Kurumunuzun güvenlik olay kayıtları şu anda hangi ülkenin sunucusunda tutuluyor, biliyor musunuz? Çoğu güvenlik ekibi bu soruya net bir cevap veremiyor. SOC ekranındaki alarm panosuna bakarken, o verinin fiziksel olarak nereden geçtiğini, hangi hukuk sisteminin yetki alanına girdiğini sorgulamak akla ilk gelen şey olmuyor. Oysa Türkiye'de son iki üç yılda art arda yürürlüğe giren mevzuat, bu soruyu lüks bir merak konusu olmaktan çıkarıp doğrudan bir uyum ve ceza riskine dönüştürdü
Türkiye'deki kurumların büyük çoğunluğu güvenlik operasyonlarını Splunk, IBM QRadar, Microsoft Sentinel gibi köklü, yetenekli, dokümantasyonu güçlü yabancı SIEM platformları üzerinden yürütüyor. Bu tercih anlaşılır: ürünler olgun, entegrasyon ekosistemi geniş, eğitim materyali bol. Ama bu rahatlığın altında, satın alma kararı verilirken çoğu zaman hiç masaya yatırılmamış üç risk katmanı yatıyor: kişisel verilerin korunması mevzuatı, veri yerelliği zorunlulukları ve tedarik zinciri güvenliği. Üçü de artık birbirinden bağımsız düşünülemeyecek kadar iç içe geçmiş durumda.
İlginç olan şu: bu üç risk katmanı da son yirmi dört ay içinde art arda güçlendi. KVKK'nın yurt dışı aktarım rejimi Haziran 2024'te değişti, Türkiye'nin ilk kapsamlı siber güvenlik çerçeve kanunu Mart 2025'te yürürlüğe girdi, kritik altyapı sektörlerinin resmî listesi ise Mayıs 2026'da açıklandı. Bu bir tesadüf değil; veri egemenliği ve yerli kapasite, artık ayrı ayrı gündem maddeleri değil, aynı stratejik önceliğin farklı yüzleri olarak ele alınıyor.
SIEM neden bu kadar çok konuşuluyor?
SIEM (Security Information and Event Management), kurumun ağındaki, uç noktalarındaki ve bulut ortamlarındaki onlarca farklı kaynaktan gelen logları tek bir merkezde toplayıp ilişkilendiren, anormal davranışı erken yakalamayı ve olay müdahalesini hızlandırmayı amaçlayan bir güvenlik katmanı. Bugün birçok denetim ve uyum çerçevesinin fiilen aradığı bir bileşen hâline geldi; SIEM'i olmayan bir kurumsal güvenlik denetimini artık hayal etmek zor. SIEM'in kurumlar için neden bu denli merkezi bir hâle geldiğini ve hangi ihtiyaçlara cevap verdiğini ayrıntılı olarak ele aldığımız yazıya buradan ulaşabilirsiniz.
Ama SIEM'in ne işe yaradığı kadar, kim tarafından, nerede ve hangi kurallara göre işletildiği de en az o kadar belirleyici. Çünkü bir SIEM platformu, tanımı gereği kurumun en hassas verisini — kullanıcı davranışlarını, erişim kayıtlarını, IP adreslerini, bazen dosya adlarını ve URL parametrelerini — sürekli akan bir veri nehri hâlinde topluyor.
Bu veri akışı aslında nereye gidiyor?
Yabancı bir SIEM platformu bulut tabanlı (SaaS) olarak kullanılıyorsa, logların önemli bir kısmı üretici firmanın yurt dışındaki veri merkezlerinde işleniyor ve saklanıyor demektir. Kurulum "on-premise" (yerinde) olsa bile, destek, tanılama, tehdit istihbaratı güncellemeleri ve zaman zaman yapılandırma yedekleri için veri üreticiye geri akabiliyor. Üstelik bu tek seferlik bir aktarım değil; kurumun normal çalışma düzeninin bir parçası olarak 7/24 süregelen bir veri hareketi.
Somut bir örnek üzerinden düşünelim: orta ölçekli bir e-ticaret şirketi, müşteri girişlerini ve ödeme sayfası hatalarını izlemek için yabancı bir bulut SIEM'e abone oluyor. Bu SIEM, kullanıcıların IP adreslerini, oturum kimliklerini, bazen de girilen e-posta adreslerini işliyor; hepsi otomatik olarak üreticinin yurt dışındaki altyapısına akıyor. Şirketin BT ekibi bunu bir "log yönetimi" meselesi olarak görürken, hukuk departmanı aynı akışı bambaşka bir çerçeveden — kişisel veri aktarımı çerçevesinden — değerlendirmek zorunda kalıyor. Çoğu zaman bu iki bakış açısı birbiriyle hiç konuşmuyor.
