Kendi altyapınızı uçtan uca güvenlik altına aldınız. Çalışanlarınızı eğittiniz, uç noktalarınızı korudunuz, ağınızı segmentlere ayırdınız. Peki ya tedarikçiniz? Günümüz kuruluşları artık tek başına çalışmıyor; yazılım bileşenlerinden bulut hizmetlerine, bakım firmasından alt yüklenicilere kadar onlarca, yüzlerce üçüncü tarafa bağımlı. Saldırganlar da bunu çok iyi biliyor ve doğrudan sizin kapınızı zorlamak yerine, zincirin en zayıf halkasına — çoğu zaman güvenlik olgunluğu sizden düşük olan tedarikçinize — saldırıyor. Bu yazıda tedarik zinciri saldırılarının neden 2026’nın en kritik risk yüzeyi olduğunu, hangi standart ve mevzuatların bunu zorunlu kıldığını ve kurumunuzu nasıl koruyacağınızı ele alıyoruz.

Tedarik Zinciri Saldırısı Nedir?

Tedarik zinciri saldırısı, hedef kuruluşa doğrudan değil, onun güvendiği bir üçüncü taraf üzerinden ulaşılan saldırı türüdür. Saldırgan; tedarikçinin yazılımına, donanımına veya hizmet altyapısına sızar ve bu güvenilir kanalı kullanarak aşağı akıştaki tüm müşterilere erişir. Asıl tehlike şurada yatar: zararlı kod ya da çalınan kimlik bilgisi “güvenilir” bir kaynaktan geldiği için klasik güvenlik katmanları — imza tabanlı antivirüs, güvenlik duvarı, hatta kimi EDR çözümleri — bu trafiği meşru sayar ve görmezden gelir.

Neden Bu Kadar Tehlikeli?

Bir tedarik zinciri saldırısını diğer tehditlerden ayıran üç temel özellik vardır. İlki güven ilişkisi: tedarikçinizin imzalı güncellemesi, özel API anahtarı veya bakım erişimi, güvenlik politikalarınızda zaten “izin verilen” bir yoldur. İkincisi ölçek: saldırgan tek bir tedarikçiyi ele geçirerek binlerce kuruma aynı anda ulaşabilir. Üçüncüsü ise tespit zorluğu: olay kendi sisteminizde değil, sizin görüş alanınızın dışındaki bir altyapıda başladığı için günlerce, haftalarca fark edilmeden sürebilir.

Yakın Tarihten Alınan Dersler

Bu tehdidin teorik olmadığını gösteren olaylar hızla birikiyor. SolarWinds saldırısında (2020) Orion platformunun güncelleme kanalına sızıldı ve zararlı sürüm yaklaşık 18.000 kuruma “resmi güncelleme” olarak dağıtıldı. Kaseya VSA olayında (2021) REvil fidye yazılımı, yönetilen hizmet sağlayıcısı üzerinden 1.500’den fazla işletmeye yayıldı. 3CX (2023) masaüstü uygulamasının trojanize edilmiş sürümü milyonlarca cihaza indirildi. Ve xz Utils (2024) olayında, açık kaynak bir sıkıştırma kütüphanesine gizlenen arka kapı (CVE-2024-3094) büyük Linux dağıtımlarına ulaşmak üzereydi — yalnızca tek bir geliştiricinin dikkati sayesinde son anda fark edildi. Ortak nokta net: hiçbir kuruluş, tedarikçilerini güvence altına almadan kendini güvende sayamaz.

Başlıca Saldırı Vektörleri

• Yazılım güncelleme kanalları: Meşru güncelleme altyapısının ele geçirilmesi (SolarWinds, 3CX örnekleri).
• Açık kaynak bağımlılıkları: Popüler kütüphanelere gömülen zararlı kodun tüm tüketen projelere yayılması (xz Utils).
• Yönetilen hizmet sağlayıcılar (MSP): Çok sayıda müşteriye ortak erişim sağlayan aracıların hedeflenmesi.
• Donanım ve firmware: Üretim ya da tedarik aşamasında cihazlara yerleştirilen arka kapılar.
• Kimlik ve API anahtarı hırsızlığı: Üçüncü taraf entegrasyonlarında sızdırılan erişim bilgilerinin kötüye kullanılması.

Hangi Standartlar Yol Gösteriyor?

Bu riski yönetmek için olgunlaşmış çerçeveler mevcut. ISO/IEC 27036, tedarikçi ilişkilerinde bilgi güvenliğini yaşam döngüsü boyunca ele alan temel standarttır. NIST SP 800-161r1, Siber Tedarik Zinciri Risk Yönetimi (C-SCRM) için kurumlara kapsamlı bir kontrol seti sunar. SBOM (Yazılım Malzeme Listesi) kavramı ise yazılımınızın içinde hangi bileşenlerin bulunduğunu şeffaf biçimde listeleyerek açık kaynak kaynaklı riskleri görünür kılar. ISO 27001’in tedarikçi ilişkileri kontrolleri de BGYS kapsamında bu süreçleri resmileştirir.

Hangi Mevzuatlar Zorunlu Kılıyor?

Tedarik zinciri güvenliği artık yalnızca iyi bir uygulama değil, yasal bir yükümlülük. Türkiye’de sektörel düzenleyiciler bu alanı açıkça denetliyor:

AB tarafında ise NIS2 Direktifi’nin tedarik zinciri hükümleri, DORA’nın üçüncü taraf BİT riski düzenlemeleri ve Siber Dayanıklılık Yasası’nın (CRA) SBOM zorunluluğu, bu alanı küresel ölçekte bir uyumluluk meselesi haline getiriyor.

Das Smart Çözümü

Das Smart Teknoloji olarak tedarik zinciri riskini görünür, ölçülebilir ve yönetilebilir kılıyoruz. Kritik tedarikçilerinizin güvenlik duruşunu değerlendiriyor, üçüncü taraf denetimleri ve sözleşme güvenlik hükümlerini yapılandırıyor, SBOM ve yazılım bileşen analiziyle gizli bağımlılıkları ortaya çıkarıyor ve tedarikçi risklerinizi sürekli izlemeye alıyoruz. Böylece zincirin her halkasında nerede durduğunuzu bilir, denetimlere hazır ve saldırılara karşı dirençli olursunuz.