NIST Cybersecurity Framework: Zafiyet Yönetimi Odaklı Uyum Rehberi

Kısaca

NIST Cybersecurity Framework (CSF), ABD Ulusal Standartlar ve Teknoloji Enstitüsü (National Institute of Standards and Technology) tarafından geliştirilen, sektörden bağımsız bir siber güvenlik çerçevesidir. İlk olarak 2014'te yayımlanan ve 2024'te CSF 2.0 ile güncellenen bu framework, dünya genelinde binlerce kuruluş tarafından siber güvenlik programlarının temel yapı taşı olarak benimsenmiştir.

Bu rehberde; NIST CSF'nin temel bileşenlerini, CSF 2.0 ile gelen yeni Govern fonksiyonunu, Implementation Tiers ve Framework Profiles kavramlarını, zafiyet yönetimi süreçleriyle NIST eşleştirmesini, risk değerlendirme sürecini, ISO 27001 ile karşılaştırmasını, KOBİ'ler için uygulama stratejilerini ve SİTEY platformuyla NIST uyumunu kapsamlı biçimde ele alıyoruz.

NIST Cybersecurity Framework Nedir?

NIST CSF, kuruluşların siber güvenlik risklerini anlamasına, yönetmesine ve azaltmasına yardımcı olan gönüllü bir çerçevedir. Kritik altyapılar için tasarlanmış olsa da her büyüklükteki ve sektördeki kuruluş tarafından uyarlanabilir:

• Sektörden Bağımsız: Finans, sağlık, enerji, üretim, kamu gibi tüm sektörlere uyarlanabilir bir yapı sunar
• Risk Bazlı Yaklaşım: Uyumluluk kontrol listesi yerine, organizasyonun risk iştahı ve iş hedefleri doğrultusunda önceliklendirme sağlar
• Gönüllü Çerçeve: Yasal zorunluluk değil, en iyi uygulama rehberidir (bazı sektörel düzenlemeler NIST uyumunu şart koşabilir)
• Ortak Dil: Teknik ve iş birimleri arasında siber güvenlik iletişimi için standart bir terminoloji oluşturur
• Sürekli İyileştirme: Tek seferlik bir proje değil, sürekli iyileştirme döngüsü odaklı bir yaklaşım benimser

NIST CSF, üç ana bileşenden oluşur: Framework Core (temel fonksiyonlar ve alt kategoriler), Implementation Tiers (olgunluk seviyeleri) ve Framework Profiles (mevcut durum ve hedef profiller). Bu bileşenler birlikte kullanıldığında kuruluşun siber güvenlik duruşunun kapsamlı bir resmini çizer.

Framework Core: Altı Temel Fonksiyon

CSF 2.0 ile birlikte Framework Core, altı temel fonksiyondan oluşur. Her fonksiyon, kategoriler ve alt kategoriler halinde detaylandırılır:

1. Identify (Tanımlama - ID)

Kuruluşun siber güvenlik risklerini anlaması için gereken faaliyetleri kapsar:

• Varlık Yönetimi (ID.AM): Donanım, yazılım, veri ve dış bilgi sistemleri envanterinin oluşturulması ve yönetilmesi
• İş Ortamı (ID.BE): Organizasyonun misyonu, hedefleri, paydaşları ve tedarik zincirinin anlaşılması
• Risk Değerlendirme (ID.RA): Varlıklara yönelik zafiyetlerin, tehditlerin ve olasılıkların belirlenmesi ve analizi
• Risk Yönetim Stratejisi (ID.RM): Risk toleransının belirlenmesi ve risk yönetim kararlarının oluşturulması
• Tedarik Zinciri Risk Yönetimi (ID.SC): Tedarikçi ve iş ortağı risklerinin değerlendirilmesi

2. Protect (Koruma - PR)

Kritik hizmetlerin sunumunu güvence altına almak için uygun güvenlik önlemlerini uygular:

