Kod Bilmeden Siber Güvenliğe Başlanır mı?

"Kod bilmiyorum" cümlesi, siber güvenliğe hiç başlamamanın en yaygın gerekçesidir. Oysa alanın büyük kısmında ilk gün kimse senden program yazmanı beklemez. Bu yazı hangi rollerin koddan bağımsız başladığını anlatır. Kodun hangi noktada şart olduğunu ve bu geçişi nasıl planlayacağını da gösterir. Rakamlar ISC2 ve CyberSeek verilerinden geliyor.

Siber güvenlik için yazılım bilmek gerekir mi?

Siber güvenliğe başlamak için yazılım bilmek gerekmez; ilerlemek için ise çoğu rolde bir noktada en az kod okumak gerekir. Asıl soru "kod biliyor musun" değil, "hangi düzeyde" sorusudur.

Önce veriye bak. ISC2'nin 16.029 profesyonelle yaptığı 2025 Cybersecurity Workforce Study'ye göre alana girenlerin %56'sı BT deneyimiyle geldi. Bunların önemli bir kısmı BT rolündeyken güvenlik sorumluluğu üstlenerek geçti. BT dışı bir meslekten gelenlerin oranı ise %8. BT deneyimi her zaman yazılım geliştirme demek değildir. Yardım masası, sistem ve ağ yönetimi de bu kapsamdadır.

İşe alım tarafı da benzer. ISC2'nin 929 işe alım yöneticisiyle yaptığı ankette en önemli özellikler ekip çalışması, problem çözme ve analitik düşünme çıktı. Aynı ankete göre giriş seviyesindekilere en sık verilen işler belgeleme, alarm ve olay yönetimi, raporlama ve fiziksel erişim kontrolleri. Bu listede sıfırdan program yazmak yok.

ABD iş ilanlarını izleyen CyberSeek de benzer bir tablo çizer. Lightcast verisine dayanan 2025 özetinde, Nisan 2024 ile Mart 2025 arasında yaklaşık 500 bin siber güvenlik ilanı var. NICE kategorilerine göre en çok ilan 339.237 ile yönetişim ve gözetim tarafında. Soruşturma kategorisi ise 19.065 ilanla en küçük grup. Bir ilan birden fazla kategoriye girebildiği için bu sayılar toplanmaz. Yine de yönetişim, risk ve uyum işlerinin ne kadar büyük yer tuttuğunu gösterir.

Hangi roller kod bilmeden başlar?

SOC L1 analistliği, GRC ve uyum, güvenlik farkındalığı eğitmenliği ve OSINT analistliği kod bilmeden başlanabilecek başlıca rollerdir. Uygulama güvenliği ve tersine mühendislik ise ilk günden kod ister.

Aşağıdaki tablo rollerin tipik kod ihtiyacını özetler. Şirketten şirkete fark olabilir, bu bir eğilim tablosudur.

SOC L1 analisti gerçekten kod yazmaz mı?

SOC L1 analisti çoğunlukla kod yazmaz; alarmları inceler, logları okur, vakayı belgeler ve gerekirse üst seviyeye aktarır. Ama SIEM'de sorgu yazmak ve bir betiğin ne yaptığını anlamak kısa sürede işin parçası olur.

Splunk'ın SPL'i ya da Microsoft Sentinel'in KQL'i birer sorgu dilidir. Program yazmaktan çok tabloda filtre kurmaya benzer. Bir saldırgan PowerShell ile komut çalıştırdığında o komutu okuyup ne yaptığını anlaman gerekir. Bu, sıfırdan kod yazmaktan çok farklı bir beceridir.

Akademide bunu hemen deneyebilirsin. Log Avı labında başarısız giriş yığınını ve ardından gelen tek başarılı girişi bulursun. SOC Vardiya simülasyonunda alarm listesinden vaka seçer, kanıtı inceler ve gerekçeli karar verirsin. İkisi de kod istemez, ama dikkat ve düzen ister. Rolün tamamı için SOC analisti nedir yazısına bak.

