Editörler Prof. Dr. Şeref Sağıroğlu Prof. Dr. Mustafa Alkan Sağıroğlu / Alkan grafik

2) Siber Savunma ve Değerlendirme Süreçleri Çoklu Hatlar
Denetim ve gözden geçirme evreni, her biri siber güvenlik prog-
ramının genel güvencesine katkıda bulunan üç savunma adımına 
sahiptir. Bu adımlar; yönetim, risk yönetimi ve denetim olarak be-
lirlenmektedir.
Şekil 12.2. Siber Savunma Adımları ve Genel Uygulamalar
Bu savunma adımları yönetim, risk yönetimi ve iç denetimdir (bkz. 
Şekil 12.2). Güvenlik duvarı kurallarının belirlenmesi gibi çok tek-
nik kontroller, bir kontrol değerlendirmesinin (ilk seviye yönetimi), 
yüksek değerli bir varlığın risk değerlendirmesinin bir parçası ola-
rak gözden geçirilebildiği (ikinci ve üçüncü seviye) gibi, makul gü-
vence sağlanabilir. Bu denetimlerin ve gözden geçirmelerin bağım-
sız işlevler tarafından gerçekleştirilmesi, kontrol zayıflıklarının tes-
pit edilme olasılığını arttırır ve daha fazla kontrol ve denge sağlar. 
a) Yönetimin Gözden Geçirilmesi
Kurumsal düzeyde ilk siber savunma hattı olarak, kurum genelinde 
yönetimin siber güvenlik kontrollerinin mevcut ve etkin bir şekilde 
yürütülmesini sağlama konusunda bir çıkar çatışması olmadığını 

---

D R . A H M E T E F E
358
güvenceye alması gerekir. Sorumluluk ve hesap verebilirlik ge-
nellikle kontrol öz değerlendirmeleri (CSA), saldırı ve ihlal sızma 
testleri, fonksiyonel ve teknik testler, sosyal / davranış testleri ve 
yönetim değerlendirmeleri gibi çeşitli test faaliyetlerini yürütmek 
üzere üst yönetimin dahliyle sağlanabilir. Üst yönetimin bu süreç-
lere önem vermesi gerekir. Bu süreçlerin her biri, tasarımın ya da 
kontrolün devam eden uygulamasında kontrol zayıflıklarını veya 
eksikliklerini tanımlamak için tasarlanmış iş süreçlerinin bir parça-
sı olarak düşünülmelidir. Çünkü siber güvenlik süreçleri kendileri 
için bir değer ifade etmezlerken iş süreçleri ve kurumsal amaçların 
gerçekleştirilmesine hizmet etmektedir. Bu nedenle de iş süreçleriy-
le entegre bir şekilde işletilmeli ve iş süreç sahiplerinin öngörü ve 
ihtiyaçları dikkate alınmalıdır. 
Farklı satıcılar tarafından sağlanan hizmetlerin tercih edilip edilme-
yeceği veya neden tercih edileceği gibi hususlar yönetim açısından 
önem arz etmektedir. Bulut hizmetlerinin yaygınlığı ve şirket iş/
pazar çevrelerimin ötesindeki verilerin artmasıyla birlikte, pekçok 
kuruluş, bilgi varlıklarının korunmasıyla ilgili bir miktar rahatlık 
sağlamak için üçüncü taraf satıcılarına danışmaktadırlar. Satıcılar 
için teklif isteme (RFP) süreçleri de ISO/IEC 27001, Tasdik Çatışma-
ları Standartlarına İlişkin Tablolar (SSAE) Hizmet Organizasyonu 
Denetimi (SOC) tipi raporlar, [6] ve üçüncü taraf standartlaştırılmış 
satıcı güvenliğine uygunluklarını belirten raporlar talep edilebil-
mektedir.