• Kimlik Yönetimi ve Erişim Kontrolü (PR.AC): Kimlik doğrulama, yetkilendirme, erişim kontrolü mekanizmaları
• Farkındalık ve Eğitim (PR.AT): Personelin siber güvenlik farkındalık eğitimleri
• Veri Güvenliği (PR.DS): Verilerin gizlilik, bütünlük ve erişilebilirlik açısından korunması
• Bilgi Koruma Süreçleri (PR.IP): Güvenlik politikaları, prosedürleri ve süreçlerinin yönetimi
• Bakım (PR.MA): Endüstriyel kontrol ve bilişim sistemlerinin bakımı
• Koruyucu Teknoloji (PR.PT): Teknik güvenlik çözümlerinin uygulanması

3. Detect (Tespit - DE)

Siber güvenlik olaylarının zamanında tespit edilmesini sağlar:

• Anomali ve Olay Tespiti (DE.AE): Anormal aktivitelerin tanımlanması ve analizi
• Sürekli Güvenlik İzleme (DE.CM): Ağ, sistem ve uygulama düzeyinde sürekli izleme
• Tespit Süreçleri (DE.DP): Tespit süreçlerinin test edilmesi ve sürdürülmesi

4. Respond (Müdahale - RS)

Tespit edilen bir siber güvenlik olayına müdahale faaliyetlerini tanımlar:

• Müdahale Planlaması (RS.RP): Olay müdahale planlarının oluşturulması ve uygulanması
• İletişim (RS.CO): İç ve dış paydaşlarla koordineli iletişim
• Analiz (RS.AN): Olayın kapsamı, etkisi ve kök nedeninin analizi
• Sınırlandırma (RS.MI): Olayın yayılmasının engellenmesi ve etkisinin minimize edilmesi
• İyileştirmeler (RS.IM): Müdahale sürecinden öğrenilen derslerle süreç iyileştirme

5. Recover (Kurtarma - RC)

Siber güvenlik olayı sonrasında normal operasyonlara dönüş faaliyetlerini tanımlar:

• Kurtarma Planlaması (RC.RP): Kurtarma planlarının oluşturulması ve uygulanması
• İyileştirmeler (RC.IM): Kurtarma stratejilerinin ve planlarının güncellenmesi
• İletişim (RC.CO): Kurtarma faaliyetleri hakkında iç ve dış paydaş bilgilendirmesi

6. Govern (Yönetişim - GV) - CSF 2.0 Yeni

CSF 2.0 ile eklenen altıncı fonksiyon, diğer tüm fonksiyonları kapsayan yönetişim katmanıdır:

• Organizasyonel Bağlam (GV.OC): Siber güvenlik risk yönetimi kararlarını etkileyen koşulların anlaşılması
• Risk Yönetim Stratejisi (GV.RM): Organizasyonun risk yönetim öncelikleri ve toleranslarının belirlenmesi
• Roller ve Sorumluluklar (GV.RR): Siber güvenlik ile ilgili rol ve sorumlulukların tanımlanması
• Politika (GV.PO): Siber güvenlik politikalarının oluşturulması ve uygulanması
• Gözetim (GV.OV): Siber güvenlik risk yönetim faaliyetlerinin denetimi
• Tedarik Zinciri (GV.SC): Tedarik zinciri siber güvenlik risk yönetimi

CSF 2.0 Güncellemeleri

Şubat 2024'te yayımlanan NIST CSF 2.0, orijinal framework'te önemli güncellemeler getirmiştir:

