Tedarikçi risk değerlendirme anketi şablonu
CyberLord Güvenlik Ekibi Yazar profili
Muhasebe programınız, e-fatura entegratörünüz, insan kaynakları portalınız ve bulut yedekleme sağlayıcınız aynı şeyi yapıyor: şirketinizin verisine sizin adınıza dokunuyor. Bu dosyalardan biri sızdığında olay tedarikçinin sunucusunda başlıyor, sorumluluk ise sizin masanızda bitiyor. Verizon DBIR 2025 raporunda üçüncü taraf kaynaklı ihlallerin payı yüzde 15'ten yüzde 30'a çıkıyor; yani her üç ihlalden biri, doğrudan sizin denetlemediğiniz bir sistemden geliyor.
Bu yazı, tedarikçi risk değerlendirmesini bir kereye mahsus form doldurmaktan çıkarıp tekrarlanabilir bir sürece dönüştürmek için yazıldı. Aşağıda iki ana başlık altında toplanan soru setini, kanıt isteme yöntemini ve puanlama eşiklerini bulacaksınız; hepsi kopyalanıp kendi sözleşme ve satın alma akışınıza eklenebilecek biçimde.
Tedarikçi riski neden artık denetim masasında
İki şey aynı anda değişti. Birincisi saldırganın tercihi: tek bir KOBİ'yi kırmak yerine, onlarca müşteriye hizmet veren bir tedarikçiye girmek çok daha verimli. Çok müşterili bir platformda bir kez yetki almak, onlarca şirketin verisine aynı anda ulaşmak anlamına geliyor. İkincisi sorumluluk: KVKK, GDPR ve DORA kapsamındaki düzenlemeler, veriyi işleyen tarafın hatasını veri sorumlusunun denetim yükümlülüğünden ayrı tutmuyor.
Maliyet tarafı da tabloyu netleştiriyor. IBM'in 2025 verilerine göre tedarik zinciri kaynaklı bir ihlalin ortalama giderme maliyeti 4,9 milyon doları buluyor ve doğrudan saldırılara kıyasla yaklaşık 17 kat daha yüksek. Bu farkın nedeni teknik değil, hukuki: olayın nerede başladığını kanıtlamak, hangi müşterinin hangi verisinin etkilendiğini çıkarmak ve her birinin bildirim süresini ayrı ayrı işletmek gerekiyor.
Önce sınıflandırma: üç kademe
Her tedarikçiye seksen soru göndermek, anketin ciddiye alınmamasının en hızlı yolu. Ölçek, riskin büyüklüğüne göre kurulmalı.
| Kademe | Kriter | Değerlendirme derinliği |
|---|---|---|
| 1 - Kritik | Kişisel veya finansal veri işliyor, ağa bağlanıyor ya da operasyonun durmasına yol açıyor | 40+ soru, yıllık tekrar, kanıt zorunlu |
| 2 - Orta | Sınırlı veri erişimi var, kritik değil ama iç sistemlerle konuşuyor | 15-25 soru, 18 ayda bir |
| 3 - Düşük | Veri erişimi yok, entegrasyon yok, kolay değiştirilebilir | 10-15 soru, 24 ayda bir |
Kademeyi belirleyen soru tek: bu tedarikçi yarın kesintiye uğrarsa ya da sızarsa ne olur? Cevap "müşteri verisi etkilenir" ise tartışma bitmiş demektir, birinci kademe.
Anket ne zaman ve kime gönderilir
Anketin yeri sözleşme imzasından önce olmalı. Satın alma sürecinin bir adımı haline gelmediği sürece, tedarikçi seçildikten sonra gönderilen formlar nazik bir rica olarak kalıyor ve cevaplar haftalarca gecikiyor.
Anketin soru seti
Soru sayısı önemli değil; soruların ölçülebilir cevap üretmesi önemli. Aşağıdaki başlıkları kendi sektörünüzün diliyle genişletebilirsiniz.
Veri, erişim ve kimlik
- Hangi veri türlerini işliyorsunuz ve bu veriler hangi ülkede barınıyor?
- Yurt dışına aktarım var mı; hangi hukuki dayanakla yapılıyor?
- Yönetici ve uzak erişimde MFA zorunlu mu, hangi yöntemle?
- En az yetki ilkesi nasıl uygulanıyor, erişim gözden geçirmesi hangi sıklıkta yapılıyor?
