Siber Güvenlik Olgunluk Modelleri: NIST, ISO 27001 ve CIS Karşılaştırması

Siber Güvenlik Olgunluk Modelleri: NIST, ISO 27001 ve CIS Karşılaştırması

Siber güvenlikte “hangi standardı kullanmalıyım?” sorusu kadar sık sorulan çok az şey var. NIST mi, ISO 27001 mi, CIS mi? Hepsinin dokümanları, kontrol listeleri, sertifikasyon süreçleri arasında kaybolmak çok kolay. Ama aslında bunlar rakip değil, doğru kullanıldığında birbirini tamamlayan çerçeveler.

Bu yazıda, siber güvenlik olgunluğu perspektifinden NIST CSF, ISO/IEC 27001 ve CIS Controls’ü; amaç, kapsam, olgunluk yaklaşımı, pratik uygulama ve gerçek dünya örnekleri üzerinden kıyaslayacağım. Özellikle; “temelden olguna doğru nasıl bir yol haritası çizerim, hangi çerçeveyi nerede kullanmalıyım?” sorusuna cevap vermeye çalışacağım.

1. Önce Temel Kavram: Olgunluk Modeli Nedir?

Olgunluk modeli, güvenliği ikili (var/yok) değil, seviye seviye ele alır. Yani “şifrem var → güvenliyim” mantığı yerine, “şifre var, ama; politikası var mı, uygulanıyor mu, zorlanıyor mu, denetlen
iyor mu, otomatikleştirildi mi?” diye sorar.

Genelde şu bantlarda seviye görürsünüz (isimler framework’e göre değişir ama mantık benzerdir):

• Ad-hoc / Initial: Her şey düzensiz, kişiye bağlı, süreç neredeyse yok.

• Repeatable: Bazı süreçler var, ama ölçüm ve sürekli iyileştirme zayıf.

• Defined: Politikalar yazılı, süreçler kurumsallaşmış, eğitim var.

• Managed: Ölçüm, metrikler, KPI’lar var, raporlama yapılıyor.

• Optimizing: Sürekli iyileştirme, tehdit istihbaratı entegrasyonu, otomasyon.

NIST CSF doğrudan “maturity model” olarak gelmez ama uygulamada çoğu kurum CSF ile olgunluk seviyesini çıkarır. ISO 27001 daha çok “yönetim sistemi olgunluğu”na odaklanır. CIS ise “kontrol olgunluğu”na çok pratik bir şekilde yaklaşır.

2. NIST CSF: Risk Tabanlı, Fonksiyon Odaklı Yaklaşım

NIST Cybersecurity Framework (CSF), özellikle ABD’de kritik altyapı kurumları için tasarlanmış gibi görünse de, bugün dünya ça
pında kullanılan, çok esnek bir çerçeve. Temel yapısı beş fonksiyondan oluşur:

• Identify (Tanımla)

• Protect (Koru)

• Detect (Tespit Et)

• Respond (Yanıt Ver)

• Recover (İyileştir)

Bunların altında kategoriler (categories) ve alt kategoriler (subcategories) vardır. Örneğin:

• Protect → PR.AC-1: Yetkili kullanıcıların, süreçlerin ve cihazların tanımlanması

• Detect → DE.CM-7: Yetkisiz erişim faaliyetlerinin izlenmesi

NIST CSF doğrudan bir olgunluk seviyesi vermez. Fakat pratikte çoğu kurum, her alt kategori için bir seviye tanımlar: “Dokümante değil, kısmen uygulanıyor, tam uygulanıyor, ölçülüyor, optimize ediliyor” gibi. Böylece NIST CSF bir nevi olgunluk modeline dönüşür.

Örnek Olgunluk Uygulaması (NIST CSF):

Bir KOBİ düşünün. SIEM (Security Information and Event Management) çözümü yok, loglar sadece sunucular üzerinde tutuluyor.

