Küçük İşletme Olay Müdahale Planı Şablonu

Bir fidye yazılımı notu pazartesi sabahı ekranda belirdiğinde, kimin ne yapacağını o anda tartışmak pahalıya mal olur. Kurumların yaklaşık yüzde 45'inin yazılı olay müdahale planı yok; planı olanların yalnızca yüzde 30'u bunu düzenli test ediyor. Planı olmayanlar daha yüksek ihlal maliyeti ödüyor, olayları daha uzun süre kapatamıyor.

İyi bir plan bir klasör dolusu hukuk metni değil, olay anında sırayla açılacak kararlar listesidir. Aşağıdaki çerçeve müdahaleyi hazırlık, tespit, kontrol, temizlik, geri dönüş ve ders çıkarma olarak bölüyor; her aşamanın bir sahibi, çıktısı ve zaman sınırı var.

Kısa cevap: planda olması gereken beş bölüm

Kapsam ve amaç: hangi sistemler, veri türleri, lokasyonlar ve iş süreçleri.
Roller ve yedekleri: her rol için asil ve yedek isim, telefon numarasıyla.
Sınıflandırma: dört olay seviyesi ve her seviyenin tepki süresi.
Altı aşamalı prosedür: hazırlıktan ders çıkarmaya kadar adımlar ve onay noktaları.
İletişim ve bildirim: iç duyuru, müşteri, düzenleyici kurum ve sigorta için tek elden mesaj.

İlk saatlerde yapılan hataların çoğu teknik bilgi eksikliğinden değil, karar eksikliğinden kaynaklanır: kimin ağ bağlantısını keseceği, kimin müşteriye yazacağı ve kimin kolluk birimine başvuracağı önceden yazılı değilse o saatler tartışmayla geçer.

Plan aynı zamanda bir uyumluluk belgesidir. KVKK ihlalin öğrenilmesinden itibaren "en kısa sürede" bildirim istiyor; uygulamada Kurul kararları 72 saatlik eşiği esas alıyor, GDPR'da süre açıkça 72 saat. PCI DSS 4.0.1 madde 12.10 ve siber sigorta poliçeleri de yazılı, test edilmiş plan talep ediyor. Bu belgeleri olay anında üretmek mümkün değil.

Roller ve yedekleri

Plana isim yazmayan kurumlar "bunu kim yapacak" sorusuna cevap veremiyor. Beş rol tanımlayın, her birine bir yedek atayın.

Olay lideri: zaman çizelgesini tutar, kesintili kararları onaylar, şirket adına konuşan tek kişidir.
Teknik müdahaleci: kanıtı toplar, yayılmayı durdurur ve sistemleri temiz imajdan geri kurar.
Hukuk ve uyum: bildirim yükümlülüğünü değerlendirir, sözleşmelerdeki bildirim maddelerini okur.
İletişim sorumlusu: çalışan, müşteri ve basın için tek metin hazırlar.
Yürütme sponsoru: hizmet kapatmanın ticari bedelini kabul eder ve yazılı onay verir.

Yirmi beş kişiden küçük ekiplerde CEO hem sponsor hem iletişim rolünü üstlenebilir. Kritik eşik, bir olay lideri ile ön anlaşmalı dış müdahale firmasıdır; tek kişiye bağlı plan, o kişi izindeyken çalışmaz.

Olay seviyeleri ve tepki süreleri

Seviye tanımı olmadan her uyarı aynı aciliyette görünür ve ekip yanlış olaya koşar. Dört seviye yeterli.

SEV-1, kritik: aktif veri sızıntısı, yayılan fidye yazılımı, duran operasyon. On beş dakika içinde toplanma; sponsor, hukuk ve dış firma aynı çağrıda.
SEV-2, yüksek: yönetici hesabının ele geçirilmesi, birden fazla uç noktada zararlı yazılım, şüpheli veri çekme. Bir saat içinde müdahale.
SEV-3, orta: olağandışı oturum açma deseni, kimlik bilgisi girilmiş kimlik avı iletisi, alışılmadık dışa trafik. Dört saat içinde inceleme.
SEV-4, düşük: engellenmiş parola denemesi, kaybolan şifresiz disk, politika ihlali. Yirmi dört saat içinde kayıt ve takip.

