Dış kaynak SOC hizmeti ile kurum içi ekip arasındaki tercih, çoğu kurumda teknoloji tartışması olarak başlar ama insan kaynağı gerçeğiyle biter. Karar toplantılarında konuşulan konu genelde platform seçimidir; oysa asıl belirleyici, gece 03.00’te üretilen bir uyarıya bakacak ve izolasyon kararı verecek kişinin kim olduğudur. Platformu satın almak birkaç haftalık iş, o masayı kesintisiz doldurmak ise kalıcı bir yüktür.

Bu yazı iki modeli maliyet, kabiliyet, kontrol ve risk eksenlerinde karşılaştırıyor; hangi kurum profilinde hangisinin daha rasyonel olduğunu, hibrit modelin nasıl kurulduğunu ve sözleşmeye mutlaka yazılması gereken maddeleri anlatıyor.

Kararı belirleyen asıl kısıt: vardiya matematiği

Haftanın tamamı 168 saattir ve standart bir çalışma haftası 40 saatin altındadır. Yalnızca tek kişilik bir masayı kesintisiz doldurmak bile kâğıt üzerinde dört buçuk kişilik bir kadro anlamına gelir; yıllık izin, hastalık, eğitim ve devir payı eklendiğinde bu sayı beş ile altı arasına çıkar. İki kişilik bir vardiya isteniyorsa kadro ikiye katlanır.

Bu aritmetik, kararın en dürüst çerçevesidir. Bunun üzerine şunlar eklenir:

• Analist yetiştirmenin süresi ve deneyimli analistin işgücü piyasasındaki devir hızı.
• Vardiyalı çalışma nedeniyle oluşan yıpranma ve buna bağlı kadro kaybı.
• Tespit mühendisliği, tehdit avcılığı ve adli inceleme gibi ayrı uzmanlık alanlarının aynı ekipten beklenmesi.
• Platform lisansı, log saklama maliyeti ve entegrasyon iş gücü.

Kurum içi SOC hangi durumlarda mantıklıdır

Kurum içi model, bağlam bilgisinin belirleyici olduğu ortamlarda üstünlük sağlar. Kendi uygulamalarını geliştiren, karmaşık iş süreçleri olan ve düzenleyici nedenlerle verisini dışarı çıkaramayan kurumlarda analistin sistemi tanıması, tespit kalitesini doğrudan yükseltir. Ayrıca olay anında müdahale yetkisi zaten kurumun içindedir; onay zinciri kısadır.

Buna karşılık kurum içi model, güvenlik ekibinin zamanının önemli bölümünü operasyona ayırmasını gerektirir. Ekibin mimari, uyum ve risk yönetimi tarafında ürettiği değer azalır. Bu nedenle kurumsal siber güvenlik danışmanlığı kapsamında yürütülen olgunluk değerlendirmelerinde sık rastlanan tablo şudur: üç kişilik bir güvenlik ekibi hem uyarı bakmakta hem denetim sorularına cevap yetiştirmekte, sonuçta ikisini de yarım yapmaktadır.

Dış kaynak SOC hangi durumlarda mantıklıdır

Dış kaynak model, kesintisiz kapsamı ilk günden sağlaması ve farklı kurumlarda görülen saldırı desenlerini tespit kurallarına taşıması nedeniyle tercih edilir. Kadro kurma, vardiya yönetme ve analist yetiştirme yükü sağlayıcıdadır; kurum, tespit ve müdahale sürelerini sözleşmeyle taahhüt altına alır.

Modelin zayıf noktası bağlamdır. Sağlayıcı, kurumun iş süreçlerini ilk günden bilmez; bu nedenle devreye alma döneminde yanlış pozitif oranı yüksek seyreder. İkinci risk, sorumluluk sınırıdır: birçok kurulumda sağlayıcı tespit eder ve bildirir, müdahale kararını kurum verir. Bu sınır yazılı değilse, olay anında herkes diğerinin harekete geçmesini bekler.

İki modelin karşılaştırması

Hibrit model çoğu kurumda gerçekçi orta yol

Uygulamada en sık kurulan yapı ikisinin karışımıdır: mesai saatlerinde kurum içi ekip, mesai dışında ve hafta sonunda sağlayıcı devrede olur. Bu modelde kurum, bağlam gerektiren derin incelemeyi kendi ekibiyle yapar; sağlayıcı ise birinci seviye triyajı ve kesintisiz kapsamı üstlenir.

Hibrit modelin çalışması için üç konunun yazılı olarak net olması gerekir:

• Hangi uyarı sınıfında kimin karar verdiği ve hangi durumda tırmandırmanın zorunlu olduğu.
• Vardiya devir notunun hangi bilgileri zorunlu olarak içereceği.
• Tespit kurallarını kimin yazıp kimin onayladığı ve değişikliklerin nasıl kayda geçtiği.

Bu üçü tanımsızsa hibrit model, iki ekibin birbirini beklediği bir yapıya dönüşür.

Sözleşmede mutlaka yer alması gereken maddeler

• Süre taahhütleri: uyarı sınıfı bazında tespit ve ilk müdahale süreleri, ölçüm yöntemi ve raporlama sıklığı.
• Kapsam tanımı: izlenen log kaynakları, kaynak eklendiğinde uygulanacak süreç, kapsam dışı bırakılanların listesi.
• Log sahipliği ve saklama: ham kayıtların mülkiyeti, saklama süresi, sözleşme bitiminde teslim biçimi.
• Veri yerleşimi: kişisel veri içeren kayıtların nerede işlendiği; yurt dışı aktarım varsa KVKK’nın aktarım şartlarının nasıl karşılandığı.
• Yetki sınırı: sağlayıcının hangi durumlarda doğrudan izolasyon veya hesap kapatma yapabileceği.
• Çıkış planı: kural setinin, vaka geçmişinin ve entegrasyonların devri; geçiş süresi ve destek yükümlülüğü.

