İşletme Siber Güvenlik & Veri Denetimi

Bu hizmet, dijital varlıklarının güvenliğini denetlemek ve güçlendirmek isteyen inşaat sektörü kuruluşları için tasarlanmıştır. İnşaat firmaları, yüksek değerli proje ödemeleri, müşteri sözleşmeleri ve özgün teknik dokümanlarla çalıştığından siber saldırganların cazip hedefleri arasına girmiştir. Şantiye Wi-Fi ağlarından merkezi ERP sistemlerine, mobil cihazlardan ofis sunucularına kadar uzanan geniş saldırı yüzeyi, kurumsal güvenlik denetimini zorunlu kılmaktadır.

• Büyük müteahhitlik firmaları: Onlarca şantiyeden merkezi sunuculara bağlanan, hakediş ve ödeme onay sistemlerini dijital ortamda yöneten, tedarikçi ve taşeron portalları kullanan kuruluşlar. Bu ölçekteki firmalarda tek bir güvenlik açığı, tüm projeleri etkileyen sistemik bir riske dönüşebilir.
• Proje yönetim şirketleri: AutoCAD dosyaları, BIM modelleri ve müşteri yazışmalarını bulut platformlarında veya şirket içi sunucularda depolayan, uzaktan çalışan mühendis ve yöneticilere erişim açan yapılar.
• İnşaat holdingleri: Birden fazla bağlı şirketin ortak ağ altyapısını kullanan, merkezi finans ve muhasebe sistemleri işleten, grup şirketleri arasında veri aktarımı gerçekleştiren yapılar. Grup içi erişim yönetimi bu firmalarda özellikle kritik önem taşır.
• Orta ölçekli firmalar: Büyüme sürecinde BT altyapısını kurumsal güvenlik standartlarına taşımak isteyen, güvenlik açıklarının farkında olup önceliklendirme konusunda yönlendirmeye ihtiyaç duyan şirketler. Kaynak kısıtlılığı gözetilerek kritik açıklar önce ele alınır.

Şantiye Wi-Fi ağları, taşınabilir depolama aygıtları, uzaktan çalışan mühendis ve proje yöneticilerinin erişim kanalları ile ödeme onay süreçlerindeki zayıflıklar bu hizmetin odaklandığı başlıca risk noktalarıdır. Denetim sonunda her bulgu iş etkisi ve giderim önceliğiyle birlikte raporlanır.

Buyuk muteahhitlik ihalelerinde guvenlik denetim belgesi talep eden kamu ve ozel sektor kurumlariyla calismak isteyen firmalar da bu hizmetin hedef kitlesi arasindadir. Denetim raporu ve iyilestirme kanitlari, ihale dosyasina eklenebilecek somut bir guvenlik olgunluk belgesi islevi gorur. Sigorta sirketleri tarafindan talep edilen guvenlik on kosullarini karsilamak icin de bu hizmetten yararlanilar.

Muhasebe ve finans sistemlerini bulut uzerinde yoneten, uzaktan calisan muhasebecilere veya dis muhasebe bürolarına erisim actiran firmalar icin erisim guvenligi ozellikle kritiktir. Sahte odeme emri ve banka hesabi degisikligi gibi is e-postası ele gecirme saldirilari, insaat sektorunde yuksek mali kayiplara yol acmaktadir. Bu hizmet bu tur saldiri vektörlerine karsi koruma onerileri de sunar.

İnşaat firmaları siber saldırıların giderek artan hedefi hâline gelmektedir. Yüksek değerli proje ödemeleri, özgün teknik dokümanlar ve kişisel veriler saldırganlar için son derece cazip varlıklardır. Sektörde en sık karşılaşılan güvenlik açıkları ve bu hizmetin sunduğu katkılar aşağıdaki tabloda özetlenmiştir.

Zafiyet taraması tamamlandıktan sonra bulgular kritik, yüksek, orta ve düşük öncelik olarak sınıflandırılır. Her bulgunun iş üzerindeki olası etkisi somut biçimde aktarılır; teknik ekip ve yönetim için ayrı raporlar hazırlanır. Kritik açıkların kapatılması için teknik ekiple birlikte uygulama desteği verilir.

