Siber güvenlik ve dijital dayanıklılık
Atyaf, siber güvenliği dijital hizmetlerinizin geliştirilmesi ve işletilmesiyle birlikte ele alır. Sistemlerinize ve iş önceliklerinize göre riskleri belirlemenize, korumayı güçlendirmenize ve kurtarma süreçlerini hazırlamanıza yardımcı oluruz.
Operasyonun bir parçası olarak güvenlik
Web sitesi, müşteri portalı ve bulut sunucusu yalnızca veri paylaşmaz; bağımlılıkları ve riskleri de ortaktır. Siber güvenlik ve dayanıklılık hizmetimiz, uygulama güvenliğini, altyapı korumasını, erişim yönetimini ve kurtarma planlamasını ortak bir çalışma kapsamında bir araya getirir. Önce hangi sistemleri işlettiğinizi, kimlerin erişebildiğini ve bir kesintinin işinize etkisini değerlendiririz.
Hizmet kapsamı
Ortamınız için gerekli hizmetleri birlikte belirleriz. Uygulamadan önce kapsama alınacak sistemler, erişim yetkileri, teslimatlar ve operasyonel sorumluluklar netleştirilir.
İnternete açık varlıkları, hassas verileri ve hizmet bağımlılıklarını inceleriz. Yapılandırma incelemelerini ve tehdit senaryolarını önceliklendirilmiş bir iyileştirme planına dönüştürürüz.
Kimlik doğrulamayı, yetkilendirmeyi ve dışa açık arayüzleri değerlendiririz. Gerçek kullanıcı akışlarını gözeterek web korumasını yapılandırır, uygulama düzeltmelerini ekibinizle koordine ederiz.
Linux sunucularında ve bulut ortamlarında gereksiz dışa açıklığı azaltırız. Güvenli yapılandırma, kontrollü yönetici erişimi ve sürdürülebilir güncelleme süreçleri oluştururuz.
Yetkileri gerçek sorumluluklarla eşleştiririz. Ortak kullanılan hesapları azaltır, ayrıcalıklı erişimi korur ve işe giriş, görev değişikliği ile işten ayrılma süreçlerini izlenebilir hâle getiririz.
İlgili kayıtları, uyarıları ve eskalasyon adımlarını bir araya getiririz. Hangi olayların inceleneceğini, sorumluları ve olayın sınırlandırılması ile hizmetin yeniden açılma sürecini netleştiririz.
Yedekleme politikasını geri yüklenmesi gereken hizmetle birlikte tasarlarız. Kurtarma hedeflerini ve bağımlılıkları belirler, kararlaştırılan kapsamda geri yükleme testleri yaparız.
Ekibinizle çalışma biçimimiz
İş açısından kritik hizmetleri, mevcut sağlayıcıları, erişim modelini ve öncelikli sorunları inceleriz.
Kapsamı, önemli riskleri, değişiklik zamanlarını, kurtarma hedeflerini ve kabul ölçütlerini birlikte belirleriz.
Kontrolleri ekibinizle uygular, değişiklikleri test eder ve geri alma ile kurtarma adımlarını belgeleriz.
Açık aksiyonları ve operasyonel bulguları değerlendirir, ortam değiştikçe kontrolleri güncelleriz.
Kapsamdaki sistemlerin envanteri, önemli bulgular ve önceliklendirilmiş aksiyon planı.
Kararlaştırılan yapılandırma ve yetki değişiklikleri ile doğrulama sonuçlarının kaydı.
Eskalasyon, kurtarma ve tarafların sorumluluklarını açıklayan uygulanabilir adımlar.
Sözleşmeye uygun raporlama, destek kapsamı ve müdahale beklentileri.
Yayından önce dışa açık hizmetleri, kimlik doğrulamayı ve kurtarma hazırlığını değerlendirin.
Erişimler, eski bileşenler, yedekler ve devralınan yapılandırmalar hakkında netlik sağlayın.
Teknik nedenleri, uyarıları ve kurtarma bağımlılıklarını güvenlik kontrolleriyle birlikte inceleyin.
Mühendislik, güvenlik ve operasyonu net sorumluluklar ve devir süreçleri içeren ortak bir planda buluşturun.
NIST CSF siber güvenlik risk yönetimi için bir çerçeve sunar; CIS Controls öncelikli koruma önlemlerini düzenler; OWASP önemli uygulama güvenliği risklerini açıklar. Bu kaynaklar kontrol kapsamını değerlendirmeye yardımcı olur. Kaynaklara atıf yapılması bir sertifika veya tüm risklerin ortadan kaldırıldığına dair güvence anlamına gelmez.
Kararlaştırılan kapsama göre güvenlik değerlendirmesi, web ve API koruması, sunucu sıkılaştırma, kimlik ve erişim yönetimi, izleme, olaylara hazırlık ve kurtarma planlaması sunulabilir. Teklifte varlıklar, teslimatlar ve sorumluluklar belirtilir.
Evet. Önce mevcut ortamı ve kullanılabilecek yetkileri inceleriz. Uygulama ekibiniz ve sağlayıcılarınızla koordine edilir; başka bir barındırma ortamına geçmek ön koşul değildir.
Bu hizmetlerin otomatik olarak kapsama dahil olduğu varsayılmamalıdır. Sızma testi, sürekli güvenlik izleme ve özel müdahale kapsamı; ayrı bir iş kapsamı, yetkilendirme, araçlar ve ekip planlaması gerektirir. Ortamınıza ne sunabileceğimizi sözleşme öncesinde netleştiririz.
RTO, kesinti sonrasında hizmetin yeniden çalışır hâle getirilmesi için hedeflenen süredir. RPO, işletmenin kabul edebileceği veri kaybının zaman cinsinden ifadesidir. İki hedef de iş ihtiyaçlarına göre belirlenir ve kurtarma tasarımı ile testlerle doğrulanır.
Hayır. Web uygulama güvenlik duvarı bazı zararlı istekleri filtreleyebilir; ancak güvenli kodun, doğru yetkilendirmenin, güncellemelerin veya testlerin yerini tutmaz. Etkili koruma birden fazla katmandaki kontrolleri birleştirir.
Sistemlerin sayısı ve kritiklik düzeyi, mevcut yapılandırma, gerekli kontroller ve destek kapsamı belirleyicidir. Ortamınızı kısaca anlatın; uygun kapsamı önerelim ve müdahale beklentilerini netleştirelim. İletişim formunda parola veya hassas log paylaşmayın.
Bir sonraki adım net olsun
Hangi sistemleri işlettiğinizi, endişelerinizi ve hangi hizmetlerin erişilebilir kalması gerektiğini anlatın. Öncelikleri görüşüp ekibinizle birlikte sonraki adımı belirleyelim.