• DE.CM-1: “Anomali ve olayların tespiti
için ağ ve sistem etkinliği izleniyor” maddesine bakalım.

Başlangıçta:

• Seviye 1 (Initial): Loglama inconsistent, merkezi toplama yok, analitik yok.

Bir sene sonra:

• Seviye 3 (Defined/Managed): Wazuh, ELK, Graylog veya Splunk/QRadar gibi bir SIEM devreye alınmış, temel korelasyon kuralları tanımlanmış, günlük dashboard’lar izleniyor.

Daha sonra:

• Seviye 4–5: Tehdit istihbaratı (MISP, OpenCTI), UEBA (User and Entity Behavior Analytics) gibi yetenekler SIEM’e entegre, SOAR (Cortex XSOAR, Splunk SOAR, Shuffle) ile otomatik triage yapılıyor.

Olgunluk açısından NIST CSF ne sağlar?

• Güçlü yönleri: Risk temelli, esnek, teknik ve iş dünyası dilini buluşturuyor. Yönetimle konuşurken haftalarca teknik detay anlatmadan, “Detect fonksiyonumuz Protect’e göre geride” gibi net bir tablo sunabiliyorsunuz.

• Zayıf yönleri: Sertifikasyon vermez, çok genel kalabilir. “Tam olarak hangi kontrolü, hangi tool ile uygulamalıyım?”
sorusunda yalnız bırakabilir; burada ISO veya CIS’den destek almak gerekir.

3. ISO/IEC 27001: Yönetim Sistemi ve Süreç Olgunluğu

ISO/IEC 27001, bir Bilgi Güvenliği Yönetim Sistemi (BGYS / ISMS) standardıdır. Aslında teknik değil, yönetim ve süreç odaklıdır. Klasik PDCA döngüsünü (Plan–Do–Check–Act) temel alır.

Özünde şu soruları sorar:

• Bilgi varlıklarını tanımladın mı?

• Risk değerlendirme metodolojin var mı?

• Risk işleme planın, kabul kriterlerin, risk sahibin belli mi?

• Politikalar dokümante, onaylı ve duyurulmuş mu?

• Kontroller seçildi mi (Annex A), gerekçelendirildi mi?

• İç denetim, yönetim gözden geçirmesi, düzeltici faaliyetler yapılıyor mu?

ISO 27001, olgunluğu daha çok kurumsal süreçlerin olgunluğu açısından ele alır. Teknik kontroller Annex A’da listelenmiştir, ISO/IEC 27002 ise bu kontrollerin uygulama rehberidir.

Olgunluk Seviyesi Örneği (ISO
27001):

Bir organizasyonda yedekleme sürecine bakalım.

Seviye 1–2 (Ad-hoc/Initial):

• Yedekleme stratejisi kişilere bağlı; kimi günlük, kimi haftalık alıyor, bazı sunucular yedeklenmiyor.

Seviye 3 (Defined):

• Dokümante edilmiş yedekleme politikası var; RPO/RTO değerleri tanımlı, hangi sistemin hangi sıklıkta, nereye (on-prem, cloud, offline tape vs.) yedekleneceği yazılı.

Seviye 4 (Managed):

• Veeam, Commvault, Rubrik, Cohesity veya open-source Bacula/Restic gibi bir çözümle merkezi yönetim var, yedeklerin başarılı/başarısız olması düzenli raporlanıyor, denetim kayıtları tutuluyor.

Seviye 5 (Optimizing):

• Otomatik yedek test restore’ları, DR (Disaster Recovery) tatbikatları, bulut ve on-prem hibrit stratejiler, immutable backups (WORM) gibi ileri seviye yetenekler uygulanıyor.

ISO 27001’in olgunluk katkısı nedir?

• Güçlü yönleri: Kuruma üst yönetim düzeyinde ciddiyet kazandırır, sertifikasyon imkânı
sunar, denetlene bilirlik sağlar. Hukuki, ticari ve uyum (compliance) açısından çok değerlidir. Süreçsel olgunluğu yükseltir: risk yönetimi, dokümantasyon, denetim, sürekli iyileştirme.