Seviye ilk değerlendirmede verilir, kanıt geldikçe yükseltilir; düşürmek için olay liderinin onayı gerekir.

Aşama 1: hazırlık

Hazırlık, olay anında yapılan bir iş değil; olaydan önce tamamlanması gerekenler listesi:

Güncel varlık envanteri: donanım, yazılım, bulut servisleri ve bunların sahipleri.
Merkezi günlük toplama ve en az 90 gün saklama; yerel günlükler yeterli değil.
Tüm uç noktalarda çalışan koruma yazılımı ve kritik sistemlerde MFA.
3-2-1 kuralına uygun yedek; en az bir kopya çevrimdışı ve ağdan erişilemez.
Dış müdahale firmasıyla ön anlaşma, sigorta poliçe numarası ve teminat kapsamı.
Yazdırılmış kişi listesi, ağ diyagramı ve kurtarma talimatı içeren fiziksel bir çanta.

Planın sahibi olay lideridir; gözden geçirme üç ayda bir, tam tatbikat yılda iki kez yapılır.

Aşama 2: tespit ve ilk değerlendirme

Bir uyarı geldiğinde ilk refleks onu kapatmak olmamalı. Önce doğrulayın: aynı bulgu başka bir kaynakta da görünüyor mu, yoksa bilinen bir yanlış pozitif mi? Hangi işaretlerin acil sayıldığını ihlal işaretleri yazımız anlatıyor.

Doğrulama sonrası olay liderini e-postayla değil telefonla arayın; e-posta ele geçirilmiş olabilir. Olay kaydına tespit saatini, bildiren kişiyi, etkilenen sistemleri, ilk belirtiyi ve o ana kadar yapılanları yazın. Sonradan eklenecek her satır soruşturmanın omurgası olur; eksik kayıt, teknik olarak doğru bir müdahaleyi bile savunulamaz hale getirir.

Aşama 3: kontrol altına alma, ilk 60 dakika

Bu saat, olayın maliyetini belirler; sıra hızdan önemli.

0-15 dakika: rolleri teyit edin, e-posta dışında bir kanal açın, olay kaydını başlatın. Herkesi ayrı ayrı aramak yerine olay lideri tek çağrı kurar.
15-30 dakika: etkilenen makineleri ağdan çıkarın. Fişi çekmek yerine portu kapatın; bellekteki oturumlar ve çalışan süreçler kanıttır. Şüpheli hesapların oturumlarını ve kimlik jetonlarını iptal edin, çünkü parola değiştirmek çalınmış oturumu geçersiz kılmaz.
30-45 dakika: yedekleme sistemlerini ağdan ayırın. Fidye yazılımları önce yedekleri hedefler; sağlam bir yedek, haftalık kesintiyi bir güne indirir.
45-60 dakika: kapsamı tek sayfada özetleyin, dış müdahale firmasını ve sigortacıyı arayın, müşteri ve çalışan için tek bir bilgi notu hazırlayın.

Toplu parola sıfırlama ve hemen yeniden kurma isteği güçlüdür, ancak saldırganın nereye kadar gittiğini gösteren kayıtları siler. Kanıt alınmadan temizliğe başlanmaz.

Aşama 4 ve 5: temizlik, geri dönüş

Kontrol altına alma bittiğinde saldırganın bıraktığı her iz temizlenmeli: zararlı yazılım ve arka kapılar kaldırılır, açıklığa neden olan güvenlik açığı yamalanır, ortam bilinen kötü amaçlı göstergeler için taranır. Yöntemlerin genel çerçevesi için TTP yazımız iyi bir başlangıç.

Kimlik bilgileri yönetici hesaplarından başlanarak yenilenir; oturumlar, uygulama parolaları ve erişim anahtarları da döndürülür. Yedekten dönüşte kopyanın bütünlüğü ve temizliği doğrulanır.

