İçindekiler
Kısa yanıt
Siber Hijyen-KOBİ, Savunma Sanayii Başkanlığı'nın koordinasyonunda savunma sanayii tedarikçilerinin siber güvenlik olgunluğunu artırmak için yürütülen belgelendirme programıdır. Firmalar 13 alandaki 52 kontrol maddesine göre Başlangıç, Orta ya da İleri seviyede denetlenir; belgelendirmeyi TRTEST yapar.
Kaynak: SSB Siber Hijyen-KOBİ bilgilendirme sayfası [1]
Siber Hijyen-KOBİ neyi ölçer
Programın adındaki "siber hijyen", bir firmanın bilgisayarlarını, hesaplarını ve verilerini korumak için düzenli olarak yaptığı temel işlerin bütünüdür. Diş fırçalamaya benzetilir: tek başına her sorunu önlemez, ama yapılmadığında sorunların çoğu buradan başlar.
Küçük firmalarda yaşanan güvenlik olaylarının önemli bir kısmı karmaşık saldırılardan değil, güncellenmemiş bir bilgisayardan, kapatılmamış bir hesaptan ya da denenmemiş bir yedekten kaynaklanır.
İki ayrı program
TRTEST, adları benzeyen iki ayrı belgelendirme programı yürütür: Siber Hijyen-KOBİ ve daha kapsamlı olan Siber Hijyen Belgelendirme Programı. Bu rehber ve BilSec'in hizmetleri yalnızca Siber Hijyen-KOBİ içindir.
Savunma sanayiinde neden ayrıca önemli
- Tedarikçiler ana yüklenicinin ağına ve proje bilgisine erişebilir; zayıf halka tüm zinciri etkiler.
- Ana yükleniciler tedarikçi seçerken Siber Hijyen-KOBİ belgesini giderek daha sık soruyor.
- Bir olay yaşandığında yapılacak bildirimler ve süreler sözleşmelerde yer alabilir.
Program kimleri kapsar
Programa savunma sektöründe faaliyet gösteren ve ana yüklenicilere mal, ürün ya da hizmet sağlayan tedarikçiler başvurabilir. Başvuru, ana yüklenicinizin firmanızı TRTEST'e bildirmesiyle başlar; bildirilen firmalara sistemden kullanıcı aktivasyon e-postası gelir [2].
- Büyük ölçekli firmalar: Ana yüklenici tarafından bildirildiyseniz ölçekten bağımsız olarak başvurmanız gerekir.
- TRTEST Siber Hijyen sertifikası olanlar: TRTEST'in ayrı ve daha kapsamlı Siber Hijyen Belgelendirme Programı'nın geçerli sertifikası varsa ayrıca başvurmanız gerekmez; sertifikayı ana yüklenicinizle paylaşmanız yeterlidir.
- ISO 27001 ya da Tesis Güvenlik Belgesi olanlar: Bu belgeler kanıt sunumunu kolaylaştırır ama programın yerine geçmez.
Zorunlu mu?
SSS'ye göre tedarik zincirindeki firmaların programa dahil olması "muhakkak beklenmekte"; yükümlülüğünü yerine getirmeyen firmalar tedarikçi havuzundan çıkarılabilir. Güncel takvim için SSB duyurularını esas alın.
Seviyeler
Kriterler üç seviyededir ve kademelidir: her seviye bir öncekinin tüm maddelerini kapsar, hiçbir madde atlanamaz. Hangi seviyede denetleneceğinizi ana yükleniciniz belirler [2].
| Seviye | Kapsam | Madde | Örnek madde |
|---|---|---|---|
| Başlangıç | Yalnız Başlangıç maddeleri | 23 | 2.8 Modem şifresi fabrika ayarından farklı olmalıdır. |
| Orta | Başlangıç + Orta | 34 | 7.3 Geri dönme (restore) testleri düzenli yapılmalıdır. |
| İleri | Başlangıç + Orta + İleri | 52 | 3.5 Kullanıcı hesaplarında yerel yönetici yetkisi olmamalıdır. |
Tabloyu yana kaydırın →
13 kontrol alanı
Kriter seti 13 alanda toplam 52 kontrol maddesinden oluşur [1]. Aşağıdaki tablo her alanın madde sayısını seviyeye göre gösterir; her alanın kendi sayfasında maddeleri kontrol kartlarıyla anlatıyoruz.
