Projenizi Konuşalım
Network & Güvenlik

IT Risk, Varlık ve Yetki Yönetimi Nedir? Erişim Kontrolü ve Güvenlik Sağlık Kontrolü Rehberi

IT varlık envanteri, kritik sistemler, yetki matrisi, ayrıcalıklı erişim ve risk aksiyonlarını öğrenin.

Hazırlayan: Hamit DokuyucuOkuma süresi: 5 dakikaSon güncelleme: 27 Ağustos 2026

IT risk yönetimi nedir?

  • Business impact + likelihood üzerinden technology risklerini yönetmek.
  • Risk sıfırlama değil kabul edilebilir seviyeye indirme.

Risk, threat, vulnerability ve control

  • Kavramları tek örnek üzerinde ayır: internete açık eski VPN appliance.

Risk register nedir?

  • Risk ID, asset/process, scenario, likelihood, impact, owner, control, action, due date, residual risk.
  • Copy-paste risk listesinden kaçınma.

Risk appetite / tolerance

  • Yönetimin kabul edebileceği kesinti/veri kaybı.
  • RPO/RTO ile bağlantı.

Varlık nedir?

  • Hardware, software, information, service, identity, supplier.
  • Sadece laptop listesi değildir.

IT varlık envanteri

  • Serial, IP, owner, location, criticality, OS/version, warranty, EOL/EOS, backup.
  • Cloud/SaaS ve domainleri unutma.

Asset owner

  • IT custodian ile business/data owner farkı.
  • Kim erişim kararını verir?

Criticality

  • Confidentiality/integrity/availability ve business dependency.
  • Kritik = pahalı cihaz değildir.

Data classification

  • Public/internal/confidential/restricted gibi kurum modeli.
  • Access ve handling.

Access control nedir?

  • Authentication, authorization, accounting.
  • User → group/role → resource.

Least privilege

  • İş için gereken minimum erişim.
  • Zamanla privilege creep.

RBAC

  • Role-based access control.
  • Departman/rol grupları.

ABAC / conditional access

  • Context/device/location/risk attribute.
  • Cloud identity örneği.

Joiner-Mover-Leaver

  • User lifecycle.
  • Role change'de eski erişimin kaldırılması.

Access request

  • Kim talep eder, kim onaylar, IT ne uygular?
  • Owner-based approval.

Access review

  • Periyodik user-group-resource review.
  • Admin/financial/HR/VPN önceliği.

Orphan/stale accounts

  • Eski employee, test, service, vendor accounts.
  • Last logon bilgisinin yorum sınırları.

Shared account

  • Accountability ve MFA problemi.
  • Shared mailbox/group ve named account alternatifi.

Service account

  • Non-interactive workload identity, least privilege, rotation/managed identity.
  • Owner.

Privileged account

  • Domain Admin, Global Admin, firewall admin, root.
  • Günlük hesap ile ayrı.

PAM / PIM

  • Just-in-time privileged access; Microsoft Entra PIM gibi ürün örneği.
  • Lisans/feature güncel doğrula.

Break-glass account

  • Cloud admin emergency access.
  • Secure storage, alerting, testing.

Local admin

  • Endpoint risk; Windows LAPS.
  • Helpdesk admin delegation.

Password ve MFA policy

  • Modern authentication, phishing-resistant options.
  • Ürün ve risk bağlamına göre.

Network access

  • VLAN, firewall policy, VPN groups.
  • Any-any cleanup.

Firewall rule review

  • Owner, purpose, source/destination/service, last hit, expiry.
  • Temporary rules.

Microsoft 365 security review

  • Global admins, MFA/CA, forwarding, external sharing, guest accounts, app consent.
  • Lisans bağımlı kontroller.

Active Directory security review

  • Privileged groups, stale users/computers, GPO, legacy protocols, LAPS, replication/DNS health.

File access review

  • NTFS groups, direct ACL, Everyone/Authenticated Users, sensitive folders.

SharePoint/OneDrive external sharing review

  • Guest, anyone links, stale sites, owner.

VPN access review

  • Active users/groups, MFA, old clients, full LAN permissions.

Endpoint security review

  • Patch, encryption, AV/EDR, local admin, unsupported OS.

Backup risk review

  • Coverage, failures, immutability, restore test, admin separation.

Vulnerability management

  • Discovery, severity, exploitability, remediation SLA, exception.
  • Patch != vulnerability management'in tamamı.

Configuration management

  • Standard baseline, drift, change record.
  • Firewall/server/M365.

EOL/EOS management

  • Unsupported OS, firewall, switch, NAS, application.
  • Replacement roadmap.

Third-party access

  • Vendor VPN/RDP/admin, expiry, logging.
  • Named accounts.

SaaS / OAuth app risk

  • Enterprise app consent, API permission.
  • Shadow SaaS.

Security health check

  • Identity, endpoint, network, cloud, backup, web, documentation.
  • Risk scoring and prioritized plan.

Risk treatment

  • Mitigate, avoid, transfer/share, accept.
  • Action owner/deadline.

Security KPI / KRI

  • MFA coverage, stale admin, patch compliance, restore test, critical findings.
  • Vanity metric risk.

Evidence / documentation

  • Access review sign-off, risk register, asset inventory, firewall review, restore report.
  • ISO/KVKK bağlantısı.

En sık yapılan hatalar

  • Envanteri bir kez hazırlayıp güncellememek.
  • Risk owner belirtmemek.
  • Her bulguyu 'yüksek' yapmak.
  • Eski çalışan ve vendor hesaplarını açık bırakmak.
  • Admin hesabını günlük işte kullanmak.
  • Firewall rule'un neden açıldığını bilmemek.

Pillar içerisinde önerilen karşılaştırma tabloları

  • Risk vs Threat vs Vulnerability
  • Asset Inventory vs CMDB
  • RBAC vs ABAC
  • Authentication vs Authorization
  • Least Privilege vs Zero Trust
  • Shared Account vs Named Account
  • PAM vs PIM
  • Risk Assessment vs Vulnerability Scan

Gerçek hayat senaryoları

  • Eski çalışan/tedarikçi hesaplarını AD/M365/VPN'den temizleme.
  • Global Admin ve Domain Admin sayısını azaltıp ayrı admin hesaplarına geçme.
  • Finance/HR File Server klasörlerinde access review.
  • FortiGate'de yıllardır açık temporary firewall rule'larını owner ve last-hit ile gözden geçirme.
  • Backup restore test ve immutable copy eksikliğini risk register'a action olarak yazma.

Sık sorulan sorular

  • IT risk yönetimi nedir?
  • IT varlık envanteri nedir?
  • Risk register nedir?
  • Least privilege nedir?
  • RBAC nedir?
  • Access review nedir?
  • Joiner Mover Leaver nedir?
  • Privileged account nedir?
  • PAM nedir?
  • PIM nedir?
  • Break glass account nedir?
  • Service account nasıl yönetilir?
  • Shared account neden riskli?
  • Local admin neden riskli?
  • Firewall rule review nasıl yapılır?
  • Microsoft 365 security review nasıl yapılır?
  • Active Directory security audit nasıl yapılır?
  • Backup risk assessment nasıl yapılır?
  • IT security health check nedir?
  • Risk treatment nedir?