NIST CSF 2.0 Profil Oluşturma: Mevcut Durumdan Hedef Profile

“Güvenlik durumumuz nedir?” sorusuna ürün listesiyle cevap verilir: firewall var, EDR var, yedek var. Yönetim bundan bir şey anlamaz; denetçi de kabul etmez. NIST Cybersecurity Framework (CSF) 2.0, kurumun siber güvenlik durumunu “hangi ürün kurulu” yerine “hangi sonuç elde ediliyor” sorusuyla tarif eder. Bunun pratik aracı profildir: bugünü gösteren mevcut profil ile hedef profil arasındaki fark, önceliklendirilmiş bir iş planına dönüşür. Bu rehber güvenlik ve BT ekipleri için kategori bazlı değerlendirmeyi, katmanların doğru yorumunu ve boşlukların somut işe çevrilmesini adım adım anlatır.

NIST CSF 2.0’ın yapısı ve fonksiyonları

CSF 2.0, NIST tarafından Şubat 2024’te NIST CSWP 29 olarak yayımlandı. 1.1’den en görünür farkı Govern (Yönet) fonksiyonudur; siber güvenlik risk yönetimini kurum yönetimine bağlar. Çekirdek üç katmanlıdır: 6 fonksiyon, 22 kategori, 106 alt kategori.

Fonksiyon	Kategoriler	Sorduğu soru
Govern (GV)	GV.OC, GV.RM, GV.RR, GV.PO, GV.OV, GV.SC	Strateji, rol, politika ve tedarik zinciri riski tanımlı mı?
Identify (ID)	ID.AM, ID.RA, ID.IM	Varlıklar ve riskler biliniyor mu, iyileştirme yapılıyor mu?
Protect (PR)	PR.AA, PR.AT, PR.DS, PR.PS, PR.IR	Erişim, veri, platform ve altyapı korunuyor mu?
Detect (DE)	DE.CM, DE.AE	Olumsuz olaylar izleniyor ve analiz ediliyor mu?
Respond (RS)	RS.MA, RS.AN, RS.CO, RS.MI	Olay yönetilip sınırlandırılabiliyor mu?
Recover (RC)	RC.RP, RC.CO	Kurtarma planı uygulanıp iletişim yönetilebiliyor mu?

Alt kategoriler sonuç ifadeleridir. PR.AA-01 “yetkili kullanıcılar, hizmetler ve donanım için kimlik ve kimlik bilgilerinin kurum tarafından yönetilmesi”, PR.DS-11 “verilerin yedeklerinin oluşturulması, korunması, sürdürülmesi ve test edilmesi” sonucunu tarif eder. Hangi teknolojiyle sağlanacağı yazmaz. Bunun için NIST ayrıca uygulama örnekleri (implementation examples) ve diğer standartlara bilgilendirici referanslar yayımlar.

Mevcut ve hedef profil kavramı

CSF 2.0’da kurum profili (organizational profile), çekirdekteki sonuçlardan kurum için anlamlı olanları seçip durumlarını tarif etmektir. İki türü var:

• Mevcut profil: Seçilen her sonucun bugün ne ölçüde elde edildiği ve bunun kanıtı.
• Hedef profil: Risk iştahı, düzenleyici yükümlülükler ve iş hedefleri dikkate alınarak her sonuç için ulaşılmak istenen durum ve öncelik.

NIST ayrıca sektör veya tehdit senaryosu için ortak hedef tanımlayan topluluk profillerinden (community profile) söz eder. Kendi hedef profilinizi kurarken başlangıç noktası olarak işe yarar.

Profil çalışmasındaki ilk büyük karar kapsamdır. Tüm kurum için tek profil yönetime genel resim verir, teknik ekip için ise fazla soyut kalır. Pratik yöntem: kurum geneli için bir profil, yüksek riskli alan için (üretim ağı ya da müşteri verisi işleyen e-ticaret altyapısı gibi) ayrı bir profil. Kapsam profilin başına yazılmazsa “PR.PS-02 karşılanıyor” cümlesi hangi sistemler için geçerli olduğu belirsiz bir iddiaya döner. Kapsamsız puan, boş puandır.

Kategori bazlı değerlendirme yöntemi

106 alt kategorinin hepsini ilk turda ayrıntılı değerlendirmeye kalkan ekip genellikle üçüncü haftada tıkanır. Şu akış daha gerçekçidir:

1. Kapsamı ve paydaşları belirleyin. Her fonksiyon için bir sorumlu atayın; Govern için yönetim temsilcisi şarttır.
2. Alt kategorileri seçin. Kapsamla ilgisiz olanları gerekçesiyle dışarıda bırakın.
3. Her alt kategori için durumu ölçeğe göre puanlayın ve puanı mutlaka bir kanıta bağlayın.
4. Hedef puanı ve önceliği belirleyin. Hedefin her yerde en yüksek puan olması gerekmez; her alt kategoride 4 hedeflemek bütçesi olmayan bir plan üretir.
5. Farkı hesaplayın ve iş planına aktarın.