Burada gözden kaçan nokta şu: bir log satırındaki IP adresi, kullanıcı adı ya da e-posta bilgisi, KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) anlamında kişisel veri sayılabiliyor. Yani "sadece teknik log" dediğimiz kayıtların önemli bir kısmı, aslında kişisel veri niteliğinde. Dolayısıyla SIEM, üzerinde pek konuşulmayan ama fiilen KVKK'nın yurt dışına aktarım rejimine tabi bir sisteme dönüşüyor.
KVKK penceresinden bakınca işler karmaşıklaşıyor
2024 yılına kadar KVKK'nın 9. maddesi, yurt dışına veri aktarımını neredeyse açık rızaya bağlı hâle getirmişti; pratikte işleyen başka bir mekanizma yok denecek kadar azdı. Kişisel Verileri Koruma Kurumu'nun 2023 faaliyet raporuna göre o yıl yalnızca seksen bir taahhütname başvurusu yapılmış, bunlardan sadece yedisi olumlu sonuçlanmıştı. Bu rakamlar tek başına, eski sistemin özellikle bulut tabanlı yazılımlar için ne kadar işlemez hâle geldiğini gösteriyor.
12 Mart 2024'te Resmî Gazete'de yayımlanan 7499 sayılı Kanun, KVKK'nın 9. maddesini kökten değiştirdi; değişiklik 1 Haziran 2024'te yürürlüğe girdi. Yeni sistemde yurt dışına aktarım üç yoldan biriyle mümkün: Kurul'un ilgili ülke, sektör veya kuruluş için verdiği bir yeterlilik kararı; standart sözleşme ya da bağlayıcı şirket kuralları gibi "uygun güvenceler"; veya bunların hiçbiri yoksa açık rıza. Kurul, 10 Temmuz 2024'te yürürlüğe giren Yönetmelik ile bu mekanizmaların usulünü netleştirdi, Ocak 2025'te de konuya özel bir rehber yayımladı.
Yeni düzenlemenin GDPR'a daha yakın bir yapı kurması olumlu bir adım, ama kurumlara ek bir sorumluluk da getiriyor: artık yalnızca veri sorumluları değil, veri işleyenler de yurt dışı aktarımdan doğrudan sorumlu tutuluyor. SIEM sağlayıcınızla imzaladığınız sözleşmenin bu yeni rejime göre güncellenip güncellenmediğini kontrol etmediyseniz, farkında olmadan bir uyumsuzluğun içinde olabilirsiniz.
Pratikte bunun anlamı şu: envanterinizde hangi sistemlerin yurt dışına veri gönderdiğini bilmiyorsanız, KVKK uyumu zaten eksik demektir. VERBİS kaydınızda SIEM üzerinden işlenen veri kategorileri ve aktarım yolları net şekilde yer almalı, aydınlatma metniniz bu aktarımı kapsamalı, ve tedarikçinizle olan sözleşmede — artık veri işleyen sıfatıyla o da sorumlu tutulduğu için — Kurul'un öngördüğü güvence mekanizmalarından biri açıkça tanımlanmış olmalı. Bu kontrolü hiç yapmamış kurumların sayısı sanılandan fazla.
Veri yerelliği artık bir tercih meselesi değil
KVKK'nın yanına, 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu da eklendi; Türkiye'nin bu alandaki ilk kapsamlı çerçeve kanunu. Kanun, Cumhurbaşkanı başkanlığındaki Siber Güvenlik Kurulu'nu ve Siber Güvenlik Başkanlığı'nı kurdu; Ekim 2025'te Başkanlığın ilk başkanı atandı.
Kanunun 7. maddesi, kamu kurumlarında ve kritik altyapılarda kullanılacak siber güvenlik ürün, sistem ve hizmetlerinin, Başkanlık tarafından yetkilendirilmiş ve belgelendirilmiş tedarikçilerden temin edilmesini şart koşuyor. Bu yükümlülüğe uyulmaması hâlinde 1 milyon TL'den 10 milyon TL'ye kadar idari para cezası uygulanabiliyor. 5 Mayıs 2026'da toplanan Siber Güvenlik Kurulu ise hangi sektörlerin "kritik altyapı" sayılacağını nihayet netleştirdi: dijital altyapılar, dijital hizmetler, elektronik haberleşme, enerji, finans, gıda ve tarım, imalat sanayii, kamu hizmetleri, medya ve kriz iletişimi, posta ve kargo, sağlık, savunma sanayii, su yönetimi, ulaştırma ve uzay. Liste, ekonominin neredeyse tamamını kapsayacak genişlikte.
