Kurumsal antivirüs programları nasıl seçilmeli?

Kurumsal antivirüs seçerken tespit oranından önce merkezi görünürlük, KVKK ve 5651 uyumlu kayıt ve cihaz bazlı risk önceliklendirmesine bakın. Çoğu işletmede zaten çalışan Windows Defender'ı merkezi panele bağlayan yaklaşım, ayrı antivirüs lisansını çoğu zaman gereksiz kılar.

Kurumsal antivirüs programı arayan işletmelerin büyük bölümünde her cihazda zaten Windows Defender çalışıyor. Bu nedenle asıl soru hangi tarama motorunu satın alacağınız değil; tespitleri tek yerden görüp görmediğiniz, hangi cihazın gerçekten riskli olduğunu bilip bilmediğiniz ve denetim anında kanıt üretip üretemediğinizdir. Bu yazı, kurumsal antivirüs seçimini KVKK, VERBİS ve 5651 sayılı Kanun gereklilikleriyle birlikte bu açıdan ele alır.

Kurumsal antivirüs programı nedir?

Kurumsal antivirüs programı, bir işletmenin bilgi işlem altyapısını (masaüstü, dizüstü, sunucu ve mobil cihazlar) kötü amaçlı yazılımlara, fidye yazılımlarına, henüz imzası çıkarılmamış tehditlere ve veri sızıntılarına karşı koruyan; merkezi yönetim konsolu üzerinden politika oluşturma, raporlama ve güncelleme imkânı tanıyan güvenlik çözümüdür.

Bu tür bir çözüm yalnızca dosya taramasıyla sınırlı kalmaz; davranışsal analiz, tehdit istihbaratı, web filtreleme ve e-posta güvenliği gibi katmanları da içerebilir. Kurumsal ortamların veri işleme hacmi ve regülasyon gereksinimleri (KVKK'nın 12. maddesindeki veri güvenliği yükümlülüğü ve KVKK Kurumu'nun Kişisel Veri Güvenliği Rehberi) göz önüne alındığında, tek bir cihaz için tasarlanmış ve merkezi kayıt tutmayan bir kurulum yeterli olmayabilir.

Temel özellikler şunlardır:

• Merkezi konsol üzerinden çoklu cihaz yönetimi
• Otomatik güncelleme ve imzasız tehditlere karşı davranışsal tespit
• Tespitlerin cihaz, kullanıcı ve zaman bilgisiyle merkezi görünürlüğü
• Cihaz bazlı risk önceliklendirmesi
• KVKK ve 5651 uyumlu, denetime hazır kayıt ve raporlama

Bu özellikler, bir şirketin siber olay müdahale sürecini hızlandırır ve olası idari yaptırımlardan korunmasına katkı sağlar.

Kurumsal antivirüs kapsamı neyi içerir?

Kurumsal antivirüs kapsamı, cihaz seviyesinden ağ ve e-posta katmanına kadar geniş bir yelpazeyi kapsar. Genel bir kurumsal güvenlik mimarisinde en az aşağıdaki bileşenler bulunur:

• Gerçek zamanlı dosya koruması: Dosyalar açıldığında, indirilirken veya çalıştırıldığında anlık tarama.
• Web ve URL filtreleme: Zararlı web sitelerinin engellenmesi, oltalama saldırılarına karşı koruma.
• E-posta güvenliği: İstenmeyen posta, kötü amaçlı ek ve sahte göndericilerin tespiti.
• Uç nokta tespit ve yanıt (EDR): Şüpheli davranışların izlenmesi, önceliklendirilmesi ve müdahale kaydının tutulması.
• Mobil cihaz yönetimi: iOS ve Android cihazların ayrı bir yönetim katmanında ele alınması.

Bu kapsam, KVKK'nın veri bütünlüğü ve gizliliği yükümlülüklerini yerine getirmek için gerekli teknik ve idari tedbirleri destekleyecek şekilde yapılandırılmalıdır. KVKK belirli bir teknolojiyi zorunlu kılmaz; ancak KVKK Kurumu'nun Kişisel Veri Güvenliği Rehberi'nde şifreleme, erişim kontrolü ve zararlı yazılımlara karşı koruma önerilen teknik tedbirler arasında sayılır.