Temel Değişiklikler

• Govern Fonksiyonu: En önemli ekleme. Siber güvenliğin yönetim kurulu ve üst yönetim seviyesinde ele alınmasını vurgular. "Siber güvenlik sadece IT'nin sorumluluğu değil, kurumsal bir risktir" mesajını güçlendirir.
• Genişletilmiş Kapsam: Yalnızca kritik altyapılar değil, her büyüklükteki kuruluş hedef kitleye dahil edilmiştir.
• Tedarik Zinciri Güvenliği: Tedarik zinciri risk yönetimi hem Govern hem Identify fonksiyonlarında güçlendirilmiştir.
• Geliştirilmiş Rehberlik: Uygulama örnekleri ve Informative References ile daha somut rehberlik sağlanır.
• Community Profiles: Sektöre özel framework profilleri oluşturmayı kolaylaştıran yapı.
• Quick Start Guides: Küçük işletmeler ve farklı hedef kitleler için hızlı başlangıç rehberleri.

CSF 1.1'den 2.0'a Geçiş

Mevcut CSF 1.1 uyumu olan kuruluşlar için geçiş stratejisi:

1. Mevcut profillerin CSF 2.0 taksonomisiyle eşleştirilmesi
2. Govern fonksiyonuna ilişkin mevcut kontrollerin haritalanması
3. Boşluk analizi ile yeni alt kategorilerdeki eksikliklerin belirlenmesi
4. Güncellenmiş hedef profil oluşturulması ve yol haritası planlanması
5. Tedarik zinciri risk yönetimi süreçlerinin gözden geçirilmesi

Implementation Tiers (Uygulama Katmanları)

Implementation Tiers, kuruluşun siber güvenlik risk yönetimi uygulamalarının olgunluk seviyesini tanımlar. Dört katmandan oluşur ve olgunluk modeli olarak kullanılır:

Tier 1: Partial (Kısmi)

• Siber güvenlik risk yönetimi ad hoc ve reaktif biçimde gerçekleştirilir
• Organizasyon genelinde tutarlı bir yaklaşım yoktur
• Tedarik zinciri riskleri yeterince değerlendirilmez
• Risk farkındalığı sınırlıdır

Tier 2: Risk Informed (Risk Farkındalığı)

• Risk yönetim uygulamaları yönetim tarafından onaylanmış ancak kuruluş genelinde politika olarak yerleşmemiştir
• Risk değerlendirmesi yapılır fakat sürekli olmayabilir
• Bazı dış paydaşlarla siber güvenlik bilgi paylaşımı mevcuttur

Tier 3: Repeatable (Tekrarlanabilir)

• Risk yönetim uygulamaları resmi politika olarak tanımlanmış ve düzenli gözden geçirilmektedir
• Kuruluş genelinde tutarlı ve tekrarlanabilir süreçler mevcuttur
• İç ve dış tehdit bilgisi düzenli olarak değerlendirilir
• Tedarik zinciri risk yönetimi sistematiktir

Tier 4: Adaptive (Uyarlanabilir)

• Siber güvenlik uygulamaları, gelişen tehditlere ve öğrenilen derslere göre sürekli uyarlanır
• Gerçek zamanlı risk izleme ve proaktif tehdit avı (threat hunting) yapılır
• Organizasyon, sektör genelinde bilgi paylaşımı ve iş birliğine aktif olarak katılır
• Metriklere dayalı sürekli iyileştirme kültürü yerleşmiştir

Tüm kuruluşların Tier 4'e ulaşması beklenmez. Hedef tier, kuruluşun risk iştahı, iş gereksinimleri, düzenleyici yükümlülükler ve mevcut kaynaklarına göre belirlenir.

Framework Profiles

Framework Profiles, kuruluşun mevcut siber güvenlik duruşunu (Current Profile) ve hedeflediği durumu (Target Profile) tanımlar. Bu profiller, iyileştirme önceliklerinin belirlenmesinde kritik bir rol oynar:

Current Profile (Mevcut Profil)

• Kuruluşun bugünkü siber güvenlik faaliyetlerinin Framework Core alt kategorileriyle eşleştirilmesi
• Her alt kategori için mevcut durumun belgelenmesi (uygulanıyor, kısmen uygulanıyor, uygulanmıyor)
• Mevcut kontrollerin ve süreçlerin envanterinin çıkarılması