Bu genişleme aslında sıfırdan bir başlangıç değil, var olan bir çerçevenin büyütülmesi. Siber Güvenlik Kurulu 2014 yılında da bir kritik altyapı tanımı yapmıştı, ama o listede yalnızca ulaştırma, enerji, elektronik haberleşme, finans, su yönetimi ve kritik kamu hizmetleri yer alıyordu. On iki yıl sonra gelen yeni liste kapsamı neredeyse üç katına çıkarıyor; gıda ve tarımdan savunma sanayiine, uzaydan medyaya kadar önceden hiç akla gelmeyen sektörler artık aynı denetim çerçevesinin içinde. Bu yalnızca Türkiye'ye özgü bir refleks de değil; Avrupa Birliği'nin NIS2 direktifi de kendisinden önceki NIS direktifine kıyasla kapsamını benzer bir mantıkla ciddi ölçüde genişletmişti. Yani mesele tek bir ülkenin düzenleyici tercihi değil; dijitalleşen ekonomilerde kritik altyapı tanımının artık klasik enerji-su-ulaştırma üçlüsüyle sınırlı kalamayacağının küresel ölçekte kabul görmesi.
Bunun SIEM tarafındaki anlamı açık: bu sektörlerde faaliyet gösteren bir kurumun kullandığı SIEM, bir siber güvenlik hizmeti olarak bu tedarik rejiminin kapsamına girebilir. Sağlayıcınızın Başkanlık nezdinde yetkilendirme ve belgelendirme sürecini tamamlayıp tamamlayamayacağı, artık salt teknik bir detay değil, doğrudan sözleşme ve uyum riski taşıyan bir soru hâline geldi. Aynı dönemde, internet trafiği ve log tutma söz konusu olduğunda devreye giren 5651 sayılı Kanun'u da unutmamak gerekiyor; SIEM'e beslenen logların bir kısmı zaten bu kanun kapsamında tutulması zorunlu trafik bilgileri. 5651 sayılı Kanun'un getirdiği log tutma ve saklama yükümlülüklerini ve bunun KVKK ile nasıl bir arada işlediğini anlattığımız yazıya buradan göz atabilirsiniz.
Resmî açıklamanın dili de aslında bir ipucu veriyor: kritik altyapıların korunması, veri egemenliği, siber dayanıklılık ve yerli kapasite artışı aynı cümlede, aynı stratejik çerçevenin parçaları olarak anılıyor. Yani mesele artık sadece "hangi ürün daha iyi çalışıyor" değil; kurumların önümüzdeki dönemde kendilerine sorması gereken sorular da netleşiyor: Kullandığımız SIEM ve benzeri siber güvenlik ürünleri hangi tedarikçiden geliyor? Bu tedarikçi, Başkanlık'ın arayacağı yetkilendirme ve belgelendirme koşullarını karşılayabilecek konumda mı? Mevcut sözleşmemiz, tedarikçi statüsü değiştiğinde bize nasıl bir çıkış ya da denetim hakkı tanıyor?
Tedarik zinciri: ekranın arkasında ne var?
Bir SIEM platformu satın aldığınızda aslında tek bir ürün değil, üreticinin tüm tedarik zincirini de devralmış oluyorsunuz: alt yükleniciler, bulut altyapı sağlayıcıları, üçüncü taraf tehdit istihbaratı kaynakları, otomatik güncelleme mekanizmaları. Bunların hiçbiri sizin denetiminizde değil.
2020'deki SolarWinds vakası bu riskin somut hâli. Saldırganlar, şirketin Orion yazılımının rutin bir güncellemesine sızarak aralarında ABD federal kurumlarının da bulunduğu binlerce kurumu doğrudan tehlikeye attı. Kurbanların hiçbiri kendi sistemlerinde bir açık aramadı; sorun, güvendikleri tedarikçinin güncelleme kanalındaydı. Bir SIEM özelinde bu senaryo daha da ağır sonuçlar doğurabilir, çünkü SIEM zaten kurumun tüm güvenlik görünürlüğünün toplandığı nokta; orası tehlikeye girerse saldırıyı fark edecek mekanizmanın kendisi kör kalabiliyor.
Buna bir de jeopolitik risk ve kur riski ekleniyor. Lisans bedelleri genellikle dolar veya euro üzerinden faturalanıyor, bu da son yıllarda Türk kurumları için bütçe planlamasını ciddi şekilde zorlaştırdı. Yaptırım, ihracat kontrolü veya üreticinin pazar stratejisini değiştirmesi gibi kurumun kontrolü dışındaki bir kararla erişimin aniden kısıtlanması da göz ardı edilemeyecek bir ihtimal; böyle bir durumda muhatap bulmak, yerel bir tedarikçiyle çalışmaya kıyasla çok daha zor.
