NIST CSF 2.0 fonksiyonları

Önceki iki derste ISO/IEC 27001'in madde yapısını ve Ek A'sını gördün. NIST Siber Güvenlik Çerçevesi (Cybersecurity Framework, CSF) aynı hedefe başka bir yoldan gider. Çerçeve, kurumun ulaşması gereken sonuçları sıralar. Bu sonuçlara nasıl ulaşacağını ise sana bırakır.

İlk sürüm 2014'te, 1.1 sürümü 2018'de çıktı. 2.0 sürümü 26 Şubat 2024'te yayımlandı. Önceki sürümlerin adı kritik altyapıya vurgu yapıyordu.

2.0 bu adı bıraktı ve her ölçekten, her sektörden kuruma seslendi. Çerçeve gönüllüdür ve bir sertifika vermez. Bu derste çekirdeğin yapısını, profilleri ve katmanları Altay Kargo'nun çeyreklik planı üzerinden göreceksin.

Çerçevenin kalbi Çekirdek (Core) adını taşır. Çekirdek üç katmanlı bir ağaçtır. En üstte altı fonksiyon durur.

Her fonksiyon kategorilere, her kategori alt kategorilere ayrılır. 2.0 sürümünde 22 kategori ve 106 alt kategori vardır. Alt kategori tek bir sonucu yazar.

Örneğin 'kurumun yönettiği donanımın envanteri tutulur' bir sonuçtur. NIST bu sonuçların yapılacak işler listesi olmadığını açıkça yazar. Aynı sonuca iki kurum iki ayrı yoldan ulaşabilir. Çekirdekteki sıra da öncelik anlamı taşımaz.

Bir kategorinin listede önde durması, işe ondan başlaman gerektiğini söylemez. Önceliği kurumun kendi riski belirler.

Altı fonksiyonu Altay Kargo'nun işleriyle oku. Yönet (Govern, GV), risk stratejisini, beklentileri ve politikayı kurar, duyurur ve izler. Yönetim kurulunun risk iştahını onaylaması buraya girer. Belirle (Identify, ID), kurumun bugünkü risklerini anlamaktır.

Sürücü uygulamasının varlık envanteri bu fonksiyondadır. Koru (Protect, PR), riski yöneten önlemleri kullanmaktır: kimlik ve erişim, farkındalık, veri güvenliği. Rol bazlı erişim kontrolünü kurmak buradadır. Tespit Et (Detect, DE), olası saldırıları bulur ve analiz eder.

Anormal giriş denemelerini izlemek bu fonksiyondadır. Müdahale Et (Respond, RS), tespit edilen olayda atılan adımlardır. Kurtar (Recover, RC), olaydan etkilenen varlıkları ve işleri eski haline getirir.

NIST fonksiyonları bir çark olarak çizer, çünkü hepsi birbirine bağlıdır. Belirle'de sınıflandırdığın varlığı Koru'da güvenceye alırsın. Yönet çarkın ortasında durur.

Öbür beş fonksiyonun nasıl uygulanacağına o yön verir. 2.0 sürümü Yönet'i ayrı bir fonksiyon yaptı ve tedarik zinciri riskini de ona taşıdı. 1.1'de tedarik zinciri Belirle fonksiyonunun altındaydı; şimdi Yönet'in altında kendi kategorisinde durur.

Fikir ISO/IEC 27001'in madde 5'ine çok benzer. İki çerçeve de güvenliği teknik ekibin işi olmaktan çıkarır ve yönetimin kararına bağlar. Fark biçimdedir: NIST bunu bir fonksiyon olarak adlandırır, ISO madde yapısına yerleştirir.

Kategori kodu, fonksiyon kodunun arkasına bir nokta ve iki harf ekler. Yönet'in kurumsal bağlam kategorisi GV.OC, risk yönetimi stratejisi kategorisi GV.RM kodunu taşır. Yönet'in öbür dört kategorisi roller, sorumluluklar ve yetkiler (RR), politika (PO), gözetim (OV) ve tedarik zinciri risk yönetimidir (SC).

