Tedarik Zinciri Siber Güvenlik: Tedarikçi Riskini Puanlama Rehberi

Tedarik zinciri saldırısı, güvenlik duvarınızı aşan bir olay değil; sizin seçtiğiniz bir ilişkinin içinden gelen bir olay. Bu yüzden savunma tarafındaki asıl soru "tedarikçiye ne kadar güveniyoruz" değil, "tedarikçi bizim ortamımızda ne kadar ileri gidebiliyor". Türkçe kaynaklarda bu sorunun cevabı genelde iki uçta duruyor: hukuk bürolarının tedarikçi sözleşmesinin hukuki çerçevesini anlatan makaleleri ve ürün satan firmaların "on madde" listeleri. İkisinin arasındaki boşluk tam olarak burası: bir tedarikçiyi diğerinden öne almanızı sağlayacak puanlama, sözleşmeye yazılacak cümle ve denetimde masaya konacak belge.

Bu metin o üç şeyi kuruyor. Ama önce iki cümleyi netleştirmek gerekiyor, çünkü Türkiye'de tedarikçi riskinin hukuki zemini sanıldığından daha sıkı.

Tedarikçi sorumluluğu devretmiyor: iki cümle, tek sonuç

6698 sayılı Kanun'un 12. maddesinin ikinci fıkrası kısa ve zorunlu: veri işleyen, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla, veri sorumlusunun aldığı tedbirlere uygun olarak gerekli her türlü teknik ve idari tedbirleri almakla yükümlü. Yani hizmet aldığınız bulut sağlayıcısı, çağrı merkezi, e-fatura entegratörü veya yazılım evi sizin yerinize geçmiyor; sizin yanınıza ekleniyor. Kurum'un Kişisel Veri Güvenliği Rehberi'nde bu konu ayrı bir başlık olarak duruyor: 2.5, "veri işleyenler ile ilişkilerin yönetimi", ve istediği şey bir niyet beyanı değil, sözleşme eki, denetim hakkı ve son denetim raporu.

İkinci cümle 19.03.2025 tarihli 7545 sayılı Kanun'dan geliyor. Kanun siber güvenlik yükümlülüklerini sayarken tedarikçiyi ayrı bir başlık olarak ele alıyor ama sayısal bir süre yazmıyor; "en kısa sürede" gibi bir ifadeyle yetiniyor. Bu, uygulamada şu anlama geliyor: süreyi kanun değil, sizin sözleşmeniz belirler. Sözleşmede "makul süre içinde bildirir" yazıyorsa, ihlal anında elinizde ölçülebilir hiçbir şey yok. Saat cinsinden bir süre yazıyorsanız, hem tedarikçinin hem sizin ilk adımınız belli.

Dayanak	Ne diyor	Pratikte istediği belge
KVKK md.12/2	Veri işleyen, veri sorumlusunun aldığı tedbirlere uygun tedbirleri almakla yükümlü	Veri işleyen sözleşmesi + ek teknik tedbir listesi
KVKK md.9 (7499 ile değişik)	Yurt dışına aktarım için yeterlilik kararı ya da uygun güvence	Dört standart sözleşme türünden biri ve 5 iş günü içinde Kurum bildirimi
Rehber 2.5	Veri işleyenlerle ilişkilerin yönetimi	Sözleşme eki, denetim hakkı maddesi, son denetim raporu
Rehber 3.4	Verilerin bulutta depolanması: bölge, anahtar, log sahipliği	Bulut sözleşmesi, bölge ayarı çıktısı, anahtar yönetimi kaydı
7545 md.7	Siber güvenlik yükümlülükleri, sayısal süre yok	Olay bildirim prosedürü ve süreyi tanımlayan iç yönerge
TBK md.115	Ağır kusurdan doğan sorumluluğun önceden kaldırılması hükümsüz	"Tüm sorumluluk tedarikçide değildir" tipi maddelerin ayıklanması

Son satır çoğu sözleşme kontrolünde atlanıyor. Tedarikçinin standart sözleşmesinde "hiçbir koşulda dolaylı zararlardan sorumlu değildir" yazıyorsa, bu madde sizin için bir güvence değil, bir boşluk. Türk Borçlar Kanunu md.115 uyarınca borçlunun ağır kusurundan doğan sorumluluğunu önceden kaldıran veya sınırlandıran anlaşma hükümleri kesin olarak hükümsüzdür; ama bunu ihlalden sonra mahkemede tartışmak, ihlalden önce maddeyi değiştirmekten çok daha pahalı. Yani sözleşme okuması bir hukukçu işi gibi görünse de, ilk turda bakılacak üç şey teknik: sorumluluk sınırı, bildirim süresi ve denetim hakkı.

