Kurum Siber Güvenlik Denetimi

Dijital altyapısı bulunan her eğitim kurumu bu denetimden yararlanabilir; ancak aşağıdaki profiller en yüksek risk grubunu oluşturmaktadır. Öğrenci verisi barındıran her sistem potansiyel bir saldırı hedefidir; kurumun büyüklüğü saldırganlar için belirleyici değildir:

• Veli portalı veya mobil uygulaması olan kurumlar: Öğrenci fotoğrafı, yoklama bilgisi ve ödeme geçmişinin veli uygulamasından sorgulanabildiği sistemler, kimlik doğrulama açıkları nedeniyle sıkça hedef alınır. Yeterince güçlendirilmemiş API uç noktaları aracılığıyla binlerce öğrencinin verisi tek saldırıyla ele geçirilebilir.
• Çok şubeli özel okul zincirleri: Şubeler arası veri paylaşımı için kullanılan API'ler ve ortak veritabanları, merkezi bir saldırı noktası oluşturur. Bir şubedeki zayıf güvenlik, tüm ağı tehdit altına alır. Merkezi yönetim sistemi ne kadar büyükse saldırı yüzeyi de o kadar geniştir.
• Online ders ve sınav platformu işletenler: Sınav güvenliği ve öğrenci kimlik doğrulaması, özellikle yoğun sınav dönemlerinde hedef alınan kritik noktalardır. Sınav sorularının sızdırılması veya sonuçların değiştirilmesi, kurumun itibarını telafi edilemez biçimde zedeler.
• Ödeme işlemi gerçekleştiren kurslar: Taksit tahsilat sistemine entegre banka API'leri veya uygunsuz biçimde saklanan kart bilgileri ağır mali ve hukuki sonuçlar doğurabilir. Küçük bir kurs merkezi bile yüzlerce velinin ödeme bilgisini işliyor olabilir; bu veriyi korumak yasal yükümlülüktür.
• Uzaktan erişim kullanan idari personel: Ev ağından yönetim paneline bağlanan öğretmen ve yöneticiler, VPN ve iki faktörlü kimlik doğrulama olmadan en yaygın saldırı vektörünü oluşturur. Ele geçirilen bir yönetici hesabı tüm öğrenci veritabanına kapı açar.
• Eski ve güncelleme almayan yazılım kullananlar: Yıllarca güncelleme görmeyen okul yönetim yazılımları veya WordPress tabanlı veli portalları, otomatik tarama araçlarının hedef listesinin üst sıralarındadır. Yamalanmamış açıklar saldırganlar tarafından dakikalar içinde tespit edilebilir.

Kurumunuzun büyüklüğünden bağımsız olarak; bir öğrencinin verisi sızdığında KVKK bildirimi zorunluluğu doğar, konu medyaya yansır ve marka itibarı kalıcı hasar görür. Bu denetim, söz konusu senaryoyu yaşamadan önce önlem almanızı sağlar. Denetim yalnızca mevcut açıkları tespit etmekle kalmaz; kurumun güvenlik olgunluk seviyesini ölçer ve öncelikli yatırım alanlarını net biçimde ortaya koyar.

Eğitim kurumlarının siber güvenlik açısından karşılaştığı sorunlar üç ana kümede toplanır ve her biri diğerini besleyen bir kısır döngü oluşturur:

