Güvenlikte 3 Yıllık Plan
Güvenlik bir kurulum işi değil, sürdürülen bir düzendir. Bir kez kurulup unutulan sistem iki yıl içinde işlevini kaybeder: yedek sessizce durur, uyarılar okunmaz, güncellemeler birikir. Üç yıllık bakış, güvenliği bir projeden rutine dönüştürür. 🗓️
Bu yazı planı yıl yıl kuruyor. Bütçe hesabını bütçe yazısında kurduk.
Neden Üç Yıl?
Güvenlikte fayda olay olmadığında görünmez; bu da onu kırılgan yapar. ⏳
Fayda Görünmez
Hiçbir şey olmadığında güvenlik gereksiz gibi görünür ve bütçeden ilk o kesilir.
Düzen Sessizce Bozulur
Kimse bozmaz; sadece kimse bakmaz. Yedek hata verir, uyarı birikir.
Risk Artar
Sürüm uzaklığı ve eklenti sayısı zamanla büyür; gerekçesini hedefsizlik yazısında anlattık.
Yıl 1: Zemini Kurun
İlk yılın hedefi karmaşık sistem değil, çalışan bir temel. 🧱
Yedek Düzeni
Otomatik, ayrı yerde ve geri dönüşü test edilmiş. İlk yılın en önemli işi budur.
Erişim Temizliği
Kullanıcı listesi gözden geçirilir, yetkiler daraltılır ve iki adımlı doğrulama açılır.
Güncelleme Rutini
Takvime bağlanır ve kaydı tutulur.
Sorumlu ve Plan
Bir isim atanır, bir sayfalık olay planı yazılır; adımlarını ilk 24 saat yazısında verdik.
Yıl 2: Derinleştirin
Zemin oturduysa ikinci yıl izleme ve sadeleştirme yılıdır. 📡
| Alan | Yapılacak |
|---|---|
| İzleme | Uyarı düzeni kurulur |
| Sadeleştirme | Kullanılmayanlar silinir |
| Tatbikat | Olay planı bir kez denenir |
| Raporlama | Düzenli hale getirilir |
İzleme Ekleyin
Dosya değişikliği ve giriş takibi. Fark etme süresi kısaldıkça maliyet düşer.
Sadeleştirin
Kullanılmayan eklenti ve temalar silinir; kontrol edilecek yüzey küçülür.
Tatbikat Yapın
Olay planı bir kez masa başında denenir. Eksikler burada görülür.
Büyük Değişiklik Yok
İkinci yılda hâlâ temel eksikler varsa birinci yıl yarım kalmıştır.
Yıl 3: Denetleyin
Üçüncü yılda güvenlik rutinin parçasıdır. 🔍
Bağımsız Gözden Geçirme
Düzeni kuran taraf dışında biri kontrol eder. Alışkanlık körlüğü böyle kırılır.
Uyum Kontrolü
Toplanan veri hâlâ gerekli mi, saklama süreleri makul mü? Gereksiz veri silinir.
Devir Hazırlığı
Sağlayıcı ya da ekip değişirse ne olacak? Kayıtlar ve erişimler düzenli tutulur.
Karar Noktası
Seviye yeterli mi, yükseltilmeli mi; sorumluları kim sağlamalı yazısında belirledik.
Yıllık Bütçe Dağılımı
Üç yıllık yaklaşımda harcamanın yapısı değişir. 💰
Yıl 1: Kurulum Ağırlıklı
Tarama, sertleştirme ve yedek düzeni. Tek seferlik kalemler bu yılda.
Yıl 2: İzleme Eklenir
Aylık kalem büyür ama tek seferlikler düştüğü için toplam dengelenir.
Yıl 3: Ağırlıklı Rutin
Yeni yatırım azalır; izleme, yedek ve denetim kalır. Bu yıl genellikle en düşük maliyetlidir.