| Alan | Toplam | Başlangıç | Orta | İleri |
|---|---|---|---|---|
| 01 Varlık yönetimi | 6 | 1 | 1 | 4 |
| 02 Ağ ve sistem güvenliği | 9 | 5 | 2 | 2 |
| 03 Uç nokta (istemci) güvenliği | 9 | 4 | 2 | 3 |
| 04 E-posta güvenliği | 4 | 2 | 2 | — |
| 05 Fiziksel ve çevresel güvenlik | 4 | 1 | — | 3 |
| 06 Veri güvenliği | 5 | 2 | — | 3 |
| 07 Yedekleme | 3 | — | 3 | — |
| 08 Farkındalık | 2 | — | 1 | 1 |
| 09 Güncelleme yönetimi | 4 | 3 | — | 1 |
| 10 Olay ihlal yönetimi | 1 | 1 | — | — |
| 11 Bulut güvenliği | 1 | — | — | 1 |
| 12 Veri imha yönetimi | 2 | 2 | — | — |
| 13 İnsan kaynakları güvenliği | 2 | 2 | — | — |
| Toplam | 52 | 23 | 11 | 18 |
Tabloyu yana kaydırın →
- Varlık yönetimi 6 madde · yakında
- Ağ ve sistem güvenliği 9 madde · yakında
- Uç nokta (istemci) güvenliği 9 madde · yakında
- E-posta güvenliği 4 madde · yakında
- Fiziksel ve çevresel güvenlik 4 madde · yakında
- Veri güvenliği 5 madde · yakında
- Yedekleme 3 madde
- Farkındalık 2 madde · yakında
- Güncelleme yönetimi 4 madde · yakında
- Olay ihlal yönetimi 1 madde · yakında
- Bulut güvenliği 1 madde · yakında
- Veri imha yönetimi 2 madde · yakında
- İnsan kaynakları güvenliği 2 madde · yakında
Belgelendirme süreci
Süreç, SSS'de anlatılan adımlarla aşağıdaki gibi ilerler. Program ücretleri her yıl Ocak ve Temmuz aylarında güncellenebilir [2].
Siber Hijyen-KOBİ belgelendirme adımları
- Kim başlatır
- Ana yüklenici
- Kim denetler
- TRTEST
- Sertifika
- 1 yıl geçerli
Ana yüklenici bildirir, aktivasyon e-postası gelir
E-posta gelmediyse siberhijyen@ssb.gov.tr ve siber@tr-test.com.tr adreslerine yazın; sistemde kaydınız yoksa ana yüklenicinizle görüşün.
Kriterleri ve bilgilendirme videolarını inceleyin
Seviyenizdeki her madde için ne istendiğini ve elinizdeki kanıtı başvurudan önce çıkarın.
Ücreti ödeyin, belgeleri yükleyin
Ödeme dekontu ve imza sirküleri yüklenir, taahhütname imzalanır; TRTEST belgeleri onaylar.
Kanıtları yükleyin ve başvuruyu gönderin
Her soruya açıklama yazılması ve kanıt yüklenmesi zorunludur. Kanıtlar tamamlanınca denetim başvurusu sistemden gönderilir.
Çevrim içi denetim
Eksiklik bulunursa bildirimden itibaren en fazla 1 ay süre verilir. İkinci yüklemeden sonra yeniden düzeltme imkânı yoktur ve başvuru bedeli iade edilmez.
Dijital sertifika ve fiziksel doğrulama
Olumlu sonuçta dijital sertifika düzenlenir. TRTEST örneklemeyle fiziksel denetim yapar; beyanın gerçeğe aykırı çıkması sertifikanın iptaline yol açar.
Yenileme
Sertifika 1 yıl geçerlidir. Süre dolmadan en az iki ay önce TRTEST ile iletişime geçin ve güncel kanıtları yükleyin.