Insaat sektorunde en sik karsilasilan siber saldiri turleri arasinda sahte fatura yonlendirme, santiye kameralarina yetkisiz erisim ve kotucul yazilim bulasması yer almaktadir. Saldırilarin buyuk cogunlugu teknik bir zaafiyetten degil, guncellenmemis yazilimlardan veya calisanlarin sosyal muhendislik tuzaklarina dusmesinden kaynaklanmaktadir. Denetim yalnizca teknik tarama ile sinirli kalmaz; insan faktoru de degerlendirme kapsamina alinir ve farkindalik egitimi bu surecin ayrilmaz parcasi olarak planlanir.

Mali verilerin hedef alinmasi insaat firmalarinda ozellikle tehlikelidir: muteahhit ile mal sahibi arasindaki odeme emirleri, hakediş onaylari ve banka hesap bilgileri eger yanlis ellere gecerse proje finansmani tehlikeye girer. Siber denetim, sadece teknik aciklari degil, bu mali veri akislarinin nasil korunduğunu da inceler ve ek oneri sunar.

Şantiye kameralarının yönetim sistemleri de sıklıkla göz ardı edilen güvenlik açıklarından biridir. Varsayılan şifreyle bırakılan kamera sistemleri, yetkisiz kişilerin şantiye aktivitelerini izlemesine ya da sistemi devre dışı bırakmasına olanak tanır. Bu durum hem güvenlik hem de kişisel veri açısından ciddi risk oluşturur; denetim kapsamında kamera altyapısı da incelenir ve öneriler raporlanır.

Denetim ve uygulama süreci beş aşamada ilerler; her aşama net çıktılar ve onay noktaları içerir.

Aşama 1 — Kapsam Belirleme ve Keşif

Kuruluşun ağ topolojisi, kullanılan yazılımlar, şantiye-merkez bağlantı yöntemleri ve kritik varlıklar haritalanır. Hangi sistemlerin, kimlerin ve hangi cihazların kapsama dahil edileceği netleştirilir. Kapsam dışı bırakılan alanlar da açıkça belgelenir. Başlangıç görüşmesinde BT sorumlusu veya sistem yöneticisiyle kapsam belgesi hazırlanır.

Aşama 2 — Zafiyet Taraması

Ağ cihazları, sunucular, uç nokta sistemleri ve kullanılan bulut hizmetleri üzerinde otomatik ve manuel zafiyet taraması gerçekleştirilir. Açık portlar, güncel olmayan yazılımlar ve bilinen güvenlik açıkları, yanlış yapılandırmalar ile kimlik doğrulama zayıflıkları tespit edilir. Taramalar, iş sürekliliğini etkilemeyecek biçimde planlanır; kritik sistemler için mesai saatleri dışında zaman dilimi tercih edilir.

Aşama 3 — Erişim Denetimi Gözden Geçirmesi

Kullanıcı hesapları, rol bazlı yetkiler, servis hesapları ve ayrılmış çalışanların aktif hesapları incelenir. Gereksiz ayrıcalıklar, paylaşımlı hesaplar ve çok faktörlü doğrulama eksiklikleri raporlanır. Taşeron ve tedarikçi erişimlerinin yönetim durumu da değerlendirilir. Bulgular, öncelik sırasına göre iyileştirme önerileriyle birlikte sunulur.

Aşama 4 — Yedek Doğrulama ve Fidye Yazılımı Önlemi

Mevcut yedek sisteminin bütünlüğü test edilir; yedeklerin gerçekten geri yüklenip yüklenmediği doğrulanır. Yedeğin aynı ağda ve şifresiz tutulması gibi kritik açıklar tespit edilerek fidye yazılımına dayanıklı yedek mimarisi önerilir. Off-site veya bulut yedek seçenekleri değerlendirilerek iş gereksinimlerine uygun çözüm önerisi hazırlanır.

Aşama 5 — Raporlama, Öncelik ve Uygulama Desteği

Tüm bulgular kritik, yüksek, orta ve düşük öncelik olarak sınıflandırılır. Teknik ekip için ayrıntılı teknik rapor, yönetim için iş etkisi odaklı özet sunum hazırlanır. Teknik ekiple birlikte kritik ve yüksek öncelikli açıkların kapatılması için uygulama desteği sağlanır. Sürekli güvenlik için izleme ve yama yönetimi önerileri son raporda yer alır.

