DEV Community: Burak Ekşi

TISAX Denetim Hazırlığında Teknik Kanıtlar: Otomotiv Tedarikçileri İçin Uygulamalı Rehber

Burak Ekşi — Sun, 25 Oct 2026 15:20:54 +0000

Avrupa ve küresel otomotiv ekosisteminde (Volkswagen Grubu, BMW, Mercedes-Benz, Porsche, Audi vb.) faaliyet gösteren parça üreticileri, yazılım evleri ve mühendislik ofisleri için TISAX® (Trusted Information Security Assessment Exchange) etiketi artık bir opsiyon değil, doğrudan tedarikçi yeterlilik koşuludur.

Ancak TISAX hazırlığı yürüten otomotiv tedarikçilerinin düştüğü en büyük hata; süreci yalnızca doküman yazmaktan ibaret sanmak ve teknik kanıt toplamayı son haftaya bırakmaktır. Oysa akredite denetçiler (TÜV, DQS, DEKRA vb.) politika dokümanlarının varlığından ziyade, bu kuralların BT sistemlerinde, bulut ortamlarında ve üretim sahasında fiilen işletildiğini gösteren nesnel kanıtları (objective evidence) sorgular.

Bu yazıda; resmî ENX TISAX Participant Handbook kuralları ve yürürlükteki VDA ISA 6.0.3 (ve 6.0.x serisi) soru kataloğuna göre denetçiye sunulması gereken kritik teknik kanıtları, AL2/AL3 farklarını ve ISA2027 geçişinin etkilerini adım adım inceliyoruz.

1. Değerlendirme Hedefi (Assessment Objective) Gereksinimleri Nasıl Belirler?

TISAX sürecinde duvara asılacak tek tip bir "sertifika" yoktur; ENX Portalı üzerinde tescillenen ve OEM müşterileriyle paylaşılan TISAX Etiketleri (TISAX Labels) vardır. Bu etiketlerin kapsamını müşterinizin talep ettiği Değerlendirme Hedefleri belirler:

Info High (Yüksek Koruma İhtiyacı): Gizli teknik şartnameler ve parça maliyet çizelgeleri için uygulanır.
Info Very High (Çok Yüksek Koruma İhtiyacı): Henüz piyasaya sürülmemiş gizli AR-GE projeleri ve stratejik tasarımlar için aranır.
Availability High / Very High: OEM montaj hattına tam zamanında (JIT / JIS) sevkiyat yapan, duruş maliyeti kritik tedarikçilerde istenir.
Prototype Protection (Prototip Koruması): Prototip parça (Proto Parts), prototip araç (Proto Vehicles) veya test araçları (Test Vehicles) barındıran tesislerde zorunludur.

2. AL2 ve AL3 Arasındaki Kanıt İnceleme Farklılıkları

Değerlendirme Hedefi, denetimin derinliğini gösteren Değerlendirme Seviyesini (Assessment Level - AL) doğrudan belirler:

AL2 (İnandırıcılık Denetimi - Plausibility Check): Temel olarak uzaktan video konferansla yürütülür. Denetçi sunulan belgelerin, ekran görüntülerinin ve süreçlerin inandırıcılığını test eder. AL2, Genellikle uzaktan yürütülen inandırıcılık değerlendirmesidir. İhtiyaca ve ilgili ENX kurallarına göre yerinde görüşme veya kanıt incelemesi de gerçekleştirilebilir.
AL3 (Kapsamlı Yerinde Doğrulama - On-Site Verification): Denetçi bizzat fabrikanıza ve AR-GE ofisinize gelir. Sistem odalarını, kamera kayıtlarını, çitleri ve üretim makinelerini sahada teftiş eder.

⚠️ 1 Ocak 2025 Kural Değişikliği: Resmî ENX rehberinde yapılan son güncelleme ile, daha önce AL3 zorunluluğu olan Test Vehicles (Test Araçları) ve Proto Events (Prototip Etkinlikleri) hedefleri için 1 Ocak 2025 itibarıyla AL2 (uzaktan denetim) seçeneği yürürlüğe girmiştir. Ancak fiziksel prototip parça üreten tesislerde AL3 yerinde teftiş şartı sürmektedir.