GRC ve farkındalık rollerinde kodun yeri ne?

GRC ve farkındalık rollerinde kod neredeyse hiç yazılmaz; asıl araçlar risk tablosu, politika metni, denetim kanıtı ve iyi anlatılmış bir eğitimdir. Buna karşılık teknik konuyu anlayıp sade dille aktarabilmek şarttır.

GRC, yönetişim, risk ve uyum demektir. Bu roldeki biri risk kaydı tutar, politika yazar ve kontrollerin işleyip işlemediğini denetler. ISO/IEC 27001:2022 Ek A kontrolleri, NIST CSF 2.0 ve KVKK günlük işin parçasıdır. Ayrıntısı için ISO 27001 nedir yazısına bakabilirsin. Kod yazmazsın, ama bir güvenlik duvarı kuralını ya da bulut yetki politikasını okuyamayan denetçi kanıtı değerlendiremez. Bu yüzden teknik temel burada da gerekir.

Farkındalık eğitmeni ise çalışanlara oltalamayı, parola hijyenini ve sosyal mühendisliği öğretir. Bu işte iyi bir hikâye, iyi bir betikten daha değerlidir. Akademideki Olta oyunu bu bakışı denemenin kolay bir yolu. E-posta, SMS, site ve QR afişinde oltalamayı güvenli olandan ayırırsın.

Kod okumak ile kod yazmak arasındaki fark ne?

Kod okumak, var olan bir betiğin ne yaptığını anlamaktır; kod yazmak ise o betiği sıfırdan kurmaktır. Siber güvenlikte çoğu giriş rolü ilkini ister, ikincisini zamanla bekler.

Beceriyi dört basamakta düşün:

1. Okumak. Bir betiğe bakıp "dosyayı okuyor, şu satırı arıyor, sonucu sayıyor" diyebilmek.
2. Değiştirmek. Hazır bir betikte dosya adını, aranan kelimeyi ya da eşiği değiştirmek.
3. Yazmak. Küçük bir işi baştan otomatiğe bağlamak.
4. Araç geliştirmek. Başkalarının da kullanacağı, hataları yöneten bir program kurmak.

SOC L1 için ilk iki basamak çoğu zaman yeter. Sızma testinde üçüncü, uygulama güvenliğinde dördüncü basamak gerekir. Aşağıdaki savunma betiği ilk basamağı gösterir. Bir sunucunun SSH kayıtlarında başarısız girişleri sayar ve en çok deneyen beş adresi yazar.

sayac = {}
for satir in open("auth.log"):
    if "Failed password" in satir:
        ip = satir.split()[-4]
        sayac[ip] = sayac.get(ip, 0) + 1
for ip, adet in sorted(sayac.items(), key=lambda x: -x[1])[:5]:
    print(ip, adet)

Bu satırları bugün yazamıyor olabilirsin. Ama okuyup ne yaptığını anlayabiliyorsan birinci basamaktasın. Aynı işi Linux'ta grep, sort ve uniq ile de yaparsın. Komut satırı, kodla kod olmayan arasındaki köprüdür.

Kod hangi noktada şart hâle gelir?

Kod, aynı işi elle üçüncü kez yaptığın an, binlerce satırlık bir veriyle karşılaştığın an ya da bir açığın kanıt kodunu okuman gerektiği an şart hâle gelir. Bu an çoğu rolde er ya da geç gelir.

Şu işaretlere dikkat et:

• Her sabah aynı raporu elle hazırlıyorsun.
• Log dosyası metin düzenleyicide açılmayacak kadar büyük.
• Bir zafiyetin kanıt kodunu, yani PoC'yi okuman gerekiyor.
• Hedeflediğin ilanlarda Python ya da PowerShell yazıyor.
• Sızma testine ya da uygulama güvenliğine geçmek istiyorsun.

