CIS Controls Uygulama Grupları: IG1, IG2, IG3 ile Önceliklendirme

Dağınık bir kontrol setini toparlarken asıl soru hep aynıdır: önce ne yapılacak? Elde yüzlerce maddelik bir liste, iki kişilik bir BT ekibi ve bitmeyen operasyon işi vardır. CIS Critical Security Controls bu soruya kurumun risk profiline göre ölçeklenen bir cevap verir: uygulama grupları (Implementation Groups, IG). Bu rehber BT yöneticileri ve güvenlik sorumluları için IG1, IG2 ve IG3 farkını, doğru grubun seçimini ve IG1 önlemlerinin uygulanabilir bir yol haritasına nasıl çevrileceğini anlatır.

CIS Controls nedir, ne işe yarar

CIS Controls, Center for Internet Security’nin yayımladığı önceliklendirilmiş siber savunma önlemleri kümesidir. Sürüm 8, eski cihaz merkezli yapıyı bırakıp önlemleri etkinlik odaklı 18 kontrole ve altlarındaki 153 güvenlik önlemine (safeguard) böler. Sürüm 8.1 kontrol yapısını korur, tanımları netleştirir, önlemlerin güvenlik fonksiyonlarını NIST CSF 2.0 ile hizalar ve “Govern” fonksiyonunu ekler.

CIS Controls bir yönetim sistemi standardı değildir. Belgelendirme vermez, risk değerlendirme süreci tarif etmez. Gücü başka yerde: “hangi teknik önlem, hangi sırayla” sorusuna yaygın saldırı tekniklerinden türetilmiş somut cevap verir. ISO 27001 ile çatışmaz; onun içinde kontrol uygulamasını sıraya koymak için kullanılır.

No	Kontrol	Odak
1–2	Kurumsal varlık ve yazılım envanteri	Ne korunuyor?
3	Veri koruma	Veri envanteri, erişim, şifreleme
4	Güvenli yapılandırma	Temel çizgi, varsayılan hesaplar
5–6	Hesap ve erişim kontrolü yönetimi	Hesap envanteri, MFA, yetki
7	Sürekli zafiyet yönetimi	Tarama ve yama
8	Denetim logu yönetimi	Toplama, saklama, inceleme
9–10	E-posta/tarayıcı koruması, zararlı yazılım savunması	İlk erişim vektörleri
11	Veri kurtarma	Yedek ve izolasyon
12–13	Ağ altyapısı yönetimi, ağ izleme ve savunma	Altyapı ve tespit
14	Farkındalık ve beceri eğitimi	İnsan faktörü
15	Hizmet sağlayıcı yönetimi	Tedarikçi riski
16	Uygulama yazılımı güvenliği	Geliştirme süreci
17–18	Olay müdahale yönetimi, sızma testi	Müdahale ve doğrulama

Uygulama grupları: IG1, IG2, IG3

Her güvenlik önlemi bir veya daha fazla uygulama grubuna atanmıştır. Gruplar kümülatiftir: IG2, IG1’in tamamını; IG3, IG1 ve IG2’nin tamamını içerir. Üst grup, alt grubu atlamaz.

• IG1 – temel siber hijyen: 56 önlem. BT kaynağı sınırlı, ağırlıklı olarak hazır yazılım kullanan, hedefli değil fırsatçı saldırılara karşı korunması gereken kurumlar için asgari düzey. Önlemler uzman güvenlik bilgisi gerektirmeden, çoğunlukla mevcut ürünlerin yapılandırmasıyla uygulanacak şekilde seçilmiştir.
• IG2: IG1’e ek 74 önlem, toplam 130. Birden fazla departmanı, farklı risk profilinde sistemleri ve altyapıyı yöneten ayrı bir BT ekibi olan kurumlar. Ağ izleme, uygulama güvenliği ve daha olgun log yönetimi bu grupta başlar.
• IG3: Ek 23 önlem, toplam 153. Hassas veri işleyen, düzenlemeye tabi, hedefli ve gelişmiş saldırıyla karşılaşma olasılığı yüksek kurumlar. Sızma testi programı, kırmızı takım ve gelişmiş tespit gibi uzmanlık isteyen önlemler buradadır.

Ağ izleme ve savunma ile sızma testi gibi bazı kontrollerin önlemleri IG2 veya IG3 düzeyinde başlar. Bu, IG1 hedefleyen kurumun bu alanları yok sayacağı anlamına gelmez. Varsayım şudur: temel hijyen yokken bu önlemler verim üretmez. Envanteri olmayan ağda IDS alarmı kimsenin işine yaramaz.

