Tedarikçi risk değerlendirmesi, bir kuruluşun mal veya hizmet aldığı üçüncü tarafların (yazılım sağlayıcıları, bulut hizmetleri, danışmanlar, entegratörler) oluşturduğu güvenlik, uyum ve operasyonel risklerin sistematik olarak belirlenmesi, ölçülmesi ve yönetilmesi sürecidir. 2026 verileri net bir tablo çiziyor: tedarik zinciri saldırıları, kurumların son 12 ayda karşılaştığı en yaygın siber tehdit türü haline geldi. Bu rehberde tedarikçi risk değerlendirmesinin neden artık ertelenemez olduğunu ve 6 adımda nasıl yapılacağını anlatıyoruz.
Yazının Özeti
- Ne oluyor: Kaspersky'nin 2026 araştırmasına göre tedarik zinciri saldırıları, tüm tehdit kategorilerini geride bırakarak kurumsal şirketlerin en sık karşılaştığı siber tehdit oldu. Araştırma Türkiye'yi de kapsıyor.
- Neden şimdi: Kurumlar kendi savunmalarını güçlendirdikçe saldırganlar rotayı en az izlenen kapıya, yani tedarikçilere çeviriyor. Marsh'ın Temmuz 2026 raporu, üçüncü taraf kaynaklı siber hasarlardaki artış trendinin sürdüğünü doğruluyor.
- Güncel örnek: Nisan 2026'da Vercel, üçüncü taraf hizmet sağlayıcısı üzerinden gerçekleşen ihlalle müşteri verilerinin çalındığını doğruladı.
- Türkiye boyutu: KVKK yükümlülükleri, kurumsal müşteri denetim talepleri ve tedarikçilerin bildirimsiz yapay zekâ kullanımı riski aynı anda büyütüyor.
- Ne yapılmalı: Envanter → sınıflandırma → kanıt temelli değerlendirme → sözleşme → erişim kontrolü → sürekli izleme. Ayrıntılar aşağıda.
İçindekiler
2026 Tablosu: Tedarik Zinciri Saldırıları Neden Zirvede?
Kaspersky'nin 2026'da yayımlanan ve Türkiye'yi de kapsayan küresel araştırması, tedarik zinciri saldırılarının son 12 ayda kurumsal şirketlerin karşılaştığı en yaygın siber tehdit türü olduğunu ortaya koydu — diğer tüm tehdit kategorilerinin önünde. Dünya Ekonomik Forumu verileri de aynı yönü işaret ediyor: büyük kuruluşların yaklaşık üçte ikisi, üçüncü taraf ve tedarik zinciri kaynaklı güvenlik açıklarını siber dayanıklılığın önündeki en büyük engeller arasında sayıyor.
Sigorta sektöründen gelen sinyal daha da dikkat çekici. Marsh'ın Temmuz 2026'da duyurulan Global Siber Hasar Trendleri Raporu, Avrupa'da toplam siber hasar bildirimi sayısı düşerken, üçüncü taraf ve tedarik zinciri kaynaklı vakalardaki artış trendinin sürdüğünü gösteriyor. Yorumu basit: kurumlar kendi kapılarını sağlamlaştırdıkça saldırganlar en az izlenen kapıyı buluyor — tedarikçileri.
Güncel Bir Vaka: Vercel–Context AI Olayı
Nisan 2026'da bulut platformu Vercel, doğrudan kendi sistemlerine yönelik olmayan bir saldırıyla müşteri verilerinin çalındığını doğruladı. Sızıntı, iş akışı otomasyonu sağlayan üçüncü taraf hizmet Context AI üzerinden gerçekleşti; saldırganların kullanıcılara ait OAuth token'larını ele geçirdiği değerlendirildi ve olayın birçok kuruluştaki yüzlerce kullanıcıyı etkileyebileceği açıklandı.
Türkiye'deki Kurumlar İçin Üç Baskı Hattı
Türkiye'de tedarikçi riski üç ayrı hattan aynı anda büyüyor:
| Baskı Hattı | Ne Anlama Geliyor? | Somut Sonuç |
|---|---|---|
| Regülasyon | KVKK kapsamında veri işleyen tedarikçinin riski doğrudan veri sorumlusuna yansır. AB tarafında DORA ve NIS2 ile çalışan Türk tedarikçiler gereklilikleri zincir boyunca aşağı aktarmak zorunda. | Tedarikçinizin ihlali = sizin ihlal bildiriminiz ve sizin idari para cezanız. |
| Kurumsal müşteri | Büyük kuruluşlar sözleşmesel taahhütle yetinmiyor; denetlenebilir kanıt, ISO 27001 belgesi ve yerinde denetim istiyor. | Güvenlik olgunluğu artık bir satış ön koşulu; denetimi geçemeyen tedarikçi ihaleyi kaybediyor. |
| Yapay zekâ | Tedarikçiler süreçlerinde yapay zekâ kullanmaya başladı — çoğu zaman size bildirmeden. Verinizin bir tedarikçinin AI modeline girip girmediği 2026'nın yeni üçüncü taraf riski. | ISO 42001 gibi standartlar, tedarikçi değerlendirme kapsamına bu boyutu eklemenin çerçevesini sunuyor. |
Tedarikçi Risk Değerlendirmesi Nasıl Yapılır? 6 Adımlı Çerçeve
Sık Yapılan 3 Hata
Değerlendirme Derinliği: Hangi Tedarikçiye Ne Kadar?
