Özet: 7545 sayılı Siber Güvenlik Kanunu kimi ilgilendiriyor, şirketler şimdiden ne hazırlamalı? Envanter, log, olay müdahalesi ve yönetim sorumluluğu için teknik başlangıç listesi.

7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te Resmî Gazete'de yayımlanarak yürürlüğe girdi. Kanun, siber güvenlik tedbirlerini almaktan kamu kurumlarıyla birlikte gerçek ve tüzel kişileri de sorumlu tutuyor ve süreçlerde hesap verebilirliği temel ilke olarak kabul ediyor.

Uygulamanın ayrıntıları (eşikler, bildirim usulleri, teknik standartlar) ikincil düzenlemelerle belirleniyor. Bu düzenlemeleri beklerken yapılabilecek teknik hazırlık oldukça net.

Not

Bu yazı teknik bir hazırlık rehberidir, hukuki görüş değildir. Kapsam ve yükümlülükler için hukuk danışmanınızla birlikte değerlendirme yapın.

1. Kurumsal yapıyı tanıyın

Kanunla Cumhurbaşkanlığına bağlı Siber Güvenlik Kurulu kuruldu; uygulamayı 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulan Siber Güvenlik Başkanlığı yürütüyor. Başkanlık; standart ve sertifikasyon süreçlerini yönetme, denetim yapma ve gerekirse yerinde inceleme yetkisine sahip.

2. Varlık envanterini çıkarın

Hangi sunucu, ağ cihazı, bulut hizmeti ve uygulamanın kullanıldığını bilmeden risk değerlendirmesi yapılamaz. Envanter; sahibi, konumu, yazılım sürümü ve dışarıya açık olup olmadığı bilgisini içermeli.

3. Log toplama ve saklamayı merkezileştirin

Bir olay sonrasında ne olduğunu gösterebilmek için firewall, sunucu, kimlik ve uç nokta logları merkezi bir yerde, değiştirilemez biçimde tutulmalı. Mevcut 5651 ve KVKK düzeniniz iyi bir başlangıç noktasıdır.

4. Olay müdahale planı yazın

Bir saldırı fark edildiğinde kimin aranacağı, hangi sistemlerin izole edileceği ve kime bildirim yapılacağı önceden yazılı olmalı. Planı yılda en az bir kez masa başı tatbikatla deneyin.

5. Erişim ve kimlik kontrollerini sıkılaştırın

Uzaktan erişim ve yönetici hesaplarında çok faktörlü kimlik doğrulama, en az yetki ilkesi ve ayrılan personelin hesaplarının hızla kapatılması en temel tedbirlerdir.

6. Tedarikçilerinizi listeleyin

Sistemlerinize erişen yazılım firmaları, bakım şirketleri ve bulut sağlayıcıları siber risk zincirinin parçasıdır. Kimin neye, hangi yolla eriştiğini kayıt altına alın.

7. Konuyu yönetim gündemine taşıyın

Siber güvenlik bütçesi, risk kabulü ve olay sonrası iletişim yönetim kararıdır. Yılda en az iki kez yönetime kısa bir durum raporu sunun.

Hazırlığı birlikte yapalım

Bilgi Teknoloji olarak envanter, merkezi izleme ve loglama, zafiyet taraması ve olay müdahale planı adımlarını firmanızın ölçeğine göre planlıyoruz.

7545 hazırlığınız nerede?

Mevcut altyapınızı birlikte gözden geçirip eksik tedbirleri önceliklendirelim.

Görüşme talep et