← Rehber

BİG Rehberi uyum kontrol listesi: sekiz adımda uyum süreci

ControlPilot · 21 Ekim 2026 · yaklaşık 9 dakikalık okuma

Bilgi ve İletişim Güvenliği Rehberi (BİG Rehberi), kurumların bilgi varlıklarını gruplamasını, her grubun kritikliğini bir anketle belirlemesini ve bu dereceye göre katmanlı tedbirler uygulamasını ister. Kâğıt üzerinde basit görünen bu akış, uygulamada en çok varlık gruplama ve kritiklik anketi adımlarında aksar. Bu yazı, uyum sürecini sekiz adımlık bir kontrol listesine çeviriyor ve denetimde en sık takılınan noktaları işaretliyor.

Kimler BİG Rehberi'ne tabi?

Rehber, 6 Temmuz 2019 tarihli 2019/12 sayılı Cumhurbaşkanlığı Genelgesi üzerine hazırlandı ve 2020'de yayımlandı. Kapsamında tüm kamu kurumları ve kritik altyapı işletmecileri var. Kritik altyapı sektörleri arasında enerji, finans, elektronik haberleşme, sağlık, su, ulaştırma ve dijital altyapılar gibi alanlar sayılıyor.

Rehberle ilgili yetki 2025 başında Siber Güvenlik Başkanlığı'na geçti; aynı yıl yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu da yükümlülüklere idari para cezası yaptırımı bağladı. Kurumunuzun kapsamda olup olmadığını ve güncel yükümlülükleri, yetkili kurumun son duyurularından teyit etmenizi öneririz.

Rehberin mantığı: gruplama, derece, katmanlı tedbir

Rehberin bütün yapısı üç adımlık bir zincire dayanır:

1. Varlık gruplama: benzer güvenlik ihtiyacı olan varlıklar gruplara ayrılır.
2. Derecelendirme: her grubun kritiklik derecesi (1, 2 veya 3) anketle belirlenir.
3. Katmanlı tedbir: derece yükseldikçe uygulanacak tedbir kümesi büyür.

Rehberdeki 660 tedbirin dağılımı şöyle: 416'sı varlık grubu ana başlıklarına göre düzenlenmiş genel tedbirler (Bölüm 3), 145'i kullanılan uygulama ve teknoloji alanlarına özgü tedbirler (Bölüm 4), 99'u işletim sistemi, veritabanı ve sunucu sıkılaştırma tedbirleri (Bölüm 5). Seviyeye göre bakınca 411 temel, 148 orta ve 101 ileri seviye tedbir var.

Sekiz adımlık uyum kontrol listesi

1 · Planlama ve ekip

• Üst yönetimin onayladığı bir uyum çalışması kararı ve kapsam tanımı
• Rehber uyum ekibi: bilgi güvenliği, BT operasyonu, iş birimleri ve iç kontrol/denetim temsilcileri
• Takvim: gruplama, anket, boşluk analizi ve yol haritası için hedef tarihler

2 · Varlıkları gruplara ayırma

Rehber altı varlık grubu ana başlığı tanımlar:

• Her ana başlık altında bir veya daha fazla varlık grubu (ör. "İnternete açık web sunucuları")
• Her varlığın en az bir grupta yer aldığını gösteren eşleştirme
• Her grup için sahip, varlık sayısı ve grubun neden homojen olduğuna dair kısa açıklama

Dikkat: rehber varlık değil varlık grubu ister. Tedbirler gruba uygulanır; gruptaki bütün varlıklar aynı tedbir kümesine tabidir. Çok farklı kritiklikteki varlıkları aynı gruba koymak, ya düşük kritikli varlıklara gereksiz yük bindirir ya da yüksek kritikli varlığı korumasız bırakır.

3 · Kritiklik anketi ile derecelendirme

Her varlık grubu için sekiz soruluk bir anket doldurulur. İlk üç soru işlenen verinin gizlilik, bütünlük ve erişilebilirlik ihtiyacını; son beş soru etki alanını (etkilenen kişi sayısı, toplumsal ve kurumsal sonuçlar, sektörel etki, bağımlı varlıklar) ölçer. Puanlar toplanır; toplam 8 ile 40 arasındadır.

Anket bir form değil, bir çalışmadır. Rehberin anketle ilgili şartları:

• Katılımcı listesi: varlık sahipleri, sistem yöneticileri, geliştiriciler, kullanıcı temsilcileri ve yöneticiler
• Ortak karara varılana kadar tekrarlanan turlar (Delfi yöntemi)
• Her cevap için yazılı gerekçe
• Sorular grubun en kritik ve en etkili varlığı düşünülerek cevaplanır; birden fazla doğru şık varsa en yüksek puanlı seçilir
• Onay tarihi, onaylayan yetkili ve imza
• Sonuçlara göre grupların yeniden gözden geçirilmesi; gerekirse gruplar güncellenip anket tekrarlanır

Rehber, anketin uyum denetimi kapsamında ayrıca kontrol edileceğini belirtir. Yani denetçi yalnızca çıkan dereceye değil, o dereceye nasıl varıldığına da bakar.

