Özet: Fidye yazılımı ya da hesap ele geçirme fark edildiğinde ilk 24 saatte ne yapılmalı? İzolasyon, kanıt koruma, iletişim ve KVKK bildirimi için adım adım plan.

Bir siber olayda ilk saatlerde verilen kararlar, kaybın büyüklüğünü belirler. Panikle sunucuları kapatmak kanıtı yok edebilir; beklemek ise saldırganın yayılmasına zaman tanır. Bu yüzden ilk 24 saatin planı olay olmadan önce yazılmalıdır.

0–1. saat: Doğrulayın ve ekibi toplayın

  • Uyarının gerçek olup olmadığını doğrulayın: EDR alarmı, şifrelenmiş dosyalar, olağandışı oturum açma.
  • Olay sorumlusunu belirleyin. Tek bir kişi karar verir, diğerleri uygular.
  • Olay günlüğü açın: saat, kim, ne gördü, ne yaptı. Bu kayıt sonraki tüm adımların temelidir.

1–4. saat: Yayılmayı durdurun

  • Etkilenen cihazları ağdan ayırın; mümkünse kapatmak yerine ağ kablosunu çekin ya da EDR üzerinden izole edin. Bellekteki kanıt korunur.
  • Ele geçirildiğinden şüphelenilen hesapların parolasını sıfırlayın, açık oturumları sonlandırın.
  • Gerekirse VPN ve uzaktan erişimi geçici olarak kapatın.
  • Yedekleme sistemini ağdan ayırın; saldırganlar önce yedekleri hedefler.

4–8. saat: Kapsamı belirleyin

Firewall, sunucu, Microsoft 365 ve EDR loglarını inceleyerek saldırganın nereden girdiğini, hangi sistemlere ulaştığını ve veri çıkarıp çıkarmadığını anlamaya çalışın. Merkezi loglama yoksa bu adım günler sürebilir.

8–12. saat: İletişimi yönetin

  • Yönetime kısa ve olgusal bir durum özeti verin.
  • Çalışanlara ne yapmaları ve ne yapmamaları gerektiğini tek bir kanaldan iletin.
  • Siber sigortanız varsa sigorta şirketine bildirim yapın; çoğu poliçe belirli bir süre içinde bildirim ister.
  • Fidye talebine yanıt vermeden önce hukuk danışmanınızla görüşün.

12–24. saat: Bildirim ve kurtarma planı

Kişisel veriler etkilendiyse KVKK kapsamında Kişisel Verileri Koruma Kurulu'na ihlalin öğrenilmesinden itibaren 72 saat içinde bildirim yapılması gerekir. Bu süre hızla dolar; bildirimi ilk gün hazırlamaya başlayın.

Aynı zamanda kurtarma sırasını belirleyin: önce kimlik altyapısı (Active Directory / Entra ID), sonra kritik iş uygulamaları, en son kullanıcı cihazları. Temiz olduğu doğrulanmış yedekten geri yükleyin.

Pratik öneri

Acil durum iletişim listesini (yönetim, BT, hukuk, sigorta, dış destek firması) kâğıda basın. Saldırı sırasında e-posta ve dosya sunucusu erişilemez olabilir.

Olaydan önce hazırlanın

Bilgi Teknoloji olarak fidye yazılımı koruması, EDR, merkezi loglama ve değiştirilemez yedekleme ile olay müdahale planınızı birlikte hazırlıyoruz.

Olay müdahale planınız hazır mı?

Planınızı birlikte yazalım ve bir masa başı tatbikatla deneyelim.

Görüşme talep et