Target Profile (Hedef Profil)

• İş hedefleri, risk toleransı ve düzenleyici gereksinimlere göre hedeflenen siber güvenlik durumunun tanımlanması
• Sektöre özel Community Profile'ların adapte edilmesi
• Yönetim kurulu ve üst yönetimin onayı ile hedef profil doğrulaması

Boşluk Analizi ve Yol Haritası

Current ve Target profiller arasındaki fark (gap), iyileştirme faaliyetlerinin temelini oluşturur:

1. Alt kategori bazında boşlukların belirlenmesi
2. Her boşluğun iş etkisi ve risk düzeyine göre önceliklendirilmesi
3. Kaynak planlaması ve bütçe tahsisi
4. Aşamalı uyumluluk yol haritasının oluşturulması (kısa, orta, uzun vadeli)
5. Düzenli ilerleme izleme ve profil güncelleme

Zafiyet Yönetimi ve NIST CSF Eşleştirmesi

Zafiyet yönetimi, NIST CSF'nin birden fazla fonksiyonu ve kategorisiyle doğrudan ilişkilidir. Etkili bir zafiyet yönetimi programı, NIST uyumunun önemli bir parçasıdır:

Identify (Tanımlama) ile İlişki

• ID.RA-1: Varlık zafiyetlerinin tanımlanması ve belgelenmesi - Zafiyet tarama ve değerlendirme süreçleri
• ID.RA-2: Siber tehdit istihbaratının alınması - Tehdit bilgisi ile zafiyet önceliklendirmesi
• ID.AM: Varlık envanterinin güncellenmesi - Taranacak varlık kapsamının belirlenmesi

Protect (Koruma) ile İlişki

• PR.IP-12: Zafiyet yönetim planının geliştirilmesi ve uygulanması
• PR.MA: Sistemlerin bakımı - Yama yönetimi ve güvenlik güncellemeleri
• PR.IP-1: Temel yapılandırma oluşturulması - Güvenli yapılandırma sertleştirmesi

Detect (Tespit) ile İlişki

• DE.CM-8: Zafiyet taramalarının gerçekleştirilmesi
• DE.CM: Sürekli izleme - Yeni zafiyetlerin gerçek zamanlı tespiti

Respond ve Recover ile İlişki

• RS.MI: İstismar edilen zafiyetlere müdahale ve sınırlandırma
• RS.AN: Zafiyet istismarının analizi ve kök neden belirleme
• RC.RP: Zafiyet istismarı sonrası kurtarma planlaması

NIST Risk Değerlendirme Süreci

NIST SP 800-30 (Risk Değerlendirme Rehberi) ile CSF'nin risk değerlendirme bileşeni, yapılandırılmış bir risk analizi çerçevesi sunar:

Adım 1: Hazırlık

• Risk değerlendirmesinin amacı, kapsamı ve sınırlarının belirlenmesi
• Bilgi kaynaklarının ve tehdit modellerinin tanımlanması
• Risk modeli, analitik yaklaşım ve değerlendirme kriterlerinin seçimi

Adım 2: Risk Değerlendirmesi

• Tehdit Tanımlama: İç ve dış tehdit kaynakları, motivasyonları ve yeteneklerinin analizi
• Zafiyet Tanımlama: Teknik ve operasyonel zafiyetlerin envanterinin çıkarılması
• Olasılık Belirleme: Tehditlerin zafiyetleri istismar etme olasılığının değerlendirilmesi
• Etki Analizi: Başarılı bir istismarın iş süreçlerine, finansal duruma ve itibara etkisi
• Risk Hesaplama: Olasılık × Etki hesaplamasıyla risk seviyesinin belirlenmesi

Adım 3: Sonuçların İletilmesi

• Risk değerlendirme sonuçlarının üst yönetime raporlanması
• Risk kabul, risk azaltma, risk transferi veya riskten kaçınma kararlarının alınması
• Düzeltme planlarının oluşturulması ve kaynakların atanması