Sağlayıcıyı değerlendirme adımları

1. Kendi kritik varlık listenizi ve izlenmesini istediğiniz log kaynaklarını önceden yazın; kapsamı sağlayıcının önerisine bırakmayın.
2. Örnek bir vaka dosyası isteyin: uyarıdan kapanışa kadar hangi adımların atıldığını ve zaman damgalarını inceleyin.
3. Tespit kural setinin MITRE ATT&CK kapsamını sorun; hangi tekniklerde kapsam olmadığını açıkça yazmasını isteyin.
4. Devreye alma planını gün gün talep edin; ilk hangi kaynağın bağlanacağını ve doğrulamanın nasıl yapılacağını netleştirin.
5. Mesai dışı gerçek bir senaryoyla haber vermeden test yapma hakkını sözleşmeye ekleyin.
6. Raporlamanın çift katmanlı olmasını şart koşun: yönetim için özet, teknik ekip için kural ve kanıt detayı.
7. Sözleşme bitiminde devredilecek çıktıları maddeler halinde listeleyin ve teslim formatını belirleyin.

Geçişte en sık yapılan hatalar

En yaygın hata, izlemeyi devrettikten sonra olay müdahale sorumluluğunun da devredildiğini varsaymaktır. Sağlayıcı çoğu kurulumda tespit ve triyaj sağlar; sunucuyu kapatma, hattı kesme veya müşteriye bildirim yapma kararı kurumundur. İkinci hata, log kaynaklarını eksik bağlayıp kapsamı tam sanmaktır; kimlik sunucusu bağlanmamış bir kurulumda kimlik saldırıları görünmez kalır. Üçüncü hata ise başarıyı kapatılan uyarı sayısıyla ölçmektir; anlamlı ölçüt tespit süresi, doğrulanmış vaka oranı ve tekrar eden bulguların azalmasıdır.

Seçtiğiniz modelin çalıştığını kim doğrular

Hangi model seçilirse seçilsin, tespit kabiliyetinin bağımsız biçimde ölçülmesi gerekir. Haber verilmeden yürütülen ve keşif, ilk erişim, yanal hareket (lateral movement) ile yetki yükseltme, hedef tamamlama ve raporlama aşamalarını kapsayan 2-6 haftalık bir red team hizmeti, sözleşmedeki süre taahhütlerinin sahada karşılığı olup olmadığını gösterir. Belirli bir uygulamanın teknik zafiyetlerini görmek için yapılan 1-2 haftalık sızma testi bu soruya yanıt vermez; ölçülen şey farklıdır.

Böyle bir çalışmanın çıktısı aynı zamanda sözleşme yenileme görüşmesinin en güçlü verisidir: hangi adım uyarı üretti, uyarı kaç dakikada analiste ulaştı, hangi teknik hiç görülmedi. Bu üç yanıt, model tartışmasını fikirden ölçüme taşır.

Sık sorulan sorular

Dış kaynak SOC hizmeti alırken loglarımız dışarı çıkmak zorunda mı?

Zorunlu değildir. Log platformunun kurum içinde konumlandırılıp sağlayıcının uzaktan erişimle çalıştığı mimariler yaygındır. Kişisel veri içeren kayıtlar söz konusu olduğunda veri işleyen sıfatı, erişim kayıtları ve yurt dışına aktarım koşulları sözleşmede açıkça düzenlenmelidir.

Küçük bir güvenlik ekibiyle kurum içi SOC kurulabilir mi?

Kesintisiz kapsam hedefleniyorsa gerçekçi değildir; vardiya matematiği buna izin vermez. Küçük ekipler için işleyen yaklaşım, mesai içi izlemeyi kendi üstlenip mesai dışını dışarıya devretmek ve iç ekibi tespit mühendisliği ile derin incelemeye odaklamaktır.

Dış kaynak modelde tespit kurallarını kim yazar?

Temel kural seti sağlayıcıdan gelir, kuruma özgü kurallar ise birlikte yazılır. Kurumun kendi uygulamalarına, iş saatlerine ve kritik varlıklarına ait kuralların kimin sorumluluğunda olduğu sözleşmede belirtilmelidir; aksi halde bu kurallar hiç yazılmaz.

Geçiş süreci ne kadar sürer?

Kaynak sayısına ve envanterin olgunluğuna bağlıdır. Kimlik ve uç nokta kaynaklarının bağlanması görece hızlı ilerlerken, özel uygulamaların ayrıştırılması ve yanlış pozitiflerin budanması birkaç ayı bulabilir. Devreye alma planının aşamalı ve doğrulama adımlı olması bu süreyi kısaltır.

Sağlayıcı değiştirmek istersek ne olur?

Çıkış planı sözleşmeye yazılmamışsa kurum, kural setini ve vaka geçmişini geride bırakarak sıfırdan başlar. Bu nedenle ham logların mülkiyeti, kural setinin devri ve geçiş dönemi desteği ilk sözleşmede düzenlenmelidir.

Sonuç

Kurum içi ve dış kaynak SOC tartışmasının doğru başlangıç noktası platform değil, kesintisiz kapsamı kimin ve hangi maliyetle sağlayacağıdır; vardiya aritmetiğini yaptıktan sonra çoğu kurum için yanıt hibrit modelde toplanır. Kararınızı verirken kapsamı, yetki sınırını ve çıkış planını yazıya dökün, ardından seçtiğiniz modeli haber vermeden yapılan bağımsız bir tatbikatla ölçün.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.