Belirle üç kategoriye ayrılır: varlık yönetimi (AM), risk değerlendirmesi (RA) ve iyileştirme (IM). Koru beş kategori taşır: kimlik yönetimi, kimlik doğrulama ve erişim kontrolü (AA), farkındalık ve eğitim (AT), veri güvenliği (DS), platform güvenliği (PS) ve teknoloji altyapısının dayanıklılığı (IR). Böylece ilk üç fonksiyon, yani Yönet, Belirle ve Koru, toplam on dört kategori taşır.

Tespit Et iki kategoriyle çalışır: sürekli izleme (CM) ve olumsuz olay analizi (AE). Müdahale Et dört kategori taşır: olay yönetimi (MA), olay analizi (AN), olay müdahalesinde raporlama ve iletişim (CO) ve olay etkisini azaltma (MI). Kurtar iki kategoriyle biter: kurtarma planının yürütülmesi (RP) ve kurtarma iletişimi (CO).

Toplam yirmi iki eder. Alt kategori kodu, kategori koduna bir tire ve numara ekler. DE.CM-01, Tespit Et'in sürekli izleme kategorisindeki ilk sonuçtur: ağlar ve ağ hizmetleri olası olumsuz olaylar için izlenir.

Numaralarda boşluk görürsen şaşırma. NIST'e göre boşluklar, 1.1'deki alt kategorilerin 2.0'da başka bir yere taşındığını gösterir. Örneğin veri güvenliği kategorisinde yalnız PR.DS-01, PR.DS-02, PR.DS-10 ve PR.DS-11 vardır.

Çekirdek herkes için aynıdır. Kuruma özel olan kısım profildir. Kurumsal profil, çekirdeğin sonuçlarını kurumun kendi durumuna göre yazar. Bugünkü Profil (Current Profile), kurumun hangi sonuçlara ulaştığını ve ne ölçüde ulaştığını anlatır.

Hedef Profil (Target Profile), kurumun seçtiği ve öncelik verdiği sonuçları yazar. İkisi arasındaki fark, önceliklendirilecek iş listesini verir. Bir de topluluk profili vardır.

Bir sektör, bir teknoloji ya da bir tehdit türü için ortak bir sonuç tabanı sunar. Kurum bunu kendi Hedef Profili'ne başlangıç yapabilir. Nisan 2025'te yayımlanan NIST SP 800-61r3, olay müdahalesi için hazırlanmış bir CSF 2.0 topluluk profilidir.

NIST profil çalışmasını beş adımda anlatır. Önce profilin kapsamını çiz: bütün kurum mu, yalnız finans sistemleri mi, yoksa fidye yazılımına karşı hazırlık mı? Sonra bilgi topla: politikalar, risk öncelikleri, iş etki analizi ve kullanılan standartlar. Üçüncü adımda profili oluştur ve her sonuç için hangi bilgiyi tutacağını seç.

Dördüncü adımda iki profil arasındaki boşluğu analiz et ve öncelikli bir eylem planı yaz. Bu plan bir risk kaydı ya da bir eylem ve kilometre taşları planı (POA&M) olabilir. Son adımda planı uygula ve profili güncelle. Adımlar bir kez bitip kapanmaz; kurum onları gerektiği kadar tekrarlar.

ALTAY KARGO - CSF 2.0 PROFİL FARKI (kapsam: sürücü uygulaması, 2026 Ç4)
Alt kategori  Bugün   Hedef  Öncelik  Sahip           Eylem
GV.RM-02      Kısmi   Tam    2        Genel müdür     Risk iştahı beyanını yönetim kuruluna onaylat
ID.AM-01      Tam     Tam    -        BT operasyon    Değişiklik yok, çeyreklik gözden geçirme sürer
PR.AA-01      Kısmi   Tam    2        Kimlik ekibi    Ayrılan personelin hesabını 24 saatte kapat
PR.AT-01      Tam     Tam    -        İK ve güvenlik  Değişiklik yok, yıllık eğitim sürer
DE.CM-01      Kısmi   Tam    1        Güvenlik ekibi  Ağ günlüklerini merkezi topla, alarm kuralı yaz
RC.RP-03      Yok     Tam    1        BT operasyon    Geri yüklemeden önce yedeğin bütünlüğünü doğrula

Tabloyu satır satır oku. Başlık kapsamı yazar: profil bütün kurumu değil, yalnız sürücü uygulamasını anlatır. GV.RM-02 kısmi, çünkü risk iştahı yazılmış ama yönetim kurulu henüz onaylamamış. ID.AM-01 ve PR.AT-01 zaten hedefte; eylem sütunu yalnız sürdürülecek işi yazar.