Türkçe aramada ne var, ne yok

Bu yazıyı yazmadan önce "tedarik zinciri siber güvenlik" ve "tedarikçi risk yönetimi" sorgularının Türkçe sonuçları okundu. Tablo net: bir hukuk bürosu tedarikçi kaynaklı risklerin Türk ve AB hukukundaki çerçevesini ciddi biçimde anlatıyor; Kaspersky, Siemens ve Marsh gibi büyük tedarikçiler kendi yaklaşımlarını anlatan sayfalar yayımlıyor; NIST IR 8276 ve UpGuard gibi İngilizce kaynaklar ilk sayfaya sarkıyor.

Bu setin hiçbirinde olmayan üç şey var. Birincisi, eşiği olan bir puanlama: "kritik tedarikçilerinizi belirleyin" deniyor, ama hangi puanın kritik sayıldığı yazılmıyor. İkincisi, sözleşmeye olduğu gibi girecek madde metni: "güvenlik gereklilikleri ekleyin" deniyor, madde verilmiyor. Üçüncüsü, kanıt listesi: denetimde hangi belgenin istendiği, hangi belgenin işe yaramadığı ayrılmıyor. Aşağıdaki bölümler bu üç boşluğu dolduruyor; ürün adı geçmiyor, çünkü mesele ürün değil.

Riski çerçeveleyen dört sayı

Tedarik zinciri saldırılarının son iki yıldaki örnekleri, savunmanın nereye bakması gerektiğini ürün kategorisinden bağımsız olarak gösteriyor. Dördü de kamuya açık kayıtlarda:

Olay	Ne oldu	Hangi kontrolü test ediyor
tj-actions/changed-files, Mart 2025	Depo etiketleri zararlı bir commit'e yönlendirildi; CI iş akışlarında sırlar log'a düştü. CISA 18 Mart 2025'te uyarı yayımladı; Wiz'in ölçümü 23.000'den fazla depoyu etkilenenler arasında sayıyor	Sürüm sabitleme (pin), CI sırlarının kapsamı, iş akışı çıktısının loglanması
polyfill.io, Haziran 2024	Alan adı el değiştirdi, CDN üzerinden servis edilen betik değişti; etkilenen site sayısı 100.000'in üzerinde telaffuz edildi	Üçüncü taraf betik envanteri, alt kaynak bütünlüğü (SRI), kendi kendine barındırma
XZ Utils, CVE-2024-3094	Yayın arşivine gizlenmiş arka kapı, bakımı devralan bir hesap üzerinden geldi; dağıtımdan önce yakalandı	Bakımcı hesap güvenliği, yayın imzası, iki kişi kuralı
npm solucanı (Shai-Hulud), 2025	Kurulum sonrası betiklerle yayılan, yüzlerce paketi etkileyen bir zincir; CISA VU#534320 ile kayda geçti	Kurulum betiği politikası, token kapsamı, bağımlılık kaynağı

Dördünün ortak noktası şu: hiçbiri sizin uygulamanızdaki bir hatadan gelmedi. Üçü yazılım tedarikinde, biri alan adı devrinde. Bu yüzden "tedarikçi değerlendirmesi"ni bir anket olarak kurgulamak, saldırının geldiği yeri hiç ölçmemek demek. Anket tedarikçinin niyetini ölçer; saldırı ise tedarikçinin erişimini kullanır.

Sayıların ikinci işlevi bütçe konuşmasında ortaya çıkıyor. Bir yönetim kuruluna "tedarik zinciri riski arttı" demek bir şey yapmıyor; "geçen yıl kullandığımız iki açık kaynak paketinde etiket yeniden yönlendirmesi yaşandı ve bizim CI hattımız bu durumda sırları log'a yazıyor" demek bir iş kalemi açıyor. Aşağıdaki puanlama modeli, bu cümleyi tedarikçi bazında kurmanın yolu.

Üç arıza modu: kod, kimlik, dördüncü taraf

Tedarikçi riskini tek bir liste olarak yönetmek mümkün değil, çünkü üç ayrı arıza modu var ve her biri farklı bir kanıt istiyor.

Kod. Yazılım tedarikinde arıza, sizin ortamınızda çalışan bir satırın değişmesiyle olur. Savunma tarafında üç ölçülebilir şey var: sürümün sabitlenmiş olması (pin), kaynağın ve imzanın doğrulanması, kurulum betiklerinin çalışmasının engellenmesi. Bir bağımlılık "en son sürüm" olarak çekiliyorsa, tedarikçinin deposu ele geçirildiğinde sizin hattınız da ele geçmiş olur; sizin kodunuz değişmemiş olsa bile.

