Holding Bilgi Güvenliği & ISO 27001 Akreditasyonu

Proje Genel Bakışı & Kurumsal Yapı

Sanayi, enerji, turizm ve perakende sektörlerinde faaliyet gösteren 12 holding şirketi, 3.000'den fazla çalışan ve 80 fiziksel/sanal sunucudan oluşan holding ekosisteminde merkezi bilgi güvenliği yönetimi (ISMS) kurulmuş ve ISO/IEC 27001:2022 sertifikasyonu tamamlanmıştır.

Mevcut Altyapı Sorunları & Karşılaşılan Zorluklar

Grup şirketlerinin farklı zamanlarda kurulmuş dağınık yapısı nedeniyle şu kritik güvenlik açıklarına rastlanmıştır:

• Standart Olmayan Antivirüs ve İstemci Yönetimi: Her şirkette farklı güvenlik yazılımları kullanılıyor, merkezden tek bir güvenlik politikası uygulanamıyordu.
• Gevşek Active Directory Hakları: Kullanıcıların bilgisayarlarında yerel yönetici (local admin) yetkilerinin bulunması fidye yazılımı yayılma riskini artırıyordu.
• Zaman Damgasız Log Kayıtları: 5651 sayılı kanunun zorunlu kıldığı zaman damgalı loglama yapılmıyor ve merkezi bir SIEM analizi bulunmuyordu.

Uygulanan Mühendislik & Mimari Çözüm

DigitalHooman siber güvenlik ve sistem mimarları holding düzeyinde kapsamlı bir güvenlik programı yürütmüştür:

• Tiering Modeli ile Active Directory Sıkılaştırma: Tier 0 (Domain Controller), Tier 1 (Sunucular) ve Tier 2 (İstemciler) ayrımı yapıldı. Tüm yönetici hesaplarına donanımsal çift faktörlü kimlik doğrulama (MFA) getirildi.
• Merkezi EDR (Microsoft Defender for Endpoint): 3.000'den fazla istemciye merkezi EDR kurulumu yapılarak 7/24 şüpheli davranış ve yanal hareket (lateral movement) tespiti sağlandı.
• FortiSIEM ve 5651 Zaman Damgalı Loglama: Tüm ağ cihazları, sunucular ve güvenlik duvarları FortiSIEM üzerinde toplanarak TÜBİTAK onaylı zaman damgasıyla imzalandı.
• Düzenli Oltalama (Phishing) Simülasyonları: Holding personeline periyodik siber farkındalık eğitimleri ve test saldırıları düzenlendi.

Elde Edilen Somut ve Ölçülebilir Sonuçlar

Holding bünyesinde yürütülen 6 aylık dönüşüm programı neticesinde somut başarılar elde edilmiştir:

• ISO/IEC 27001:2022 Belgelendirmesi: Akredite bağımsız denetçi kuruluştan sıfır majör uygunsuzlukla sertifika alındı.
• Oltalama Tıklama Oranı %28'den %1.4'e Düştü: Şirket çalışanlarının siber güvenlik farkındalığı üst düzeye çıkarıldı.
• 4 Dakika Altında Tehdit İzolasyonu: Olası bir zararlı yazılım girişiminde şüpheli cihazın ağdan otomatik izole edilme süresi 4 dakikanın altına indirildi.