Tedarikçi denetimlerinde en sık görülen 10 güvenlik açığı
Kurumsal müşterilerimiz adına yürüttüğümüz tedarikçi bilgi güvenliği denetimlerinin puanlama verilerini isimsiz ve toplu olarak inceledik. Sonuç: tedarikçilerin önemli bir kısmı, temel güvenlik kontrollerinin bir bölümünü henüz olgunlaştırmamış durumda.
Puanlama verisi bulunan 11 tedarikçi denetiminde ortalama olgunluk puanı 100 üzerinden yaklaşık 50 çıktı; 11 tedarikçiden 5’i 50 puanın altında kaldı. En zayıf alanlar yapay zekâ ve model güvenliği, kullanım ömrü dolmuş bileşen yönetimi, sürekli zafiyet yönetimi ve sızma testi oldu. En sık görülen eksik, zafiyet yönetiminin merkezi bir araç ve kapanış takibiyle yürütülmemesiydi. Görece güçlü alanlar ise fiziksel güvenlik, kişisel verilerin güvenliği ve iş sürekliliğiydi.
Rakamlarla genel tablo
Tedarikçilerin ortalama puanları 31 ile 70 arasında değişti. Yani aynı müşteriye hizmet veren tedarikçiler arasında güvenlik olgunluğu açısından büyük fark var. Bu da tedarikçilerin tek bir anketle “uygun / uygun değil” diye ayrılması yerine, kanıta dayalı ve kritikliğe göre değerlendirilmesi gerektiğini gösteriyor.
En sık görülen 10 güvenlik açığı
| Bulgu | Değerlendirilen denetim | Zayıf çıkma oranı |
|---|---|---|
| 1. Zafiyet yönetimi merkezi bir araçla yapılmıyor | 9 | %89 |
| 2. Düzenli zafiyet taraması yapılmıyor veya bulgular kapatılmıyor | 10 | %80 |
| 3. Kritik sıfırıncı gün açıklarında anlık tarama yapılmıyor | 9 | %78 |
| 4. Kullanım ömrü dolmuş (EOL/EOS) bileşenler takip edilmiyor | 9 | %78 |
| 5. Siber olaylara müdahale yapısı ve hazırlığı zayıf | 9 | %78 |
| 6. Siber saldırı simülasyonu veya tatbikat yapılmıyor | 8 | %75 |
| 7. Güvenli yazılım geliştirme ve kod analizi eksik | 8 | %75 |
| 8. Büyük değişikliklerden sonra sızma testi yapılmıyor | 9 | %67 |
| 9. Veri sızıntısı önleme (DLP) kontrolleri yok | 9 | %67 |
| 10. Ayrıcalıklı erişimler merkezi olarak yönetilmiyor | 11 | %55 |
Zayıf: 0–100 olgunluk ölçeğinde 50 puanın altında değerlendirilen kontrol. Kontrol listesi zaman içinde güncellendiği için her soru her denetimde yer almamıştır; “değerlendirilen denetim” sütunu bunu gösterir.
Hangi kontrol alanları en zayıf?
| Kontrol alanı | Ortalama puan | Zayıf kontrol oranı |
|---|---|---|
| Yapay zekâ ve model güvenliği | 37,5 | %80 |
| Kullanım ömrü (EOL/EOS) yönetimi | 38,1 | %78 |
| Sürekli zafiyet yönetimi | 39,7 | %66 |
| Altyapı ve uygulama güvenliği | 45,0 | %61 |
| Sızma testi | 46,6 | %53 |
| Yazılım geliştirme ve bakım | 47,1 | %56 |
| Operasyon güvenliği | 47,7 | %51 |
| Yama ve güvenlik açığı yönetimi | 49,4 | %49 |
| Erişim ve kimlik yönetimi | 50,5 | %41 |
| Siber güvenlik olay yönetimi | 50,7 | %49 |
| Ağ güvenliği | 52,6 | %32 |
| İş sürekliliği | 55,6 | %27 |
| Kişisel verilerin güvenliği | 57,9 | %25 |
| Fiziksel ve çevresel güvenlik | 59,2 | %19 |
Yapay zekâ ve model güvenliği alanı, bu kontrollerin eklendiği güncel kontrol listesiyle yapılan 6 denetime dayanır.
