Güvenlik Kontrol Listesi

KATEGORİ 01

Kimlik Doğrulama & Erişim Kontrolü

Kullanıcı kimlik doğrulama, yetkilendirme ve erişim yönetimi kontrolleri.

0/12

Tüm kullanıcı hesaplarında güçlü şifre politikası uygulanıyor En az 12 karakter, büyük/küçük harf, rakam ve özel karakter zorunluluğu. ISO 27001 A.9.4.3

Çok faktörlü kimlik doğrulama (MFA) aktif Özellikle kritik sistemler ve uzaktan erişim için MFA zorunlu. NIST SP 800-63B

En az yetki prensibi (Least Privilege) uygulanıyor Kullanıcılar sadece işleri için gereken minimum yetkilere sahip. ISO 27001 A.9.1.2

Düzenli erişim gözden geçirmesi yapılıyor En az 3 ayda bir kullanıcı yetkileri kontrol ediliyor. ISO 27001 A.9.2.5

Varsayılan şifreler değiştirilmiş Tüm sistem, cihaz ve uygulama varsayılan şifreleri değiştirildi. ISO 27001 A.9.4.3

Hesap kilitleme politikası aktif 5 başarısız denemeden sonra hesap kilitleniyor. NIST SP 800-53

Oturum zaman aşımı yapılandırılmış 15-30 dakika inaktiviteden sonra oturum otomatik kapanıyor. ISO 27001 A.9.4.5

Paylaşılan hesaplar yok Her kullanıcının kendine özel hesabı var, hesap paylaşımı yasak. ISO 27001 A.9.2.1

Ayrıcalıklı hesap yönetimi (PAM) çözümü var Admin hesapları özel olarak yönetiliyor ve izleniyor. ISO 27001 A.9.2.3

İşe giriş/çıkış prosedürleri dokümante edilmiş Çalışan işe başladığında ve ayrıldığında hesap yönetimi prosedürü var. ISO 27001 A.7.2.2

Uzaktan erişim VPN ile korunuyor Tüm uzaktan erişimler VPN üzerinden ve MFA ile yapılıyor. ISO 27001 A.13.1.1

Service account'lar düzenli denetleniyor Servis hesapları gözden geçiriliyor, kullanılmayanlar kapatılıyor. ISO 27001 A.9.2.5

KATEGORİ 02

Ağ Güvenliği

Ağ altyapısı, firewall, segmentasyon ve ağ izleme kontrolleri.

0/11

Firewall aktif ve yapılandırılmış Tüm ağ giriş/çıkış noktalarında firewall kurulu ve kuralları düzenli gözden geçiriliyor. ISO 27001 A.13.1.1

Ağ segmentasyonu uygulanmış VLAN'lar ile ağ bölümlere ayrılmış, kritik sistemler izole edilmiş. ISO 27001 A.13.1.3

Gereksiz portlar ve servisler kapatılmış Sadece gerekli portlar açık, diğerleri firewall'da bloklanmış. ISO 27001 A.12.5.1

IDS/IPS sistemleri devrede Ağ trafiği izleniyor, saldırı denemeleri otomatik tespit ediliyor. ISO 27001 A.12.4.1

Wi-Fi ağları WPA3 ile korunuyor Kablosuz ağlarda güçlü şifreleme kullanılıyor, misafir ağı ayrı. ISO 27001 A.13.1.1

DMZ yapılandırılmış Dışa açık servisler DMZ'de, iç ağdan izole edilmiş. ISO 27001 A.13.1.3

DDoS koruması aktif DDoS saldırılarına karşı koruma çözümü (CDN/WAF) kullanılıyor. ISO 27001 A.17.2.1

DNS güvenliği sağlanmış DNSSEC aktif, DNS sorguları izleniyor, DNS hijacking koruması var. ISO 27001 A.12.4.2

NAC (Network Access Control) çözümü var Ağa bağlanan cihazlar doğrulanıyor, yetkisiz cihazlar engelleniyor. ISO 27001 A.13.1.1

Ağ haritası dokümante edilmiş Güncel ağ topolojisi haritası var ve düzenli güncelleniyor. ISO 27001 A.12.1.2

Network traffic monitoring yapılıyor Ağ trafiği sürekli izleniyor, anormallikler tespit ediliyor. ISO 27001 A.12.4.1

KATEGORİ 03

Veri Koruma & Şifreleme

Veri sınıflandırma, şifreleme, yedekleme ve veri kaybı önleme kontrolleri.

