede kestiğidir.

Yatırım sırası ve beklenen çıktılar

On iki aylık uygulama takvimi

1. Birinci ve ikinci ay: varlık envanterini, dışa bakan yüzey taramasını ve veri akış haritasını tamamlayın; kritik süreçleri sahipleriyle eşleştirin.
2. Üçüncü ay: uzaktan erişim ve yönetici hesapları için güçlü çok faktörlü doğrulamayı zorunlu hâle getirin.
3. Dördüncü ve beşinci ay: ayrıcalıklı erişim yönetimini devreye alın, servis hesaplarını envantere alıp yetkilerini daraltın.
4. Altıncı ay: log kapsamını kritik sistemleri içerecek biçimde genişletin ve olay müdahale sürecini yazılı hâle getirin.
5. Yedinci ay: MTTD ve MTTR için başlangıç ölçümünü yapın; ilk masa başı olay tatbikatını yürütün.
6. Sekizinci ve dokuzuncu ay: ödeme ve çekirdek ortamların segmentasyonunu tamamlayın, yedekten geri dönüş tatbikatı yapın.
7. Onuncu ay: dışa açık uygulamalar için kapsamlı sızma testi yaptırın ve bulguları sürüm akışına bağlayın.
8. On birinci ve on ikinci ay: kurum genelini kapsayan kırmızı takım tatbikatını planlayın; çıktıyı yönetici özeti ve teknik detay olmak üzere iki katmanlı raporla yönetim kuruluna sunun.

Bütçeyi yönetim kuruluna savunmanın yolu

Finans kurumlarında güvenlik bütçesi, teknik gerekçelerle değil risk diliyle onaylanır. Yönetim kuruluna sunulan tabloda dört başlık yeterlidir: hangi kritik iş süreci risk altında, bu riskin gerçekleşme senaryosu nedir, mevcut kontrollerle saldırı zincirinin kaçıncı adımında durduruluyoruz ve talep edilen yatırım bu adımı kaç ay içinde öne çekiyor. Bulguları bir tatbikatın gerçek çıktısına dayanan bir sunum, teorik risk listelerinden çok daha hızlı karşılık bulur.

Sık sorulan sorular

Küçük bir finansal kuruluş bu sırayı aynen uygulamalı mı?

Sıra aynı kalır, ölçek değişir. Ayrıcalıklı erişim yönetimi için büyük bir platform yerine kayıt altına alınmış bir parola kasası ve talep üzerine yetkilendirme süreci de aynı saldırı adımını kırar. Önemli olan adımın kapatılması, kullanılan aracın büyüklüğü değildir.

Sızma testi mi kırmızı takım tatbikatı mı önce yapılmalı?

Önce sızma testi yapılmalıdır. Temel kontroller oturmadan yürütülen bir kırmızı takım çalışması, zaten bilinen zafiyetleri pahalı bir yöntemle yeniden kanıtlar. Tespit ve yanıt süreçleri kurulduktan sonra yapılan tatbikat ise kurumun savunma etkinliğini gerçekten ölçer.

Uyum denetimlerinden geçmek yeterli koruma sağlar mı?

Sağlamaz. Denetim, kontrolün tanımlı ve belgeli olduğunu gösterir; saldırı anında çalışıp çalışmadığını göstermez. Aynı kontrolün etkinliğini teknik testler, tatbikatlar ve MTTD gibi operasyonel metriklerle ayrıca doğrulamak gerekir.

Güvenlik operasyon merkezini kurmak mı dışarıdan almak mı doğru?

Karar, kesintisiz vardiya kapasitesine ve olay hacmine bağlıdır. Yirmi dört saat kesintisiz nöbet tutacak ekip kurulamıyorsa dış hizmet daha gerçekçidir; bu durumda sözleşmede uyarı devretme süreleri, olay sınıflandırma kriterleri ve kurum içi karar sahibi net biçimde tanımlanmalıdır.

Yatırımın işe yaradığını hangi tek gösterge kanıtlar?

Tek bir gösterge yeterli olmasa da en açıklayıcısı, bir tatbikat sırasında saldırı zincirinin kaçıncı adımında fark edildiğidir. Bu adım her tatbikatta öne çekiliyorsa, yapılan yatırımlar savunmaya gerçekten dokunuyor demektir.

Sonuç

Finansal kurumlarda güvenlik bütçesinin sırası, tehdit vaadi en yüksek ürüne göre değil, saldırı zincirinin en ucuz kırılan halkasına göre kurulur: önce ne koruduğunuzu bilin, sonra kimlik katmanını kapatın, tespit sürenizi ölçülebilir hâle getirin, kritik ödeme ortamlarını ayırın ve tüm bunları bağımsız bir çalışmayla doğrulayın. Bu sırayı izleyen bir kurum, bir sonraki bütçe görüşmesine ürün listesiyle değil, kendi savunmasının rakamlarıyla girer.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.