DTA ACADEMY

Blog

  • 2026-11-10

Kurumlarda Siber Güvenlik ve Bilgi Güvenliği

Bilgi, dijital çağda kurumların sahip olduğu en önemli varlıklardan biri hâline gelmiştir. Şirketler, üniversiteler, hastaneler ve kamu kurumları; verilerin depolanması, iş süreçlerinin yönetilmesi ve hizmetlerin sunulması için elektronik sistemlere güvenmektedir.

Teknolojiye olan bağımlılığın artmasıyla birlikte bilgi hırsızlığı, sistemlerin devre dışı bırakılması ve verilere yetkisiz erişim gibi riskler de artmıştır.

Bu nedenle siber güvenlik, dijital sistemleri, ağları ve verileri siber tehditlerden korumak, iş sürekliliğini sağlamak ve müşterilerin ve hizmetlerden yararlanan kişilerin güvenini korumak açısından temel bir alan hâline gelmiştir.

1. Siber Güvenlik Kavramı

Siber güvenlik (Cybersecurity), dijital sistemleri, ağları, yazılımları ve verileri saldırılara, zarara ve yetkisiz erişime karşı korumayı amaçlayan politika, prosedür ve teknolojilerin bütünüdür.

Siber güvenlik, bilgi güvenliğinin CIA üçlüsü olarak bilinen üç temel ilkesine dayanır:

1. Gizlilik (Confidentiality)

Bilgilere yalnızca erişim yetkisi bulunan kişilerin ulaşabilmesini sağlamak.

2. Bütünlük (Integrity)

Bilgilerin doğruluğunu korumak ve yetkisiz biçimde değiştirilmesini veya tahrip edilmesini önlemek.

3. Erişilebilirlik (Availability)

Sistemlerin ve bilgilerin ihtiyaç duyulduğunda erişilebilir olmasını sağlamak.

Bu ilkeler, kurumların bilgi güvenliği politikalarının oluşturulmasında temel bir rol oynar.

2. Siber Güvenliğin Kurumlar Açısından Önemi

Siber güvenliğin önemi birçok alanda kendini göstermektedir:

  • Müşteri ve çalışan verilerinin korunması.

  • Finansal ve ticari bilgilerin güvence altına alınması.

  • İş süreçlerinin ve hizmetlerin sürekliliğinin sağlanması.

  • Finansal kayıpların azaltılması.

  • Kurumun itibarının korunması.

  • Müşterilerin ve iş ortaklarının güveninin güçlendirilmesi.

  • Yasal ve düzenleyici gerekliliklere uyumun desteklenmesi.

Bu koruma, özellikle kişisel, finansal, sağlık veya eğitim verilerini işleyen kurumlar açısından daha büyük önem taşımaktadır.

3. Başlıca Siber Tehditler

Kurumlar çeşitli dijital tehditlerle karşı karşıyadır. Bunların en önemlileri şunlardır:

1. Kötü Amaçlı Yazılımlar (Malware)

Cihazlara zarar vermek, bilgileri çalmak veya sistemlerin çalışmasını engellemek amacıyla tasarlanmış yazılımlardır.

2. Fidye Yazılımları (Ransomware)

Verileri şifreleyen veya verilere erişimi engelleyen ve ardından saldırganın ödeme talep ettiği kötü amaçlı yazılım türüdür.

3. Kimlik Avı (Phishing)

Kullanıcıları kandırarak parolalarını veya hassas bilgilerini ele geçirmeyi amaçlayan dolandırıcılık girişimleridir.

4. Oturum Açma Bilgilerinin Çalınması

Kullanıcıların giriş bilgilerinin ele geçirilerek sistemlere yetkisiz erişim sağlanmasıdır.

5. Veri Sızıntısı

Siber saldırılar, insan hataları veya güvenlik prosedürlerindeki eksiklikler nedeniyle kurumun ya da müşterilerin bilgilerinin izinsiz olarak açığa çıkmasıdır.

6. İç Tehditler

Geniş erişim yetkilerine sahip çalışanlardan kaynaklanabilecek, ihmal, yetkilerin kötüye kullanılması veya kasıtlı davranışlar sonucunda ortaya çıkan risklerdir.

4. Bilgilerin Korunmasına Yönelik Güvenlik Önlemleri

Kurumların birbiriyle uyumlu ve bütünleşik güvenlik önlemleri uygulaması gerekmektedir.

Parola Yönetimi

Her hesap için güçlü ve benzersiz parolalar kullanılmalı, gerektiğinde güvenilir bir parola yöneticisinden yararlanılmalıdır.

Çok Faktörlü Kimlik Doğrulama (MFA)

Parolaya ek olarak başka bir doğrulama adımının uygulanması, yetkisiz erişimi zorlaştırır.

Sistem Güncellemeleri

Bilinen güvenlik açıklarını gidermek amacıyla işletim sistemleri ve yazılımlar düzenli olarak güncellenmelidir.

Veri Yedekleme

Önemli verilerin düzenli olarak yedeklenmesi ve bu yedeklerden geri yükleme işlemlerinin test edilmesi gerekmektedir.

Erişim Yetkilerinin Sınırlandırılması

Çalışanlara yalnızca görevlerini yerine getirmeleri için gerekli olan asgari erişim yetkileri verilmelidir.

