Üçüncü Taraf Risk Yönetimi: Satıcı Güvenlik Duruşunun Değerlendirilmesi

Güvenliğiniz yalnızca en zayıf satıcınız kadar güçlüdür. 2024 MOVEit ihlali, güvenliklerinin yetersiz olması nedeniyle değil, tek bir satıcının dosya aktarım yazılımının kritik bir güvenlik açığına sahip olması nedeniyle 2.500'den fazla kuruluşu etkiledi. Snowflake olayı, bir bulut sağlayıcısının kimlik doğrulama zayıflığı nedeniyle 165 kuruluşun verilerini açığa çıkardı. Her iki durumda da mağdur kuruluşlar kendi güvenliklerine büyük yatırım yapmışlardı ve ancak güvenilir bir üçüncü taraf aracılığıyla tehlikeye atılmışlardı.

Modern işletmeler düzinelerce ila yüzlerce üçüncü taraf satıcıya bağımlıdır: SaaS uygulamaları, bulut altyapısı, ödeme işlemcileri, pazarlama platformları, geliştirme araçları ve yönetilen hizmet sağlayıcılar. Verilerinize veya sistemlerinize erişimi olan her satıcı, dikkatlice oluşturulmuş savunmalarınızı aşan potansiyel bir saldırı vektörünü temsil eder.

Önemli Çıkarımlar

• Veri ihlallerinin %62'si üçüncü taraf tedarikçilerden kaynaklanıyor ve bu da çoğu kuruluş için satıcı riskini en az ele alınan saldırı yüzeyi haline getiriyor
• SOC 2 Tip II ve ISO 27001 sertifikaları gereklidir ancak yeterli değildir: bugün mevcut olan kontrolleri değil, denetim döneminde mevcut olan kontrolleri doğrularlar
• Güvenlik derecelendirme platformları aracılığıyla sürekli izleme, satıcı güvenliğindeki bozulmayı yıllık olarak değil gerçek zamanlı olarak tespit eder
• Satıcı sözleşmelerindeki güvenlik maddeleri, yalnızca denetim hakkı, ihlal bildirimi SLA'ları ve sorumluluk şartlarını içermeleri durumunda yasal avantaj sağlar

---

Üçüncü Taraf Riski Neden Önemlidir

2025 Prevalent araştırmasına göre ortalama bir işletme, hassas verileri 583 üçüncü tarafla paylaşıyor. Odoo ERP ve Shopify eCommerce gibi iş platformlarını çalıştıran kuruluşlar için satıcı ekosistemi şunları içerir:

• Altyapı sağlayıcıları (AWS, Azure, GCP, Cloudflare)
• SaaS uygulamaları (kimlik sağlayıcılar, e-posta, işbirliği, CRM)
• Ödeme işlemcileri (Stripe, PayPal, Adyen)
• Marketplace bağlayıcıları (Amazon, eBay, Shopify, WooCommerce entegrasyonları)
• Geliştirme araçları (GitHub, CI/CD, izleme, hata izleme)
• Yönetilen hizmet sağlayıcılar (barındırma, güvenlik, yedekleme, BT desteği)
• Profesyonel hizmetler (danışmanlar, yükleniciler, dış kaynaklı geliştirme)

Her satıcı ilişkisi şu risk kategorilerinden bir veya daha fazlasını oluşturur:

---

Satıcı Değerlendirme Çerçevesi

Yapılandırılmış bir satıcı değerlendirme çerçevesi, tüm üçüncü tarafların tutarlı, risk orantılı değerlendirmesini sağlar. Değerlendirmenin derinliği satıcının temsil ettiği riske göre ölçeklendirilmelidir.

Satıcı Katmanlaması

Tüm satıcılar eşit risk taşımamaktadır. Satıcılarınızı veri erişimine ve operasyonel kritikliğe göre katmanlandırın:

Satıcı Risk Değerlendirme Kriterleri

1. Kademe ve 2. Kademe satıcılar için aşağıdaki alanları değerlendirin:

---

Sertifikasyon ve Uyumluluk Gereksinimleri

SOC 2 Tip II

SOC 2 Type II, SaaS satıcı güvenliği değerlendirmesi için altın standarttır. Bir satıcının kontrollerini 6-12 aylık bir süre boyunca beş Güven Hizmeti Kriterine göre değerlendirir:

• Güvenlik --- Yetkisiz erişime karşı koruma (gerekli)
• Kullanılabilirlik --- Sistem çalışma süresi ve kurtarma taahhütleri
• İşleme bütünlüğü --- Doğru ve eksiksiz veri işleme
• Gizlilik --- Gizli bilgilerin korunması
• Gizlilik --- Kişisel bilgilerin gizlilik ilkelerine göre işlenmesi

SOC 2'nin size söyledikleri: Denetim dönemi boyunca kontroller uygun şekilde tasarlandı ve etkili bir şekilde uygulandı. Denetçi kanıtları doğruladı, kontrolleri test etti ve istisnaları belgeledi.