Kimlik. İkinci arıza modu kod değil, erişim. Yedekleme operatörünün, uzaktan destek aracının, bulut entegrasyonunun elindeki token sizin ortamınıza girer. Burada ölçülecek şey tedarikçinin niyeti değil, elindeki yetkinin genişliği: token hangi kapsamda, kaç kişide, ne zaman sona eriyor, iptal gerçekten iptal ediyor mu. Uygulamada en sık görülen bulgu, entegrasyonun yönetici kapsamıyla kurulmuş olması ve kimsenin bunu fark etmemesi.

Dördüncü taraf. Üçüncü arıza modu, tedarikçinizin tedarikçisi. Sizin denetlediğiniz firma kendi barındırmasını başka bir sağlayıcıdan alıyorsa, sizin sözleşmeniz o katmanı kapsamıyor; ama olay o katmanda çıktığında etkisi sizde oluyor. Bu yüzden tedarikçi dosyasında tek bir soru var: alt yüklenici listesi kimde ve değiştiğinde bana kim, kaç gün içinde söylüyor.

Dördüncü ve en çok atlanan mod işletim ömrü. Tedarikçi ilişkisi bir kurulumla başlayıp bir yenilemeyle bitmiyor; ürünün destek ömrü bittiğinde güvenlik yamaları da bitiyor. Bir üretim tesisinde destek ömrü dolmuş bir işletim sistemi, tedarikçi listesinde "mevcut" olarak durmaya devam ediyor. Envanterde "destek bitiş tarihi" alanı yoksa, bu risk hiçbir raporda görünmüyor.

Tedarikçiyi neye göre sıralarsınız: beş eksen, on beş puan

Aşağıdaki model, tedarikçiyi harcama tutarına göre değil, sizin ortamınızda ne kadar ileri gidebildiğine göre sıralıyor. Beş eksen, her biri 0-3 arası puan; toplam 15. Yüksek puan yüksek risk demek.

Eksen	0 puan	1 puan	2 puan	3 puan
Erişim derinliği	Yalnızca herkese açık veri	Salt okunur, tekil kullanıcı	Yazma yetkisi, sınırlı kapsam	Üretimde yönetici yetkisi veya kod dağıtımı
Kimlik modeli	Ayrı hesap yok	Paylaşılan hesap, MFA yok	Kişisel hesap, MFA var	Servis hesabı, uzun ömürlü token, MFA yok
Veri sınıfı	Tanıtım verisi	İç yazışma	Müşteri kimlik verisi	Özel nitelikli veri veya ödeme verisi
Değişiklik kontrolü	Bildirim yok	Yıllık bildirim	Değişiklikte e-posta	Önceden onay, sürüm notu, geri alma planı
Olay bildirimi	Sözleşmede yok	"Makul süre"	72 saat	Saat cinsinden taahhüt + teknik temas kişisi

Eşikler basit tutulmalı, yoksa model kimse tarafından kullanılmıyor: 12-15 puan birinci kademe (yılda iki kez değerlendirme, sözleşmede tam madde seti), 8-11 ikinci kademe (yılda bir değerlendirme, sözleşmede çekirdek maddeler), 5-7 üçüncü kademe (iki yılda bir, standart madde seti).

Bir de geçersiz kılma kuralı gerekiyor, çünkü toplam puan bazı tek tek bulguları yutuyor: erişim derinliği 3 ise veya kimlik modeli 3 ise, toplam ne olursa olsun tedarikçi birinci kademeye taşınır. Üretimde yönetici yetkisi olan bir tedarikçi, diğer dört eksende sıfır alsa bile 3 puanla üçüncü kademeye düşmemeli; çünkü o tek özellik, olayın büyüklüğünü belirleyen özellik.

Üç örnek hesap: 14, 10 ve 6

Modelin işe yarayıp yaramadığı, gerçek tedarikçiler üzerinde tutarlı sonuç vermesiyle ölçülür. Aşağıdaki üç hesap, aynı tabloyla üç farklı sonucun nasıl çıktığını gösteriyor.