- Çalışan ayrıldığında erişim ne kadar sürede kapatılıyor?
- Müşteri verisine yapılan erişimler kaydediliyor ve izleniyor mu?
- Çok kiracılı ortamda müşteri verisi mantıksal olarak nasıl ayrılıyor?
Olay, süreklilik ve test
- Olay bildirim süreniz kaç saat; hangi kanaldan ve kime yapılıyor?
- Son 24 ayda veri ihlali ya da güvenlik olayı yaşandı mı? Yaşandıysa kapsamı neydi?
- Felaket kurtarma planı en son ne zaman test edildi, sonuçları paylaşabilir misiniz?
- Hizmetiniz için RTO ve RPO değerleri nedir?
- Yedekler coğrafi olarak ayrı bir konumda tutuluyor mu?
- Yıllık sızma testi yapılıyor mu; son raporun yönetici özetini paylaşabilir misiniz?
- Kritik yamalar ortalama kaç günde kapatılıyor?
Evet cevabı kanıt değildir
Anketin en zayıf noktası, iyi niyetli bir yalanı ayırt edememesi. MFA sorusuna verilen evet, politikanın yazıldığını gösterir; uygulandığını göstermez. Bu yüzden birinci kademe tedarikçilerden belge istenmeli:
- Son 12 aya ait SOC 2 Type II raporu
- Kapsamı ve geçerlilik tarihi görünen ISO 27001 sertifikası
- Son sızma testinin yönetici özeti
- Felaket kurtarma testi sonuç raporu
- Siber sorumluluk sigortası poliçe özeti
Belgede iki ayrıntıya bakın: tarih ve kapsam. Süresi geçmiş bir sertifika ile yalnızca veri merkezini kapsayan bir sertifika, aynı başlığı taşısa da aynı güvenceyi vermiyor. Tedarikçinin yazılım geliştirdiği ortam sertifika kapsamı dışındaysa, ürününüzü etkileyen risk o kapsamın dışında kalıyor demektir.
SOC 2 Type I ile Type II arasındaki fark
Type I, kontrollerin belirli bir gündeki tasarımına bakar: kural yazılmış mı, sorumlu atanmış mı? Type II ise aynı kontrollerin 6-12 aylık dönemde gerçekten çalıştığını test eder. İkincisi çok daha değerli, çünkü denetçi örneklem üzerinden kanıt toplar.
Tedarikçi elinde yalnızca Type I varsa bu bir eksiklik olarak not edilmeli; ama tek başına eleme nedeni sayılmamalı. Erken aşamadaki bir girişim için Type I makul bir başlangıç olabilir. Kritik kapsamda ise Type II ısrar edilmesi gereken belgedir; SOC 2 ve ISO 27001 karşılaştırmamız hangi belgenin hangi soruya cevap verdiğini ayrıntılı anlatıyor.
Puanlama ve karar eşiği
Cevapları tek tek okuyup "iyi görünüyor" demek, altı ay sonra kimsenin hatırlamadığı bir izlenim bırakıyor. Basit bir dörtlü ölçek yeterli:
| Cevap kalitesi | Puan | Anlamı |
|---|---|---|
| Kanıtlı tam uyum | 1 | Gereksinim karşılanıyor, belge mevcut |
| Kısmi uyum, iyileştirme planı var | 2 | Boşluk var ama kapatılıyor |
| Uyumsuz, plan yok | 3 | Ciddi risk, yönetime taşınmalı |
| Cevap verilmedi veya reddedildi | 4 | Değerlendirilemiyor, alternatif aranmalı |
Başlık bazında ortalamaları toplayıp genel puanı çıkarın. 1,0-1,5 arası standart izleme, 1,6-2,0 arası ek izleme ve iyileştirme takibi, 2,1-3,0 arası işe alım öncesi düzeltme planı, 3,1 üzeri ise devreye almama anlamına gelmeli. Eşikleri yazılı hale getirmek, kararı kişilerin cesaretine bırakmaktan kurtarıyor.