3. Denetimde Sorgulanan 5 Temel Teknik Kanıt Alanı

A. Kimlik ve Erişim Yönetimi (IAM) Kanıtları

Active Directory / IdP Logları: Tüm kullanıcıların yılda en az bir kez yapılan yetki gözden geçirme tutanağı.
İşten Ayrılan Personel: İK çıkış tarihi ile hesabın pasif edilme zaman damgası (timestamp) arasındaki farkın 24 saati aşmadığını gösteren denetim logu.
Zorunlu MFA: İstisnasız tüm VPN ve bulut yönetim erişimlerinde Çok Faktörlü Kimlik Doğrulama (TOTP/FIDO2) konfigürasyon dökümü.

B. Ağ Güvenliği ve Endüstriyel İzolasyon (OT / IT)

Üretim sahasındaki PLC, CNC ve robot hatlarının (OT ağı) ofis çalışanlarının kullandığı kurumsal LAN'dan endüstriyel firewall ile izole edildiğini gösteren kural setleri ve topoloji şeması.
Misafir Wi-Fi ağının şirket sunucularına tamamen kapalı olduğunu kanıtlayan VLAN izolasyon test raporu.

C. Tedarikçi ve Bulut Güvenliği

Tasarım verilerini işleyen harici kalıpçı ve mühendislik firmalarıyla imzalanmış güncel Gizlilik Sözleşmeleri (NDA).
CAD/ERP verilerini barındıran bulut sağlayıcılarının güncel SOC 2 Type II veya ISO/IEC 27001 uygunluk raporları.

D. Yedekleme ve Değişmezlik (Immutability)

Fidye yazılımı (ransomware) saldırılarına karşı yedeklerin değiştirilemez (WORM depolama veya AWS S3 Object Lock) olduğunu gösteren konfigürasyon çıktısı.
Son 6 ay içerisinde yapılmış başarılı bir "Yedekten Geri Yükleme" (Restore Test) tutanağı.

E. Prototip Alanı ve Fiziksel Güvenlik

AR-GE ve prototip alanına girişlerde iki faktörlü biyometrik / kartlı geçiş kayıtları.
Prototip pencerelerinde dışarıdan görünmeyi engelleyen opak film/jaluzi kanıtı ve 7/24 çalışan asgari 60 günlük CCTV kayıt arşivi.

4. Düzeltici Faaliyet Planı (CAP) Süreci Nasıl İşler?

Denetim gününde her şey mükemmel gitmeyebilir. TISAX sisteminde tespit edilen minör uygunsuzluklar denetimin başarısız olduğu anlamına gelmez:

Denetim sağlayıcısı geçici bir rapor düzenler ve uygunsuzlukları listeler.
Tedarikçi, Düzeltici Faaliyet Planı (Corrective Action Plan - CAP) hazırlayarak kök neden analizi ve aksiyon takvimini sunar.
CAP kabul edildiğinde tedarikçiye geçici bir etiket verilebilir; nihai aksiyonların kapatılması için azami 9 aylık bir süre tanınır.

5. VDA ISA Sürümleri ve ISA2027 Geçişinde Bilinmesi Gerekenler

ENX ve VDA, otomotiv sektörünün gelecekteki güvenlik mimarisini şekillendirecek olan ISA2027 kataloğunu duyurmuştur.

Buradaki en kritik standart ve takvim kuralları şunlardır:

Yürürlükteki Ana Sürüm: Değerlendirmelerde aktif olarak kullanılan en güncel standart ana sürümü VDA ISA 6.0.3 (ve ilgili 6.0.x revizyonları)'dır.
Sipariş Tarihi ve Uygulanabilirlik Kuralı: TISAX denetimlerinde hangi ISA sürümünün uygulanacağı; akredite denetim sağlayıcısı ile akdedilen değerlendirme sipariş sözleşmesi tarihine (assessment ordering date), değerlendirmenin ilk denetim veya yeniden belgelendirme durumuna ve ENX geçiş takvimine göre belirlenir. Yürürlükteki bir sipariş kapsamında başlayan süreçler, sözleşme tarihindeki geçerli sürüm şartlarına göre sonuçlandırılır.
ISA2027 Geçişi: ENX takvimine göre ISA2027, 2027 yılından itibaren başlayacak yeni değerlendirme siparişlerinde kademeli olarak bağlayıcı standart haline gelecektir.
Hazırlık Stratejisi: Tesisler mevcut değerlendirme süreçlerini VDA ISA 6.0.3 şartlarına göre planlarken, 3 yıllık TISAX etiket döngüsünün devamlılığı için ISA2027 ile gelen güncel bulut ve tedarik zinciri kontrollerini şimdiden yönetim sistemlerine dahil etmelidir.