1. Güncel tutulmayan yazılım ve eklentiler: Okulun web sitesi genellikle yıllarca güncelleme görmeden çalışır. WordPress eklentilerindeki veya özel geliştirilmiş modüllerdeki güvenlik yamaları atlanır; bu durum otomatik tarama botlarının hedef listesine girmeye yeter. Saldırganlar açıklı sistemleri manuel olarak aramaz; binlerce sistemi aynı anda tarayan otomatik araçlar kullanır. Güncel tutulmayan bir eklenti, kurumun haberi olmadan aylarca açık kapı olarak beklemiş olabilir.
2. Zayıf kimlik doğrulama: Öğretmen ve idari personel tahmin edilebilir şifreler kullanır; iki faktörlü doğrulama aktif değildir. Bir yetkili hesap ele geçirildiğinde tüm öğrenci veritabanına erişim açılır. Parola sızıntısı veritabanları üzerinden otomatik deneme saldırıları çalıştırıldığında önceki veri ihlallerinde kullanılan şifreler doğrudan denenir.
3. Şifrelenmemiş veri aktarımı ve yanlış yapılandırma: Bazı okul yönetim yazılımları hâlâ HTTP üzerinden veri aktarır ya da veritabanı yedeği şifrelenmemiş formatta e-postayla gönderilir. Ağ trafiği dinlenerek hassas veriye ulaşmak mümkün hâle gelir. Hatalı yapılandırılmış bulut depolama hesapları öğrenci belgelerini herkese açık hâle getirebilir.

Bu denetim saldırgan perspektifinden çalışır: sistemlerinize bir saldırgan gibi yaklaşılır, gerçek açıklar tespit edilir ve her açık için kritiklik skoru, olası etkisi ve düzeltme süresi belirtilen önceliklendirilmiş aksiyon listesi hazırlanır. Böylece teknik ekibiniz neyi önce çözeceğini bilir ve sınırlı bütçeyi en yüksek etkiyi doğuracak alana yönlendirir. Denetim aynı zamanda güvenlik yatırımının nereye yapılacağı konusunda yönetim kararlarını destekleyen nesnel bir veri kaynağına dönüşür. Güvenlik boşluklarını saldırganlar keşfetmeden kurumun keşfetmesi, hem mali hem de itibar maliyetini sıfıra yaklaştırır.

Bu üç sorun birbirini besler: güncellenmemiş yazılım, zayıf kimlik doğrulama ile birleşince tek bir saldırı vektörü yeterli olur. Sisteme sızan saldırgan hem öğrenci verilerini hem de ödeme kayıtlarını ele geçirebilir; kurumun hem KVKK bildirimi yapması hem de olası tazminat davalarıyla yüzleşmesi gerekir. Denetim, bu zincirleme riski görünür kılar ve öncelikli kırılgan noktaları netleştirir.

1. Kapsam belirleme ve bilgi toplama (1. hafta): Denetlenecek sistemler (web sitesi, öğrenci portalı, yönetim yazılımı, e-posta altyapısı, API uç noktaları) kurum ile birlikte tanımlanır ve imzalı yetki belgesine eklenir. Açık kaynak istihbarat taraması ile kurum hakkında internet üzerinden erişilebilir bilgiler haritalanır; sızdırılmış kimlik bilgileri veritabanlarında kurumun alan adı sorgulanır.
2. Otomatik ve manuel tarama (2. hafta): Onaylı kapsamda ağ ve uygulama güvenlik açığı taraması gerçekleştirilir. SSL/TLS yapılandırması, HTTP güvenlik başlıkları, kimlik doğrulama mekanizmaları ve yetkilendirme kontrolleri incelenir. Tarama araçlarının ürettiği ham çıktı yanlış pozitifleri elemek için manuel analizden geçirilir.
3. İstismar denemesi ve doğrulama (3. hafta): Tespit edilen yüksek ve kritik açıklar kontrollü ortamda ve mutabık kalınan pencerede doğrulanır. Gerçek öğrenci verilerine dokunmaksızın açığın varlığı ispat edilir; üretim sistemine zarar verilmez. Kimlik doğrulama atlatma, yetki yükseltme ve veri sızıntısı senaryoları bu aşamada değerlendirilir.
4. Raporlama (4. hafta): Teknik ekip için ayrıntılı teknik rapor ve kurum yöneticisi için özetlenmiş yönetici özeti hazırlanır. Her bulgu için kritiklik seviyesi (Kritik, Yüksek, Orta, Düşük), teknik açıklama, istismar senaryosu ve tavsiye edilen düzeltme adımları yazılır. Raporlar yalnızca şifreli kanal üzerinden iletilir.
5. Düzeltme desteği ve kapanış (5. hafta): Kritik bulgular için teknik ekibe rehberlik edilir; soru-cevap seansı yapılır. Düzeltmeler tamamlandığında doğrulama taraması yapılır ve kapanış raporu teslim edilir. Kapanış raporu, hangi bulguların kapatıldığını ve hangilerinin kabul edildiğini belgelenmiş biçimde içerir.