CSF 2.0 bir puanlama ölçeği dayatmaz. Tanımları net, basit bir ölçek değerlendiriciler arasındaki tutarlılığı artırır; aynı kontrolü iki kişinin farklı puanlaması en sık gördüğümüz sorundur:

Puan	Tanım	Beklenen kanıt
0	Uygulanmıyor	Yok
1	Kısmi, kişiye bağlı	Tek seferlik çıktı, belgesiz uygulama
2	Tanımlı, kapsam eksik	Prosedür var, sistemlerin bir kısmında çalışıyor
3	Tanımlı ve tam kapsamlı	Araç raporu tüm kapsamı gösteriyor
4	Ölçülüyor ve iyileştiriliyor	Metrik eğilimi, düzenli gözden geçirme kaydı

Değerlendirmeyi aşağıdaki alanlarla bir tablo veya araç içinde tutmak, sonradan eşleme ve raporlamayı kolaylaştırır. Örnek satırlar (CSV biçiminde):

alt_kategori,kapsam,mevcut,hedef,oncelik,kanit,sahip
ID.AM-01,Kurum geneli,2,3,Yuksek,"CMDB ve EDR envanteri karşılaştırması",BT Altyapı
PR.AA-03,Kurum geneli,2,3,Yuksek,"Conditional Access raporu; VPN MFA yok",Kimlik Ekibi
PR.DS-11,Kurum geneli,3,4,Orta,"Yedek iş raporu; geri yükleme testi yılda 1",Sistem Ekibi
DE.CM-01,Uretim agi,1,3,Yuksek,"OT ağında trafik izleme yok",Güvenlik
ID.IM-04,Kurum geneli,1,3,Yuksek,"Olay müdahale planı taslak, tatbikat yok",BGYS

Uygulama katmanlarının yorumlanması

CSF, profillerin yanında dört uygulama katmanı (tier) tanımlar: Tier 1 Kısmi (Partial), Tier 2 Riske Dayalı (Risk Informed), Tier 3 Tekrarlanabilir (Repeatable), Tier 4 Uyarlanabilir (Adaptive). Sahada en sık yapılan hata, katmanı alt kategori bazlı olgunluk puanı gibi kullanmaktır. İkisi farklı şeyleri ölçer.

Katmanlar kurumun siber güvenlik risk yönetimi ve risk yönetişimi uygulamalarının genel karakterini anlatır: risk kararları resmî bir süreçle mi alınıyor, kurum geneline yayılmış mı, tedarik zinciri riskleri hesaba katılıyor mu, tehdit bilgisine göre uyarlanıyor mu? Yani katman, profildeki puanların hangi yönetim ortamında üretildiğini gösterir. Teknik kontrollerin çoğunu iyi uygulayıp risk kararlarını kişilere bırakan kurum, yüksek profil puanlarına rağmen Tier 2’de kalabilir. İyi bir sistem yöneticisi, süreç değildir.

Pratikte hedef katman yönetimle bir kez belirlenir ve hedef profilin önceliklerini etkiler. Süreçleri yazılı ve kurum geneline yayılmış olmayı hedefleyen kurumlar sık olarak Tier 3’ü seçer. Tier 3 hedefleyen kurumda GV.RM ve GV.PO kategorilerindeki boşluklar, teknik açıklardan bağımsız olarak yüksek öncelik alır.

Boşlukların önceliklendirilmesi ve iş planı

Mevcut ve hedef arasındaki her fark bir iş kalemidir; hepsi aynı ağırlıkta değildir. Önceliklendirmede üç girdi birlikte kullanılır:

• Fark büyüklüğü: Hedef ile mevcut puan arasındaki mesafe.
• Öncelik: Hedef profilde verilen önem; risk değerlendirmesinden ve yükümlülüklerden gelir.
• Bağımlılık: Bazı sonuçlar diğerlerinin ön koşuludur. ID.AM envanteri tamamlanmadan DE.CM izleme kapsamı ölçülemez. Bilmediğiniz cihazı izleyemezsiniz.