Adım 4: Sürdürme

• Risk değerlendirmesinin düzenli periyotlarla tekrarlanması
• Yeni tehditler ve zafiyetler ışığında risk profilinin güncellenmesi
• Uygulanan düzeltmelerin etkinliğinin doğrulanması

NIST CSF ve ISO 27001 Karşılaştırması

NIST CSF ve ISO 27001, en yaygın kullanılan iki siber güvenlik çerçevesidir. Her ikisi de farklı güçlü yönlere sahiptir ve birbirini tamamlayıcı olarak kullanılabilir:

Temel Farklılıklar

• Menşe: NIST CSF ABD hükümet standardıdır; ISO 27001 uluslararası ISO standardıdır
• Sertifikasyon: ISO 27001 bağımsız sertifikasyona uygundur; NIST CSF resmi bir sertifikasyon programı sunmaz
• Yaklaşım: NIST CSF risk bazlı esnek çerçeve; ISO 27001 kontrol bazlı yönetim sistemi (ISMS)
• Kapsam: NIST CSF siber güvenliğe odaklanır; ISO 27001 bilgi güvenliğini daha geniş kapsamda ele alır
• Maliyet: NIST CSF ücretsiz erişilebilir; ISO 27001 standardı satın alınmalıdır ve sertifikasyon maliyetleri yüksektir
• Detay Düzeyi: NIST CSF "ne yapılmalı" üst düzey rehberlik sunar; ISO 27001 Annex A 93 kontrol ile "nasıl yapılmalı" detayı sağlar

Birlikte Kullanım

Birçok kuruluş her iki çerçeveyi birlikte kullanır. NIST CSF'yi stratejik risk yönetimi çerçevesi olarak benimserken, ISO 27001'i operasyonel güvenlik kontrolleri ve sertifikasyon için uygular. NIST CSF'nin Informative References bölümü, ISO 27001 kontrolleriyle doğrudan eşleştirme sunar.

Hangisi Tercih Edilmeli?

• NIST CSF Avantajlı: Siber güvenlik programını sıfırdan oluşturan, risk bazlı hızlı bir başlangıç isteyen, ABD pazarında faaliyet gösteren kuruluşlar
• ISO 27001 Avantajlı: Uluslararası sertifikasyon gerektiren, müşteri ve iş ortaklarına sertifika ile güvence sunmak isteyen, detaylı kontrol listesi tercih eden kuruluşlar
• İkisi Birlikte: Kapsamlı bir bilgi güvenliği ve siber güvenlik programı hedefleyen, olgun güvenlik organizasyonlarına sahip kuruluşlar

Küçük ve Orta Ölçekli İşletmeler için NIST Uygulaması

NIST CSF 2.0, küçük ve orta ölçekli işletmeler (KOBİ) için Quick Start Guide'lar sunarak erişilebilirliği artırmıştır. Sınırlı kaynaklara sahip KOBİ'ler için pragmatik uygulama yaklaşımı:

Başlangıç Adımları

1. En Kritik Varlıkları Belirleyin: Tüm varlıkları taramak yerine, iş sürekliliği için en kritik 10-20 varlığı tespit edin
2. Temel Güvenlik Hijyeni: Yama yönetimi, güçlü parola politikası, MFA, düzenli yedekleme ve çalışan eğitimi ile başlayın
3. Basit Risk Değerlendirmesi: Karmaşık risk metodolojileri yerine pratik bir risk matrisi kullanın
4. Aşamalı Yaklaşım: Tüm Framework Core'u bir anda uygulamaya çalışmak yerine, en yüksek riskli alanlardan başlayın