Kurum için doğru grubun seçimi

Grup seçimini kurumun büyüklüğünden çok işlenen verinin hassasiyeti, düzenleyici yükümlülükler ve güvenlik ekibinin kapasitesi belirler. Şu soru dizisi pratik bir karar ağacı olarak iş görür:

1. Temel varlık envanteri, MFA, yedek ve yama süreçleri belgeli ve ölçülebilir mi? Hayır ise hedef ne olursa olsun ilk aşama IG1’dir.
2. Müşteri sözleşmeleri, sektör düzenlemesi veya TISAX gibi değerlendirmeler belirli teknik kontroller istiyor mu? Evet ise bu gereksinimlerin karşılık geldiği IG2 önlemleri hedefe eklenir.
3. Kurumda tam zamanlı güvenlik personeli veya yönetilen bir SOC hizmeti var mı? Yoksa IG2’nin izleme ağırlıklı önlemleri sürdürülemez; hedef IG2 olsa bile bu önlemler için bir hizmet modeli planlanmalıdır. Kimsenin bakmadığı alarm, kapalı alarmdır.
4. Kesintisi veya sızıntısı kamu güvenliğini, kritik üretimi ya da çok sayıda kişinin hassas verisini etkileyen sistemler var mı? Evet ise o sistemler için IG3 önlemleri değerlendirilir.

Tek bir grubun tüm kuruma uygulanması şart değildir. Genel hedefi IG2 koyup tasarım verisi tutulan bir ortamda ya da internete açık ödeme sisteminde seçili IG3 önlemlerini uygulamak meşru bir yaklaşımdır. Şart olan, seçimin gerekçesinin yazılı olmasıdır. Denetçi ilk bunu sorar.

IG1 güvenlik önlemlerinden yol haritası

56 önlemi aynı anda başlatmak gerçekçi değildir; ekip ikinci haftada operasyona geri döner ve proje yarıda kalır. Önlemler arasındaki bağımlılığa göre dört dalga planlamak yükü dağıtır ve her dalganın bir sonrakine veri üretmesini sağlar.

Dalga	Önlem alanı	Örnek önlemler	Çıktı
1. Görünürlük	Varlık, yazılım, hesap envanteri	1.1, 2.1, 5.1	Kapsam listesi
2. Erişim	MFA, yönetici hesapları, atıl hesaplar	5.3, 5.4, 6.3–6.5	Kimlik saldırı yüzeyi daralır
3. Yapılandırma ve yama	Güvenli yapılandırma, otomatik yama, zararlı yazılım	4.1, 7.3, 7.4, 10.1	Bilinen zafiyetler kapanır
4. Dayanıklılık	Yedek, log, olay müdahale, farkındalık	8.2, 11.2, 11.4, 17.1	Kurtarma ve müdahale kapasitesi

Görünürlük dalgası her şeyin ön koşuludur. Envanterde olmayan sunucu yama raporunda, yedek kapsamında ve log kaynakları listesinde de yoktur. Sahada en sık gördüğümüz tablo şudur: herkes “envanter var” der, ama DHCP kiralarıyla EDR konsolunu yan yana koyunca onlarca cihaz iki listeden birinde eksik çıkar. Bu dalgada hedef eksiksiz bir CMDB değil; keşif kaynaklarından (DHCP, EDR konsolu, dizin, ağ taraması) birleştirilmiş, sahipleri belli bir listedir.

Erişim dalgasında en hızlı risk azaltımı MFA’dır: internete açık uygulamalarda, uzak erişimde ve yönetici erişiminde zorunlu kılın. Atıl hesaplar için CIS 45 günlük kullanılmama süresini referans verir. Dizin tarafında ölçümü tek sorgudur:

Search-ADAccount -AccountInactive -TimeSpan 45.00:00:00 -UsersOnly |
  Where-Object { $_.Enabled } |
  Select-Object SamAccountName, LastLogonDate, DistinguishedName

Sorgu lastLogonTimestamp özniteliğine dayanır; bu değer etki alanı denetleyicileri arasında gecikmeli çoğaltılır, bu yüzden sınırdaki hesapları devre dışı bırakmadan önce bir kez daha kontrol edin. Yapılandırma dalgasında bir temel çizgi tanımlanıp uygulanır; cihaz düzeyinde nasıl ölçüleceği CIS Benchmark ile yapılandırma uyumu ve sapma takibi yazısında. Yama tarafında önlem “otomatik yama açık” değildir; kapanma süresinin izlenmesidir. Önceliklendirme ve SLA tasarımı için zafiyet yönetimi programı rehberine bakın.

Dayanıklılık dalgasında yedeklerin en az bir kopyasının izole tutulması (11.4) ve denetim loglarının toplanması (8.2) öne çıkar. Bu önlemler saldırıyı tek başına durdurmaz; olaydan sonra ne kadar hızlı kurtulacağınızı ve ne olduğunu anlayıp anlayamayacağınızı belirler. Domain’e bağlı yedek sunucusu izole değildir.

Uygulama düzeyinin ölçülmesi

“Önlem uygulandı mı?” sorusuna evet/hayır cevabı yanıltır. Politikası yazılmış önlem sistemlerin yarısında çalışmıyor olabilir. Her önlemi iki boyutta değerlendirin:

• Politika/tasarım: Önlemin nasıl uygulanacağı tanımlı mı, sahibi belli mi?
• Uygulama kapsamı: Kapsamdaki varlıkların ne kadarında gerçekten çalışıyor? Bu değer bir araçtan ölçülür: EDR konsolu, MDM uyumluluk raporu, yama raporu, yedek işi raporu. Tahmin yazılmaz.