SOC 2'nin size söylemediği şeyler: Kontroller bugün hala etkilidir (raporun üzerinden 6-12 ay geçmiştir). Denetim, verilerinize dokunan tüm sistemleri kapsamıştır (kapsam sınırlı olabilir). Denetimden bu yana yeni bir güvenlik açığı görülmedi.

ISO 27001

ISO 27001, bir kuruluşun standarda uygun bir Bilgi Güvenliği Yönetim Sistemi (BGYS) uyguladığını belgelendirir. Uluslararası olarak tanınır ve SOC 2'den daha geniş bir kapsamı kapsar.

SOC 2'den temel farklar:

• ISO 27001 bir sertifikasyondur (geçti/kaldı), ayrıntılı bulguların yer aldığı bir rapor değil
• Sertifikasyon yıllık gözetim denetimleri ile 3 yıl geçerlidir
• Belirli teknik kontrolleri değil, yönetim sistemini kapsar
• Uluslararası tanınma, onu küresel satıcı ilişkileri açısından değerli kılar

PCI DSS

Ödeme kartı verilerini işleyen, saklayan veya ileten satıcılar için PCI DSS uyumluluğu zorunludur. Satıcının Uygunluk Onayını (AoC) talep edin ve SAQ seviyelerini netleştirin. Satıcının PCI kapsamının size sağladığı belirli hizmetleri kapsadığından emin olun.

Sertifika Karşılaştırması

---

Sürekli İzleme

Yıllık değerlendirmeler anlık anlık görüntüler sağlar ancak satıcı riski süreklidir. Güvenlik derecelendirme platformları ve sürekli izleme, değerlendirmeler arasındaki boşluğu kapatıyor.

Güvenlik Derecelendirme Platformları

Güvenlik derecelendirme platformları, satıcının dış altyapısını sürekli olarak tarar ve sayısal bir güvenlik puanı sağlar:

• BitSight --- Pazar lideri, 2.100'den fazla veri noktası, sigorta entegrasyonu
• SecurityScorecard --- Rekabetçi alternatif, güçlü görselleştirme
• UpGuard --- Satıcı riski artı veri sızıntısı tespiti
• RiskRecon (Mastercard) --- Derin finansal hizmetlere odaklanma
• Panoray'ler --- KOBİ dostu, otomatik anket + derecelendirmeler

Bu platformlar şunları değerlendirir:

• Ağ güvenliği --- Açık bağlantı noktaları, yanlış yapılandırmalar, güncel olmayan hizmetler
• Uygulama güvenliği --- Web uygulaması güvenlik açıkları, SSL/TLS yapılandırması
• DNS sağlığı --- DNSSEC, SPF, DKIM, DMARC yapılandırması
• Yama temposu --- Satıcının güvenlik güncellemelerini ne kadar hızlı uyguladığı
• IP itibarı --- Kötü amaçlı etkinlik, botnet katılımıyla ilişki
• Veri sızıntısı tespiti --- Karanlık ağda veya halka açık depolarda açığa çıkan kimlik bilgileri, belgeler veya kodlar
• E-posta güvenliği --- Sahteciliğe karşı kontroller, e-posta kimlik doğrulaması

Sürekli İzleme Programı

Güvenlik derecelendirmelerinin ötesinde, şu devam eden izleme etkinliklerini uygulayın:

1. Satıcı güvenlik haberleri uyarıları --- Google Alerts, satıcıya özel RSS yayınları ve tüm 1. Kademe sağlayıcılar için güvenlik haberleri toplama
2. Karanlık web izleme --- Yeraltı forumlarındaki satıcı kimlik bilgilerini, verilerini veya altyapı referanslarını izleyin
3. Sertifika izleme --- Satıcı SSL/TLS sertifikasının geçerlilik süresinin sona ermesini ve yapılandırma değişikliklerini takip edin
4. Alt işlemci değişiklik bildirimleri --- Birçok SaaS satıcısı, değişiklik bildirimi içeren alt işlemci listeleri tutar (GDPR bunu gerektirir). Tüm 1. Kademe satıcı bildirimlerine abone olun
5. Düzenleyici eylem izleme --- Tedarikçilerinizi ilgilendiren yaptırım eylemlerini, davaları ve düzenleyici soruşturmaları izleyin

---

Sözleşme Güvenlik Maddeleri

Satıcı sözleşmeleri, güvenlik gereksinimleriniz için yasal uygulama mekanizmanızdır. Sözleşmeden doğan yükümlülükler olmadan, satıcıların anlaşma imzalandıktan sonra güvenlik standartlarını sürdürme konusunda yasal yükümlülükleri yoktur.

