Ankete degil, varlik kanitlarina dayali NIS2 hazirligi
NIS2 Madde 21(2), isletmelerden uygun teknik ve organizasyonel risk yonetimi onlemleri bekler. AssetObserve kendi aginizdan toplanan salt-okunur tarama kanitlarini bu onlemlere esler; boylece hazirlik tartismasi hafizadan degil, fiilen kurulu olan seyden baslar.
NIS2 hazirliklarinin cogu ayni yerde tikanir: agda ne oldugunu, bunlarin hangisinin yamasiz kaldigini ve hangisinin bugun aktif olarak somuruldugunu kimse guvenle soyleyemez. AssetObserve bunu kanitlardan yanitlar ve kalan bosluklari bir puanin arkasina saklamak yerine acik sorular olarak gosterir.
Taramanin tek basina kanitlayabildikleri
Salt-okunur toplamanin gercek bir cikti urettigi onlemler.
| Varlik envanteri ve kapsam | Windows, Linux, macOS, SNMP uzerinden ag cihazlari, VMware, Active Directory ve bulut kiracilarinda yetkili kesif; erisilemeyen, kapsam disi birakilan ve kimlik dogrulamasi basarisiz hedefleri sayimdan sessizce dusurmek yerine gorunur tutan kapsama takibi ile birlikte. |
|---|---|
| Zafiyet yonetimi | Kurulu yazilim envanterinin yerel NVD kopyasiyla eslestirilmesi, ardindan CISA'nin bilinen somurulen zafiyetler katalogu ve FIRST.org EPSS somuru olasilik puanlariyla zenginlestirilmesi. Boylece onceliklendirme ham CVE sayisi degil, somuru farkindaligi olan bir siralama olur. Eslesmeler 'olasi eslesme, dogrulanmamis' olarak etiketlenir. |
| Yama ve yasam dongusu durumu | Host bazinda yama gecikmesi, kullanim omru dolmus urun eslestirmesi ve SMBv1 ya da kendinden imzali TLS gibi acikta kalan eski protokoller. |
| Yedekleme ve sureklilik sinyalleri | Yedekleme ozetleri, Volume Shadow Copy servis durumu, yakin zamanli yedekleme hatalari ve bayatlamis hipervizor anlik goruntuleri. |
| Erisim kontrolu sinyalleri | Yerel yonetici yayilmasi, etki alani yonetici sayilari, atil hesaplar ve parola politikasi asgari degerleri; LDAPS ve WinRM uzerinden salt-okunur toplanir. |
Yalnizca insanin kapatabilecekleri
Kanitin beyan ve belge oldugu onlemler.
Olay mudahale rolleri, kriz iletisimi, test edilmis kurtarma prosedurleri, tedarikci guvenlik yukumlulukleri, personel egitimi ve yonetisim sahipligi hicbir taramayla tespit edilemez. AssetObserve bunlari beyana dayali kontroller olarak ele alir: adi belirtilen bir kisi yaniti kaydeder, belgeyi ekler ve degerlendirme yalnizca beyana dayali bir kontrolu tam olarak oyle gosterir.
Sonuc, tek bir gurur oksayici yuzde yerine iki ayri sayidir: ne kadari otomatik olarak kanitlanmis, ne kadari insan beyanina dayaniyor.
Ciktida ne var
Hem yonetimin hem denetcinin okuyabilecegi raporlar.
HTML veya PDF olarak bir NIS2 hazirlik raporu, teknik bulgu raporu ve onceliklendirilmis eylem plani; hepsi ayni kanit tabanindan Almanca, Ingilizce veya Turkce uretilir. Kabul edilen riskler is gerekcesi, kapsam ve istege bagli bitis tarihiyle kaydedilir; boylece bilincli bir karar cozulmemis bir bulgu olarak degil, karar olarak gorunur.
Iddianin bittigi yer
- AssetObserve NIS2 hazirligini ve bosluk analizini destekler. Uyumlulugu belgelendirmez ve NIS2'nin kurulusunuza uygulanip uygulanmadigi konusunda hukuki danismanligin yerine gecmez.
- Kesif salt-okunurdur ve kapsamla sinirlidir. Sistemleri somurmez, kimlik bilgilerini denemez, tespitten kacmaz ve taranan bir hostta hicbir seyi degistirmez, devre disi birakmaz veya duzeltmez.
- Tarama kimlik bilgileri, ajan veya sunucu uzerinde musteri kontrolundeki bir kasada kalir. Calisma alanina yalnizca normallestirilmis kanitlar ulasir.
Sik sorulan sorular
01/ NIS2 raporu kurulusumuzu NIS2 uyumlu yapar mi?
Hayir, sizi hazirlar. Rapor kanitlarinizi Madde 21(2) onlemlerine esler ve kalan acik sorularla birlikte bir hazirlik puani gosterir. Uyumluluk, kurulusunuz hakkinda hukuki bir tespittir; bir taramanin ciktisi degildir.
02/ Hangi NIS2 onlemleri otomatik olarak kanitlanabilir?
Varlik envanteri ve kapsam, zafiyet yonetimi, yama ve yasam dongusu durumu, yedekleme sinyalleri ve teknik erisim kontrolu sinyalleri. Olay yonetimi, tedarikci yukumlulukleri, egitim ve yonetisim icin belge ekli insan beyani gerekir.
03/ NIS2 kanitlari icin her makineye ajan kurmamiz gerekir mi?
Hayir. Erisilebilir bir konumdaki tek bir yetkili tarayici ag kanitlarini toplar ve Windows, Linux, macOS, yazicilar, switchler ve hipervizorleri belgeleyebilir. Kalici uc nokta modu istege baglidir ve daha cok gezici ya da nadiren baglanan cihazlar icindir.
04/ Somuru farkindaligi olan zafiyet verisi CVE sayisindan nasil farklidir?
Ham CVE sayisi her eslesmeyi esit agirlikta sayar. AssetObserve eslesmeleri, bilinen somurulen bir zafiyeti CVSS puanindan bagimsiz olarak kritige yukselten CISA KEV katalogu ve siralamayi siddet bandi icinde ayarlayan FIRST.org EPSS puanlariyla zenginlestirir.