Sözleşmeye girmesi gereken maddeler
Anket bir belge üretir; koruma ise sözleşmede başlar. En az şu başlıklar yazılı olmalı:
- İhlal bildirim süresi ve bildirim kanalı
- Alt yüklenici kullanımı için önceden onay ve güncel liste
- Denetim hakkı; yıllık anket ya da yerinde inceleme
- MFA, şifreleme ve erişim kontrolü asgari şartları
- Sözleşme bitiminde verinin iadesi ve silindiğinin yazılı teyidi
- KVKK kapsamında veri işleyen yükümlülükleri ve yurt dışı aktarım şartları
- İhlal halinde sorumluluk sınırı ve sigorta kanıtı
Dördüncü taraf: tedarikçinin tedarikçisi
Sorulması en çok atlanan soru şu: bu hizmeti verirken kimlerle çalışıyorsunuz? Bulut barındırma, e-posta gönderim altyapısı, müşteri destek yazılımı ve analitik araçları çoğu zaman doğrudan tedarikçinizin sözleşmesinde. Zincirin sonundaki bir sağlayıcıda yaşanan olay, sizin verinizi de etkiliyor.
NIST SP 800-161 ve CISA'nın tedarik zinciri rehberliği bu noktada aynı şeyi söylüyor: risk, doğrudan sözleşme imzaladığınız tarafla sınırlı değil. Pratik çözüm, ankete alt yüklenici listesi maddesi eklemek ve bu listenin sözleşme süresince güncel tutulmasını istemek. Yıllık değerlendirmede liste değişmişse, yeni giren taraf için kısa bir kontrol yapılmalı.
Sık yapılan hatalar
- Yalnızca işe alım anında değerlendirmek: Risk zamanla değişiyor; sertifika yenilenmiyor, alt yüklenici ekleniyor, ekip değişiyor.
- Kendi beyanını kanıt saymak: Evet cevabı bir niyet göstergesi; belge istenmeden hiçbir puan kesinleşmemeli.
- Tüm tedarikçilere aynı anketi göndermek: Kırtasiye tedarikçisiyle bulut barındırma sağlayıcısı aynı derinlikte değerlendirilmez.
- Anketi satın alma sürecinin dışında tutmak: Sözleşme imzalandıktan sonra gelen cevapların yaptırımı kalmıyor.
- Merkezi kayıt tutmamak: Dosyalar e-posta kutularında dağıldığında hangi tedarikçinin hangi boşlukta olduğu görünmüyor.
- Sonucu yönetime taşımamak: Yüksek riskli bir tedarikçiyle çalışma kararı, gerekçesiyle birlikte yazılı onay gerektirir.
Sık sorulan sorular
Anket kaç soru olmalı? Sabit bir sayı yok. Kritik kapsamdaki bir tedarikçi için 40-80 soru normal, düşük riskli bir tedarikçi için 10-15 soru yeterli. Belirleyici olan soru sayısı değil, soruların kanıtla eşleşmesi.
Tedarikçi anketi doldurmayı reddederse ne yapmalıyız? Reddin kendisi bir risk göstergesi. Alternatif olarak SOC 2 Type II raporu, kapsamı görünen ISO 27001 sertifikası ya da eşdeğer bir değerlendirme kabul edilebilir. Bunlar da verilmiyorsa risk kayda geçirilmeli, paylaşılan veri kapsamı daraltılmalı ve alternatif tedarikçi değerlendirilmeli.
Değerlendirmeyi kim yürütmeli? Süreç satın alma ya da operasyon ekibinde başlayabilir, ancak puanlamayı ve risk kabul kararını güvenlikten sorumlu bir kişinin onaylaması gerekiyor. Küçük ekiplerde bu rol dışarıdan bir danışmanla paylaşılabilir; önemli olan kararın tek bir sahibinin olması.
Anket cevapları ne kadar saklanmalı? Sözleşme süresi boyunca ve bitiminden sonra en az üç yıl. Bu süre, hem denetimlerde kanıt olarak hem de olası bir uyuşmazlıkta dayanak olarak işe yarıyor.
Yıllık değerlendirme her tedarikçi için şart mı? Hayır. Kritik kapsamdaki tedarikçiler yılda bir, orta kapsamdakiler 18 ayda bir, düşük kapsamdakiler 24 ayda bir değerlendirilebilir. Ancak bir olay, kapsam değişikliği veya yenileme olduğunda takvim beklemeden tekrar edilmeli.
Tedarikçi listenizi sınıflandırmak ve anketi kendi sektörünüze uyarlamak isterseniz ekibimizle görüşün.