Şifreleme

Veriler, depolama ve aktarım sırasında uygun şifreleme yöntemleri kullanılarak korunmalıdır.

5. Çalışanların Siber Güvenlikteki Rolü

Siber güvenlik sorumluluğu yalnızca bilgi teknolojileri departmanına ait değildir. Tüm çalışanlar kurumun korunmasında önemli bir rol üstlenir.

Uyulması gereken başlıca güvenlik uygulamaları şunlardır:

  • Şüpheli e-posta eklerini açmamak.

  • Mesaj gönderen kişinin kimliğini doğrulamak.

  • Parolaları başkalarıyla paylaşmamak.

  • Kurumsal verilere erişmek için onaylanmamış cihazlar kullanmamak.

  • Çalışma alanından ayrılırken cihazları kilitlemek.

  • Şüpheli mesajları ve faaliyetleri bildirmek.

  • İnternet ve e-posta kullanımına ilişkin kurumsal politikalara uymak.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), şüpheli mesajlara karşı dikkatli olunmasının, çok faktörlü kimlik doğrulamanın kullanılmasının, güçlü parolalar oluşturulmasının ve kimlik avı girişimlerinin bildirilmesinin önemini vurgulamaktadır.

6. NIST Siber Güvenlik Yönetim Çerçevesi

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından yayımlanan Siber Güvenlik Çerçevesi, kurumların güvenlik faaliyetlerini düzenlemelerine yardımcı olan önemli referanslardan biridir.

Siber Güvenlik Çerçevesi 2.0 (CSF 2.0), altı temel işlevden oluşmaktadır:

İşlev Amaç
Govern – Yönetişim Politikaların ve sorumlulukların belirlenmesi ve risklerin yönetilmesi.
Identify – Belirleme Varlıkların, verilerin ve risklerin tanımlanması.
Protect – Koruma Önleyici güvenlik kontrollerinin uygulanması.
Detect – Tespit Etme Olağan dışı faaliyetlerin ve tehditlerin tespit edilmesi.
Respond – Müdahale Güvenlik olaylarının yönetilmesi ve etkilerinin azaltılması.
Recover – Kurtarma Sistemlerin ve hizmetlerin yeniden çalışır duruma getirilmesi.

Bu çerçeve, kurumların birbirinden bağımsız teknik önlemlerle yetinmek yerine bütünleşik bir siber güvenlik programı geliştirmelerine yardımcı olur.

7. Siber Güvenlik ve İş Sürekliliği

İş sürekliliği, bir kurumun krizler veya kesintiler sırasında temel hizmetlerini sunmaya devam edebilme kapasitesidir.

İş sürekliliği planı aşağıdaki unsurları içermelidir:

  • Kritik hizmetlerin ve sistemlerin belirlenmesi.

  • İş faaliyetlerini etkileyebilecek risklerin tanımlanması.

  • Güvenli veri yedeklerinin hazırlanması.

  • Güvenlik olayları sırasında sorumlulukların belirlenmesi.

  • Müşteriler ve çalışanlarla iletişim kurulmasına yönelik bir plan oluşturulması.

  • Kurtarma planlarının düzenli olarak test edilmesi.

Uygulamalı Örnek

Bir eğitim akademisinin çevrim içi eğitim platformunun siber saldırı nedeniyle hizmet dışı kaldığını varsayalım.

Bu durumda akademinin kursiyer verilerinin ve eğitim içeriklerinin yedeklerine, hizmeti yeniden devreye almak için bir kurtarma planına ve katılımcılarla iletişim kurabileceği alternatif kanallara sahip olması gerekir.

8. Eğitim Kurumlarında Siber Güvenlik

Eğitim akademileri farklı türlerde verilerle çalışmaktadır. Bunlar arasında şunlar yer alır:

  • Kursiyerlerin kişisel bilgileri.

  • Finansal kayıtlar.

  • Sertifikalar ve değerlendirme sonuçları.

  • Eğitmen bilgileri.

  • Eğitim içerikleri.

  • Kullanıcı hesapları.

Bu nedenle hesapların ve erişim yetkilerinin yönetilmesi, veri tabanlarının korunması ve tüm çalışanların güvenlik sorumlulukları konusunda bilinçlendirilmesi için açık politikalar benimsenmelidir.

Sonuç

Siber güvenlik, kurumların faaliyetlerini sürdürebilmeleri ve dijital varlıklarını koruyabilmeleri açısından stratejik bir zorunluluk hâline gelmiştir.

Yeterli düzeyde güvenlik sağlamak yalnızca teknolojik yazılımlarla mümkün değildir. Teknolojinin, yönetim politikalarının ve sürekli eğitimin birlikte uygulanması gerekmektedir.

Eğitim akademileri, bireylere bilgileri koruma yöntemlerini ve dijital tehditlerle doğru şekilde başa çıkma becerilerini öğreterek siber güvenlik kültürünün geliştirilmesinde önemli bir rol oynamaktadır.

Kaynaklar ve Referanslar

  1. National Institute of Standards and Technology (NIST). The NIST Cybersecurity Framework 2.0, 2024.

  2. Cybersecurity and Infrastructure Security Agency (CISA). Phishing General Security Guidance.

  3. FBI Internet Crime Complaint Center. Cyber Criminals Target Victims Using Social Engineering Techniques, 2024.