Hastaneler İçin 30 Günlük Siber Sertleşme Planı – KVKK Uyumlu Minimum Güvenlik (MVS)

Sağlık kuruluşları siber suçlular için cazip hedeflerdir. Çünkü hem veriler değerlidir, hem de kesinti “insan hayatına” etki eder. Bu yazı, 30 gün içinde uygulanabilir Minimum Uygulanabilir Güvenlik (MVS) planını anlatır. Amaç; hızlı kazanımlar ve ölçülebilir risk düşüşü.

Gün 1–3: Envanter & Sorumluluk Matrisi

• BT varlık envanteri (sunucu, NAS, firewall, switch, uç nokta).

• Veri sınıflandırma: Hasta verisi, kritik operasyon verisi, loglar.

• RACI matrisi: Kim karar alır, kim uygular, kim doğrular?

Gün 4–7: Erişim ve Kimlik Sertleşmesi

• AD/Entra ID kullanıcıları: MFA zorunlu, parola politikası güncelle.

• Yerel adminler kapat; ayrı ‘break-glass’ hesapları oluştur.

• Paylaşım izinleri: Least privilege + Everyone temizliği.

Gün 8–12: Uç Nokta Güvenliği (EDR/XDR)

• Antivirüs tek başına yeterli değil: EDR/XDR devreye alın.

• Yanal hareket, davranışsal tespit, otomatik izolasyon.

• Kritik sunucular için ayrı profil/politika (daha agresif).

Gün 13–16: Ağ Segmentasyonu & Sıfır Güven

• VLAN’lar: Klinik cihazlar, ofis kullanıcıları, misafir ağı, yönetim ağı ayrımı.

• Güvenlik duvarında mikro-segment kuralları; ‘allow all’ yasak.

• Uzak erişimde VPN + MFA + cihaz durumu kontrolü.

Gün 17–20: Yedekleme ve Immutable Backup

• 3-2-1-1 kuralı: 3 kopya, 2 farklı ortam, 1 farklı lokasyon, 1 immutable.

• Kurtarma hedefleri (RPO/RTO) belirle ve tatbikat yap.

• Yedeklerin çevrimdışı/air-gap kopyasını planla.

Gün 21–24: Loglama, İzleme, Uyarı

• Kritik sistemlerden (AD, EDR, FW, sunucu) log topla.

• SIEM’e besle veya merkezi logla uyarı senaryoları kur.

• Olay sınıflandırma ve eskalasyon iletişim akışı.

Gün 25–27: KVKK Teknik–İdari Tedbirlerin Eşleştirilmesi

• Erişim, kayıt, saklama, imha politikalarını yazılı hale getir.

• Tedarikçi sözleşmelerinde veri işleme eklerini güncelle.

• Veri ihlali bildirimi playbook’u oluştur.

Gün 28–30: Tatbikat & Olgunluk Değerlendirme

• Olay müdahale tatbikatı (ransomware senaryosu).

• Gap analizi → 60/90 günlük yol haritası.

• Üst yönetime özet rapor: Risk, maliyet, kazanım.