Denetim tamamlandıktan sonra kurum bir sonraki güvenlik dönemi için önerilen kontrol takvimiyle birlikte teknik ekibe yönelik kısa farkındalık notu da teslim alır. Bu sayede denetim bulguları yalnızca belge olmakla kalmaz; kurumun güvenlik kültürüne katkı sağlar.

Denetim sürecinin tamamı belgelenmiş metodoloji çerçevesinde yürütülür; hiçbir adım kurumun onayı olmaksızın atlanmaz. Denetimci ekip, test penceresi dışında sisteme erişim sağlamaz; tüm oturumlar zaman damgalı ve kayıtlıdır. Süreç boyunca kurum teknik iletişim kişisiyle günlük özet paylaşılır; kritik bulgu anında bildirilir ve birlikte değerlendirilir. Denetimin sonunda kapatılmamış bulgular için öncelik sırası ve önerilen takvim de ek belge olarak sunulur.

Siber güvenlik denetimi sürecinin kendisi de sıkı güvenlik protokolleri gerektirir. Denetim sırasında sistemlere erişim sağlanır; bu erişimin nasıl yönetildiği kurumun güvenini ve yasal uyumunu doğrudan etkiler.

• Yetki belgesi ve kapsam sınırları: Denetim başlamadan önce kurumun yetkili yöneticisi ile imzalanan yazılı yetki belgesi; hangi sistemlerin, hangi tarih aralığında ve hangi yöntemlerle denetleneceğini açıkça tanımlar. Bu belgenin kapsamı dışına çıkılmaz; her test adımı belge sınırları içinde yürütülür.
• Gizlilik taahhüdü ve NDA: Denetim sürecinde erişilen sistem bilgileri, tespit edilen açıklar ve kurumsal veriler kapsamlı gizlilik sözleşmesi çerçevesinde korunur; üçüncü taraflarla hiçbir biçimde paylaşılmaz. Rapor içerikleri yalnızca kurumun belirlediği iletişim kanallarıyla iletilir.
• Veri minimizasyonu: Gerçek öğrenci verilerine erişim en aza indirilir; açık doğrulamaları için mümkün olduğunda test ortamı veya anonimleştirilmiş veri kullanılır. Denetim sırasında elde edilen gerçek veriler üretim ortamı dışına kopyalanmaz.
• Raporların güvenli iletimi: Teknik rapor yalnızca şifreli kanal üzerinden iletilir; bulunan açıkların detayları e-posta gibi güvensiz kanallarla gönderilmez. Rapor PDF şifrelemesi uygulanır; şifre ayrı kanaldan iletilir.
• KVKK uyumu ve veri imhası: Denetim tamamlandıktan sonra tüm test araçları, geçici erişim kimlik bilgileri ve toplanan geçici veriler güvenli biçimde imha edilir. Kurum, denetim kayıtlarının tam bir kopyasını saklama hakkına sahiptir. KVKK kapsamında denetim sürecindeki veri işleme faaliyeti kuruma açıklanır; gerekli aydınlatma yükümlülükleri yerine getirilir.

Denetim ekibi, sektörde tanınan sertifikalara sahip ve etik hacker prensiplerini benimseyen uzmanlardan oluşur. Tüm süreç boyunca üretim sistemlerine zarar verilmez; herhangi bir kritik durum anında kurum yöneticisi derhal bilgilendirilir.

Denetim kapsamındaki tüm işlemler Türk Hukuku çerçevesinde ve sözleşme şartlarına uygun biçimde yürütülür.