CIS bu değerlendirme için CIS Controls Self Assessment Tool (CSAT) adlı bir araç sunar; önlem bazında politika ve uygulama durumunu kaydeder, zaman içindeki değişimi izler. Araç kullanılmasa da aynı yapıda bir tablo tutulabilir: önlem numarası, sahip, politika durumu, kapsam (ölçülen değer ve kaynağı), son ölçüm tarihi, açık iş.

Ölçümde sahada tekrar tekrar gördüğümüz hatalar:

• Paydada envanterdeki cihaz sayısı yerine aracın kendi gördüğü cihaz sayısını kullanmak. EDR konsolu yalnız ajanı olan cihazı bilir; “yüzde yüz kapsam” raporu bu yüzden çıkar. Oranı her zaman bağımsız bir envanterle karşılaştırın.
• Tek seferlik ölçümü kalıcı saymak. Hesap, yama ve yedek önlemleri haftalık, en geç aylık değişir.
• Kapsam dışı bırakılan sistemleri (eski sunucular, OT cihazları) not etmeden oran hesaplamak.

Diğer çerçevelerle ilişki

CIS, CIS Controls ile ISO/IEC 27001:2022, NIST CSF 2.0 ve NIST SP 800-53 arasında resmi eşleme dokümanları yayımlar. Bu eşlemeler sayesinde CIS Controls, bir yönetim sistemi gereksiniminin teknik uygulama listesi olarak kullanılabilir.

Çerçeve	Niteliği	CIS Controls ile ilişkisi
ISO/IEC 27001:2022	Belgelendirilebilir yönetim sistemi	Annex A kontrollerinin teknik uygulamasını önceliklendirir
NIST CSF 2.0	Sonuç odaklı çerçeve, profil yaklaşımı	Hedef profildeki alt kategorileri somut önlemlere çevirir
CIS Benchmarks	Ürün bazlı yapılandırma rehberleri	Kontrol 4’ün uygulanmasında kullanılır

ISO 27001 kullanan kurumda pratik yol, Uygulanabilirlik Bildirgesi’ndeki (SoA) her teknik kontrolün karşısına ilgili CIS önlemlerini yazmaktır. “8.8 teknik zafiyetlerin yönetimi uygulanıyor” gibi genel bir cümle böylece ölçülebilir önlemlere ayrışır. SoA yapısı için uyum tarafındaki ISO 27001 SoA rehberine bakın. CSF tarafında CIS önlemleri mevcut ve hedef profilin teknik kanıtını oluşturur; örnek NIST CSF 2.0 profil oluşturma yazısında.

Kontrollerin güncel metni, uygulama grubu atamaları ve eşleme dokümanları CIS Controls sayfasından indirilir. Mevcut durumun bağımsız ölçümü ve önceliklendirilmiş bir iş planı gerekiyorsa kontrol ve konfigürasyon denetimi teknik değerlendirmeyi, kurumsal siber güvenlik danışmanlığı ise yol haritasının programa dönüşmesini kapsar.

Sık sorulan sorular

IG1 küçük şirketler için mi, büyük kurumlar için de anlamlı mı?

IG1 her kurum için asgari düzeydir. Büyük kurum IG2 veya IG3’ü hedeflese bile IG1 önlemleri bu grupların içindedir; önce onların tam kapsamla çalışması gerekir. Büyük kurumlarda sorun genellikle önlemin yokluğu değil, tüm varlıkları kapsamamasıdır.

CIS Controls ile CIS Benchmarks arasındaki fark nedir?

CIS Controls, kurum düzeyinde hangi güvenlik önlemlerinin hangi sırayla uygulanacağını söyleyen programdır. CIS Benchmarks ise belirli bir işletim sistemi, uygulama veya cihaz için ayar bazında güvenli yapılandırma önerileridir; özellikle güvenli yapılandırma kontrolünün uygulanmasında kullanılır.

CIS Controls ile belgelendirme alınabilir mi?

Hayır, CIS Controls bir belgelendirme şeması değildir. Uygulama düzeyi kurumun kendi değerlendirmesiyle veya bağımsız bir değerlendirmeyle ölçülür. Belgelendirme gerekiyorsa ISO 27001 gibi bir yönetim sistemi standardı kullanılır; CIS Controls onun teknik uygulamasını destekler.

Uygulama grubunu yükseltmek ne zaman doğru olur?

Mevcut gruptaki önlemler tüm kapsamda ölçülebilir biçimde çalışıyorsa ve risk profili değiştiyse, örneğin yeni bir düzenleme, hassas veri işleme veya müşteri gereksinimi çıktıysa üst gruba geçiş planlanır. Temel önlemler eksikken üst gruba geçmek kaynakları dağıtır.