Giriş seviyesi programlar da bunu hesaba katar. Google'ın Coursera'daki Cybersecurity Professional Certificate programı "önceden deneyim gerekmez" diye tanıtılır. Dokuz kurstan oluşur ve haftada yedi saatle yaklaşık altı ayda biter. Yine de müfredatında Linux ve SQL'in yanında Python da vardır. Yani en başlangıç düzeyi programlar bile temel Python'u araç çantasının parçası sayar.

İlk dil olarak Python'u seç. Okunması kolaydır ve güvenlik işlerinin çoğunda kullanılır. Nereden başlayacağını siber güvenlik için Python yazısı adım adım anlatır.

Kod yerine hangi beceriler seni öne çıkarır?

Kod bilmeyen bir aday için en güçlü kozlar ağ ve log okuma, düzenli belgeleme, İngilizce belge okuma ve açık yazılı anlatımdır. ISC2'nin işe alım anketinde yöneticilerin %84'ü işe alımda beceri ölçen sınavlar kullandığını söylüyor. Yani bu becerileri kanıtlaman gerekir.

Bu tabloyu kendi portfolyonun iskeleti gibi kullan. Her satır için bir kanıt biriktirdiğinde, kod bilmesen de masaya somut bir şey koyarsın.

Kod bilmeden başlayan biri ilk üç ayda ne yapmalı?

İlk üç ayda kodu değil temelleri öğrenirsin: ağ, Linux, web ve log okuma. Bu konuların hiçbiri program yazmayı gerektirmez, ama hepsi koda geçişi kolaylaştırır.

1. Başlangıç sayfasından niyetini ve seviyeni seç, ilk derse geç.
2. Temeller yolunda Log tutmanın temelleri dersine kadar ilerle.
3. Linux'ta grep, sort ve boru hattını öğren. Bu senin ilk "betiğin" olur.
4. auth.log: kim girdi, kim giremedi dersini oku ve Log Avı labını çöz.
5. Saha'daki "Kapıyı Kim Zorluyor" görevinde başarısız girişleri komut satırında say.
6. Üçüncü ayın sonunda haftada iki saati Python'a ayır.

Kendi temponu kurmak için siber güvenlik öğrenmek: nereden başlamalı yazısındaki ilk hafta tablosunu kullanabilirsin.

Kod bilmeden ilerlemenin riski nedir?

Kod bilmeden ilerlemenin asıl riski, bir süre sonra yerinde saymaktır. Elle yapılan iş büyümez, aracın yapmadığını da yapamazsın.

Aynı vakayı yüz kez elle kapatan analist ile o işi otomatiğe bağlayan analist arasındaki fark zamanla açılır. Hazır araçlara bağımlı kalan biri, araç hata verdiğinde nedenini anlayamaz. Bu yüzden "kod bilmeden başlanır mı" sorusunun dürüst cevabı ikiye ayrılır. Başlanır, ama kodsuz kalınmaz.

İyi haber şu: kodu bağlamla öğrenmek çok daha kolaydır. Temelleri bilen biri Python'da "dosyayı oku, satırı süz, say" yazarken neyi neden yaptığını bilir. Boş bir editör karşısında değil, gerçek bir sorunun karşısında öğrenir. GRC ya da farkındalık gibi kodun az gerektiği bir dalı seçtiysen de en azından okuma basamağına çık. Teknik ekiplerle aynı dili konuşmak işini kolaylaştırır.

Kariyerine geç yaşta başlıyorsan 30 yaşında siber güvenliğe geçiş yazısı sana özel bir plan sunar. Bugünkü adımın ise basit. Temeller yolunu aç ve ilk log dersini bitir.

Kaynaklar

• ISC2, 2025 Cybersecurity Workforce Study
• ISC2, 2025 Cybersecurity Hiring Trends: Skills Deep Dive
• CyberSeek, Deciphering the Cybersecurity Job Market 2025 (PDF)
• Coursera, Google Cybersecurity Professional Certificate
• CISA NICCS, NICE Workforce Framework for Cybersecurity