Puanlamada en sık yapılan üç hata

Anket elle tabloya aktarılırken şu üç ayrıntı sık atlanır ve toplam puanı, dolayısıyla dereceyi yanlış çıkarır:

1. Gizlilik, bütünlük ve erişilebilirlik sorularında "4 puan" yoktur. Şıkların puanları 1, 2, 3 ve 5'tir; dördüncü şık 5 puandır.
2. Kurumsal sonuçlar sorusunun azamisi 3'tür. Üç şıklı tek sorudur.
3. Toplumsal sonuçlar ve bağımlı varlıklar sorularının beşinci şıkkı 6 puandır ("daha yüksek etkili sonuç").

Eşiklere yakın gruplarda tek bir puanlık hata, grubu bir alt dereceye düşürüp onlarca tedbiri kapsam dışı bırakabilir.

4 · Mevcut durum ve boşluk analizi

• Her grup için, derecesine göre uygulanması gereken tedbir kümesi (Bölüm 3, kullanılan teknolojilere göre Bölüm 4)
• Her tedbirin bugünkü durumu: uygulandı, kısmen, çoğunlukla, telafi edici kontrolle karşılandı, uygulanmadı veya uygulanabilir değil
• "Uygulanabilir değil" ve "telafi edici kontrol" işaretlenen her tedbir için gerekçe
• Uygulanmayan tedbirlerin listesi: boşluk listesi

5 · Rehber uygulama yol haritası

• Boşlukların önceliklendirilmesi: önce yüksek dereceli grupların temel tedbirleri
• Her boşluk için sorumlu, hedef tarih ve gerekiyorsa bütçe
• Yol haritasının üst yönetim onayı ve düzenli izlenmesi

6 · Tedbirlerin uygulanması

• Bölüm 3 ve 4 tedbirlerinin yol haritasına göre hayata geçirilmesi
• Doğrudan uygulanamayan tedbirler için belgelenmiş telafi edici kontroller
• Her tedbir için kanıt: politika, yapılandırma çıktısı, kayıt, ekran görüntüsü

7 · Sıkılaştırma

• İşletim sistemi, veritabanı ve sunucu sıkılaştırma tedbirlerinin (Bölüm 5) uygulanması
• Sıkılaştırma durumunun düzenli olarak ölçülmesi ve sapmaların kaydı

8 · Uyum denetimi

Uyumun denetimi, Bilgi ve İletişim Güvenliği Denetim Rehberi'ndeki (BİGDR) formlarla yapılır. Denetim çıktısının iskeleti bu eklerle hazır gelir:

Çalışmanın çekirdeği EK-F'dir. Her tedbir iki ayrı eksende değerlendirilir:

• Uygulanma durumu: uygulandı, kısmen, çoğunlukla, telafi edici kontrol, uygulanmadı, uygulanabilir değil
• Etkinlik durumu: etkin, kısmen etkin, etkin değil

Her değerlendirmenin yanında kullanılan denetim yöntemi (mülakat, gözden geçirme, güvenlik denetimi, sızma testi, kaynak kod analizi) ve çalışma formu numarası yer alır.

Denetimde en sık takılınan noktalar

• Varlık listesini varlık grubu sanmak. Envanterdeki her satır bir grup değildir; grup, aynı tedbir kümesine tabi olacak varlıkların kümesidir.
• Anketi tek kişinin doldurması. Katılımcı listesi, turlar ve gerekçeler yoksa çıkan derece denetimde savunulamaz.
• Uygulanma ile etkinliği karıştırmak. Bir tedbirin yapılandırılmış olması, işlediğini göstermez; ikisi ayrı kanıt ister.
• "Uygulanabilir değil"i gerekçesiz kullanmak. Kapsam dışı bırakılan her tedbir, denetçinin ilk soracağı yerdir.
• Telafi edici kontrolü belgelememek. Tedbirin yerine neyin, nasıl ve hangi riski karşılayarak konduğu yazılı olmalıdır.

Bu süreci tek kayıt üzerinde yürütmek

Sekiz adımın her biri bir öncekinin çıktısını kullanır: gruplar anketi, anket dereceyi, derece tedbir kümesini, tedbir kümesi boşluk listesini, boşluk listesi yol haritasını belirler. Bu zincir dağınık dosyalarda yürütüldüğünde, bir grubun derecesi değiştiğinde hangi tedbirlerin kapsama girdiğini izlemek zorlaşır.

ControlPilot'un BİG Rehberi Uyumu modülü bu zinciri tek kayıt üzerinde tutar: varlık grupları, katılımcılı kritiklik anketi, dereceye göre otomatik tedbir kümesi, boşluk analizi, telafi edici kontroller, yol haritası ve EK-F düzeninde uyum denetimi. Kendi varlık gruplarınızla görmek isterseniz demo talep edebilirsiniz.