Temel Sözleşme Maddeleri

Denetim hakkı. Makul bir bildirimde bulunarak doğrudan veya üçüncü taraf bir denetçi aracılığıyla satıcıya ilişkin güvenlik değerlendirmeleri yapma hakkı. Bu, diğer her şey için yaptırım mekanizmanızdır.

İhlal bildirimi HDS. Verilerinizi etkileyen bir güvenlik olayının size bildirilmesi için belirli zaman aralığı. En iyi uygulama: İlk bildirim için 24-48 saat, çözüme kadar düzenli güncellemeler. GDPR 72 saat içinde bildirim yapılmasını gerektirir.

Veri işleme ve iade. Satıcının, sözleşmenin feshi sırasında verilerinizi nasıl işlediğini, sakladığını ve nihai olarak iade ettiğini veya yok ettiğini tanımlayın. Veri formatını, saklama sürelerini ve sertifikalı imha kanıtlarını ekleyin.

Güvenlik standartlarına uygunluk. Belirli sertifikalar (SOC 2 Type II, ISO 27001) zorunlu kılın ve sertifikayı kaybetmenin sonuçlarını tanımlayın.

Alt işlemci kontrolleri. Satıcı yeni alt işlemcileri görevlendirmeden önce bildirim ve onayı zorunlu tutun. Güvenlik gereksinimlerinizi karşılamayan alt işleyicilere itiraz hakkınızı tanımlayın.

Sorumluluk ve tazminat. Satıcının ihmalinden kaynaklanan ihlallere ilişkin mali sorumluluğu tanımlayın. Siber sigorta gerekliliklerinin belirtildiğinden emin olun (minimum teminat tutarları, ek sigortalı olarak siz).

SLA ve kullanılabilirlik. Çalışma süresi taahhütlerini, RPO/RTO'yu ve SLA ihlalleri için mali cezaları tanımlayın.

Örnek İhlal Bildirimi Maddesi

Güçlü bir ihlal bildirimi maddesi şunları içerir:

• Verilerinizi etkileyen onaylanmış veya şüphelenilen herhangi bir ihlalin tespit edilmesinden itibaren 24 saat içinde bildirim
• Belirli bir güvenlik yetkilisine yazılı bildirim (genel bir e-posta değil)
• İlk bildirim şunları içermelidir: olayın niteliği, etkilenen veri kategorileri, tahmini kayıt sayısı, gerçekleştirilen iyileştirme eylemleri
• Olay çözülene kadar düzenli güncellemeler (en az 24 saatte bir)
• Olayın çözülmesinden sonraki 30 gün içinde tam kök neden analizi raporu
• Olay müdahale süreciniz ve adli soruşturmanızda işbirliği

---

SaaS Risk Puanlaması

Düzinelerce SaaS satıcısını yöneten kuruluşlar için sayısal bir risk puanlama sistemi, tutarlı önceliklendirme ve kaynak tahsisine olanak tanır.

Risk Puanlama Çerçevesi

Her satıcıyı aşağıdaki boyutlara göre 1-5 arası bir ölçekte puanlayın:

Bileşik risk puanı = tüm boyutların ağırlıklı ortalaması (1,0 ila 5,0)

---

TPRM Programı Oluşturmak

Sıfırdan Başlamak

Resmi bir üçüncü taraf risk yönetimi (TPRM) programına sahip olmayan kuruluşlar için:

1. Verilerinize erişen veya sistemlerinize bağlanan tüm satıcıların envanterini çıkarın. Çoğu kuruluş, satıcı ilişkilerini önemli ölçüde eksik hesaplıyor.
2. Yukarıdaki kriterleri kullanarak envanteri katmanlandırın. Önce Kritik ve Yüksek seviyelere odaklanın.
3. **Tam değerlendirme çerçevesini kullanarak Kademe 1 sağlayıcıları değerlendirin. SOC 2 raporlarını talep edin, anket değerlendirmeleri yapın ve sürekli izleme sağlayın.
4. Yeni sözleşmelere güvenlik maddeleri ekleyerek ve yenileme sırasında mevcut sözleşmeleri değiştirerek sözleşme standartlarını uygulayın.
5. Değerlendirmeleri gözden geçiren, yüksek riskli satıcıları onaylayan ve iyileştirmeleri takip eden bir satıcı risk komitesi ile yönetim oluşturun.

