Güvenlik Gereksinimi, Risk ve Tehdit Modeli

Ön koşul: Arven sipariş portalı, ERP, üretim hattı ve yedekleme yönetiminin birbirine bağlı hizmetler olduğunu açıklayabilmelisin. Bu dersin sonunda güvenliği ürün listesi yerine korunacak iş sonucu olarak tanımlayacak, veri ve erişim akışını haritalayacak, somut tehdit yolu ve mevcut kontrolü ayıracak, sahibi belli bir risk ve doğrulanabilir gereksinim kaydı yazacaksın. Yaklaşık 30 dakika anlatı/örnek, 20 dakika uygulama ve 12 dakika bilgi kontrolü önerilir. İlk toplantıda 'güvenli olmalı' ifadesini yeterli gereksinim sayma. Hangi işlemin, hangi veriyle, kimin yetkisiyle, hangi süre ve hata koşulunda çalışması gerektiğini sor. Sipariş portalının gizliliği kadar yanlış siparişin ERP'ye aktarılması, üretim hattının gereksiz durması ve olay sırasında geçerli işlemin geri çevrilmesi de iş etkisidir. Güvenlik hedefi, ölçülebilir kullanıcı ve operasyon kabulü taşımalıdır.

Tehdit modeline başlamadan önce sistemin yalnız sunucularını değil veri ve yetki akışını çiz. Arven müşterisi portalda oturum açar; uygulama API'si siparişi alır; kuyruk işleyicisi ERP gateway'ine iletir; ERP stok ve fatura kaydı üretir. Ayrı yönetim yolu deploy, config, secret ve yedekleme politikasını değiştirir. Her ok için kaynak, hedef, protokol, kimlik, veri sınıfı, encryption, log, retry ve owner yaz. Trust boundary, politika veya kontrol sahibinin değiştiği yerdir: internet ile edge, portal ile ERP, uygulama ile yönetim düzlemi, production ile backup ve şirket ile sağlayıcı arasında olabilir. Aynı VLAN'da olmak aynı güven anlamına gelmez; farklı network'te olmak da bağımsız risk anlamına gelmez. Kimlik sağlayıcı, DNS, key, registry ve otomasyon hesabı iki alanı fiilen birleştirebilir.

Tehdit, zarar verebilecek olay veya aktör/eylem; zafiyet, kullanılabilecek açıklık veya koşul; risk, bu koşulların iş sonucuna etkisi hakkında verilen karardır. Aynı CVE her ortamda aynı iş riski değildir. Reachability, mevcut ayrıcalık, exploit önkoşulu, internet erişimi, tespit süresi ve etkilenebilir varlık incelenir. NIST SP 800-30 Rev. 1 risk değerlendirmesini daha geniş risk yönetimi kararına girdi olarak sunar. Değerlendirmede kapsam, varsayım, bilgi kaynağı ve belirsizlik görünür olmalıdır. 'Yüksek/orta/düşük' etiketi gerekçesiz tek başına karar sağlamaz. Ölçüm yoksa yüzde olasılık uydurma; senaryoyu, mümkün saldırı yolunu, iş etkisini, mevcut kontrolü ve bilinmeyenleri yaz. Risk sahibi, kontrol sahibi ve kanıt üreten kişi farklı olabilir. Kabul, azaltma, kaçınma veya transfer seçeneklerinin hangisinin iş hedefiyle uyumlu olduğu sahipli bir karardır.

NIST CSF 2.0 bir ürün reçetesi değil siber risk sonuçları için ortak dildir. Govern, Identify, Protect, Detect, Respond ve Recover işlevleri aynı iş akışında birlikte düşünülür. NIST SP 1301'in organizasyon profili yaklaşımı mevcut durumu ve hedef sonuçları ayırıp açık farkı önceliklendirmeye yardım eder. Arven için mevcut durum: destek hesabı erişim kayıtları kısmi, ERP token'ı geniş yetkili, backup silme yetkisi ortak. Hedef durum: ayrı kimlik ve onay, kısa ömürlü dar erişim, değişiklik izinin korelasyonu, bağımsız backup silme kontrolü ve testli geri alma. Bunlar keşifte doğrulanana kadar varsayımdır. Her fark için iş gerekçesi, owner, hedef tarih, gerekli kanıt ve kalan risk yazılır. CSF sonuçları yapılacaklar listesine çevrilirken kontrol seçiminde teknoloji, operasyon kabiliyeti ve tedarikçi sınırları incelenir; çerçeve tek bir ürünün güvenli olduğunu onaylamaz.