🛠️ Açık Kaynak TISAX Hazırlık ve GAP Analizi Kiti

Tesisinizin denetim hazırlığını adım adım yürütmek, kontrol listelerini incelemek ve nesnel kanıt matrisini indirmek için GitHub üzerinde yayımladığımız açık kaynaklı kiti kullanabilirsiniz:

📂 GitHub: TISAX Değerlendirme Hazırlığı ve GAP Analizi Çalışma Kiti

🤝 Profesyonel TISAX Danışmanlığı ve Denetim Eşliği

Tesisinizin ENX Portal kaydından doğru Değerlendirme Hedefi (Assessment Objective) seçimine, VDA ISA boşluk analizinden denetim günü eşliğine kadar akredite denetim firmalarıyla çıkar çatışmasından uzak, bağımsız danışmanlık almak isterseniz:

👉 Burak Ekşi — TISAX Danışmanlığı ve Değerlendirme Hazırlığı sayfamız üzerinden metodolojimizi inceleyebilir ve kurumunuza özel hazırlık teklifi alabilirsiniz.

BT ve Yazılım Ekipleri İçin ISO 27001 Denetiminde Nesnel Kanıt Toplama Rehberi (ISO 19011)

Burak Ekşi — Sun, 25 Oct 2026 05:26:45 +0000

Yazılım geliştiriciler ve sistem mühendisleri için ISO 27001 denetimleri çoğu zaman sıkıcı bir bürokrasi veya geliştirme hızını kesen bir "evrak işi" gibi algılanır.

Ancak ISO/IEC 27001 standardının 2022 revizyonu ile birlikte denetim dünyası kökten değişti. Denetçiler artık internetten indirilmiş statik PDF politikalarıyla ilgilenmiyor; doğrudan GitHub PR loglarını, Terraform konfigürasyonlarını, CI/CD hatlarını ve AWS CloudTrail kayıtlarını görmek istiyor.

Bu rehberde, uluslararası ISO 19011 (Yönetim Sistemleri Denetim Rehberi) ilkelerine göre bir denetçinin sahada ne aradığını, "nesnel kanıt" (objective evidence) kavramını ve teknik ekiplerin denetime nasıl hazırlanması gerektiğini inceliyoruz.

1. ISO 19011 Kuralı: "Nesnel Kanıt" Nedir?

ISO 19011 Madde 3.8 uyarınca nesnel kanıt: Gözlem, ölçme, test veya doğrulanabilir kayıtlarla varlığı kanıtlanan veridir.

Bir denetçi için:

❌ "Biz zaten kod incelemesi yapıyoruz, herkes dikkat eder." bir kanıt değildir.
✅ GitHub branch protection kuralının açık olduğunu gösteren ekran görüntüsü, son 30 günde ana dala (main branch) atılan PR'lardaki zorunlu onay logları ve squash-merge kayıtları nesnel kanıttır.

2. Dört Temel BT Alanında Denetçi Ne Sorar & Ne İster?

A. Kaynak Kod Güvenliği ve Branch Koruması (Ek-A 8.28)

Denetçinin Sorusu: "Geliştiriciler doğrudan production/main dalına kod push edebiliyor mu? Kod inceleme (PR review) zorunlu mu?"
Beklenen Kanıt:
- Repodaki Branch Protection kuralları (en az 1 bağımsız reviewer onayı şartı).
- Son 3 aya ait 5 rastgele PR incelemesi: Kim açtı, kim onayladı, onaylayan kişi yazarın kendisi mi?
- Kod havuzunda gizli anahtar (secret) taramasının (gitleaks, trufflehog vb.) pre-commit veya CI kancasında çalıştığına dair loglar.

B. CI/CD Hattı ve Zafiyet Yönetimi (Ek-A 8.8)

Denetçinin Sorusu: "Kullandığınız açık kaynak kütüphanelerin (dependency) güvenlik açıklarını nasıl takip ediyorsunuz?"
Beklenen Kanıt:
- CI/CD hattına entegre edilmiş SCA/SAST araçları (Dependabot, Snyk, Trivy).
- Tespit edilen kritik açıklıkların Jira/ServiceNow biletleri ve SLA takibi (örneğin Kritik açıklar için 7 gün kuralı).

C. Altyapı ve Konfigürasyon Yönetimi (Ek-A 8.9)

Denetçinin Sorusu: "Bulut kaynakları ve sunucular elle mi açılıyor, standart hardening şablonu var mı?"
Beklenen Kanıt:
- Altyapının Kod Olarak Yönetimi (IaC - Terraform / OpenTofu).
- tfsec veya checkov ile altyapı kodunun derleme aşamasında taranması (örneğin 0.0.0.0/0 port açılmasının otomatik engellenmesi).
- Konfigürasyon sapmalarının (drift) izlenmesi.