Her katmanı tek üründen beklemek gerekmez. Arin Agent uç nokta katmanını üstlenir: Windows Defender tespitlerini merkezi panele taşır; şüpheli süreç, komuta-kontrol (C2) bağlantısı ve kripto madenciliği davranışlarını yakalar; USOM tehdit listesini otomatik uygular ve USB ile yazıcı üzerinden veri çıkışını politikayla kontrol eder. E-posta içerik taraması, ağ seviyesinde veri kaybı önleme, mobil cihaz yönetimi ve bulut sunucu taraması ise bu katmanın kapsamı dışındadır ve ayrı araçlarla ele alınmalıdır.

Kurumsal antivirüs kullanımının yasal yükümlülükleri nelerdir?

Türkiye'de kurumsal antivirüs kullanımı, özellikle KVKK (Kişisel Verilerin Korunması Kanunu), VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) ve 5651 sayılı Kanun tarafından belirlenen bir dizi yasal yükümlülükle doğrudan ilişkilidir. Bu yükümlülükler şunlardır:

• KVKK Madde 12: Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek için gerekli teknik ve idari tedbirleri almakla yükümlüdür. Antivirüs, zararlı yazılım bulaşmalarını önleyerek bu tedbirlerin bir parçasını oluşturur; ancak tedbirin alındığını gösteren kayıt da tedbirin kendisi kadar önemlidir.
• VERBİS kaydı: Veri sorumluları, işledikleri kişisel veri kategorilerini ve aldıkları güvenlik tedbirlerini VERBİS'e kaydeder. Bu kaydın dayanağı güncel bir cihaz envanteridir; hangi cihazda hangi verinin işlendiği bilinmeden tedbir beyanı temelsiz kalır.
• 5651 sayılı Kanun: Çalışanlarına internet erişimi sağlayan iş yerleri, toplu kullanım sağlayıcı olarak erişim (trafik) kayıtlarını mevzuatın öngördüğü süre boyunca (bir ila iki yıl) zaman damgalı ve bütünlüğü korunmuş biçimde saklamakla yükümlüdür. Antivirüs bu yükümlülüğü karşılamaz; erişim kaydı ve saklama ayrı bir işlevdir.

Bu yükümlülükleri yerine getirebilmek için seçilen çözümün kayıt tutma, raporlama ve denetim izi özelliklerine sahip olması gerekir. Tespit kayıtları, engelleme kayıtları ve erişim kayıtlarının aynı panelde tutulması, saklama süresinin merkezi politikayla yönetilmesi ve raporların denetim için dışa aktarılabilmesi, KVKK denetimlerinde kullanılabilecek kanıtları oluşturur.

Kurumsal antivirüs eksikliğinin yasal sonuçları nelerdir?

Yasal yükümlülüklerin ihlali idari para cezası ve itibar kaybıyla sonuçlanabilir. Öne çıkan sonuçlar şunlardır:

• KVKK Madde 18: Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi ve VERBİS kayıt yükümlülüğüne aykırılık idari para cezasına tabidir; alt ve üst sınırlar her yıl yeniden değerleme oranıyla güncellenir ve veri güvenliği ihlallerinde milyonlarca TL'ye ulaşabilir.
• 5651 sayılı Kanun: Erişim kayıtlarının tutulmaması, öngörülen süre boyunca saklanmaması veya bütünlüğünün korunmaması idari yaptırıma tabidir; yetkili makam talebinde kaydın sunulamaması ayrıca sorumluluk doğurur.
• Veri ihlali bildirimi: KVKK Kurulu kararı uyarınca veri ihlali öğrenildikten sonra 72 saat içinde Kurul'a bildirim yapılmalıdır. Tespit kayıtları tutulmayan bir kurum, ihlalin ne zaman başladığını ve hangi cihazları etkilediğini gösteremez.