Geri dönüş aşamalı olur: önce posta, finans ve müşteriye dönük sistemler, ardından ikincil uygulamalar. Her aşamada MFA zorunlu, en az 30 gün yoğun izleme var.

Aşama 6: ders çıkarma

Olay kapandıktan sonra iki hafta içinde, suçlama içermeyen bir değerlendirme toplantısı yapılır. Amaç kimseyi cezalandırmak değil, planın nerede tökezlediğini bulmak; çıktı yazılı olmalı: eksik adımlar, sorumlu ve tarih.

Zaman çizelgesi kesinleştirilir; ilk erişim noktası, ortamda kalma süresi ve müdahale kararları kayda geçer. Yeni göstergeler tespit kurallarına eklenir, plan güncellenir, yönetime tek sayfa özet sunulur.

Bildirim, iletişim ve hukuk

Bildirim yükümlülüğü, temizlik bittiğinde değil ihlalin doğrulandığı anda başlar. Mesaj tek elden çıkmalı: müşteriye, sigortacıya ve düzenleyici kuruma farklı anlatımlar tutarsızlık olarak geri döner.

Müşteri sözleşmeleri kanundan katı olabilir; ödeme sağlayıcı şartları saat bazında haber vermenizi isteyebilir. "Kanıtlanana kadar sessiz kalalım" yaklaşımı cazip görünse de süreler kaçırıldığında idari ve ticari risk büyür; kararları hukuki görüşle yazıya geçirin.

Dış mesaj dört başlıkla sınırlı kalsın: ne oldu, hangi veri etkilendi, ne yapıyoruz, etkilenenler ne yapmalı.

Planı test etmek: masa başı tatbikatı

Test edilmemiş plan, plandan sayılmaz. Yılda iki kez 90 dakikalık masa başı tatbikatı yeterli bir başlangıçtır: senaryoyu olay lideri değil, başka biri yönetir; katılanlar planı ilk kez okuyormuş gibi davranır ve her karar saatiyle birlikte not edilir.

İyi bir senaryo gerçekçi ve sıkıcıdır: muhasebeden gelen bir e-fatura, gece açılan yönetici oturumu, tedarikçiden gelen "hesabınız bizde yok" telefonu. Çıktı, tarihli bir düzeltme listesidir; ölçüt, planı kaç kişinin bulabildiği ve ilk on beş dakikada kaç kararın alındığıdır.

Sık sorulan sorular

Küçük bir işletme için plan gerçekten gerekli mi? Evet. Plan, kimin ne yapacağını ve hangi sırayla yapacağını belirler; bu belirsizlik ilk saatlerin kaybedilmesine yol açıyor. KVKK, PCI DSS ve siber sigorta poliçeleri de yazılı plan isteyebiliyor.

Planı ne sıklıkla test etmeliyiz? Yılda en az iki masa başı, bir de teknik tatbikat iyi bir dengedir. Ekip, teknoloji veya tedarikçi değiştiğinde ek tatbikat yapılmalı.

Olay anında ilk üç şey ne olmalı? Olay liderini telefonla arayın, etkilenen sistemleri ağdan çıkarın, olay kaydını açın. Kanıtı silmeden yayılmayı durdurmak sonraki kararların önkoşuludur.

Fidye ödemeli miyiz? Bu teknik değil, hukuki ve ticari bir karardır. Ödeme, şifre çözme aracının çalışacağını veya çalınan verinin silineceğini garanti etmez; yasal ve sigorta sonuçları olabilir. Karar hukuk görüşü ve yönetim onayıyla verilir.

Planı nerede saklamalıyız? Hem dijital hem basılı kopya. Dosya sunucusu şifrelenirse plana erişilemez; kişi listesi, ağ diyagramı ve kurtarma talimatı kilitli bir dolapta da bulunmalı.

Planı yazmak veya test etmek isterseniz Ekiple görüşün.

Olay müdahale planı: altı aşamalı şablon