| Risk Sınıfı | Örnek Tedarikçi | Değerlendirme Yöntemi | Sıklık |
|---|---|---|---|
| Kritik | Kişisel veri işleyen SaaS, uzaktan erişimli BT hizmet sağlayıcısı, ana üretim tedarikçisi | Kanıt temelli denetim: belge inceleme, teknik doğrulama, gerekirse yerinde denetim | Yılda 1 + her önemli değişiklikte |
| Orta | Sınırlı veri erişimli yazılım, danışmanlık hizmetleri | Yapılandırılmış anket + sertifika ve kapsam doğrulaması | 1–2 yılda bir |
| Düşük | Veriye erişimi olmayan mal tedarikçileri, ofis hizmetleri | Sözleşmesel güvenlik ve gizlilik taahhüdü | Sözleşme yenilemede |
Sıkça Sorulan Sorular (SSS)
Tedarikçi risk değerlendirmesi nedir?
Bir kuruluşun mal veya hizmet aldığı üçüncü tarafların oluşturduğu güvenlik, uyum ve operasyonel risklerin sistematik olarak belirlenmesi, ölçülmesi ve yönetilmesi sürecidir. Çıktısı bir karardır: tedarikçinin kabulü, şartlı kabulü, reddi veya bir iyileştirme planına bağlanması.
Tedarikçi risk değerlendirmesi ile üçüncü taraf risk yönetimi (TPRM) arasındaki fark nedir?
Tedarikçi risk değerlendirmesi, tek bir tedarikçinin belirli bir andaki risk seviyesini ölçen faaliyettir. TPRM ise bu değerlendirmeleri de kapsayan daha geniş yaşam döngüsüdür: tedarikçi seçimi, sözleşme yönetimi, erişim kontrolü, sürekli izleme ve ilişkinin sonlandırılması dahil tüm süreci içerir.
Tedarikçi risk değerlendirmesi ne sıklıkla yapılmalıdır?
Kritik tedarikçiler için en az yılda bir kez ve önemli her değişiklikte (hizmet kapsamı genişlemesi, el değiştirme, bilinen bir ihlal sonrası) yeniden değerlendirme yapılmalıdır. Düşük riskli tedarikçilerde iki-üç yıllık döngü ve sözleşmesel taahhüt takibi yeterli olabilir.
Küçük bir şirketiz; büyük müşterimiz bizden güvenlik değerlendirmesi istiyor. Ne yapmalıyız?
Bu talep artık ticari bir standarttır ve doğru cevaplanması satış sürecinin parçasıdır. Asgari olarak temel güvenlik kontrollerinizi (MFA, yedekleme, erişim yönetimi, olay müdahale planı) belgeleyin. ISO 27001 sertifikasyonu, tekrarlayan anket yükünü azaltan ve kurumsal müşteri güvenini tek seferde tesis eden en etkili yatırımdır.
Tedarikçilerin yapay zekâ kullanımı risk değerlendirmesine dahil edilmeli mi?
Evet — 2026 itibarıyla bu, değerlendirme kapsamının yeni zorunlu başlığıdır. Tedarikçinizin verilerinizi bir yapay zekâ modelinin eğitiminde veya işletiminde kullanıp kullanmadığını, hangi modelleri ve alt sağlayıcıları kullandığını ve bir yapay zekâ yönetim çerçevesine (örneğin ISO 42001) sahip olup olmadığını sormalısınız.
Dördüncü taraf riski nedir?
Tedarikçinizin kendi tedarikçilerinden (alt yükleniciler, bulut sağlayıcılar, yapay zekâ servisleri) kaynaklanan risktir. Vercel–Context AI vakasının gösterdiği gibi, zincirin en az görünen halkası genellikle burasıdır. Kritik tedarikçilerden alt yüklenici listesi ve bu alt yüklenicilerin güvenlik taahhütleri istenmeli, sözleşmelere alt yüklenici değişikliğinde bildirim/onay şartı eklenmelidir.
Sonuç: Sorun Tedarikçileriniz Değil, Görünürlüğünüz
2026'nın verisi nettir: saldırganlar en güçlü kapıyı zorlamıyor, en az izlenen kapıyı buluyor. Tedarikçi ekosisteminiz büyüdükçe o kapıların sayısı artıyor. İyi haber şu ki tedarikçi riski, doğru kurgulanmış bir değerlendirme süreciyle ölçülebilir ve yönetilebilir bir risktir — yeter ki süreç anket toplamaktan ibaret kalmasın, karar üreten bir mekanizmaya dönüşsün.
Tedarikçi risk programınızı kuralım veya olgunlaştıralım
Secure Fors, Türkiye'nin önde gelen kurumlarının tedarikçi ekosistemlerinde çok sayıda üçüncü taraf güvenlik denetimi gerçekleştirdi. İki tarafta da çalışıyoruz: tedarikçilerini değerlendirmek isteyen kurumlar için uçtan uca TPRM programı; kurumsal müşteri denetimine hazırlanan tedarikçiler için boşluk analizi ve hazırlık desteği.
Ücretsiz Ön Görüşme Planla TPRM Danışmanlığı hizmetimizi inceleyin →İlgili içerikler: Tedarikçi Denetim Eğitimi · ISO 27001 BGYS Danışmanlığı · ISO 42001 Danışmanlığı