0/10

Veri sınıflandırma politikası var Veriler hassasiyet seviyelerine göre sınıflandırılmış (Kamuya Açık, Dahili, Gizli, Çok Gizli). ISO 27001 A.8.2.1

Hareket halindeki veriler şifreli (TLS 1.2+) Tüm ağ trafiği ve web iletişimi güçlü şifreleme ile korunuyor. ISO 27001 A.10.1.1

Duran veriler şifreli (AES-256) Disk, veritabanı ve dosya şifreleme uygulanmış. ISO 27001 A.10.1.1

3-2-1 yedekleme stratejisi uygulanıyor 3 kopya, 2 farklı medya, 1 off-site yedek. ISO 27001 A.12.3.1

Yedekler düzenli test ediliyor En az 3 ayda bir yedeklerden geri yükleme testi yapılıyor. ISO 27001 A.12.3.1

DLP (Data Loss Prevention) çözümü aktif Hassas verilerin sızdırılması otomatik olarak engelleniyor. ISO 27001 A.13.2.3

USB ve çıkarılabilir medya kontrolü var Yetkisiz USB kullanımı engelleniyor, veri transferi izleniyor. ISO 27001 A.8.3.3

Veri maskeleme uygulanıyor Test ve geliştirme ortamlarında gerçek veriler maskeleniyor. GDPR Art.25

Anahtar yönetimi güvenli Şifreleme anahtarları HSM veya KMS ile yönetiliyor. ISO 27001 A.10.1.2

Veri imha prosedürü dokümante edilmiş Artık kullanılmayan veriler güvenli şekilde imha ediliyor. ISO 27001 A.8.3.2

KATEGORİ 04

Uygulama Güvenliği

Web uygulamaları, API'ler ve yazılım geliştirme güvenliği kontrolleri.

0/11

Input validation uygulanıyor Tüm kullanıcı girdileri sunucu tarafında doğrulanıyor. OWASP A03:2021

Output encoding yapılıyor XSS saldırılarına karşı çıktılar encode ediliyor. OWASP A03:2021

Prepared statements kullanılıyor SQL injection'a karşı parametreli sorgular kullanılıyor. OWASP A03:2021

CSRF token'ları kullanılıyor Form gönderimlerinde CSRF koruması aktif. OWASP A01:2021

Güvenlik başlıkları yapılandırılmış CSP, HSTS, X-Frame-Options, X-Content-Type-Options başlıkları aktif. OWASP A05:2021

Hata mesajları kullanıcıya bilgi vermiyor Detaylı hata mesajları log'a yazılıyor, kullanıcıya generic mesaj gösteriliyor. OWASP A04:2021

Düzenli güvenlik testi yapılıyor SAST, DAST ve penetration test periyodik olarak uygulanıyor. ISO 27001 A.14.2.8

API güvenliği sağlanmış API'ler rate limiting, authentication ve authorization ile korunuyor. OWASP API Top 10

Dependency'ler güncel tutuluyor Üçüncü parti kütüphaneler düzenli güncelleniyor, bilinen zafiyetler yok. OWASP A06:2021

WAF (Web Application Firewall) aktif Web uygulamaları WAF ile korunuyor. ISO 27001 A.13.1.1

Secure SDLC uygulanıyor Yazılım geliştirme yaşam döngüsünde güvenlik entegre edilmiş. ISO 27001 A.14.2.1

KATEGORİ 05

Fiziksel Güvenlik

Fiziksel erişim kontrolü, çevresel güvenlik ve donanım koruması.

0/8

Sunucu odası fiziksel olarak korunuyor Kilitli kapılar, güvenlik kameraları, erişim kartları ile korunuyor. ISO 27001 A.11.1.2

Ziyaretçi erişimi kontrol ediliyor Ziyaretçiler kayıt altına alınıyor, refakat ediliyor. ISO 27001 A.11.1.6

Çevresel kontroller mevcut Sıcaklık, nem, yangın ve su baskını sensörleri kurulu. ISO 27001 A.11.2.1

Kesintisiz güç kaynağı (UPS) var Kritik sistemler için UPS ve jenerör yedeği mevcut. ISO 27001 A.11.2.7

Masa temizliği politikası uygulanıyor Hassas belgeler masada bırakılmıyor, kilitli dolaplarda saklanıyor. ISO 27001 A.11.2.9

Ekran kilidi politikası aktif Çalışanlar masalarını bıraktığında bilgisayar otomatik kilitleniyor. ISO 27001 A.11.2.9

Donanım envanteri tutuluyor Tüm IT varlıkları kayıt altında, konum ve sahiplik bilgisi güncel. ISO 27001 A.8.1.1

Güvenli imha prosedürü var Eski donanımlar ve medyalar güvenli şekilde imha ediliyor. ISO 27001 A.8.3.2

KATEGORİ 06

Loglama & İzleme

Sistem logları, güvenlik izleme ve olay tespiti kontrolleri.