Olay Senaryosu Ayrı
Bu dağılım olaysız yıl içindir; kalem yapısını kalemler yazısında açtık.
Üç Yılda Ne İzlenir?
Güvenlikte ölçüm zordur ama imkânsız değildir. 📊
Yedek Testi Sayısı
Yılda kaç kez geri dönüş denendi? En somut göstergedir.
Güncelleme Gecikmesi
Bir güncelleme yayımlandıktan kaç gün sonra uygulanıyor?
Sürüm Uzaklığı
Bileşenler güncel sürümden ne kadar geride? Bu sayı küçülmeli.
Fark Etme Süresi
Bir anormallik ne kadar sürede görülüyor? Ölçülemiyorsa izleme yoktur.
Yıl Sonu Kontrolü
Her yılın sonunda dört soru sorulur ve bir sonraki yıl ona göre kurulur. 📋
Bu kontrol yarım gün sürer ve planı gerçeğe bağlar.
Yedek Çalışıyor mu?
Bu yıl kaç kez test edildi ve son test başarılı mıydı?
Erişim Listesi Güncel mi?
Ayrılan çalışan ya da sağlayıcı varsa erişimleri kapatıldı mı?
Rutin İşliyor mu?
Güncellemeler takvimde kaldı mı, kayıt tutuldu mu?
Sorumlu Değişti mi?
İsim değiştiyse devir yapıldı mı; sorumluları kim sağlamalı yazısında belirledik.
Planı Bozan Üç Durum
İyi kurulmuş plan bile üç durumda yeniden yazılır. ⚠️
Sağlayıcı Değişimi
Erişimler ve kayıtlar devredilmeliyse plan öne çekilir.
Site Yenilemesi
Yeni bir kurulum, sertleştirmenin tekrarlanmasını gerektirir; yenileme tarafını yenileme rehberinde ele aldık.
Olay Yaşanması
Bir olay, planı hem hızlandırır hem derinleştirir.
Planın En Ucuz Parçası
Üç yıllık planın bedelsiz bileşenleri var. ✂️
Sorumlu Atamak
Bir isim yazmak hiçbir şeye mal olmaz ama her şeyi değiştirir.
Olay Planı Yazmak
Bir sayfa, yarım saat. Olay anında en değerli belge.
Kullanılmayanı Silmek
Hem riski hem bakım yükünü azaltır.
Yedeği Test Etmek
Yılda iki kez; kurgusunu yedekleme yazısında anlattık.
Sık Sorulan Sorular
Güvenlik için neden üç yıllık plan gerekir?
Çünkü güvenlikte fayda olay olmadığında görünmez ve bu onu kırılgan yapar; bütçeden ilk kesilen kalem olur. Ayrıca kurulan düzen kimse bozmadan sessizce işlevini kaybeder: yedek hata verir, uyarılar birikir, güncellemeler ertelenir. Üç yıllık bakış güvenliği bir projeden rutine dönüştürür ve risk zamanla arttığı için bu rutin gereklidir.
İlk yıl neye odaklanmalıyım?
Karmaşık sisteme değil, çalışan bir temele. Dört iş yeterlidir: otomatik ve ayrı yerde duran, geri dönüşü test edilmiş bir yedek düzeni; kullanıcı erişim listesinin temizlenmesi ve yetkilerin daraltılması; takvime bağlı bir güncelleme rutini; bir sorumlu ismi ve bir sayfalık olay planı. İzleme katmanı ikinci yıla bırakılabilir.
Güvenlikte ne ölçülebilir?
Dört şey. Yılda kaç kez yedek geri dönüş testi yapıldığı en somut göstergedir. Bir güncelleme yayımlandıktan kaç gün sonra uygulandığı, bileşenlerin güncel sürümden ne kadar geride olduğu ve bir anormalliğin ne kadar sürede fark edildiği diğer üçüdür. Sonuncusu ölçülemiyorsa izleme katmanı fiilen yok demektir.