• Zayıf yönleri: Teknik detayda derinliğe gitmez. “X EDR ürününü nasıl konumlandırmalıyım, hangi logları korele etmeliyim?” sorusuna doğrudan cevap vermez. Ayrıca, bazı kurumlarda “doküman üretme”ye indirgenirse kağıt üzerinde olgun ama pratikte zayıf bir yapı doğar.

4. CIS Controls: Pratik, Kontrol Merkezli ve Hızlı Kazanımlar

CIS Controls (eski adıyla SANS Top 20) çok daha operasyonel ve “saha” odaklı bir çerçeve. Versiyon 8 ile birlikte 18 ana kontrol alanı var. Örneğin:

• CIS Control 1: Inventory and Control of Enterprise Assets

• CIS Control 2: Inventory and Control of Software Assets

• CIS Control 5: Account Management

• CIS Control 7: Continuous Vulnerability Management

• CIS Control 8: Audit Log Management

Her kontrol için Implementation Group’lar (IG1, IG2, IG3) tanımlanmış durumda.

• IG1: Temel, minimum güvenlik hijyeni – KOBİ’ler ve düşük risk profilli kuruluşlar için.

• IG2: Daha karmaşık ortamlar, daha yüksek tehdit ortamı.

• IG3: Hedefli, sofistike saldırılara maruz kalan kurumsal yapılar için.

Bu, doğrudan bir olgunluk merdiveni gibi düşünülebilir. Örneğin, varlık envanterinde:

• IG1: Temel varlık envanteri, manuel veya basit araçlarla (örneğin, Nmap, Lansweeper, GLPI, Snipe-IT gibi).

• IG2: Otomatik keşif, CMDB entegrasyonu, agent/tabanlı envanter (Qualys, Tenable, Rapid7, Microsoft Defender for Endpoint’in envanter modülü vb.).

• IG3: Sürekli güncellenen, network-segment bazlı görünürlük, shadow IT tespiti, cloud asset discovery (Prisma Cloud, Wiz, Orca Security vb.).

Gerçek Dünya Örneği (CIS Uygulaması):

Bir şirkette ransomware olayı yaşanmış ve temel açıklar şu:

• Lokal admin parol
aları tekrar tekrar kullanılmış.

• Endpoint’lerde EDR yok.

• Patch yönetimi gelişigüzel.

CIS Controls burada çok net bir aksiyon listesi sunar:

• CIS Control 4 (Secure Configuration): İşletim sistemlerinin ve uygulamaların hardened imajlarla kurulumu, CIS Benchmarks uygulanması (örneğin Windows Server 2019 CIS Baseline).

• CIS Control 6 (Access Control Management) ve 5 (Account Management): Local admin hesaplarının merkezi yönetimi (LAPS / Windows LAPS), ayrıcalıklı hesap yönetimi (PAM çözümleri – CyberArk, Delinea, OneIdentity vs.).

• CIS Control 7 (Vulnerability Management): Tenable, Qualys, Rapid7 veya OpenVAS/Greenbone üzerinden düzenli zafiyet taraması.

• CIS Control 8 (Audit Log Management): Windows Event Forwarding + SIEM entegrasyonu, cloud log’larının (AWS CloudTrail, Azure Monitor, GCP Cloud Logging) toplanması.

CIS’in olgunluk katkısı nedir?

• Güçlü yönleri: Çok somut, uygulanabilir, kısa
sürede “gözle görülür” iyileşme sağlar. Özellikle teknik ekipler için, “hangi sırayla ne yapmalıyım?” sorusuna net karşılık verir.

• Zayıf yönleri: Yönetim sistemi, risk yönetimi, dokümantasyon süreçleri konusunda NIST CSF ve ISO kadar kapsamlı değildir. Daha çok “ne yapmalıyım?” der; “bunu risk bağlamında nasıl yöneteceğim?” kısmını diğer çerçevelere bırakır.