Hangi kanıtlar istenir
Denetçi iki şeye bakar: kontrol yazılı olarak tanımlanmış mı ve gerçekten uygulanıyor mu. Bu yüzden kanıtlar iki türdür.
Teknik kanıtlar
Ekran görüntüleri, sistem çıktıları ve raporlar. Örneğin bir bilgisayardaki yerel yönetici hesaplarını listelemek için Windows'ta şu komut kullanılabilir:
# Yerel yöneticiler grubundaki hesapları listeler
$ Get-LocalGroupMember -Group "Administrators" | Select-Object Name, ObjectClassÇıktıyı tarihli bir dosya adıyla saklayın; denetçi aynı komutu denetim günü yeniden çalıştırmanızı isteyebilir.
Belgeler ve kayıtlar
- Bilgi güvenliği politikası ve yönetim onayı
- Varlık envanteri ve zimmet kayıtları
- Yedekleme prosedürü ve geri dönüş test raporları
- Olay müdahale planı ve iletişim listesi
- Eğitim katılım kayıtları
Örnek denetçi sorusu: "Geçen ay işten ayrılan çalışanın hesabının hangi gün kapatıldığını gösterebilir misiniz?"
- KontrolKural yazılır
Politika ya da prosedürde ne yapılacağı ve kimin sorumlu olduğu tanımlanır.
Politika belgesi - UygulamaKural işler
Kural hesaplarda, bilgisayarlarda ve yedeklerde gerçekten uygulanır.
Sistem ayarı - KanıtKayıt tutulur
Ekran görüntüsü, çıktı ya da rapor tarihiyle birlikte saklanır.
Tarihli kayıt - DenetimDenetçi bakar
Hem yazılı tanım hem uygulama kanıtı birlikte istenir.
Denetim günü
Sık yapılan hatalar
Sık yapılan hata
Politika belgesinde "yedekler haftalık alınır" yazıp yedekleme yazılımında günlük ayar bırakmak. Denetçi belge ile uygulama arasındaki farkı bulgu olarak yazar.
Belgeyi uygulamaya bakarak yazın; ayar değiştiğinde belgeyi de güncelleyin.
Diğer sık görülen hatalar için denetimde en sık görülen beş eksik yazımıza bakabilirsiniz.
BilSec bunu nasıl karşılar
BilSec'te her kontrolün uygulaması ve kanıtı aynı yerde tutulur. Politika belgesindeki değer ile sistemdeki ayar farklılaştığında uyarı verilir.
BilSec PlatformuSık sorulan sorular
Siber Hijyen-KOBİ belgesi zorunlu mu?
SSB, tedarik zincirindeki firmaların programa dahil olmasını açıkça bekliyor; yükümlülüğünü yerine getirmeyen firmalar tedarikçi havuzundan çıkarılabilir. Ana yükleniciniz sizi bildirdiyse başvurmanız gerekir.
Ayrıntılı yanıtBelgeyi kim verir?
Denetim ve belgelendirme TRTEST Test ve Değerlendirme A.Ş. tarafından yapılır.
ISO 27001 belgemiz var. Yeterli mi?
Hayır. ISO 27001 kanıt sunumunu kolaylaştırır ama programın yerine geçmez. Yalnız TRTEST’in ayrı bir program olan Siber Hijyen Belgelendirme Programı sertifikası olan firmaların ayrıca başvurması gerekmez.
Kaynaklar
- SSB Tedarik Zinciri Siber Hijyen-KOBİ Denetim KriterleriSavunma Sanayii Başkanlığı · Resmi kaynak · Erişim 10.10.2026
- Siber Hijyen KOBİ Belgelendirme Programı · Sıkça Sorulan SorularSavunma Sanayii Başkanlığı · Resmi kaynak · Erişim 10.10.2026
- Siber Hijyen-KOBİ bilgilendirme sayfası ve videolarıSavunma Sanayii Başkanlığı · Erişim 10.10.2026
- TRTEST Test ve Değerlendirme A.Ş.Belgelendirme kuruluşu · Erişim 10.10.2026