Tedarikçi tipi	Erişim	Kimlik	Veri	Değişiklik	Bildirim	Toplam	Kademe
Yönetilen güvenlik hizmeti sağlayıcısı (7/24 izleme)	3	3	2	2	2	12	Birinci (geçersiz kılma ile de kesin)
İnsan kaynakları yazılımı (bulut)	2	2	3	1	2	10	İkinci
Tasarım ajansı (dosya paylaşımı)	1	1	1	2	1	6	Üçüncü

Ortadaki satır modelin en öğretici yeri. İnsan kaynakları yazılımı sizin ortamınıza pek girmez ama özel nitelikli veri taşır; bu yüzden üçüncü değil ikinci kademede duruyor. Birçok kurum bu tür tedarikçiyi "sadece bir yazılım" diye üçüncü kademeye atıyor, sonra ihlal o taraftan geliyor. Alt satırdaki ajans ise tam tersi: erişimi dar, verisi düşük, ama dosya paylaşımı üzerinden kurum içi belge alışverişi yapıyorsa değişiklik kontrolü puanı yükseliyor ve kademe yükseliyor. Yani model tedarikçinin adını değil, ilişkinin şeklini puanlıyor.

Bu üç hesabın pratik faydası şu: puanlama bittiğinde elinizde bir sıra var. Denetim bütçesi, sıranın üstünden aşağıya harcanır. Aşağıdaki harita, o sıranın üzerine oturduğu zemini kuruyor.

Erişim haritası: dokuz alan

Değerlendirmenin en somut çıktısı bir belge: her tedarikçi için tek sayfa, dokuz alan. Bu harita doldurulmadan yapılan bir tedarikçi değerlendirmesi, anket cevaplarından oluşan bir klasör olarak kalıyor; harita doldurulduğunda ise olay anında "ne kapatacağız" sorusunun cevabı hazır oluyor.

Alan	Neden istiyoruz	Nereden okunur
1. Hangi sistemlere bağlanıyor	Olay anında kapatılacak bağlantı listesi	Kimlik sağlayıcı uygulama kaydı, VPN oturum kaydı, güvenlik duvarı kural seti
2. Hangi hesaplarla	Toplu iptal edilecek hesap kümesi	Dizin hizmeti üyeliği, servis hesabı envanteri
3. Yetki kapsamı	Kapsam genişliği, en sık bulgu	Uygulama izinleri ekranının dışa aktarımı
4. Kimlik doğrulama biçimi	Çalınmış parolanın işe yarayıp yaramayacağı	MFA kapsam raporu, koşullu erişim kuralı
5. Erişim kaynağı	Beklenmeyen ülke veya ağdan girişi ayırt etmek	Oturum açma logu, coğrafi kural
6. Veri sınıfı ve hacmi	İhlal bildirimi gerekip gerekmediği	Veri envanteri, VERBİS kaydı, aktarım kaydı
7. Alt yükleniciler	Dördüncü taraf görünürlüğü	Sözleşme eki, tedarikçinin alt işleyen listesi
8. Destek ömrü tarihi	Yama alamayan bileşeni önceden bilmek	Ürün yaşam döngüsü sayfası, sözleşmedeki destek maddesi
9. Çıkış planı	İlişki bittiğinde veri ve erişimin ne olacağı	Sözleşmedeki fesih ve veri iadesi maddesi

Haritanın en değerli alanı yedinci ve dokuzuncu satır, çünkü ikisi de sözleşme imzalanırken bir kez sorulup bir daha sorulmuyor. Alt yüklenici listesi değiştiğinde haber verme yükümlülüğü yoksa, bir yıl sonra tedarikçinin veriyi nerede tuttuğunu bilmiyorsunuz. Çıkış planı yoksa, ilişki bittiğinde erişimin gerçekten kapandığını gösterecek bir kaydınız olmuyor.

Sözleşme: yedi madde ve her birinin karşılığı

Aşağıdaki maddeler hukuki danışmanlık değil, teknik gereksinim listesi. Her satırın sağında o maddenin hangi olayı önlediği yazıyor; maddeyi bu gerekçeyle savunmak, "iyi uygulama" diye savunmaktan daha kolay.

Madde	Yazılacak şey	Hangi olayı önlüyor
Bildirim süresi	İhlalin tespitinden itibaren 24 saat içinde yazılı bildirim; ilk bildirim ön bilgi olabilir, 72 saat içinde teknik rapor	KVKK md.12/5'in 72 saatlik penceresinin tedarikçi tarafında tükenmesi
Bildirim içeriği	Etkilenen sistem, kullanılan kimlik bilgisi, zaman aralığı, tedarikçinin yaptığı işlemler; özet değil kayıt	"Olay yaşandı, inceliyoruz" mesajıyla geçen haftalar
Erişim sınırı	Yalnızca hizmetin gerektirdiği kapsam; üretimde kalıcı yönetici yetkisi yasak; yetki listesi yılda iki kez gözden geçirilir	Yönetici kapsamlı entegrasyon token'ının çalınması
İptal taahhüdü	Talepten itibaren 1 saat içinde erişimin kapatılması ve kapatıldığının kayıtla gösterilmesi	İlişki bittikten sonra açık kalan hesaplar
Denetim hakkı	Yılda bir belge denetimi; kritik olay sonrası yerinde denetim	Denetim hakkı olmayan sözleşmelerde kanıtsız beyan
Alt yüklenici	Liste ekte; değişiklikte 30 gün önce bildirim ve itiraz hakkı; onaysız alt yüklenici ihlal sayılır	Dördüncü taraf sürprizi
Yurt dışı aktarım	Aktarım varsa KVKK md.9 kapsamındaki uygun güvence; standart sözleşme imzalanmış ve Kuruma bildirilmiş	Denetimde aktarımın dayanağının gösterilememesi