KOBİ Önceliklendirme

• Yüksek Öncelik: Varlık envanteri, yama yönetimi, erişim kontrolü, yedekleme, olay müdahale planı
• Orta Öncelik: Güvenlik izleme, zafiyet tarama, çalışan farkındalık eğitimi, veri sınıflandırma
• Düşük Öncelik: Gelişmiş tehdit avı, tam otomasyon, sektör iş birliği programları

Maliyet Etkin Araçlar

• Açık kaynak zafiyet tarama araçları (OpenVAS, Nuclei)
• Bulut tabanlı güvenlik hizmetleri (SaaS SIEM, MDR)
• NIST'in ücretsiz değerlendirme araçları ve şablonları
• SİTEY gibi entegre zafiyet yönetimi platformları ile otomasyon

SİTEY ile NIST Cybersecurity Framework Uyumu

SİTEY zafiyet yönetimi platformu, NIST CSF uyumluluk sürecinizi hızlandırır ve kolaylaştırır:

• Varlık Envanteri (ID.AM): Otomatik varlık keşfi ve envanter yönetimi ile Identify fonksiyonunun temelini oluşturun.
• Zafiyet Yönetimi (ID.RA, PR.IP-12): Sürekli zafiyet taraması, CVSS ve EPSS bazlı önceliklendirme, yama takibi ve düzeltme doğrulaması.
• Yapılandırma Denetimi (PR.IP-1): CIS Benchmark kontrollerine göre otomatik güvenli yapılandırma denetimi.
• Sürekli İzleme (DE.CM-8): Yeni zafiyetlerin gerçek zamanlı tespiti ve otomatik bildirim mekanizmaları.
• NIST Eşleştirme Dashboard'u: Zafiyet yönetimi aktivitelerinin NIST CSF alt kategorileriyle otomatik eşleştirilmesi ve uyumluluk puanı.
• Uyumluluk Raporlaması: NIST CSF profil bazlı ilerleme raporları, boşluk analiz çıktıları ve yönetim düzeyinde özet raporlama.
• Risk Skorlama: Kuruluşun NIST Implementation Tier seviyesini değerlendiren ve iyileştirme önerileri sunan akıllı risk modeli.

Sık Yapılan Hatalar

• Kontrol Listesi Yaklaşımı: NIST CSF'yi bir kontrol listesi olarak görmek yerine risk bazlı karar verme çerçevesi olarak kullanmamak. Framework'ün tüm alt kategorilerini uygulamak zorunlu değildir - risk profilinize göre önceliklendirin.
• Govern Fonksiyonunu İhmal Etmek: CSF 2.0'ın en önemli eklentisini atlamak. Üst yönetim sponsorluğu ve yönetişim olmadan teknik kontrollerin sürdürülebilirliği imkânsızdır.
• Tek Seferlik Proje Olarak Görmek: NIST CSF uyumunu bir kerelik bir proje olarak tamamlayıp rafa kaldırmak. Framework, sürekli iyileştirme döngüsü gerektirir.
• Profil Oluşturmamak: Current ve Target profiller oluşturmadan doğrudan kontrol uygulamasına geçmek. Profiller olmadan iyileştirme yönünü belirlemek zordur.
• Tier 4'ü Zorunluluk Saymak: Her kuruluşun Tier 4 (Adaptive) seviyesinde olması gerekmez. Risk iştahı ve kaynaklara uygun hedef tier belirleyin.
• Tedarik Zincirini Dışarıda Bırakmak: Yalnızca iç sistemlere odaklanıp tedarikçi ve üçüncü taraf risklerini göz ardı etmek. CSF 2.0 bu alanı özellikle vurgular.
• ISO 27001 ile Karıştırmak: NIST CSF ve ISO 27001'i rakip standartlar olarak görmek yerine birbirini tamamlayan çerçeveler olarak kullanmak en etkili yaklaşımdır.

İlgili Yazılar

• ISO 27001 ve Zafiyet Yönetimi Uyumu
• KVKK ve Siber Güvenlik Uyumu
• Zafiyet Yönetimi Olgunluk Modeli