İşletmen Yüzlerce Sorunla Boğuşuyor mu? Gerçekten Önemli Olan 3'ünü Buldun mu?

O Rakam Korkutucu Olmalı (Ama Sanıldığı Sebeple Değil)

Söyleyeceğim bir sayı var: 974. Microsoft'un tek bir günde, eylül ayında kapattığı güvenlik açığı sayısı bu. Yüzden fazlası kritik olarak işaretlenmişti. Şirket 2026'da şimdiden 2.700'den fazla açığı yamalamış durumda. Üstelik yılın henüz üç ayı var.

Ama beni asıl düşündüren başka bir şey: o eylül açıklarından ikisi, yama yayınlanmadan önce saldırganlar tarafından aktif olarak kullanılıyordu. Ve işin ilginç tarafı, ikisi de "kritik" değil, yalnızca "önemli" kategorisindeydi.

Biri Windows Update Stack'te gizlenmişti. Diğeri Advanced Local Procedure Call adlı bir bileşende duruyordu. Her ikisi de makinenizde zaten bulunan bir saldırganın kendisini tam yetkili yöneticiye dönüştürmesine izin veriyordu. Eğer Microsoft'un öncelik derecesine bakarak karar veriyorsanız, bu ikisini büyük ihtimalle geri planda bırakırdınız.

Peki asıl ders ne? Ayda bin yama çekebilir misiniz, onu tartışmak değil mesele. Çoğu küçük işletme bunu beceremez, bunu biliyoruz. Asıl soru çok daha basit ve çok daha zor: Neye sahip olduğunuzu biliyor musunuz?

---

Neden Kutunuz Birden Yama Bildirimleriyle Doluyor?

Bu trendi ilk duyduğumda şaşırdım. Yazılım kötüleşmedi. Bu açıklar birdenbire tembellik yüzünden ortaya çıkmadı. Çoğu yıllardır, hatta onlarca yıldır kodun içinde oturuyordu.

Değişen şey şu: yapay zeka.

Microsoft, Google, Adobe, Cisco, Mozilla ve Oracle, milyonlarca satır kodun içinde güvenlik açıklarını taramak için yapay zeka araçları kullanıyor. Ve insan araştırmacıların asla başaramayacağı bir hızla buluyorlar. Yalnızca Google'ın yapay zeka hattı, iki Chrome sürümünde binin üzerinde güvenlik hatasını düzeltti — bu, önceki iki yılın toplamından fazla.

Zero Day Initiative'den Dustin Childs buna "yeni normal" diyor ve açıkçası haklı olduğunu düşünüyorum. Birkaç yıl önce normal sayılan rakamlara geri döneceğimizi beklemeyin.

Bu kötü haber mi? Çoğunlukla hayır. İyi tarafların daha fazla açık bulup kapatması kazanımdır. Yamalar sel gibi geliyor ama saldırılar henüz aynı tempoda değil. Ama bir sorun var: bir şey silah haline getirildiğinde, açığın duyurulmasıyla saldırganların onu kullanmaya başlaması arasındaki süre gitgide kısalıyor. Eskiden bu süre yama yapmanız için size zaman tanırdı. Şimdi kahvenizi bitirmenize bile zor yetişiyor.

---

Kimsenin Konuşmadığı Görünürlük Sorunu

Şöyle düşünün. Yama Salısı (ya da Microsoft'un aylık paketi bırakmaya karar verdiği her ne günse). Yönetim konsolunuzu açıyorsunuz, bekleyen 50 güncelleme görüyorsunuz. Belki 100. Belki daha fazla. Stratejiniz ne?

Çoğu küçük işletme gibiyseniz, muhtemelen kritik olanlardan başlarsınız, aşağı doğru ilerlersiniz ve şansa güvenirsiniz. Belki her şeyi otomatik güncellemeye ayarlar, işi bitmiş sayarsınız.

Bu yaklaşımdaki sorun şu: kritik, "kesinlikle zarar verir" demek değil ve önemli, "önemli değil" demek değil.

Windows Server'da bir DNS zafiyeti, Windows Server çalıştırıyorsanız yıkıcıdır. Çalıştırmıyorsanız size tamamen gereksizdir. Ama çalıştırıp çalıştırmadığınızı bilmiyorsanız — ve dürüst olalım, kaç küçük işletme sahibi bakmadan cevap verebilir ki — güvenlikte körlükle dalgasız köpek oynuyorsunuz demektir.

Konuştuğum küçük işletmelerin çoğu, gerçekten neye sahip olduklarının güvenilir bir listesine sahip değil. Kaç dizüstü bilgisayar dolaşımda? Hangileri hâlâ güvenlik güncellemesi alıyor, hangileri 2017'den beri desteklenmeyen işletim sistemlerinde çalışıyor? Ne tür sunucu yazılımları var, en son ne zaman el sürüldü? Şirket e-postasına erişimi olan eski akıllı telefonlar var mı?