Yedinci satır Türkiye'ye özgü ve sık atlanıyor. 7499 sayılı Kanun'la değişen md.9 sonrasında yurt dışına aktarımın dayanağı somutlaştı: yeterlilik kararı yoksa uygun güvenceler devreye giriyor ve Kurumun yayımladığı dört standart sözleşme türü (sorumludan sorumluya, sorumludan işleyene, işleyenden sorumluya, işleyenden işleyene) uygulamada en çok kullanılan yol. Sözleşme imzalandıktan sonra 5 iş günü içinde Kuruma bildirim yapılması gerekiyor. Yani tedarikçiniz yurt dışında barındırma yapıyorsa, elinizde iki belge olmalı: imzalı standart sözleşme ve bildirim kaydı. İkisi de yoksa, teknik olarak iyi kurulmuş bir entegrasyon bile denetimde açık veriyor.

Denetim hakkının hazır bir metni zaten var. Kurumun yurt dışı aktarım için yayımladığı standart sözleşmelerde "Belgeleme ve Uyumluluk" başlıklı madde, veri alıcısının uyumunu gösterecek bilgi ve belgeleri sağlamasını, veri aktaranın makul aralıklarla veya uyumsuzluk göstergesi varsa denetim yapmasına izin vermesini ve denetimi bağımsız bir denetçiye de devredebilmesini şart koşuyor. Yani yurt dışına aktarım içeren bir ilişkide denetim hakkı pazarlık konusu değil: standart sözleşmeyi imzaladıysanız zaten elinizde. Bu, tablodaki beşinci maddeyi sıfırdan yazmak yerine hazır metne atıf yaparak kurabileceğiniz anlamına geliyor.

Aynı listenin bir de ters yüzü var: tedarikçinin size dayattığı maddeler. Üç tanesine bakmak yeterli. Sorumluluk sınırı (TBK md.115 gereği ağır kusur için hükümsüz olan maddeler), veri sahipliği (hizmeti iyileştirmek için veriyi kullanma izni) ve fesih sonrası veri saklama süresi. Üçü de ticari görünen ama teknik sonucu olan maddeler: veri sahipliği maddesi geniş yazılmışsa, tedarikçinin kendi analitiği sizin müşteri verinizle çalışıyor demektir.

Saatler: dört bildirim penceresi, tek başlangıç anı

Bildirim süreleri birbirinden bağımsız görünüyor, oysa hepsi aynı ana bağlı: sizin öğrendiğiniz an. Tedarikçi size geç haber verirse sizin süreniz kısalmıyor; sadece başlangıç anı ötelenmiş oluyor ve siz olayı öğrendiğinizde zaten gecikmiş oluyorsunuz. Bu yüzden sözleşmedeki saat, kanuni saatin önüne geçmek zorunda.

Rejim	Süre	Başlangıç
KVKK md.12/5 (2019/10 yorumu)	72 saat	İhlalin öğrenilmesi
GDPR md.33	72 saat	İhlalin fark edilmesi
NIS2 md.23	24 saat erken uyarı, 72 saat olay bildirimi	Olaydan haberdar olunması
DORA md.19	Büyük olay sınıflandırmasından sonra 4 saat, her hâlde farkındalıktan 24 saat sonra	Sınıflandırma veya farkındalık
SEC 8-K Kalem 1.05	4 iş günü	Esaslılığın belirlenmesi

Bu tablodan çıkan tek sayı şu: en dar pencere 24 saat. Yani bir tedarikçi ihmalini size 24 saatten geç bildirirse, NIS2 kapsamındaki bir kurum için erken uyarı penceresi zaten kapanmış oluyor. Sözleşmede "makul süre" yazan bir ilişkide bildirim günlerle ölçülüyor; 15 günü hesaba katalım: 360 saat, yani 24 saatlik pencerenin 15 katı, 72 saatlik KVKK penceresinin 5 katı. Bu hukuki bir tercih değil, aritmetik bir sonuç.