D. Erişim Yetkileri ve Ayrılan Personel (Ek-A 5.15 & 5.18)

Denetçinin Sorusu: "Şirketten ayrılan bir yazılımcının AWS, GitHub ve VPN erişimleri ne kadar sürede kapatılıyor?"
Beklenen Kanıt:
- İK işten çıkış tarihi ile Active Directory / SSO hesap kapatma logunun zaman damgası (timestamp) karşılaştırması.
- Production veritabanlarına doğrudan erişim yerine geçici, denetlenen ve yetkilendirilen (bastion / teleport / IAM role) mekanizma kayıtları.

3. Denetim Sırasında Hayat Kurtaran 3 Altın Kural

Yalnızca Sorulan Soruya Cevap Verin: Denetçinin sormadığı sistemleri veya geliştirme aşamasındaki deneysel projeleri gereksiz yere anlatmayın.
Spekülasyon Yapmayın: Bilmediğiniz bir teknik ayrıntı sorulduğunda "Şu an tam logu hatırlamıyorum, sistem kayıtlarına bakıp 10 dakika içinde sunalım" demek, tahmini yanlış bilgi vermekten bin kat daha profesyoneldir.
Sahte / Tarihsiz Kanıt Üretmeyin: Denetim sabahı alelacele oluşturulan Excel listeleri veya geriye dönük sahte toplantı tutanakları kıdemli bir denetçi tarafından anında fark edilir ve doğrudan Majör Uygunsuzluk bulgusuna yol açar.

🛠️ Açık Kaynak Denetçi ve Vaka Çalışma Kiti

ISO 27001 denetimlerinde karşılaşılan gerçek senaryoları ve uygunsuzluk (NCR) yazım kurallarını incelemek isterseniz, GitHub üzerinde yayımladığımız açık kaynaklı kiti inceleyebilirsiniz:

📂 GitHub: ISO 27001 Denetim Vakaları ve Uygunsuzluk Şablonları

🎓 Profesyonel Baş Denetçi Eğitimi ve Kariyer

Sistemlerinizi yalnızca denetime hazırlamakla kalmayıp; ISO 19011 ve ISO/IEC 17021-1 uyarınca 3. taraf bağımsız belgelendirme denetimlerini yönetecek uluslararası baş denetçi yetkinliği kazanmak isterseniz:

👉 Burak Ekşi — ISO 27001 Baş Denetçi Eğitimi (CQI ve IRCA Onaylı) | İstanbul & Çevrim İçi programımıza katılarak küresel geçerliliğe sahip sertifikasyon sürecini başlatabilirsiniz.

ISO 27001:2022 GAP Analizinde Sık Yapılan 5 Kritik Hata ve Çözüm Yolları

Burak Ekşi — Sat, 24 Oct 2026 23:25:39 +0000

Bilgi Güvenliği Yönetim Sistemi (BGYS) kurulumunun veya ISO/IEC 27001:2022 revizyonuna geçişin en kritik aşaması GAP (Boşluk) Analizidir.

Doğru kurgulanmış bir GAP analizi; kurumun mevcut güvenlik seviyesi ile standardın gereksinimleri arasındaki mesafeyi netleştirir, bütçe israfını engeller ve denetim sürprizlerini ortadan kaldırır. Ancak sahadaki denetim ve danışmanlık tecrübelerimiz, birçok kurumun GAP analizi aşamasında benzer metodolojik hatalara düştüğünü göstermektedir.

İşte ISO 27001 GAP analizinde en sık karşılaşılan 5 hata ve bunları önlemenin yolları:

1. Hatayı Belgelemek: "Politikamız Var, O Halde Güvendeyiz" Yanılgısı

En yaygın yapılan hata, GAP analizini bir dokümantasyon kontrolü olarak görmektir. Birçok kurum, internetten indirdiği şablon bilgi güvenliği politikalarını imzalayarak o kontrolü "Tamamlandı" olarak işaretler.

Gerçek Denetçi Perspektifi:
Bir denetçi için politikanın varlığı yalnızca ilk adımdır. Önemli olan o politikanın sahada işletilip işletilmediğidir. Örneğin; A.8.8 Teknik Açıklıkların Yönetimi maddesi için yazılı bir "Zafiyet Yönetim Politikası" bulunması yeterli değildir. Denetçi; son 3 ayın zafiyet tarama raporlarını, kapatılan kritik CVE kayıtlarını ve SLA sürelerini görmek ister.