PR.AA-01 kısmi, çünkü işten ayrılanların hesabı bazen haftalarca açık kalıyor. DE.CM-01 kısmi, çünkü ağ günlükleri toplanıyor ama kimse onları izlemiyor. RC.RP-03 hiç yok. Ekip her gece yedek alıyor ama geri yüklemeden önce yedeğin temiz olduğunu doğrulamıyor.

Bir fidye saldırısında bulaşık bir yedeğe dönmek, olayı ikinci kez yaşamak demektir. Bu yüzden iki satır birinci önceliği aldı. Sahibi olmayan bir boşluk, bir sonraki çeyrekte de boşluk olarak kalır.

Katmanlar (Tiers) başka bir soruyu yanıtlar. Profil 'hangi sonuçlara ulaşıyoruz' diye sorar. Katman ise 'riski ne kadar sistemli yönetiyoruz' diye sorar.

Dört katman vardır: Kısmi (Tier 1), Risk Bilgili (Tier 2), Tekrarlanabilir (Tier 3) ve Uyarlanabilir (Tier 4). Kısmi katmanda iş gelişigüzel yürür ve risk farkındalığı sınırlıdır. Tekrarlanabilir katmanda risk yönetimi uygulamaları resmî olarak onaylanır ve politika olarak yazılır.

Uyarlanabilir katmanda kurum, önceki ve güncel faaliyetlerden çıkan derslerle uygulamalarını değiştirir. Katman bir karne notu değildir. NIST üst katmana, risk ya da yükümlülük arttığında veya maliyet ve fayda bunu haklı çıkardığında geçmeyi önerir.

NIST çekirdeği bir PDF'e hapsetmez. Çerçeveyi destekleyen kaynaklar çevrim içi yayımlanır ve belgeden daha sık güncellenir. Bilgilendirici referanslar (Informative References), çekirdekteki sonuçları SP 800-53 ya da ISO/IEC 27001 gibi belgelere eşler. Bu eşlemeler NIST'in OLIR programında toplanır.

Uygulama örnekleri, bir alt kategoriye ulaşmak için atılabilecek kısa adımları gösterir. Hızlı başlangıç kılavuzları küçük işletme, kurumsal profil, tedarik zinciri riski ya da katmanlar gibi dar konulara odaklanır. NIST'in CPRT aracında çekirdeği süzebilir, veriyi XLSX ya da JSON olarak indirebilirsin. Altay Kargo'nun ekibi profil tablosunu bu dışa aktarımla başlattı.

Üç hata sık görülür. Birincisi CSF'yi bir sertifika sanmaktır. 'CSF sertifikalıyız' diyen bir teklif, müşteriye yanlış bir güvence verir.

İkincisi alt kategorileri kanıtsız işaretlemektir. Profilde 'tam' yazan her satırın arkasında bir kayıt, bir ekran ya da bir rapor durmalıdır; yoksa profil bir dilek listesine döner. Üçüncüsü Yönet fonksiyonunu tek bir politika belgesine indirmektir.

GV.OV-01, risk stratejisinin sonuçlarının gözden geçirilmesini ve stratejinin buna göre ayarlanmasını ister. Kimse stratejiyi ölçmüyorsa, imzalı bir politika bu sonucu karşılamaz. İç denetçi bu yüzden profilden rastgele üç satır seçer ve kanıtını ister. Kanıt yoksa satır 'kısmi'ye düşer.

Şimdi bir olayı fonksiyonlara böl. Altay Kargo'nun depo sunucusu fidye yazılımıyla şifrelendi. Ağ izleme aracı olağan dışı dosya trafiğini yakaladı; bu Tespit Et'tir.

Ekip sunucuyu ağdan ayırdı ve olayı sınırladı; bu Müdahale Et'tir (RS.MI-01). Ardından yedeğin temiz olduğunu doğruladı ve sistemi yedekten geri yükledi. İşi normale döndüren bu adımlar ayrı bir fonksiyonda durur. Çeyreklik raporu okuyan yönetim kurulu üyesi her adımı doğru fonksiyonda görmek ister, çünkü yatırım kararını fonksiyon başına verir.