Dikkat çeken nokta, en zayıf alanların büyük kısmının teknik ve sürekli yürütülmesi gereken kontroller olması: zafiyet yönetimi, bileşen ömrü takibi, sızma testi ve güvenli yazılım geliştirme. Politika, fiziksel güvenlik ve iş sürekliliği gibi belgeye dayalı alanlar görece daha iyi durumda. Kısacası birçok tedarikçide yazılı kural var, ancak bunu sürekli işleten teknik süreç yok.
Yapay zekâ kullanımı: en yeni ve en zayıf alan
Yapay zekâ kontrollerinin yer aldığı 6 denetimde bu alanın kontrollerinin %80’i zayıf çıktı. Resmî bir yapay zekâ kullanım politikasına ilişkin sorunun ortalama puanı yalnızca 33 oldu. En düşük puanlar ise çalışanların üretken yapay zekâ araçlarına kişisel veya gizli veri girmesinin engellenmesi ve kurumun onayı dışındaki yapay zekâ araçlarının kullanımının kontrol edilmesi konularında görüldü.
Bu, verinizi işleyen tedarikçinin çalışanlarının yapay zekâ araçlarını kurallar ve teknik kontroller olmadan kullanıyor olabileceği anlamına gelir. Tedarikçi denetimlerine yapay zekâ kullanım sorularının eklenmesini öneriyoruz.
Yapay zekâ risk değerlendirmesi · Ücretsiz yapay zekâ kullanım politikası şablonu
Her bulgu için: ne görüyoruz, ne yapılmalı?
1. Zafiyet yönetimi merkezi bir araçla yapılmıyor
Ne görüyoruz: Taramalar elle ve dağınık yürütülüyor; bulguların kim tarafından, ne zaman kapatıldığı izlenemiyor.
Ne yapılmalı: Merkezi bir zafiyet yönetim aracı, bulgular için kritiklik bazlı kapatma süreleri ve aylık raporlama.
2. Düzenli zafiyet taraması yapılmıyor veya bulgular kapatılmıyor
Ne görüyoruz: Tarama yapılsa bile çıktı ve kapanış kanıtı sunulamıyor.
Ne yapılmalı: Dış ve iç sistemler için periyodik tarama takvimi; tarama çıktıları ve kapanış kayıtlarının saklanması.
3. Kritik sıfırıncı gün açıklarında anlık tarama yapılmıyor
Ne görüyoruz: Kamuya duyurulan kritik açıklara karşı etkilenen sistemlerin hızla belirlenmesi süreci tanımlı değil.
Ne yapılmalı: Güvenlik bülteni takibi, etkilenen varlığın envanterden bulunması ve acil tarama ile yama prosedürü.
4. Kullanım ömrü dolmuş (EOL/EOS) bileşenler takip edilmiyor
Ne görüyoruz: Yazılımda ve altyapıda kullanılan bileşenlerin destek bitiş tarihlerini gösteren bir liste yok.
Ne yapılmalı: Bileşen envanteri (yazılım malzeme listesi), destek bitiş tarihleri ve yükseltme planı.
5. Siber olaylara müdahale yapısı ve hazırlığı zayıf
Ne görüyoruz: Olay müdahale ekibi, rolleri ve iletişim akışı tanımlı değil ya da yalnızca kâğıt üzerinde.
Ne yapılmalı: Olay müdahale prosedürü, sorumlu ekip, müşteriye bildirim süreleri ve yılda en az bir tatbikat.
6. Siber saldırı simülasyonu veya tatbikat yapılmıyor
Ne görüyoruz: Kontrollerin gerçek bir saldırıda çalışıp çalışmadığı test edilmiyor.
Ne yapılmalı: Oltalama simülasyonu ve masa başı olay tatbikatı ile başlayan, ölçeğe uygun bir test programı.
7. Güvenli yazılım geliştirme ve kod analizi eksik
Ne görüyoruz: Güvenli yazılım geliştirme yaşam döngüsü belgelenmemiş; kaynak kod statik ve dinamik güvenlik testlerinden geçmiyor.
Ne yapılmalı: Kod incelemesi, otomatik statik/dinamik analiz ve açık kaynak bileşen taraması; sonuçların sürüm öncesi kontrolü.
8. Büyük değişikliklerden sonra sızma testi yapılmıyor
Ne görüyoruz: Altyapı, kimlik doğrulama veya çatı (framework) değişikliklerinden sonra sistem yeniden test edilmiyor.