2. 2022 Revizyonu ile Gelen Yeni Kontrolleri Göz Ardı Etmek

ISO/IEC 27001:2022 revizyonu ile birlikte Ek-A kontrolleri 93'e indirilmiş ve 11 yeni kontrol sisteme dahil edilmiştir. Bu kontroller yalnızca teknolojik alanda değil; üç ana temaya dağılmıştır:

Organizasyonel Kontroller: A.5.7 Tehdit İstihbaratı, A.5.23 Bulut Hizmetlerinde Güvenlik, A.5.30 BİT Hazırlığı (İş Sürekliliği).
Fiziksel Kontroller: A.7.4 Fiziksel Güvenlik İzleme (Sensör ve CCTV izleme).
Teknolojik Kontroller: A.8.9 Yapılandırma Yönetimi, A.8.10 Bilgi Silme, A.8.11 Veri Maskeleme, A.8.12 Veri Sızıntısı Önleme (DLP), A.8.16 Faaliyetlerin İzlenmesi, A.8.23 Web Filtreleme, A.8.28 Güvenli Kodlama.

Özellikle modern bulut mimarilerinde A.5.23 (Bulut Sorumluluk Modeli), A.8.9 (IaC Hardening) ve A.8.28 (Güvenli SDLC) kontrollerinin GAP analizinde yüzeysel geçilmesi, belgelendirme denetimlerinde doğrudan majör uygunsuzluğa yol açmaktadır.

3. Satıcı / Ürün Odaklı Çıkar Çatışmalarına Kapılmak

Piyasada güvenlik donanımı veya yazılım lisansı satan entegratörlerin danışmanlık vermesi, GAP analizinin tarafsızlığını zedeler. Entegratör danışmanlar, her güvenlik açığını kurumun yeni bir ticari lisans (EDR, DLP, SIEM) satın alması gereken bir ihtiyaç gibi konumlandırma eğilimindedir.

Oysa ISO 27001 bir ürün satın alma zorunluluğu getirmez; risk odaklı yönetim talep eder. Birçok kontrol; açık kaynak araçlarla, işletim sistemi sıkılaştırmalarıyla veya süreç optimizasyonlarıyla sıfır ek maliyetle çözülebilir. Danışmanlığın satıcı bağımsız (vendor-independent) olması bu nedenle hayati önem taşır.

4. Statik Bir Uygulanabilirlik Bildirgesi (SoA) Hazırlamak

Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), kurumun hangi kontrolleri uygulayacağını ve hangilerini neden hariç tuttuğunu belgelediği en kritik dokümandır.

ISO/IEC 27001 Madde 6.1.3 d uyarınca, bir kontrol hariç tutulurken gerekçenin risk değerlendirmesi sonuçlarına ve yasal yükümlülüklere dayandırılması zorunludur. "Bu departman bizde yok" veya "bu alanda çalışmıyoruz" şeklindeki tek cümlelik gerekçesiz hariç tutmalar denetimde kabul edilmez.

5. İç Tetkik Simülasyonunu Ertelemek

GAP analizi yapıldıktan sonra bulunan eksikliklerin giderilip giderilmediğini test etmek için bağımsız ve tarafsız bir iç tetkik simülasyonu şarttır. Birçok ekip Madde 9.2 İç Tetkik sürecini belgelendirme denetiminden bir hafta önceye sıkıştırmakta ve düzeltici faaliyetleri (DÖF) tamamlayamamaktadır.

Açık Kaynak Araç ve Kontrol Listesi

Kurumunuzda 93 kontrolün tamamını denetim soruları, gerekli kanıt türleri ve öz değerlendirme skalasıyla incelemek isterseniz hazırladığımız açık kaynaklı depodan yararlanabilirsiniz:

📂 GitHub: ISO 27001:2022 GAP Analizi ve BGYS Kontrol Listesi

Profesyonel Danışmanlık ve Denetim Hazırlığı

Kurumunuz için çıkar çatışmasından uzak, nesnel ve baş denetçi tecrübesiyle yönetilen profesyonel bir BGYS kurulumu veya geçiş süreci yürütmek isterseniz:

👉 Burak Ekşi — ISO 27001 Danışmanlığı ve GAP Analizi sayfamız üzerinden metodolojimizi inceleyebilir ve kurumunuza özel hazırlık teklifi alabilirsiniz.

Yazar Hakkında: Burak Ekşi, bilgi güvenliği, iç denetim ve risk yönetimi alanlarında bağımsız baş denetçi ve kıdemli danışman olarak hizmet vermektedir.