Otomasyonla Ölçeklendirme

Satıcı portföyünüz büyüdükçe manuel değerlendirmeler sürdürülemez hale gelir. Aşağıdakileri kullanarak otomatikleştirin:

• Merkezi anket yönetimi, otomatik puanlama ve iş akışı için satıcı risk yönetimi platformları (Prevalent, OneTrust, ProcessUnity)
• Manuel çaba gerektirmeden sürekli harici izleme için güvenlik derecelendirmesi entegrasyonu
• Otomatik kanıt toplama SOC 2 raporlarını, sertifikalarını ve uyumluluk belgelerini doğrudan satıcı portallarından alma
• **Tedarikçinin güvenlik derecelendirmesi düştüğünde veya bir ihlal bildirildiğinde otomatik olarak artan riskle tetiklenen iş akışları

---

Sıkça Sorulan Sorular

SOC 2 raporlarını paylaşmayı veya güvenlik anketlerini yanıtlamayı reddeden satıcıları nasıl değerlendireceğiz?

Bir satıcının güvenlik kanıtı sunmayı reddetmesi durumunda, bunu kendi risk kademesiyle orantılı bir tehlike işareti olarak değerlendirin. 4. Kademe (düşük riskli) satıcılar için, güvenlik derecelendirmelerinin yeterli olması durumunda ret kabul edilebilir. Seviye 1-2 sağlayıcılar için temel güvenlik kanıtlarının sağlanmasının reddedilmesi diskalifiye anlamına gelir. Alternatifler arasında SOC 3 raporlarının (genel özetler) talep edilmesi, yayınlanmış güvenlik sayfalarının kontrol edilmesi, harici değerlendirme için güvenlik derecelendirme platformlarının kullanılması ve halka açık sistemler için kendi harici güvenlik değerlendirmenizin yapılması yer alır.

Satıcıları ne sıklıkla yeniden değerlendirmeliyiz?

Kritik (Kademe 1) sağlayıcılar, değerlendirmeler arasında sürekli güvenlik derecelendirmesi takibi ile yıllık olarak yeniden değerlendirilmelidir. Sürekli izleme olmadan yıllık olarak yüksek (Kademe 2) satıcılar. Her iki yılda bir Orta (Kademe 3) satıcılar. Her üç yılda bir Düşük (Kademe 4) satıcılar. Ayrıca, bildirilen bir ihlal, önemli altyapı değişikliği, satın alma veya güvenlik derecelendirmesinde bozulma sonrasında herhangi bir satıcıyı derhal yeniden değerlendirin.

Bir satıcının ihlali durumunda ne yapmalıyız?

Satıcı olay müdahale prosedürünüzü uygulayın: ayrıntılar için satıcının güvenlik ekibiyle iletişime geçin, verilerinizin etkilenip etkilenmediğini değerlendirin, verilerin açığa çıktığı doğrulanırsa kendi olay müdahale planınızı etkinleştirin, etkilenen bireyleri ve düzenleyicileri gerektiği şekilde bilgilendirin, yasal ve sigorta amaçlı her şeyi belgeleyin ve satıcı ilişkisinin devam edip etmeyeceğini belirlemek için olay sonrası bir inceleme gerçekleştirin.

Dördüncü taraf riskini (satıcılarımızın satıcıları) nasıl yönetiriz?

1. Seviye satıcıların kritik alt işlemcilerini açıklamalarını ve alt işlemci değerlendirme süreçlerini açıklamalarını zorunlu kılın. Sözleşmelere alt işleyici bildirimi ve onay haklarını ekleyin. Değişiklikler için alt işlemci listelerini izleyin. En yüksek riskli ilişkiler için kritik alt işleyicilerin bağımsız değerlendirmelerini gerçekleştirin. Bu, satıcınızın paylaşılan altyapı üzerinde çalışıyor olabileceği bulut güvenliği için özellikle önemlidir.

---

Sırada Ne Var

Üçüncü taraf risk yönetimi bir uyumluluk onay kutusu değildir; birbirine bağlı bir iş ekosisteminde operasyonel bir gerekliliktir. Satıcılarınızın envanterini çıkararak ve katmanlandırarak başlayın, kritik satıcılarınızı yapılandırılmış bir çerçeveye göre değerlendirin, güvenlik gereksinimlerini sözleşmelere dahil edin ve sürekli izleme uygulayın. Her adım, bir sonraki ihlalinizin güvenilir bir üçüncü taraftan gelme olasılığını önemli ölçüde azaltır.

ECOSIRE, uyguladığımız her entegrasyonda sıkı satıcı güvenlik değerlendirmesi uygular. Odoo ERP pazar bağlayıcılarımız dağıtım öncesinde güvenlik açısından incelenir, OpenClaw AI entegrasyonlarımız HMAC imzalı web kancası doğrulamasını uygular ve Shopify uygulamalarımız yüklü her uygulamanın izin kapsamını denetler. İşletmenizi koruyan bir satıcı risk yönetimi programı oluşturmak için Ekibimize başvurun.

---

ECOSIRE tarafından yayınlandı --- işletmelerin Odoo ERP, Shopify eCommerce ve OpenClaw AI genelinde yapay zeka destekli çözümlerle ölçeklenmesine yardımcı oluyor.