SOC Hizmeti Satın Alma Rehberi: Neyi İzlemeli, Nasıl Ölçmeli?

Bu rehber, yönetilen güvenlik (SOC / MDR) hizmeti satın almayı değerlendiren kurumlar için hazırlandı. Neyin izlenmesi gerektiğini, hizmet sağlayıcıya sorulacak soruları ve sözleşmede bulunması gereken ölçütleri adım adım anlatır.

1. Sızma Testi Yetmez mi?

Sızma testi belirli bir tarihteki zafiyetleri gösterir; sonraki gün açılan bir hesap, yeni bir yama eksiği ya da oltalama e-postası testin kapsamı dışındadır. Yönetilen güvenlik hizmeti sürekli izleme, doğrulama ve müdahale sağlar. İkisi birbirinin alternatifi değil, tamamlayıcısıdır: test zafiyeti bulur, SOC sömürülmesini fark eder.

2. Neler İzlenmeli?

Asgari kapsam dört kaynaktır: uç noktalar (çalışan bilgisayarları ve sunucular), kimlik sistemi (Entra ID, Google Workspace, Active Directory), e-posta ve bulut hizmetleri, ağ geçitleri ve güvenlik duvarı. Düzenlemeye tabi kurumlarda uygulama logları, veritabanı erişimi ve fiziksel erişim kayıtları eklenir. İzlenmeyen kaynak, görünmeyen saldırı yüzeyidir.

Çıktı: Varlık envanteri ve log kaynağı listesi; her kaynak için "izleniyor / izlenmiyor / planlandı" durumu.

3. Uyarı ile Olay Arasındaki Fark

Araçlar günde yüzlerce uyarı üretir; bunların çok küçük bir bölümü gerçek olaydır. İyi bir hizmetin değeri, uyarıyı doğrulayıp size yalnızca eyleme dönüşecek olayları iletmesidir. Teklif değerlendirirken "ayda kaç uyarı doğruluyorsunuz, kaçı olaya dönüşüyor?" sorusunu sorun; cevap veriyle gelmelidir.

4. Hedef Süreler

Sözleşmede üç süre bulunmalıdır: uyarının doğrulanma süresi, kritik olayın size bildirilme süresi ve ilk müdahalenin (örneğin uç noktayı yalıtmanın) başlatılma süresi. Süreler olay seviyesine göre (kritik, yüksek, orta, düşük) ayrı yazılır ve aylık raporda ölçülen değerlerle karşılaştırılır.

Çıktı: Seviye bazlı hedef süre tablosu; ölçüm yöntemi ve rapor biçimi.

5. Müdahale Yetkisi

Hizmet sağlayıcının hangi eylemleri sizin onayınız olmadan yapabileceği önceden yazılır: hesabı kilitleme, cihazı ağdan yalıtma, kuralı engelleme. Gece üçte onay beklemek müdahaleyi geciktirir; sınırsız yetki ise iş sürekliliğini riske atar. Doğru çözüm, seviyeye göre önceden tanımlı yetki matrisidir.

6. Araç ve Veri Sahipliği

Loglar ve olay kayıtları kurumun malıdır. Sözleşme sona erdiğinde verinin nasıl teslim edileceği, saklama süreleri ve verinin hangi ülkede tutulduğu açıkça yazılmalıdır. Mevcut güvenlik araçlarınızın korunup korunmayacağı ve araç değişikliğinin kime ait olduğu da bu başlıkta netleşir.

7. Olay Müdahale Planı ve Tatbikat

Gerçek olayda kimin karar vereceği, kimlerin bilgilendirileceği (yönetim, hukuk, KVKK Kurulu, müşteriler) ve hangi sırayla hareket edileceği yazılı olmalıdır. Hizmet sağlayıcı yılda en az bir masa başı tatbikat yapmalı, sonuçlarını iyileştirme listesiyle sunmalıdır.

Çıktı: Olay müdahale planı, iletişim ağacı, tatbikat raporu.

8. Raporlama

Aylık rapor en az şunları içermelidir: olay sayıları ve seviyeleri, ölçülen müdahale süreleri, açık zafiyetler ve yaş dağılımı, kapanan iyileştirmeler ve bir sonraki ayın öncelikleri. Yönetim özeti teknik olmayan okuyucu için bir sayfadır.

9. Süre ve Maliyeti Belirleyen Etkenler

• Uç nokta, sunucu ve kullanıcı sayısı; log hacmi ve saklama süresi.
• İzleme kapsamı: yalnızca uç nokta mı, kimlik, bulut ve uygulama logları da mı?
• Hedef süreler ve 7/24 kapsamı; müdahale yetkisinin genişliği.
• Düzenleyici gereksinimler (BDDK, KVKK, ISO 27001) ve denetim kanıtları.
• Mevcut araçların yeniden kullanımı ya da yeni araç lisansları.

Kontrol Listesi

• Varlık envanteri ve log kaynağı listesi çıkarıldı; izlenmeyen kaynaklar işaretlendi.
• Seviye bazlı hedef süreler sözleşmede yazılı.
• Müdahale yetki matrisi onaylandı.
• Log ve olay verisinin sahipliği, saklama ve teslim koşulları belirlendi.
• Olay müdahale planı ve iletişim ağacı var; yıllık tatbikat takvimde.
• Aylık rapor biçimi ve yönetim özeti örneği görüldü.
• Sızma testi ve zafiyet yönetimiyle ilişki tanımlandı.