Yukarıdaki örnek satırlarla iş planı şöyle şekillenir. VPN’de MFA eksikliği (PR.AA-03) hem yüksek öncelikli hem kısa sürede kapanabilir; ilk çeyreğe alınır. Olay müdahale planının tamamlanması ve tatbikatı (ID.IM-04) aynı dönemde başlar, çünkü dışa bağımlılığı azdır. OT ağı izlemesi (DE.CM-01) için önce o ağın varlık envanteri gerekir; bu yüzden ID.AM-01’in OT kapsamındaki iyileştirmesi öne çekilir. Yedekte (PR.DS-11) fark küçüktür ve geri yükleme testi sıklığı artırılarak kapanır. Yılda bir test, test sayılmaz.

Her iş kalemi bir sahip, bitiş tarihi ve “kapandığını hangi kanıtla göstereceğiz” tanımıyla yazılır. İş planı ilerledikçe profil yeniden puanlanır; döngü yılda en az bir kez, büyük mimari değişikliklerden sonra ek olarak tekrarlanır. Boşlukları yönetime risk diliyle aktarmak gerekiyorsa profil çıktıları siber güvenlik risk değerlendirmesi ile birleştirilebilir.

Diğer çerçevelerle eşleme

CSF kendi içinde ayrıntılı kontrol tarif etmez; bu yüzden genellikle başka bir kontrol kümesiyle birlikte kullanılır. NIST, Cybersecurity and Privacy Reference Tool (CPRT) üzerinden CSF 2.0 alt kategorilerini SP 800-53 gibi kaynaklarla ilişkilendiren bilgilendirici referanslar yayımlar; ISO/IEC 27001 ve CIS Controls için de eşleme dokümanları vardır.

Kullanım amacı	Eşlenecek çerçeve	Kazanım
Teknik önlem seçimi	CIS Controls	Alt kategoriyi uygulanabilir önlemlere ayırır
Belgelendirme	ISO/IEC 27001:2022	Profil kanıtları BGYS kayıtlarında da kullanılır
Ayrıntılı kontrol tasarımı	NIST SP 800-53 Rev. 5	Kontrol düzeyinde gereksinim ve iyileştirmeler
Düzenleyici uyum	NIS2 risk yönetimi tedbirleri	Yükümlülükleri hedef profile taşır

Eşlemede amaç her şeyi her şeye bağlamak değil, kanıtı bir kez toplayıp birden fazla çerçevede kullanmaktır. MFA kapsam raporu hem PR.AA-03, hem ISO 27001 8.5 güvenli kimlik doğrulama kontrolü, hem de CIS 6.3–6.5 önlemleri için aynı kanıttır. Bir rapor, üç denetim. CIS Controls ile önceliklendirme CIS Controls uygulama grupları yazısında, NIS2 yükümlülüklerinin teknik kontrollere eşlenmesi NIS2 teknik tedbirleri rehberinde anlatılıyor.

Çerçevenin tam metni NIST’in Cybersecurity Framework sayfasında ve NIST CSWP 29 yayınında; hızlı başlangıç kılavuzları ve profil şablonlarına da aynı sayfadan ulaşılır. Profil çalışmasını yol haritasına ve yönetim raporlamasına çevirmek için kurumsal siber güvenlik danışmanlığı kapsamında destek alınabilir.

Sık sorulan sorular

NIST CSF 2.0 ile 1.1 arasındaki temel fark nedir?

En belirgin fark Govern fonksiyonudur; strateji, roller, politika, gözetim ve tedarik zinciri risk yönetimi bu fonksiyonda toplanır. Ayrıca kapsam kritik altyapının ötesinde tüm kurumlara genişletildi, kategoriler yeniden düzenlendi, uygulama örnekleri ve profil şablonları gibi destek kaynakları eklendi.

Uygulama katmanı (tier) ile profil puanı aynı şey mi?

Hayır. Profil puanı, her alt kategoride sonucun ne ölçüde elde edildiğini gösterir. Katman ise kurumun siber güvenlik risk yönetimi ve yönetişiminin genel karakterini, yani risk kararlarının ne kadar resmî, tutarlı ve uyarlanabilir alındığını tarif eder.

NIST CSF Türkiye’deki bir şirket için zorunlu mu?

Hayır, CSF gönüllü bir çerçevedir ve Türkiye’de doğrudan yasal zorunluluk değildir. Sonuç odaklı yapısı sayesinde mevcut durumu ölçmek, yönetime raporlamak ve ISO 27001, NIS2 veya müşteri gereksinimleri gibi farklı yükümlülükleri tek hedef profilde toplamak için yaygın olarak kullanılır.

Profil değerlendirmesi ne sıklıkla güncellenmeli?

Yılda en az bir kez; ayrıca büyük mimari değişiklik, birleşme veya ciddi bir güvenlik olayından sonra. İş planındaki kalemler kapandıkça ilgili alt kategoriler ara dönemde de yeniden puanlanabilir.