Uygunsuzluk, düzeltici faaliyet ve tedarikçi riski

Altay Kargo'nun iç denetimi bitti ve rapor masada. Ayrılan üç çalışanın hesabı açık kalmış ve bu hesaplarla VPN'e hâlâ bağlanılabiliyor. Yedekten geri dönüş testi dört aydır yapılmamış. Bulut depolama sağlayıcısının sözleşmesinde denetim hakkı maddesi yok.

Bulgu yazmak işin yarısıdır. Asıl iş, bulguları doğru sınıflandırmak ve bir daha çıkmayacak biçimde kapatmaktır. Bu derste önce uygunsuzluğu majör ve minör diye ayıracaksın.

Sonra düzeltme ile düzeltici faaliyetin farkını görecek, beş neden yöntemiyle kök nedene ineceksin. Ardından kapanışın nasıl doğrulandığını öğreneceksin. Son iki bölümde tedarikçi riskine geçecek, güvence belgelerini okuyacak ve sözleşmeyle izlemeyi kuracaksın.

Uygunsuzluk, bir şartın karşılanmadığı somut durumdur. Politika bir şeyi zorunlu kılar, saha bunun tersini gösterir. Sertifika denetimlerinde uygunsuzluklar iki sınıfa ayrılır. Tanımlar, sertifika kuruluşlarının uyduğu ISO/IEC 17021-1 standardından gelir.

Majör uygunsuzluk, yönetim sisteminin hedeflenen sonuçlara ulaşma yeteneğini etkiler. Bir kontrolün hiç çalışmaması ya da aynı hatanın tekrar tekrar görülmesi tipik örnektir. Hiçbir yönetici hesabında çok faktörlü doğrulamanın açık olmaması majördür. Minör uygunsuzluk bu yeteneği etkilemeyen, izole ve tek seferlik bir sapmadır.

Bir çalışanın parolasını süresi dolduktan bir hafta sonra değiştirmesi buna örnektir. Bazı kurumlar üçüncü bir sınıf da kullanır: gözlem. Gözlem henüz şartı ihlal etmez, ama ileride uygunsuzluğa dönüşebilecek bir eğilimi işaret eder.

Sınıf sonucu değiştirir. Majör bulguda sertifika kuruluşu, düzeltmeyi ve düzeltici faaliyeti görüp etkinliğini doğrulamadan olumlu karar vermez. Minör bulguda kurumun eylem planını kabul eder ve uygulamayı bir sonraki denetimde kontrol eder. İç denetimde de majör bulgu üst yönetime ayrıca bildirilir ve daha kısa bir takvime bağlanır.

Sınır bazen tartışmalıdır. O durumda denetçi kapsamı genişletir ve aynı hatanın başka yerde de olup olmadığına bakar.

Her çerçeve aynı ölçeği kullanmaz. Bilgi ve İletişim Güvenliği Denetim Rehberi bulguları kritiklik derecesine göre dört düzeyde sınıflar: çok yüksek, yüksek, orta ve düşük. Derece, bulgunun kurumda yaratacağı riskin etkisine ve gerçekleşme olasılığına göre belirlenir.

ISO/IEC 27001:2022'nin 10.2 maddesi uygunsuzluk çıktığında ne yapılacağını sıralar. Önce tepki verilir: uygunsuzluk kontrol altına alınır, düzeltilir ve doğurduğu sonuçlarla ilgilenilir. Buna düzeltme denir.

Açık kalan VPN hesabını hemen kapatmak bir düzeltmedir. Ardından kurum, nedeni ortadan kaldıracak bir eylem gerekip gerekmediğini değerlendirir. Uygunsuzluğu gözden geçirir, nedenini bulur ve benzerinin başka yerde olup olmadığına bakar. Bu ikinci eyleme düzeltici faaliyet denir.

Son adımlar eylemi uygulamak, etkinliğini gözden geçirmek ve gerekirse yönetim sisteminde değişiklik yapmaktır. Her adım kanıt olarak saklanır. Eski standartlarda ayrı bir önleyici faaliyet maddesi vardı. 2013 baskısından beri önleme, risk değerlendirmesini düzenleyen 6.1 maddesinin işidir.

Kök nedeni bulmanın en sade yolu beş neden yöntemidir. Belirtiden başlanır ve her cevaba yeniden neden diye sorulur. Beş sayısı bir kural değildir.

Zincir, cevap kurumun bir süreç ya da sistem kararını gösterene kadar sürer. Altay Kargo'nun denetim ekibi VPN bulgusunu BT ve İK temsilcileriyle birlikte bu yöntemle çözdü.

Zincir aşağıdadır. Her halkada cevabı destekleyen kanıt da yazılıdır, çünkü kanıtsız bir neden yalnız bir tahmindir. Ekip toplantıyı suçlu aramadan yürüttü. Soru hep sürece yöneldi, kişiye değil.

