Zafiyet Yönetimi Programı
Kurumun zafiyet yönetimi süreci, varlık envanterinden düzeltmenin doğrulanmasına kadar bir bütün olarak ele alınır. Tarama aracının seçimi ve yapılandırması, bulguların iş etkisine göre önceliklendirilmesi, düzeltme sürelerinin tanımlanması ve sürecin ölçülebilir hâle getirilmesi çalışmanın kapsamındadır. Program, sürekli tehdit maruziyeti yönetimi (CTEM) çerçevesinin beş aşamasına göre kurulur. Bu aşamalar kapsam belirleme, keşif, önceliklendirme, doğrulama ve harekete geçirmedir. İstenirse süreç, periyodik hizmet olarak anahtar teslim yürütülür.
Kime Uygun
- Tarama altyapısına sahip olmakla birlikte bulguların önceliklendirilmesi ve kapatılmasında zorlanan kurumlar
- NIS2, BDDK düzenlemeleri veya ISO 27001 kapsamında tanımlı ve işleyen bir zafiyet yönetimi süreci sunması gereken kurumlar
- Dış araştırmacılardan gelen zafiyet bildirimlerini düzenli bir kanal üzerinden karşılamak isteyen kurumlar
- Zafiyet yönetimini sürekli bir tehdit maruziyeti döngüsüne dönüştürmek isteyen kurumlar
Kapsam
- Varlık envanterinin ve dış saldırı yüzeyinin çıkarılması
- Tarama aracının kurumun ihtiyaçlarına göre seçilmesi ve yapılandırılması
- Bulguların istismar edilebilirlik verileri (EPSS, KEV) ve iş etkisi temel alınarak önceliklendirilmesi
- Düzeltme sürelerinin, sorumlulukların ve istisna sürecinin tanımlanması
- Önceliklendirilmiş bulguların sızma testi ve saldırı simülasyonuyla doğrulanması (CTEM doğrulama aşaması)
- Zafiyet bildirim programı (VDP) ve koordineli zafiyet açıklama (CVD) sürecinin kurulması
- Düzeltme sürecinin planlanması, takibi ve sonuçlarının doğrulanması
- İsteğe bağlı: tarama aracının lisans temini ve kurulumunun üstlenilmesi
- İsteğe bağlı: düzenli tarama, bulgu takibi ve durum raporlamasını içeren periyodik hizmet
Yöntem
Çalışma Aşamaları
Mevcut Durum
Varlık envanteri, tarama sıklığı, açık bulgu sayısı ve mevcut düzeltme süreleri üzerinden başlangıç durumu belirlenir.
Tasarım
Önceliklendirme kuralları, düzeltme süreleri, sorumluluklar ve istisna süreci, kurumun yapısına uygun biçimde tanımlanarak yazılı hâle getirilir.
Kurulum
Tarama aracı yapılandırılır ve bulgu akışı kurumun iş takip sistemine bağlanır. Uygun görülen durumlarda ön triyaj için yapay zekâ destekli bir ajan devreye alınır.
Ölçüm
Açık bulgu sayısı, ortalama düzeltme süresi ve süresi geçen bulgu oranı gibi göstergeler düzenli olarak yönetime raporlanır.
Teslim Edilenler
- Zafiyet yönetimi politikası ve süreç dokümantasyonu
- Yapılandırılmış tarama altyapısı ve iş takip sistemi entegrasyonu
- Yönetim raporlaması için ölçüm panosu ve rapor şablonu
- İsteğe bağlı: VDP sayfası, security.txt ve bildirim akışı
- Periyodik hizmet kapsamında düzenli tarama ve düzeltme durumu raporlaması
Süre
Temel kurulum kapsama göre üç ila altı hafta sürer. Periyodik hizmet aylık sözleşme çerçevesinde sürdürülür ve kurum tercih ettiğinde kendi ekibine devredilir.
Kapsam Dışı
- Bulguların giderilmesi kurumun sistem sahipleri tarafından gerçekleştirilir; uygulama çalışması bu çalışmanın kapsamı dışındadır.
- Olay müdahale ve kesintisiz izleme hizmetleri bu çalışmanın kapsamı dışındadır.
İletişim
Talebinizi Değerlendirmekten Memnuniyet Duyarız
İhtiyacınızı iletişim formu veya e-posta ile iletebilirsiniz; kapsamın henüz netleşmemiş olması bir engel değildir. Her talep doğrudan kurucu tarafından değerlendirilir ve iki iş günü içinde yazılı olarak yanıtlanır. İlk görüşmede ihtiyaç dinlenir, kapsam ve yöntem birlikte belirlenir.