Olay Müdahale Planı Şablonu: Hazırlayın, Tespit Edin, Müdahale Edin, Kurtarın

IBM'in Veri İhlalinin Maliyeti Raporu, olay müdahale planlarına ve ekiplerine sahip kuruluşların ihlal maliyetlerini ortalama 2,66 milyon ABD doları kadar azalttığını ve ihlalleri olmayanlara göre 54 gün daha hızlı tespit ettiğini ortaya koyuyor. Ancak kuruluşların yüzde 77'sinin tutarlı bir şekilde uygulanan bir olay müdahale planı yok.

Olay müdahale (IR) planı rafta duran bir belge değildir. Bu, ekibinizin bildiği, uyguladığı ve baskı altında uygulayabileceği bir taktik kitabıdır. Bu kılavuz, NIST çerçevesini izleyen eksiksiz, özelleştirilebilir bir Yİ planı şablonu sağlar.

---

Bölüm 1: Plana Genel Bakış

Amaç

Bu Olay Müdahale Planı, siber güvenlik olaylarını tespit etmek, müdahale etmek, kontrol altına almak ve bu olaylardan kurtulmak için prosedürler oluşturur. Hasarı ve iyileşme süresini en aza indiren koordineli, etkili bir yanıt sağlar.

Kapsam

Bu plan, aşağıdakiler dahil olmak üzere kuruluş içindeki tüm bilgi sistemlerini, ağları, verileri ve kullanıcıları kapsar:

• Şirket içi ve bulut altyapısı
• Çalışan ve yüklenici cihazları
• Kurumsal verileri işleyen üçüncü taraf sistemler
• BT varlıklarını etkileyen fiziksel güvenlik olayları

Olay Sınıflandırması

---

Bölüm 2: Roller ve Sorumluluklar

Olay Müdahale Ekibi

RACI Matrisi

R = Sorumlu, A = Sorumlu, C = Danışılan, I = Bilgilendirilen

---

Bölüm 3: Olay Müdahalesinin Altı Aşaması

Aşama 1: Hazırlık

Herhangi bir olay yaşanmadan önce hazırlık yapılır.

Teknik hazırlık:

• Dağıtılan ve yapılandırılan güvenlik izleme araçları (SIEM, EDR, IDS/IPS)
• Tüm kritik sistemlerden merkezi log toplama
• Yedekleme sistemleri test edildi (geri yükleme son 30 gün içinde doğrulandı)
• Güncel ve çevrimdışı erişilebilen ağ diyagramları
• Mevcut varlık envanteri (tüm sistemler, uygulamalar, veri depoları)
• Adli araç kiti toplandı (görüntüleme araçları, yazma engelleyiciler, gözetim zinciri formları)

Organizasyonel hazırlık:

• Yİ ekip üyeleri belirlendi ve eğitildi
• Güncel kişi listesi (mesai saatleri dışında ve hafta sonu numaraları dahil)
• Taslak iletişim şablonları (müşteri, düzenleyici, medya, çalışan)
• Belgelenen yasal yükümlülükler (yargı yetkisine göre bildirim gereklilikleri)
• Son 6 ay içinde yapılmış masa üstü egzersizi
• Üçüncü taraf IR görevlisi mevcut (adli tıp firması, hukuk firması)
• Siber sigorta poliçesi incelendi ve güncellendi

Aşama 2: Tespit ve Analiz

Algılama kaynakları:

İlk triyaj soruları:

1. Ne oldu? (Ne, kim tarafından, ne zaman tespit edildi?)
2. Hangi sistemler etkileniyor? (Kapsam değerlendirmesi)
3. Olay hala aktif mi? (Devam eden ve tarihsel)
4. Hangi veriler risk altında olabilir? (Sınıflandırma düzeyi)
5. İş etkisi nedir? (Operasyon kesintisi)
6. Bu durum herhangi bir düzenleyici bildirim gerekliliğini tetikliyor mu?

İlk dakikadan itibaren belgeler:

Incident ID: INC-[YEAR]-[SEQUENTIAL]
Date/Time Detected: [YYYY-MM-DD HH:MM UTC]
Detected By: [Person/System]
Detection Method: [Alert/Report/Discovery]
Initial Classification: [P1/P2/P3/P4]
Affected Systems: [List]
Initial Description: [What is known]
Assigned To: [Incident Commander]

Aşama 3: Sınırlama

Kısa süreli kontrol altına alma (kanamanın durdurulması):

Uzun süreli kontrol altına alma (araştırma sırasında):

Sınırlama karar matrisi:

Aşama 4: Yok Etme

Olayın temel nedenini ortadan kaldırın.