BULGU 2026-İD-03 · Ayrılan personelin hesabı ve VPN erişimi açık kaldı

Neden 1  Hesap neden açık kaldı?
         BT ayrılış günü hesabı kapatmadı.           Kanıt: hesap ve VPN dökümü
Neden 2  BT neden kapatmadı?
         Ayrılıştan haberi olmadı.                   Kanıt: destek kayıtları
Neden 3  BT neden haber almadı?
         İK listeyi ayda bir, elle e-postayla yolluyor.  Kanıt: e-posta arşivi
Neden 4  Liste neden elle gidiyor?
         İK yazılımı kimlik yönetimine bağlı değil.  Kanıt: entegrasyon envanteri
Neden 5  Bağlantı neden kurulmadı?
         Ayrılış sürecinin bir sahibi yok.           Kanıt: süreç haritası

Düzeltme            3 açık hesabı kapat, oturum kayıtlarını incele.
Düzeltici faaliyet  İK'da ayrılış kaydı girilince hesapları kapatan tetik kur.
                    Ayrılış sürecine tek bir süreç sahibi ata.

Zinciri baştan sona oku. İlk iki halka belirtiyi anlatır; orada durmak yalnız düzeltme üretir. Üçüncü halka elle yürüyen bir akışı gösterir.

Dördüncü ve beşinci halka asıl kararı ortaya koyar: iki sistem birbirine bağlı değil ve süreci kimse sahiplenmiyor. Düzeltici faaliyet bu iki noktayı hedefler. Beş neden tek bir zincir izler. Sorunun birden çok kaynağı varsa balık kılçığı diyagramı daha iyi çalışır.

Diyagramın başına sorun yazılır. Kılçıklar insan, süreç, teknoloji, ölçüm ve çevre gibi neden gruplarını taşır. Ekip her gruba olası nedenleri yazar ve kanıtla desteklenenleri seçer.

Düzeltici faaliyet yapıldı yazmakla kapanmaz. Denetçi ya da bulgu sahibi, eylemin gerçekten işe yaradığını yeniden kontrol eder. Buna etkinlik doğrulaması denir.

Altay Kargo'da bir parola bulgusu daha önce "politika hatırlatıldı" notuyla kapatılmıştı. Üç ay sonra aynı sorun yeniden çıktı, çünkü hatırlatma teknik bir zorunluluk getirmemişti. İkinci turda düzeltici faaliyet değişti.

Sistemde asgari uzunluk teknik olarak zorunlu kılındı. Doğrulama da bu kez sistem ayarından yapıldı, çalışanın hafızasından değil. İki tur arasındaki fark, eylemin neye bağlı kaldığıdır. İnsan hatırlaması kırılgandır, sistem zorunluluğu kalıcıdır.

Doğrulamanın zamanı da önemlidir. Eylemin tamamlandığı gün yapılan kontrol yalnız kurulumu gösterir. Etkinlik, kontrol bir süre çalıştıktan sonra görülür.

Altay Kargo VPN bulgusu için doksan günlük bir bekleme koydu. Tetik kurulduktan üç ay sonra denetçi o dönemde ayrılan herkesin listesini yeniden alır. Her ayrılış kaydını hesabın kapanma zamanıyla karşılaştırır.

Bütün hesaplar ayrılış günü kapanmışsa bulgu kapanır. Tek bir gecikme bile varsa bulgu açık kalır ve neden yeniden sorulur. Kapanış kaydı doğrulama yöntemini, tarihini, örneği ve sonucu taşır. Bir sonraki dış denetimde ilk istenecek belgelerden biri budur.

Tedarikçi riski, kurumun güvenlik çevresinin üçüncü tarafla birlikte genişlemesidir. Altay Kargo'nun müşteri verisini işleyen bulut depolama sağlayıcısı, kendi zafiyetiyle Altay Kargo'nun verisini de riske atar. Risk yönetimi tedarikçi seçilmeden başlar.

Kurum önce bilgi talebiyle (RFI) pazarı tanır. Ardından teklif talebiyle (RFP) çözümleri, fiyat talebiyle (RFQ) maliyeti karşılaştırır.

Seçimden önce ön inceleme (due diligence) yapılır: mali durum, geçmiş ihlaller, sertifikalar ve alt yükleniciler incelenir. Çıkar çatışması da sorulur. Seçim komitesindeki bir çalışanın tedarikçide akrabası ya da payı varsa, o kişi karardan çekilir. Bu adımların her biri kayda geçer, çünkü sonraki denetimde seçimin gerekçesi sorulur.

Her tedarikçi aynı derinlikte incelenmez. Altay Kargo tedarikçileri iki soruyla katmanlar.

Birincisi veri erişimidir: tedarikçi müşteri verisine dokunuyor mu? İkincisi kritikliktir: tedarikçi bir gün çalışmazsa teslimat durur mu? İki cevabın kesişimi değerlendirmenin derinliğini belirler.

Aşağıdaki tabloyu satır satır oku. Ofis malzemesi tedarikçisi ne veriye ne kritik bir hizmete dokunur; kısa bir anket yeter. İnternet servis sağlayıcısı veri işlemez, ama bağlantı koparsa şubeler çalışamaz.