Bu yüzden sözleşmeye yazılacak süre 24 saat, iç prosedürdeki ilk adım ise ilk saat. İlk saatte yapılacak üç şey var ve üçü de teknik: tedarikçinin hesaplarını devre dışı bırakmak; kendi kimlik doğrulama ve API loglarını dışa aktarmak, çünkü saklama pencereleri günlerle ölçülebiliyor ve tedarikçinin açıklaması haftalar sonra gelebiliyor; erişim haritasının 6. alanından veri sınıfını çekip hukuk ekibine vermek.

Kanıt: denetimde okunan beş belge

Tedarikçi yönetiminin olgunluğu klasörün kalınlığıyla değil, beş belgenin varlığıyla ölçülüyor. Bu beşi yoksa süreç var gibi görünüyor ama kanıtlanamıyor.

Belge	Ne gösteriyor	Sık yapılan hata
Tedarikçi envanteri	Kaç ilişki var, hangi kademede	Satın alma listesiyle eşleşmiyor, gölge BT görünmüyor
Erişim haritası (dokuz alan)	Olay anında ne kapatılacağı	Son güncelleme tarihi yok
Puanlama tablosu	Kademe kararının gerekçesi	Toplam puan var, geçersiz kılma kuralı uygulanmamış
Sözleşme eki ve imza tarihi	Yükümlülüğün hukuki dayanağı	Ek imzalanmış, yürürlük tarihi belirsiz
Son denetim veya test raporu	Tedarikçi beyanının doğrulanması	Sertifika görseli var, kapsam maddesi okunmamış

Beşinci satırdaki hata en pahalısı. Bir tedarikçinin elinde ISO 27001 sertifikası olması, sizin verinizin o kapsam içinde olduğu anlamına gelmiyor; sertifikanın kapsam maddesi farklı bir hizmeti tarif edebiliyor. Aynı şey SOC 2 raporu için geçerli: rapor, tedarikçinin tasarladığı kontrollerin bir dönem boyunca işlediğini söylüyor; sizin kiracınızdaki entegrasyon hesabının yönetici yetkisiyle kurulduğunu söylemiyor. Bu yüzden sertifika bir filtre, kanıt değil.

Yama penceresinin aritmetiği: kaç saat açık kalıyorsunuz

Tedarikçi yönetimi genelde "yılda bir değerlendirme" olarak kurgulanıyor; oysa risk her gün birikiyor. En internet'e açık yüzeyde, tedarikçiden gelen bileşenlerde ölçülebilir tek şey var: yamanın uygulanmasına kadar geçen süre. Dört kritik açık, ortalama 45 günlük yama gecikmesi:

Ölçü	Değer	Nasıl hesaplandı
Yıllık açık penceresi	180 gün	4 açık x 45 gün
Saat karşılığı	4.320 saat	180 x 24
Yılın yüzdesi	Yüzde 49,3	180 / 365
45 günde kaç yama penceresi	6,4	45 / 7 (haftalık döngü varsayımıyla)

Bu tablo tek başına bir şey söylemiyor; karşılaştırma gerekiyor. 45 günü 7 güne indirmek, yıllık açık penceresini 180 günden 28 güne düşürüyor: 4.320 saatten 672 saate, yani 3.648 saatlik bir azalma. Bu sayı, bir yama otomasyonu projesinin bütçe gerekçesi olarak "güvenliğimizi artıracağız" cümlesinden daha işlevsel.

Aynı yaklaşım tedarikçi değerlendirmesinin kendi maliyetine de uygulanabiliyor. 1.200 tedarikçi, yüzde 20'si birinci kademe: 240 ilişki. Her biri için yılda 6 saat (2 saat harita güncellemesi, 2 saat kanıt okuma, 2 saat görüşme) toplam 1.440 saat ediyor; bir kişi-yılı 1.800 saat kabul edilirse bu 0,8 kişi. Yani "tedarikçi yönetimi için ekip kurmak" iddiası, gerçekte bir kişinin tam zamanının altında bir iş yükü. Bütçe tartışmasında bu hesabı göstermek, modelin savunulabilirliğini artırıyor.

Tedarikçide neyi test edebilirsiniz, neyi edemezsiniz

Bu ayrım hukuki olduğu kadar teknik. Tedarikçinin üretim ortamına izinsiz test yapmak, niyet ne olursa olsun yetkisiz erişim sayılıyor; sözleşmedeki denetim maddesi bunun yerine geçmiyor. Yazılı kapsam (test edilecek alan adları, zaman aralığı, yöntem, temas kişisi) olmadan yapılan bir test, tedarikçiye karşı hukuki bir risk haline geliyor.