0/9

Tüm kritik sistemlerde loglama aktif Sunucular, firewall'lar, uygulamalar log tutuyor. ISO 27001 A.12.4.1

Merkezi log yönetimi (SIEM) var Tüm loglar merkezi bir sistemde toplanıyor ve analiz ediliyor. ISO 27001 A.12.4.1

Log'lar değiştirilemez şekilde saklanıyor Log bütünlüğü korunuyor, yetkisiz değişiklik engelleniyor. ISO 27001 A.12.4.2

Zaman senkronizasyonu (NTP) uygulanmış Tüm sistemler aynı zaman kaynağına senkronize. ISO 27001 A.12.4.4

Anomali tespiti devrede Anormal aktiviteler otomatik olarak tespit edilip uyarılıyor. ISO 27001 A.12.4.1

Log retention politikası var Log'lar yasal gereksinimlere uygun süre saklanıyor (min. 1 yıl). ISO 27001 A.12.4.2

Admin aktiviteleri izleniyor Ayrıcalıklı kullanıcı işlemleri özel olarak loglanıyor. ISO 27001 A.9.4.2

7/24 SOC (Security Operations Center) var Güvenlik olayları sürekli izleniyor ve müdahale ediliyor. ISO 27001 A.16.1.2

Log incelemeleri düzenli yapılıyor Güvenlik ekibi log'ları periyodik olarak inceliyor. ISO 27001 A.12.4.1

KATEGORİ 07

Çalışan Eğitimi & Farkındalık

İnsan faktörü güvenliği, eğitim programları ve farkındalık faaliyetleri.

0/8

Siber güvenlik farkındalık eğitimi veriliyor Tüm çalışanlara düzenli siber güvenlik eğitimi veriliyor. ISO 27001 A.7.2.2

Phishing simülasyonları yapılıyor Ayda en az bir kez phishing simülasyonu ile çalışanlar test ediliyor. ISO 27001 A.7.2.2

İşe başlama güvenliği oryantasyonu var Yeni çalışanlar güvenlik politikaları konusunda bilgilendiriliyor. ISO 27001 A.7.2.2

Rol bazlı özel eğitimler veriliyor IT, finans, İK gibi departmanlara özel güvenlik eğitimleri. ISO 27001 A.7.2.2

Güvenlik politikaları erişilebilir Tüm çalışanlar güvenlik politikalarına kolayca ulaşabiliyor. ISO 27001 A.5.1.1

Güvenlik ihlali raporlama kanalı var Çalışanlar şüpheli durumları kolayca raporlayabiliyor. ISO 27001 A.6.1.2

Eğitim kayıtları tutuluyor Kimin hangi eğitimi aldığı ve ne zaman tamamladığı kayıt altında. ISO 27001 A.7.2.2

Düzenli güvenlik bültenleri yayınlanıyor Çalışanlara güncel tehditler hakkında bilgilendirme yapılıyor. ISO 27001 A.7.2.2

KATEGORİ 08

Olay Müdahale & Yönetimi

Güvenlik olaylarına müdahale, adli bilişim ve kriz yönetimi.

0/9

Incident Response Planı (IRP) dokümante edilmiş Güvenlik olaylarına müdahale prosedürü yazılı ve güncel. ISO 27001 A.16.1.5

CSIRT (Computer Security Incident Response Team) var Olay müdahale ekibi tanımlanmış ve görevleri belirlenmiş. ISO 27001 A.16.1.1

Olay sınıflandırma sistemi var Güvenlik olayları ciddiyet seviyelerine göre sınıflandırılıyor. ISO 27001 A.16.1.4

İletişim planı hazır Olay durumunda kiminle nasıl iletişim kurulacağı belirlenmiş. ISO 27001 A.16.1.2