5. Üç Modeli Yan Yana Koyarsak: Farklı Perspektifler

Özetle:

• NIST CSF: Stratejik çerçeve, risk odaklı, fonksiyonel – yönetimle teknik ekip arasında köprü.

• ISO 27001: Yönetim sistemi standardı, süreç ve dokümantasyon olgunluğu, sertifikasyon odaklı.

• CIS Controls: Operasyonel kontrol listesi, teknik pratikler, hızlı kazanımlar.

Bir örnek üzerinden gidelim: “Yetkilendirme ve hesap yönetimi” alanı.

NIST CSF perspektifi:

• PR.AC (Access Control) kategorisinde, kimlerin neye erişimi var, nasıl yetkilendiriliyor, nasıl izleniyor? Burada
“politika ve risk yaklaşımını” konuşuyoruz.

ISO 27001 perspektifi:

• Annex A’da A.5, A.6 gibi erişim kontrol, yetki yönetimi ve kullanıcı erişim hakkı gözden geçirmeleri ile ilgili maddeler. Dokümante politika, prosedür, periyodik gözden geçirme, erişim taleplerinin onay süreçleri, görevler ayrılığı gibi yönetimsel konular öne çıkıyor.

CIS perspektifi:

• Control 5 (Account Management) ve 6 (Access Control): Pratik olarak neler yapacağız?

– Active Directory’de nested group karmaşasını nasıl azaltırız?

– Privileged Access Workstation (PAW) kullanacak mıyız?

– Just-in-Time (JIT) ve Just-Enough-Access (JEA) için hangi teknolojiler (Azure AD PIM, PAM çözümleri vs.) devreye alınacak?

Bu üçü bir araya geldiğinde, hem üst yönetim, hem denetçiler, hem de SOC/IT ekipleri için net, uyumlu bir resim oluşturabilirsiniz.

6. Kurum Tipine Göre Tercih: Hangisi Daha Uygun?

Küçük ve Orta Ö
lçekli Kurumlar (KOBİ):

Genellikle kaynaklar sınırlı, tam zamanlı bir CISO yok, IT ekibi 2–5 kişilik, “hepsinden biraz” yapan insanlar. Burada en pragmatik yol şu olabilir:

• CIS Controls IG1 ile başlamak: Temel hijyen (envanter, patch, backup, erişim yönetimi, log toplama).

• NIST CSF’yi “harita” olarak kullanmak: Nerede zayıfız, hangi fonksiyonlar hiç adreslenmiyor? Örneğin “Recover” tamamen ihmal edilmiş olabilir.

ISO 27001 bu tip kurumlar için bazen ilk adımda ağır gelebilir, ama ilerleyen yıllarda müşteri talepleri (özellikle kurumsal müşterilerle çalışıyorsanız) ISO sertifikasyonunu zorunlu kılabilir.

Kurumsal, Regüle Sektörler (Finans, Telekom, Enerji, Sağlık):

Bu tip ortamlarda genelde:

• ISO 27001 sertifikasyonuna gidilir.

• NIST CSF ile olgunluk değerlendirmesi yapılır.

• CIS Controls ekibin teknik yol haritasını belirlemek için kullanılır.

Örneğin, bir bankada:

• ISO 27001: BGYS çerçevesi,
iç denetim, regülatör uyumu.

• NIST CSF: Yönetim kuruluna ve risk komitesine siber güvenlik resmini anlatma aracı (“Detect olgunluğumuz 3/5, Respond 2/5” gibi).

• CIS Controls: SOC, IT Ops, DevOps ekipleri için yıllık teknik hedeflerin belirlenmesi (örneğin, bu yıl CIS Control 8 ve 13’ü IG2 seviyesinde tamamlama hedefi).