Denetim surecinde firma ile duzenli ilerleme toplantilari yapilir; her asamanin bulgulari asama tamamlandiginda paylasılır. Kritik bulgular elde edildiginde musteri bilgilendirilir; bekletilmez. Tarama araclari ve yontemleri onceden paylasilir; seffaflik ve is birligi on plandadir. Denetim kapsamina dahil edilen sistemlere erisim yalnizca onayli kapsam cercevesinde gerceklestirilir; kapsam disi sistemlere mudahale edilmez ve tum erisim kayit altina alinir.

Bulgularin sunumu hem teknik ekibe hem de ust yonetime ayri bicimde hazirlanir. Teknik ekip icin detayli zafiyet listesi ve duzeltme adimlari; yonetim icin risk duzeylerini ve tahmini maliyet etkisini gosteren ozet slayt sunulur. Boylece hem uygulama hem de butce onceliklendirme surecleri kolaylasir.

Denetim süreci ve üretilen çıktılar, kurumsal güvenlik olgunluğunu artırmaya ve iş sürekliliğini desteklemeye yönelik somut önlemler içerir. Hizmet sürecinin kendisi de güvenli biçimde yönetilir.

• Gizlilik taahhüdü: Denetim kapsamında erişilen tüm sistem, veri ve bulgular için proje başında gizlilik sözleşmesi (NDA) imzalanır; bulgular üçüncü taraflarla paylaşılmaz.
• Şifreli iletişim: Tarama bulguları ve raporlar şifreli kanallar üzerinden iletilir; e-posta dışında güvenli paylaşım yöntemi tercih edilir.
• Sıfır kesinti hedefi: Tarama faaliyetleri mesai saatleri dışında veya iş sürekliliğini etkilemeyecek zaman diliminde planlanır; kritik sistemlere müdahale öncesinde onay alınır.
• KVKK uyumu: Erişim denetimi ve yedek politikaları, kişisel veri güvenliği yükümlülükleriyle uyumlu şekilde tasarlanır; öneriler bu çerçeve gözetilerek hazırlanır.
• Felaket kurtarma senaryoları: Kritik sistemlerin kesintisiz çalışması için birincil ve ikincil kurtarma adımları raporun ayrılmaz parçasıdır. Fidye yazılımı, donanım arızası ve insan hatası senaryoları ayrı ayrı ele alınır.
• Takip doğrulaması: Kritik açıklar kapatıldıktan sonra kısa dönemli takip taramasıyla düzeltmelerin etkinliği doğrulanır; iyileştirme belgesi hazırlanır.

Bu denetim hizmetinin amacı, mevcut güvenlik durumunu nesnel biçimde ortaya koyarak somut iyileştirme adımları sunmaktır. Tüm teknik kararlar ve uygulama sorumluluğu işletmenin BT ekibine ve yönetimine aittir.

Denetim ekibi, sektorun standart etik kurallarina ve gizlilik gereksinimlerine bagli calisir. Bulgu paylaşimi yalnizca yetkili taraflarla gerceklestirilir; ucuncu kisilere iletilmez. Denetim sirasinda tespit edilen kritik aciklar icin hizli eylem plani hazirlanir; acigi kapatmak icin gereken minimum duzeltici adimlar oncelikli olarak sunulur ve uygulama surecinde teknik destek verilir. Hizmet tamamlandiktan sonra denetim belgeleri firmanin ic arsivine aktarilir.

Denetim sonucunda ortaya cikarilan her bulgu, firmaya ait gizli teknik bilgi olarak kabul edilir. Ucuncu taraf sigorta veya denetim kurumuna sunulmak istenirse, paylasilacak belge kapsami onceden firmayla mutabik kalinarak belirlenir. Hizmetin butun asamalarinda kurum dis, kuruma ozel bir yaklasim benimsenir; sektorde rakip konumundaki firmalarla hicbir ortak bilgi paylasilmaz.