Adli bilişim prosedürleri var Dijital kanıtların toplanması ve korunması prosedürü dokümante edilmiş. ISO 27001 A.16.1.7

Tatbikatlar yapılıyor Yılda en az bir kez incident response tatbikatı yapılıyor. ISO 27001 A.16.1.7

Düzenleyici bildirim prosedürü var KVKK/GDPR ihlalleri için yasal bildirim prosedürü hazır. KVKK Art.12 / GDPR Art.33

Olay sonrası analiz yapılıyor Her olay sonrası lessons learned raporu hazırlanıyor. ISO 27001 A.16.1.7

Dış kaynaklarla anlaşmalar var Adli bilişim, PR, hukuk gibi dış destek sağlayıcıları belirlenmiş. ISO 27001 A.15.1.1

KATEGORİ 09

Uyumluluk & Politika Yönetimi

Yasal düzenlemeler, standartlar ve güvenlik politikaları.

0/10

Bilgi güvenliği politikası dokümante edilmiş Üst yönetim tarafından onaylanmış, güncel bir IG politikası var. ISO 27001 A.5.1.1

KVKK/GDPR uyumluluğu sağlanmış Kişisel verilerin korunması için yasal gereksinimler karşılanmış. KVKK / GDPR

ISO 27001 sertifikasyonu var Uluslararası bilgi güvenliği standardına uyum sağlanmış. ISO 27001

Sektörel düzenlemelere uyum var PCI-DSS, HIPAA, BDDK gibi sektörel gereksinimler karşılanmış. Sektörel Standartlar

Risk değerlendirmesi periyodik yapılıyor Yılda en az bir kez kapsamlı risk analizi yapılıyor. ISO 27001 A.12.6.1

İç denetimler yapılıyor Düzenli iç güvenlik denetimleri planlanıyor ve uygulanıyor. ISO 27001 A.18.2.3

Tedarikçi güvenlik değerlendirmesi yapılıyor Üçüncü tarafların güvenlik durumları düzenli değerlendiriliyor. ISO 27001 A.15.1.1

Sözleşmelerde güvenlik maddeleri var Tedarikçi ve müşteri sözleşmelerinde güvenlik gereksinimleri belirtilmiş. ISO 27001 A.15.1.2

Politikalar düzenli gözden geçiriliyor Tüm güvenlik politikaları yılda en az bir kez güncelleniyor. ISO 27001 A.5.1.2

Siber sigorta poliçesi aktif Siber risklere karşı sigorta poliçesi mevcut ve güncel. Risk Transfer

KATEGORİ 10

Bulut & Mobil Güvenlik

Bulut hizmetleri, mobil cihazlar ve uzaktan çalışma güvenliği.

0/12

Bulut yapılandırması güvenli AWS/Azure/GCP yapılandırmaları CSPM ile sürekli izleniyor. CSA STAR

Bulut erişimleri MFA ile korunuyor Tüm bulut yönetim konsollarında MFA zorunlu. CSA CCM

Bulut verileri şifreli Hem at-rest hem in-transit şifreleme uygulanmış. CSA CCM

MDM (Mobile Device Management) çözümü var Mobil cihazlar merkezi olarak yönetiliyor ve korunuyor. ISO 27001 A.6.2.1

BYOD politikası dokümante edilmiş Kişisel cihazların iş için kullanımı kuralları belirlenmiş. ISO 27001 A.6.2.1

Uzaktan çalışma güvenliği sağlanmış VPN, Zero Trust, secure web gateway gibi çözümler aktif. ISO 27001 A.6.2.1

SaaS uygulamaları izleniyor Kullanılan SaaS uygulamaları CASB ile izleniyor. CSA STAR

Bulut yedekleme stratejisi var Bulut verileri için yedekleme ve disaster recovery planı mevcut. ISO 27001 A.12.3.1

Mobil uygulama güvenliği test ediliyor Şirket mobil uygulamaları düzenli güvenlik testinden geçiyor. OWASP MASVS

IoT cihazları yönetiliyor IoT cihazları envanterde, güvenlik güncellemeleri uygulanıyor. ISO 27001 A.8.1.1

Shadow IT tespiti yapılıyor Onaysız bulut servisleri ve uygulamalar tespit edilip yönetiliyor. ISO 27001 A.12.5.1

Multi-cloud güvenlik stratejisi var Birden fazla bulut sağlayıcısı kullanılıyorsa merkezi güvenlik yönetimi var. CSA STAR