Ne yapılmalı: Yılda en az bir sızma testine ek olarak, majör değişikliklerde kapsamlı yeniden test.
9. Veri sızıntısı önleme (DLP) kontrolleri yok
Ne görüyoruz: Hassas verinin e-posta, bulut veya taşınabilir ortam üzerinden dışarı çıkışı izlenmiyor.
Ne yapılmalı: Veri sınıflandırmasıyla uyumlu DLP kuralları ve şüpheli aktarımlar için kayıt ve alarm.
10. Ayrıcalıklı erişimler merkezi olarak yönetilmiyor
Ne görüyoruz: Yönetici hesapları paylaşımlı kullanılıyor; yetkiler ve oturumlar düzenli gözden geçirilmiyor.
Ne yapılmalı: Kişiye özel yönetici hesapları, çok faktörlü doğrulama, ayrıcalıklı erişim yönetimi (PAM) ve periyodik yetki gözden geçirmesi.
Yöntem ve sınırlamalar
- Veri: Kurumsal müşterilerimiz adına yaptığımız tedarikçi bilgi güvenliği denetimlerinden, denetçi puanlaması tamamlanmış 11 denetim. Tedarikçiler ağırlıklı olarak yazılım, BT hizmeti, danışmanlık ve eğitim alanlarında hizmet veren küçük ve orta ölçekli firmalardır.
- Puanlama: Her kontrol maddesi, toplanan kanıt ve yerinde ya da çevrim içi görüşmeler sonucunda 0–100 olgunluk ölçeğinde puanlandı. Tedarikçiye uygulanamayan maddeler hesaba katılmadı. 50 puanın altı “zayıf” kabul edildi.
- Gizlilik: Hiçbir müşteri veya tedarikçi adı paylaşılmamıştır; yalnızca toplu sonuçlar sunulmuştur.
- Sınırlamalar: Örneklem küçüktür ve Türkiye genelini temsil etmez. Kontrol listesi zaman içinde güncellendiği için bazı sorular yalnızca bir kısım denetimde yer almıştır. Sonuçlar, kendi denetim pratiğimizden gözlemler olarak okunmalıdır.
Bu sayfa yeni denetimler eklendikçe güncellenecektir. Puanlama verisi bu sayfadaki analize dahil olan denetimlerle sınırlıdır; ekibimizin toplam tedarikçi denetimi deneyimi 100’ü aşmaktadır.
Tedarikçi denetim bulguları hakkında sık sorulanlar
Tedarikçi denetimlerinde en sık hangi eksik görülüyor?
İncelediğimiz denetimlerde en sık görülen eksik, zafiyet yönetiminin merkezi bir araçla ve kapanış takibiyle yürütülmemesiydi. Bu kontrolün değerlendirildiği 9 denetimin yaklaşık %89’unda kontrol zayıf çıktı.
Tedarikçilerin ortalama güvenlik olgunluk puanı nedir?
Puanlama verisi bulunan 11 denetimde ortalama olgunluk puanı 100 üzerinden yaklaşık 50 oldu; tedarikçi bazında puanlar 31 ile 70 arasında değişti.
Tedarikçilerde yapay zekâ kullanımı ne kadar kontrol altında?
Yapay zekâ kontrollerinin yer aldığı 6 denetimde bu alanın kontrollerinin %80’i zayıf çıktı. Resmî yapay zekâ kullanım politikasına ilişkin sorunun ortalama puanı 33 oldu.
Bu sonuçlar Türkiye genelini temsil ediyor mu?
Hayır. Sonuçlar kendi denetimlerimizden toplu ve isimsiz gözlemlerdir; örneklem küçüktür ve ağırlıklı olarak küçük ve orta ölçekli yazılım, BT ve danışmanlık tedarikçilerinden oluşur.
Kendi tedarikçimizin durumunu nasıl öğrenebiliriz?
Kritik tedarikçilerinizi aynı yöntemle, kanıta dayalı olarak denetleyebilir ve sonuçları bu sayfadaki ortalamalarla karşılaştırabiliriz. Ön değerlendirme için TPRM olgunluk testini de kullanabilirsiniz.
Konuyla ilgili diğer içerikler
Tedarikçileriniz bu ortalamanın neresinde?
Kritik tedarikçilerinizi kanıta dayalı olarak denetleyelim; bulguları önceliklendirip kapanışa kadar takip edelim.