Bir siber saldırı tespit edildiğinde, ilk saatlerde atılan adımlar, olayın büyüklüğünü ve şirketin bu süreçten ne kadar hasarla çıkacağını doğrudan belirler. Panik halinde alınan dağınık kararlar, sorunu büyütebilirken, önceden belirlenmiş net bir süreç, hasarı sınırlamak için en güçlü araçtır. Bu yazıda, bir güvenlik olayı fark edildiğinde ilk 24 saat içinde izlenmesi gereken adımları ele alıyoruz.
İlk 30 Dakika: Tespit ve İzolasyon
Bir güvenlik olayı fark edildiği anda öncelik, olayı büyütmeden sınırlamaktır. Etkilenen sistemlerin ağdan izole edilmesi, saldırının diğer sistemlere yayılmasını önlemede kritik bir adımdır. Bu aşamada dikkat edilmesi gereken noktalar şunlardır:
- Etkilenen cihaz veya sunucuların ağ bağlantısını kesmek, ancak kanıt kaybını önlemek için kapatmamak
- Olayı önceden belirlenmiş olay müdahale ekibine veya sorumlu kişiye derhal bildirmek
- İlk gözlemleri (saat, fark edilen belirtiler, etkilenen sistemler) yazılı olarak kaydetmeye başlamak
İlk 1-4 Saat: Değerlendirme ve Kapsam Belirleme
İzolasyon sağlandıktan sonra, olayın kapsamının anlaşılması gerekir. Bu aşamada sorulması gereken temel sorular şunlardır: Saldırı hangi sistemlere ulaştı? Hangi veriler etkilendi? Saldırı hâlâ devam ediyor mu, yoksa durduruldu mu? Bu değerlendirme, mümkünse iç güvenlik ekibi ile birlikte, gerekiyorsa dış bir güvenlik uzmanının desteğiyle yapılmalıdır. Bu aşamada ayrıca yasal ve düzenleyici bildirim yükümlülüklerinin olup olmadığı da gözden geçirilmelidir.
Bu aşamada izlenecek adımların büyük kısmı, önceden hazırlanmış bir olay müdahale planına dayanır; böyle bir planın neden önceden oluşturulması gerektiğini şirketler için siber güvenlik stratejisi yazımızda da ele almıştık.
İlk 4-12 Saat: İletişim ve Bilgilendirme
Bu aşamada, doğru kişilerin doğru zamanda bilgilendirilmesi önem kazanır. İç iletişimde yönetim ve ilgili departmanlar net ve güncel bilgilerle bilgilendirilmeli, spekülasyona yer bırakılmamalıdır. Etkilenen müşteriler veya iş ortakları varsa, yasal danışmanlık alınarak dış iletişim planlanmalıdır. Bu süreçte abartılı veya eksik bilgi paylaşımından kaçınmak, hem güven kaybını önler hem de olası yasal riskleri azaltır.
İlk 12-24 Saat: İyileştirme ve Belgeleme
Olayın kapsamı netleştikçe, etkilenen sistemlerin güvenli bir şekilde normale döndürülmesi süreci başlar. Bu aşamada, saldırının giriş noktası tespit edilmeli ve bu açık kapatılmadan sistemler tekrar ağa bağlanmamalıdır. Aksi halde saldırgan aynı yoldan tekrar erişim sağlayabilir. Tüm süreç boyunca alınan kararlar, yapılan işlemler ve zaman çizelgesi ayrıntılı şekilde belgelenmelidir; bu belgeleme hem olay sonrası değerlendirme için hem de olası yasal süreçler için önemlidir.
24 Saat Sonrası: Olay Sonrası Değerlendirme
İlk 24 saatlik acil müdahale süreci tamamlandıktan sonra, ekip bir araya gelip olayı baştan sona değerlendirmelidir. Hangi adımlar iyi işledi, hangi noktalarda gecikme yaşandı, süreç nasıl daha hızlı hale getirilebilir gibi sorular bu değerlendirmenin merkezinde yer almalıdır. Bu analiz, olay müdahale planının güncellenmesi ve gelecekteki olaylara karşı hazırlığın artırılması için doğrudan girdi sağlar.
📊 Dikkat Çekici Veri
Bir güvenlik olayına müdahale süresi ile olayın toplam maliyeti arasında doğrudan bir ilişki bulunuyor; müdahale ne kadar erken ve düzenli başlarsa, olayın yayılma alanı ve nihai maliyeti o kadar sınırlı kalıyor.
İlk 24 saatte atılan adımların büyük kısmı, aslında saldırı gerçekleşmeden önce hazırlanmış olması gereken bir plana dayanır. Böyle bir planı henüz oluşturmamış şirketler için en değerli yatırım, bir sonraki olaydan önce bu süreci netleştirmektir.
📩 Şirketinizin Güvenlik Durumunu Değerlendirelim
Şirketinizin bir olay müdahale planı yoksa veya mevcut planınızı gözden geçirmek isterseniz, ekibimizle iletişime geçebilirsiniz.
Bu yazı, sahada tekrar karşılaştığımız gözlemler üzerine Veluva ekibi tarafından hazırlanmıştır. Kendi altyapınıza özel bir değerlendirme istiyorsanız bizimle iletişime geçebilirsiniz.