Buna karşılık kendi tarafınızda test edebileceğiniz şeyler var ve bulguların çoğu orada:

Test	Ne ölçüyor	Beklenen sonuç
Token kapsamı	Entegrasyonun elindeki izin kümesi	Yalnızca kullanılan uç noktalar, yönetici izni yok
İptal testi	Tedarikçi hesabı kaldırıldığında erişimin gerçekten kesilip kesilmediği	60 saniye içinde 401/403, oturumlar düşmüş
Kiracı ayrımı	Bir müşteri kimliğiyle başka müşteri nesnesine erişim	Nesne düzeyinde yetki hatası
Log kapsamı	Tedarikçi erişiminin sizin loglarınızda görünüp görünmediği	Kimlik, zaman, kaynak, hedef alanları dolu
Beklenmeyen kaynak	Beklenmeyen ülke veya ağdan giriş denemesi	Kural devreye giriyor, alarm üretiyor

Bu beş test, üç aylık bir döngüde iki saatlik bir iş. Buna karşılık tedarikçinin size verdiği test özetiyle yetinmek, sizin yapılandırmanızdaki hatayı hiç görmemek demek; çünkü tedarikçi kendi ürününü test ediyor, sizin kiracınızdaki kurulumu değil.

Tedarikçiden ihlal bildirimi geldiğinde: ilk 72 saat

Bildirim geldiği anda yapılan en yaygın hata, tedarikçinin anlatısını dinlemek oluyor. Oysa ilk saatlerde tek bir kaynak güvenilir: sizin kendi loglarınız. Aşağıdaki altı adım, sırayı ve sahibi birlikte veriyor.

Saat	Adım	Çıktı	Sahip
0-1	Tedarikçinin hesaplarını ve token'larını devre dışı bırak	Kapatma kaydı, etkilenen hesap listesi	BT / kimlik yönetimi
1-2	Kendi kimlik doğrulama, API ve VPN loglarını dışa aktar	Değiştirilemez kopya, saklama penceresi notu	Güvenlik operasyonu
2-6	Erişim haritasından ulaşılabilen sistemleri ve veri sınıfını çıkar	Etki kapsamı: sistem, veri türü, kişi sayısı	Güvenlik + veri sahibi birim
6-24	Hukuk ekibine bildirim kararı için olgu dosyası ver	Bildirilebilirlik değerlendirmesi, dayanak maddeler	Hukuk / veri koruma
24-48	Tedarikçiden kanıt iste: sistem, kimlik bilgisi, zaman aralığı, yapılan işlem	Yazılı olay raporu, log kesitleri	Satın alma + güvenlik
48-72	Kurum içi bildirim ve gerekliyse Kuruma bildirim taslağı	Bildirim metni, ekler, kayıt	Veri koruma sorumlusu

İkinci adımın zamanlaması kritik, çünkü log saklama süreleri kısa. Bazı bulut servislerinde oturum kayıtları 30 gün, bazılarında 7 gün tutuluyor; tedarikçinin olayı size bildirmesi ise haftalar alabiliyor. Yani olayı öğrendiğinizde kanıt zaten silinmiş olabiliyor. Bu yüzden log dışa aktarımı bir olay müdahalesi adımı değil, tedarikçi sözleşmesinin bir sonucu olmalı: saklama süresi sizin bildirim pencerenizden uzun olacak.

Dördüncü adımda verilen dosyanın içeriği de standart olmalı. Hukuk ekibinin ihtiyacı olan dört şey var: hangi veri kategorisi, kaç kişi, ne kadar süre erişilebilir kaldı, ve erişimin hukuka uygun bir dayanağı var mıydı. Bu dört alan doldurulmadan yazılan bir bildirim taslağı, sonradan düzeltilmek zorunda kalıyor; düzeltilmiş bildirim ise denetimde "olayı tam kavramadan bildirmişsiniz" diye okunuyor.

Hangi metrikler sonraki olayı öngörüyor

Tedarikçi raporlarında en sık görülen metrik "değerlendirilen tedarikçi sayısı". Bu bir faaliyet metriği; riski anlatmıyor. Öngörüye yakın duran dört metrik var:

Metrik	Neden öngörüyor	Hedef eğilim
Birinci kademe tedarikçide açık yönetici yetkisi sayısı	Olay büyüklüğünü belirleyen tek değişken	Sıfıra doğru
Tedarikçi erişiminin log kapsama oranı	Kanıtsız erişim, kanıtsız olay demek	Yüzde 100'e doğru
İptal testinin geçme oranı	Gerçekten kapanan erişim sayısı	Her turda artan
Sözleşmesi güncel olmayan tedarikçi sayısı	Hukuki kaldıracın kaybolduğu ilişkiler	Sıfıra doğru

Bu dört metriğin ortak özelliği, hepsinin teknik bir çıktıdan okunabilmesi. "Tedarikçi risk skoru ortalama 3,2" gibi bir cümle yönetim kurulunda tartışma açmıyor; "üretimde yönetici yetkisi olan tedarikçi hesabı 14'ten 3'e indi" cümlesi bir sonraki bütçeyi kolaylaştırıyor.