Start-up ve Cloud-native Şirketler:

Cloud-native ortamlarda (AWS, Azure, GCP) CIS Controls’ün yanında bulut sağlayıcılarının kendi security baselineleri (AWS Foundational Security Best Practices, Azure Security Benchmark vs.) ve NIST CSF çok iyi gider. ISO 27001 ise özellikle B2B SaaS satan start-up’lar için satış argümanı haline gelebilir.

7. Olgunluk Değerlendirmesi Nasıl Yapılır? Pratik Yaklaşım

Teoride çok şeyden bahsediyoruz ama iş pratiğe geldiğinde mantıklı bir yaklaşım şu şekilde olabilir:

1) NIST CSF ile mevcut durum analizi:

Tüm fonksiyonlar ve alt kategoriler için 0–5 arası bir s
eviye verin. Bunu yaparken: log yönetimi, erişim kontrolü, yedekleme, zafiyet yönetimi gibi alanlarda gerçekten ne yaptığınızı masaya koyun. Araç örneklerini, süreçlerin işleyip işlemediğini net değerlendirin.

2) ISO 27001 ile süreç ve yönetim boşluklarını yakalayın:

Politikalar var mı? Onaylı mı? Çalışanlara duyuruldu mu? İç denetim yapılıyor mu? Yönetim gözden geçirmesi gerçekleştiriliyor mu? Risk değerlendirmesi metodolojisi gerçekten kullanılıyor mu, yoksa raf mı süslüyor? Bu kısım size “yönetimsel olgunluk haritası” verir.

3) CIS Controls ile teknik yapılacaklar listesini çıkarın:

Mevcut teknolojilere bakın:

• Endpoint: Defender for Endpoint, CrowdStrike, SentinelOne, Trend Apex One vb.

• Network: Next-Gen Firewall (Palo Alto, FortiGate, Check Point), IDS/IPS (Suricata, Snort).

• Identity: Active Directory, Azure AD, Okta, Keycloak vb.

• Logging & SIEM: Splunk, QRadar, Elastic, Wazuh, Graylog.

• Cloud:
AWS Security Hub, GuardDuty, Azure Defender, GCP SCC vb.

Her CIS kontrol için “hangi ürün / teknoloji / süreç ile bu kontrolü karşılıyoruz?” sorusunu cevaplayın. Açık kalanlar yıllık/çok yıllık yol haritanıza girecektir.

8. Tehdit Ortamı (Threat Landscape) ile Olgunluğu Eşleştirme

Olgunluk seviyesi aslında tehdit ortamına uygunlukla ölçülmeli. Örneğin:

Hedefli Ransomware Çeteleri (LockBit, ALPHV/BlackCat vb.):

Bu aktörler için:

• CIS Control 7 (Vulnerability Management), 8 (Audit Log Management), 13 (Network Monitoring and Defense) kritik.

• NIST CSF’de Detect ve Respond fonksiyonlarında olgunluk çok önemli.

• ISO 27001 tarafında ise iş sürekliliği, yedekleme ve kriz yönetimi süreçlerinin gerçekten işlemesi gerekir.

İç Tehdit (Insider Threat):

Bu durumda:

• NIST CSF: Identify (asset ve data classification) ve Protect (access control, data security) fonksiyonlarında olgunluk./>
• CIS Controls: Account Management, Data Protection, Security Awareness and Training kontrolleri.

• ISO 27001: İnsan kaynakları süreçleri, işe giriş/çıkış, gizlilik taahhütleri, disiplin süreçleri, log’ların hukuka uygun takibi.

Supply Chain / Third-Party Risk:

Özellikle tedarikçi riskleri büyüdükçe:

• ISO 27001: Tedarikçi ilişkileri, sözleşmeye gömülü güvenlik şartları, SLA/OLA’lar.

• NIST CSF: Identify fonksiyonunda third-party riskler, network segmentation gibi konular.

• CIS Controls: Uygulamalı olarak; üçüncü parti erişimleri için PAM, VPN segmentation, zero-trust yaklaşımı (Zscaler, Netskope, Azure AD Conditional Access vb.).