Müşteri anketi yazılımı e-posta adreslerini görür, ama bir gün çalışmasa teslimat durmaz. İkisi de ikinci katmandadır. Bulut depolama sağlayıcısı hem veriyi taşır hem kritik bir hizmet verir; birinci katmandadır.

TEDARİKÇİ KATMANLAMA (veri erişimi × kritiklik)

                     Kritiklik düşük          Kritiklik yüksek
Veriye erişmez       Katman 3                 Katman 2
                     kısa anket               sertifika incelemesi
Veriye erişir        Katman 2                 Katman 1
                     sertifika incelemesi     sertifika + SOC 2 raporu
                                              + yerinde denetim hakkı

Tedarikçi                      Veri    Kritiklik   Katman
Ofis malzemesi                 yok     düşük       3
İnternet servis sağlayıcısı    yok     yüksek      2
Müşteri anketi yazılımı        var     düşük       2
Bulut depolama sağlayıcısı     var     yüksek      1

Birinci ve ikinci katmanda güvence belgesi okunur, ama yalnız kapağına bakılmaz. ISO/IEC 27001 sertifikasında ilk bakılacak yer kapsam cümlesidir. Sertifika yalnız belli bir veri merkezini ya da belli bir hizmeti kapsıyor olabilir. Altay Kargo'nun kullandığı depolama hizmeti kapsam dışındaysa sertifika bu ilişki için güvence vermez.

İkinci bakılacak yer Uygulanabilirlik Bildirgesi'dir; tedarikçinin hangi kontrolleri dışarıda bıraktığını gösterir. SOC 2 raporu iki tiptir. Tip I, kontrollerin tasarımını belli bir tarih itibarıyla değerlendirir.

Tip II, kontrollerin bir dönem boyunca işleyip işlemediğini de test eder. Bulut sağlayıcılarında CSA'nın CAIQ anketi ve STAR kaydı da kullanılır. STAR'ın birinci düzeyi öz değerlendirmedir, ikinci düzeyi sertifika ya da üçüncü taraf güvence raporudur.

Değerlendirmenin sonucu sözleşmeye yazılır. Gizlilik sözleşmesi (NDA), tedarikçinin öğrendiği bilgiyi paylaşmasını yasaklar ve çoğu zaman ilk imzalanan belgedir. Çerçeve hizmet sözleşmesi (MSA) ilişkinin genel kurallarını koyar.

İş tanımı (SOW) belli bir işin kapsamını, teslim tarihini ve bedelini yazar. Hizmet düzeyi sözleşmesi (SLA) ölçülebilir bir taahhüt verir, örneğin yüzde 99,9 erişilebilirlik. Hizmet düzeyi hedefi (SLO) bu taahhüdün içindeki iç hedeftir.

SLA'nın ölçüm yöntemi yazılmazsa taahhüt boş kalır: erişilebilirliği kim, hangi araçla, hangi aralıkla ölçecek? Kurumlar arası iş birliğinde iki belge daha görülür. Mutabakat zaptı (MOU) tarafların niyetini, anlaşma memorandumu (MOA) ise karşılıklı yükümlülükleri yazar.

Sözleşme imzalandıktan sonra izleme başlar. Yüksek riskli tedarikçide sözleşmeye denetim hakkı maddesi eklenir. Bu madde sayesinde Altay Kargo, tedarikçinin kontrolünü gerektiğinde kendi ekibiyle yerinde inceler. Hizmet düzeyi aylık raporla izlenir.

Bütün tedarikçiler bir tedarikçi sicilinde katmanı, sözleşme bitişi ve son değerlendirme tarihiyle tutulur. Tedarikçi her yıl bir uyum beyanı imzalar. İki kısıt da baştan düşünülür.

Tedarikçi bağımlılığı, verinin ya da sistemin başka bir sağlayıcıya taşınamaması riskidir. Yargı alanı ise verinin hangi ülkenin hukukuna tabi olduğunu belirler. İkisinin cevabı çıkış planıdır: sözleşme biterse veri hangi biçimde, kaç gün içinde geri alınır ve tedarikçideki kopya nasıl silinir?

Uygunsuzluk ve tedarikçi riski aynı döngüde buluşur. Bir tedarikçi denetiminde bulunan majör uygunsuzluk da kök neden, eylem planı ve doğrulama adımlarından geçer. Fark, eylemi tedarikçinin ekibinin uygulaması ve Altay Kargo'nun takip etmesidir.

Takip sözleşmedeki bir takvime bağlanır; takvimsiz takip, hatırlandığında yapılan bir işe döner. Yazılım tedarikçilerinde zincir bir halka daha uzar. NIST SP 800-161 Rev. 1, tedarik zinciri riskini alt yüklenicilere ve bileşenlere kadar izlemeyi önerir.

Altay Kargo bu yüzden takip cihazı yazılımının tedarikçisinden her sürümle birlikte bir SBOM istiyor. Önceki modülde gördüğün CRA da AB pazarına dijital ürün süren üreticiden SBOM hazırlamasını istiyor; bu yükümlülük Aralık 2027'de uygulanmaya başlıyor.