Eradikasyon kontrol listesi:

• Tüm kötü amaçlı yazılımları/arka kapıları tanımlayın ve kaldırın
• İstismar edilen güvenlik açığını düzeltin
• Güvenliği ihlal edilen tüm kimlik bilgilerini sıfırlayın (şifreler, API anahtarları, sertifikalar)
• Etkilenen sistemlerdeki yapılandırmaları inceleyin ve güçlendirin
• Tehlike göstergeleri (IoC'ler) için tüm sistemleri tarayın
• Saldırganın kalıcılık mekanizmalarının kaldırıldığını doğrulayın
• Başka hiçbir sistemin tehlikeye atılmadığını doğrulamak için günlükleri inceleyin

Aşama 5: İyileşme

Sistemleri ve işlemleri normale döndürün.

Kurtarma süreci:

1. Yok etmenin tamamlandığını doğrulayın (yeniden tarayın, günlükleri inceleyin)
2. Sistemleri temiz yedeklerden geri yükleyin (gerekirse)
3. Üretime dönmeden önce sistem bütünlüğünü doğrulayın
4. Kurtarılan sistemleri 30 gün boyunca artırılmış uyarıyla izleyin
5. Yavaş yavaş normal işlemleri geri yükleyin (öncelikle kritik sistemler)
6. Veri bütünlüğünü doğrulayın (yedeklemelerle karşılaştırın, değişiklikleri kontrol edin)
7. İş operasyonlarının normal şekilde çalıştığını doğrulayın

Aşama 6: Olay Sonrası İnceleme

Olayın kapanmasından sonraki 5 iş günü içinde gerçekleştirin.

Gündemi gözden geçirin:

1. Zaman çizelgesinin yeniden yapılandırılması --- Ne, ne zaman ve hangi sırada oldu?
2. Algılama etkinliği --- Olay nasıl tespit edildi? Daha önce tespit edilebilir miydi?
3. Müdahale etkinliği --- Neler iyi gitti? Ne yapmadı?
4. Kök neden analizi --- Altta yatan neden neydi? (Yalnızca teknik güvenlik açığı değil, süreç/politika açığı da)
5. Alınan dersler --- Sonuç olarak neyi değiştireceğiz?
6. Eylem öğeleri --- Sahipler ve son tarihlerle ilgili özel iyileştirmeler

---

Bölüm 4: İletişim Şablonları

Dahili İletişim (Çalışan Bildirimi)

Subject: Security Incident Update - [Date]

Team,

We have identified a security incident affecting [brief description].

What we know:
- [Factual summary of the situation]
- [Systems/data potentially affected]

What we are doing:
- [Response actions taken]
- [Timeline for resolution]

What you should do:
- [Specific employee actions, e.g., change passwords]
- [Who to contact with questions]

We will provide updates every [frequency].

[Incident Commander Name]

Müşteri Bildirimi (gerekiyorsa)

Subject: Important Security Notice from [Company]

Dear [Customer],

We are writing to inform you of a security incident that may have
affected your data. We take the security of your information seriously
and want to be transparent about what occurred.

What happened: [Brief, factual description]
When: [Date range of the incident]
What information was involved: [Specific data types]
What we have done: [Response and remediation actions]
What you can do: [Recommended customer actions]

For questions, contact our dedicated response team at [contact info].

[Executive Name and Title]

---

Bölüm 5: Planın Test Edilmesi

Masaüstü Egzersiz Şablonu

Senaryo: "Bir çalışan, kimlik avı e-postasındaki bir bağlantıya tıklıyor. İki saat sonra güvenlik ekibi, çalışanın iş istasyonundan bilinmeyen bir harici IP'ye giden şifreli trafiği tespit ediyor."

Her aşamada tartışma soruları:

1. İlk önce kime bilgi verilir? Nasıl?
2. Bu durum hangi şiddet derecesine göre sınıflandırılır?
3. Hangi kontrol önlemlerini hemen alıyoruz?
4. Hangi kanıtları koruyoruz?
5. Daha geniş organizasyonla kim iletişim kurar?
6. Hukuk danışmanını ne zaman dahil ediyoruz?
7. Bu durum düzenleyici bildirimi tetikliyor mu?

Üç ayda bir masa üstü tatbikatlar yapın. Yıllık olarak tam simülasyon tatbikatları yapın.

---

İlgili Kaynaklar

• İhlal Bildirimi ve Olay Müdahalesi --- Düzenleyici bildirim gereksinimleri
• Sıfır Güven Uygulama Kılavuzu --- Olayları önleme
• Güvenlik Farkındalığı Eğitimi --- İnsan kaynaklı olayların azaltılması
• Sızma Testi Kılavuzu --- Güvenlik açıklarını saldırganlardan önce bulma

---

Olay müdahale planı, kuruluşunuzun kaçınılmaz olana karşı sigorta poliçesidir. Bir ihlal meydana geldiğinde kontrollü tepki ile kaos arasındaki fark hazırlıktır. Olay müdahale planlaması ve güvenlik değerlendirme hizmetleri için ECOSIRE ile iletişime geçin.