9. Sık Yapılan Hatalar

Bu çerçevelerle çalışırken sahada en çok gördüğüm hatalar:

• ISO 27001’i “doküman üretme fabrika ayarı”na indirmek:

Politikalar çok güzel yazılı, ama kimse okumuyor, uygulanmıyor. Log yönetimi kağıt üzerinde var, ama SIEM yok
veya kimse dashboard’lara bakmıyor.

• CIS Controls’ü check-list olarak körü körüne uygulamak:

Her kontrolü aynı öncelikte görmek, kurumun gerçek riskleriyle uyumlu olmayan, kaynakları boşa harcayan projelere yol açabiliyor. Örneğin çok düşük internet maruziyeti olan, yüksek iç ağ riski taşıyan bir ortamda ağırlığı yanlış yere vermek gibi.

• NIST CSF değerlendirmesinde “pembe gözlük” takmak:

Bazı kurumlar olgunluk seviyesini kendi kendine değerlendirirken gerçekçi olmuyor. Örneğin, incident response plan’ı hiç test edilmemiş ama kendilerine 4/5 veriyorlar. IR planı en az yılda bir masaüstü tatbikat (tabletop exercise) ve mümkünse teknik tatbikat (red team, purple team, attack simulation – AttackIQ, SafeBreach vb.) ile test edilmediyse, o seviye gerçekçi değildir.

10. Önerilen Birleştirilmiş Yaklaşım (Gerçekçi Yol Haritası)

Uygulamada, “NIST mi, ISO mu, CIS mi?” yerine şu soruya geçmenizi öneririm: “Bunları birlikte, kurumun olgunluğun
u arttırmak için nasıl kullanırım?” Pratik bir çerçeve şöyle olabilir:

• Adım 1: NIST CSF ile high-level olgunluk değerlendirmesi yap. Yönetim ve risk komitesi için anlaşılır bir tablo çıkar.

• Adım 2: ISO 27001’e göre BGYS kur veya güçlendir. Süreçleri, roller, sorumluluklar, risk yönetim metodolojisini netleştir. Eğer iş gerektiriyorsa sertifikasyon yoluna gir.

• Adım 3: CIS Controls ile teknik backlog çıkar. Bu backlog’u NIST CSF fonksiyonlarına ve ISO 27001 risk kayıtlarına bağla. Örneğin bir Jira/YouTrack/DevOps Board üzerinde her iş maddesinin referansında “NIST: PR.AC-1, CIS: 5.2, ISO: A.9.2.3” gibi etiketler olsun.

Bu sayede:

• Yönetim: NIST CSF üzerinden gidişatı takip eder.

• Denetçiler/müşteriler: ISO 27001 üzerinden güven duyar.

• Teknik ekip: CIS Controls üzerinden ne yapacağını somut olarak bilir.

Sonuç

NIST, ISO 27001 ve CIS’i ayrı dünyalarmış gibi görmek bence stratejik bir
hata. Bunlar aynı resme farklı açılardan bakan araçlar. Olgunluk modeli perspektifinden bakınca:

• NIST CSF: “Neredeyiz, nereye gitmeliyiz?” sorusuna üst düzey cevap verir.

• ISO 27001: “Kurumsal olarak bu yolculuğu nasıl yöneteceğiz?” sorusunu süreç ve yönetim açısından çözer.

• CIS Controls: “Yarın sabah teknik ekip olarak hangi adımları atmalıyız?” sorusunun pratik, uygulanabilir cevabıdır.

Eğer isterseniz, bir sonraki mesajda örnek bir “küçük/orta ölçekli şirket için 2 yıllık olgunluk yol haritası”nı NIST–ISO–CIS üçlüsünü birlikte kullanarak, somut adımlar ve araç isimleriyle çıkarabilirim. Özellikle yeni başlayan ya da dağınık durumda olan güvenlik programlarını toparlamak için oldukça işe yarıyor.