Yama sayıları makul olduğunda, belirsiz kapsam tolere edilebilirdi. Biraz tahmin yürüterek idare edebilirdiniz çünkü rakamlar küçüktü, genel olarak güncel kalmak gerçekten güncel kalmaya yakındı.

Ayda bin düzeltme geldiğinde, tahmin yürütmek işe yaramaz. Ölçmediğiniz bir kuru yığını önceliklendiremezsiniz.

---

Kimsenin Bahsetmek İstemediği Envanter

Tüm bu karmaşanın şımarık olmayan çözümü şu: bir liste yap.

Biliyorum, biliyorum. Siber güvenliğin süper kahraman pelerini gibi değil. Ama dinleyin.

Bir varlık envanteri, yapılması sıkıcı bir şey gibi görünür ta ki ne işe yaradığını anlayana kadar. Yönetilemez bir sayıyı (bu ay 974 yama!) sizin gerçek kurulumunuzla ilgili üç yamaya indirir. Artık tahmin yürütmediğiniz için her güvenlik kararınızı ucuzlatır.

Bunun için gösterişli bir araca ihtiyacınız yok. Basit başlayın. Ağınıza hangi cihazlar bağlı? Üzerlerinde ne çalışıyor? Gerçekten kullanılan mı var, yoksa kurulup unutulan mı? Basit dediğimde ciddiyim. Bir elektronik tablo iş görür. Ofisinizde dolaşıp not almak iş görür. Önemli olan yapmanız ve bir şey değiştiğinde güncellemeniz.

Bu yeni dönemi iyi yöneten işletmeler en hızlı yama yapanlar değil. Temel bir soruyu yanıtlayabilenler: Ne çalıştırıyoruz ve nerede duruyor?

---

Yapay Zeka Araçlarınız Artık Saldırı Yüzeyinizin Bir Parçası

Tahmin etmediğiniz bir şey: yapay zeka asistanlarınız da yazılım. Yazılımın kusurları olur. Kusurlar istismar edilebilir.

Bu araçların nereye erişebildiğini düşünün. Posta kutunuza, dosyalarınıza, müşteri veritabanınıza erişimi olan bir asistan — bu, bir hesap tablosu programından tamamen farklı bir risk profili. Bu araçlar e-postalarınızı okuyabilir, sizin adınıza yanıtlar taslaklayabilir ve giderek artan şekilde, bulduklarına göre işlem yapabilir.

Küçük işletmeler yapay zeka araçlarını neredeyse organik olarak benimsedi. Birisi faydalı bir tarayıcı eklentisi kurdu. Birisi toplantı not alanını şirket takvimine bağladı. Birisi paylaşımlı diske erişim vererek bir öğleden sonrasını kurtardı.

Her bir karar o anda mükemmel bir anlam taşıyordu.

Geride kalan şey, bunların kaydedilmesiydi. Çoğu işletme sahibine şirket genelinde hangi yapay zeka araçlarının kullanıldığını ve bu araçların gerçekten hangi verilere erişebildiğini sorun, derin bir sessizlikle karşılaşırsınız.

Buna gölge yapay zeka diyoruz ve boynunuza yapışmış bir görünürlük açığı.

Çözüm panikle yapay zeka araçlarını yasaklamak değil — bazıları gerçekten işe yarıyor ve rakipleriniz muhtemelen zaten kullanıyor. Çözüm, o sıkıcı elektronik tabloya bunları da eklemek. Hangi araç nereye bağlı? Ne görebiliyor?

---

Sizin İçin Ne Anlama Geliyor

Hepsini pratik bir şekilde bir araya getireyim.

Yama seli gitmeyecek. Yapay zeka destekli açık keşfi burada kalacak ve bu çoğunlukla iyi haber — kapatılan açıklar tarihte hiç olmadığı kadar çok. Ama küçük işletmelerin güvenliğe yaklaşım biçimini değiştiriyor.

Hacimle yama yaparak bunun içinden çıkamazsınız. Her güvenlik bültenini okuyup hepsi hakkında bilinçli kararlar veremezsiniz. Günler yetmez ve açıkçası çoğumuz güvenlik araştırmacısı değiliz.

Yapabileceğiniz şey, neye sahip olduğunuzu ciddiye almak. O varlık envanterini oluşturun. Gösterişli olması gerekmiyor. Var olması yeterli.

Ne çalıştırdığınızı bildiğinizde, o yama seli birden çok daha yönetilebilir bir dereceye dönüşür. Size uymayan açıkları görmezden gelebilir, uygun olanlara odaklanabilirsiniz.

Göremediğinizi yamalayamazsınız. Siber güvenliğin en eski tavsiyesi bu ve nedense hiç olmadığı kadar güncel.

Kuru yığınlar büyüyor. Bu da iğnelerinizin yerini bilmenin stakesini hiç olmadığı kadar yükseğe taşıyor.

Etiketler ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']