Denetim ve görünürlük tarafında da fark açılıyor. Yerli bir tedarikçiden kod incelemesi, sızma testi raporu ya da altyapı denetimi talep etmek görece basit bir e-posta trafiğiyle çözülebilirken, aynı talebi büyük bir yabancı yazılım devinden almak haftalar, bazen aylar sürebiliyor — üstelik çoğu zaman kurumun pazarlık gücü de sınırlı kalıyor. Küçük ve orta ölçekli kurumlar için bu fark özellikle belirgin; büyük bir yabancı tedarikçinin standart sözleşmesini değiştirmek pek mümkün olmuyor, oysa yerli bir sağlayıcıyla özel şartlar üzerinde anlaşmak çok daha kolay.
Yerli SIEM'e geçmek somut olarak ne değiştiriyor?
Bu tabloya karşı yerli SIEM çözümleri — örneğin Oriana SIEM gibi Türkiye merkezli platformlar — birden fazla cephede avantaj sunuyor: veri Türkiye sınırları içinde kalıyor, KVKK'nın yurt dışı aktarım rejimiyle uğraşma zorunluluğu büyük ölçüde ortadan kalkıyor, Siber Güvenlik Kanunu'nun tedarikçi yetkilendirme sürecine uyum görece daha öngörülebilir hâle geliyor, destek ekibiyle aynı saat diliminde ve aynı dilde konuşabiliyorsunuz. Somut olarak nelerin değiştiğini örneklerle birlikte ayrı bir yazıda ele aldık; merak edenler buradan okuyabilir.
Kamu kurumlarıyla ya da kritik altyapı işletmecileriyle çalışan şirketler için ayrı bir avantaj daha var: yerli malı belgesine sahip ürünler, kamu ihalelerinde tanınan fiyat avantajından yararlanabiliyor. Bunun yanında, ürün yol haritasına dair bir talebinizin — yeni bir entegrasyon, Türkçe raporlama şablonu, yerel bir mevzuat değişikliğine uyum — üreticinin önceliklendirme listesine girmesi de çok daha kolay oluyor; küresel bir üründe Türkiye pazarı genelde en öncelikli segment değil. Oriana SIEM gibi yerli çözümlerde bu tür taleplerin ürün yol haritasına yansıması, kurumun doğrudan sağlayıcıyla kurduğu ilişki sayesinde çok daha hızlı işleyebiliyor.
Peki şimdi ne yapmalı?
Ancak bir uyarı yapmakta fayda var: kritik altyapı sektörlerinin ilan edilmiş olması, uygulamanın tüm ayrıntılarının netleştiği anlamına gelmiyor. Kanunun geçici maddelerinde işaret edilen ikincil düzenlemeler — hangi sektörde hangi eşiklerin, hangi denetim usullerinin geçerli olacağını gösteren yönetmelik ve tebliğler — hedeflenen 19 Mart 2026 tarihini aşmış durumda, siber güvenlik şirketlerinin tabi olacağı sertifikasyon süreci de henüz fiilen açılmadı. Üstelik çerçeve kendi içinde büyümeye devam ediyor: Temmuz 2026'da TBMM'ye sunulan yeni bir kanun teklifi, Başkanlığın yetkilerini alan adı yönetimi ve elektronik haberleşme gibi alanlara doğru genişletmeyi öngörüyor. Bu tablo kurumlar için bir rahatlama gerekçesi değil, tam tersine bir hazırlık penceresi olarak okunmalı: alt düzenlemeler yürürlüğe girdiğinde hâlihazırda kullanılan sistemler de kapsam dışında kalmayacak. Sözleşmeyi, envanteri ve tedarikçi ilişkisini bugünden gözden geçirmek, yönetmelik yayımlandığında son dakika telaşına düşmemenin en ucuz yolu.
Bu yazının amacı, yabancı SIEM kullanan her kurumu paniğe sevk etmek değil. Ama en azından şu soruları sormaya değer: SIEM sağlayıcınızla olan sözleşmeniz, KVKK'nın 2024'te değişen 9. maddesine göre güncellendi mi? Kurumunuz Siber Güvenlik Kanunu kapsamında tanımlanan kritik altyapı sektörlerinden birinde faaliyet gösteriyorsa, tedarikçinizin yetkilendirme sürecini takip ediyor musunuz? Ve son olarak, bir tedarik zinciri kesintisi yaşandığında elinizde gerçekten işleyen bir B planı var mı — örneğin Oriana SIEM gibi yerli bir alternatife geçiş için bir yol haritanız mevcut mu?
Çoğu zaman bu soruların dürüst cevabı "her şey yolunda" değil. Tam da bu yüzden veri yerelliği ve tedarik zinciri güvenliği artık ikincil bir teknik ayrıntı değil, kurumsal risk yönetiminin merkezine oturması gereken bir gündem maddesi.