1. Hazırlık (Preparation)
   

Kriz yönetimi, kriz anında değil, krizden çok önce başlar.

2. 1. Olay Müdahale Ekibi (SOME): Teknik uzmanlar, hukukçular, PR sorumluları ve üst yönetimden oluşan bir ekip kurulmalıdır.
   2. Olay Müdahale Planı: "Hangi saldırıda ne yapılacak?" sorusuna yanıt veren senaryolar (Playbook) hazırlanmalıdır.
   3. Yedekleme: Verilerin güncel ve sistemden bağımsız (off-site) yedekleri mutlaka bulunmalıdır.

3. Tespit ve Analiz (Identification) 
   

Gerçekten bir saldırı mı var yoksa teknik bir hata mı?

4. 1. Anomali Tespiti: Log kayıtları, SIEM (Güvenlik Bilgileri ve Etkinlik Yönetimi) araçları ve IDS/IPS sistemleri incelenir.
   2. Kapsam Belirleme: Saldırının türü (Fidye yazılımı mı, DDoS mu, Sızıntı mı?) ve hangi sistemlerin etkilendiği netleştirilir.

5. Kontrol Altına Alma (Containment) 
   

Saldırının yayılmasını durdurma aşamasıdır.

6. 1. İzolasyon: Etkilenen sunucular veya bilgisayarlar derhal ağdan ayrılır.
   2. Erişim Engelleme: Saldırganın kullandığı açık portlar kapatılır, şüpheli kullanıcı hesapları dondurulur.
   3. Yedeklerin Korunması: Saldırganın yedeklere ulaşması engellenir.

7. Tehdidin Ortadan Kaldırılması (Eradication) 
   

Saldırganın sistemdeki tüm izleri temizlenir.

8. 1. Zararlı Yazılım Temizliği: Virüs ve arka kapılar (backdoors) sistemden kazınır.
   2. Zafiyet Giderme: Saldırganın içeri sızmak için kullandığı açıklar (yama eksikliği vb.) kapatılır.
   3. Şifre Değişimi: Tüm kritik sistem şifreleri ve yetkili kullanıcı parolaları yenilenir.

9. İyileştirme ve Geri Yükleme (Recovery) 
   

Sistemlerin normal operasyonuna dönme sürecidir.

10. 1. Temiz Yedeklerden Dönme: Verilerin temiz olduğundan emin olunduktan sonra sistemler kademeli olarak ayağa kaldırılır.
    2. İzleme: Sistemler açıldıktan sonra, saldırganın geri dönüp dönmediği bir süre yakından takip edilir.

11. Ders Çıkarma (Lessons Learned)
    

Kriz bittikten sonra yapılan en kritik aşamadır.

12. 1. Kök Neden Analizi: "Bu neden oldu ve bir daha olmaması için ne yapmalıyız?" sorusu yanıtlanır.
    2. Raporlama: Mevzuat gereği (KVKK, USOM vb.) gerekli bildirimler yapılır.
    3. Plan Güncelleme: Mevcut kriz planı, yaşanan tecrübelere göre optimize edilir.

Sonuç

Kriz Anında Altın Kurallar:

1. Soğukkanlı Olun: Panik, yanlış kararlara ve verinin tamamen kaybolmasına neden olabilir.
2. Kritik Kanıtları Silmeyin: Sistemleri formatlamadan önce adli bilişim (forensics) için imaj alın.
3. İletişimi Yönetin: Şeffaf olun. Paydaşlara ve müşterilere ne olduğu hakkında (hukuk ekibinin onayıyla) bilgi verin.

Önemli Not: Türkiye'de bir veri ihlali durumunda, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde KVKK kuruluna bildirim yapılması yasal bir zorunluluktur.