İlk otuz gün: en ucuzdan başlayarak

Tedarikçi programı çoğu kurumda bir yazılım satın alınarak başlıyor; oysa ilk otuz günde satın alınacak hiçbir şey yok. Sıra şu:

Hafta	İş	Maliyet
1	Envanteri kur: ödeme kayıtları, kimlik sağlayıcı uygulamaları, güvenlik duvarı kuralları, e-posta gönderim kayıtları üzerinden tedarikçi listesi çıkar	2-3 gün, mevcut ekip
2	Yönetici kapsamlı hesapları tespit et ve kapsamı daralt; her biri için gerekçe kaydı tut	Ücretsiz, en yüksek etki
3	Dokuz alanlı erişim haritasını yalnızca birinci kademe için doldur	Yarım gün x 10 tedarikçi
4	Bildirim ve iptal maddelerini yeni sözleşmelere ekle; mevcutlarda yenileme takvimine yaz	Hukuk incelemesi

İkinci haftadaki iş, modelin tamamından daha fazla risk azaltıyor; çünkü bir tedarikçi hesabının kapsamını daraltmak, olayın büyüklüğünü doğrudan sınırlıyor. Buna karşılık en çok ertelenen iş de bu, çünkü daraltma bir sistemi bozabilir ve kimse bozmak istemiyor. Doğru yaklaşım, önce ölçmek: hangi hesap hangi izne gerçekten kullanıyor. Kullanılmayan izinlerin listesi genellikle kısa sürede çıkıyor ve tartışma bitiyor.

Nerede işe yaramaz

Bu modelin sınırlarını yazmak, modeli savunmanın parçası. Üç sınır var.

Birincisi, anket yerine geçmiyor. Puanlama, anketin yerine değil anketin üstüne oturuyor: anket tedarikçinin beyanını toplar, harita sizin yapılandırmanızı ölçer. İkisi çeliştiğinde harita doğru kabul edilir, çünkü onu siz üretiyorsunuz.

İkincisi, sıfır risk diye bir sonuç yok. Birinci kademe bir tedarikçi, tüm maddeler imzalanmış olsa bile sizin ortamınıza girebiliyor; sözleşme olayı engellemiyor, olayın büyüklüğünü ve bildirim hızını değiştiriyor. Bu yüzden mimari tarafta ayrı bir iş gerekiyor: segmentasyon, ayrıcalıklı erişim yönetimi ve erişim kaydı. Tedarikçi yönetimi o işin yerine geçmiyor, onu tamamlıyor.

Üçüncüsü, tek seferlik bir proje değil. Envanter bir kez kurulup üç yıl dokunulmazsa, ilk yıl doğru olan liste ikinci yıl yanlış oluyor; çünkü yeni araçlar satın alma kaydına girmeden kullanılmaya başlıyor. Çeyreklik bir yenileme turu, yıllık kapsamlı bir değerlendirmeden daha değerli.

Özet: üç cümle ve bir dosya

Tedarik zinciri riski, sizin seçtiğiniz bir ilişkinin içinden geliyor; bu yüzden savunma, güven beyanı yerine erişim ölçümü üzerine kurulmalı. KVKK md.12/2 tedarikçiyi sizin yanınıza ekliyor, 7545 md.7 süreyi sözleşmeye bırakıyor; yani saat cinsinden bildirim maddesi hukuki bir süs değil, sizin bildirim pencerenizi koruyan tek araç. Ve denetimde okunan şey anket değil, dosya: envanter, dokuz alanlı erişim haritası, puanlama tablosu, imzalı sözleşme eki ve son test raporu.

Bu dosyayı kurmak bir haftalık iş; kurmamak ise her yıl aynı soruyu sormak demek: "bu tedarikçi bizim ortamımızda ne kadar ileri gidebiliyor". Cevabı bilmiyorsanız, olay anında öğreniyorsunuz demektir. Kurumsal tedarikçi erişiminin kendi ortamınızda nasıl göründüğünü ölçmek isterseniz, sızma testi ve dijital forenzs hizmet sayfalarımız bu ölçümün kapsamını anlatıyor; yurt dışı aktarım ve veri işleyen sözleşmesi tarafını ise KVKK teknik tedbirler rehberi ile olay müdahale planı rehberi tamamlıyor.