Bu sonuçlar yalnızca finansal kayıplara yol açmakla kalmaz; marka itibarı ve müşteri güveni üzerinde de kalıcı zararlar bırakır. Tek cihazda kalan, merkezi kayıt tutmayan bir antivirüs kurulumu denetimde kanıt üretemez; risk, motorun ücretsiz olması değil, tespitlerin görünmez kalmasıdır.

Kurumsal antivirüs programı nasıl uygulanır?

Kurumsal antivirüs uygulama süreci planlama, dağıtım, yapılandırma ve sürekli iyileştirme adımlarını içerir. Başarılı bir uygulama için izlenmesi gereken temel adımlar:

1. İhtiyaç analizi: Cihaz sayısı, işletim sistemi çeşitliliği, mevcut Windows Defender kurulumunun durumu ve işlenen kişisel veri hacmi belirlenir.
2. Çözüm seçimi: Seçim kriterleri; mevcut Defender ile birlikte çalışıp çalışmadığı (ek motor lisansı gerekip gerekmediği), tespitlerin merkezi panelde toplanması, imzasız tehdit (C2 bağlantısı, kripto madenciliği) tespiti, USOM listesi entegrasyonu, cihaz bazlı risk skoru ve KVKK/5651 kayıt yeteneğidir.
3. Pilot dağıtım: Cihazların küçük bir bölümünde (örneğin %5'inde) pilot kurulum yapılır; performans, uyumluluk ve çalışan bilgilendirmesi test edilir.
4. Merkezi yönetim kurulumu: Yönetim paneli devreye alınır, yönetici hesapları ve yetki seviyeleri tanımlanır; ajan Windows cihazlara dağıtılır.
5. Politika tanımlama: Uygulama, web ve USB engelleme kuralları cihaz gruplarına ve zaman dilimlerine göre tanımlanır; istisnalar kayıt altına alınır.
6. Eğitim ve farkındalık: Çalışanlara güvenli e-posta kullanımı, şüpheli bağlantıları bildirme ve güvenlik politikaları hakkında eğitim verilir; ajanın cihazda görünür olduğu ve hangi verileri topladığı aydınlatma metniyle açıklanır.
7. Sürekli izleme ve raporlama: Defender tespit geçmişi, USOM engelleme kayıtları ve risk skoru raporları düzenli olarak dışa aktarılır; KVKK uyum raporu denetim dosyasında saklanır.
8. Güncelleme ve iyileştirme: Yeni tehdit istihbaratı alındıkça politikalar güncellenir, lisans yenileme ve ölçek artırma planları yapılır.

Bu adımlar yalnızca teknik bir kurulum değil, aynı zamanda yasal uyumluluk ve organizasyonel kültür değişikliğini de kapsar. Tek cihazlık kurulumlar merkezi yönetim sunmadığı için pilot dağıtım aşamasından itibaren bu adımları destekleyemez.

Kurumsal antivirüs seçerken kontrol listesi

Marka ve fiyat listelerinden önce aşağıdaki kriterleri kendi ortamınız için yanıtlamanız seçim sürecini kısaltır. Tablo, her kriterin neden önemli olduğunu ve değerlendirme sırasında nelere bakılması gerektiğini özetler:

Yerleşik motor üzerine görünürlük katmanı

Kurumsal antivirüs arayışının çoğu, aslında bir görünürlük arayışıdır. Windows Defender modern tehditlerin büyük kısmını yakalar; eksik olan, bu tespitlerin merkezi olarak görülmesi, hangi cihaza önce müdahale edileceğinin bilinmesi ve denetimde kanıt üretilmesidir. Arin Agent bir antivirüs motoru değildir ve öyle iddia etmez; her cihazda zaten çalışan Defender'ın tespitlerini merkezi panele taşır, üzerine şüpheli süreç tespiti, USOM engellemesi ve cihaz bazlı risk skoru ekler. Ayrı bir antivirüs lisansı gerekmediği için toplam maliyet düşer; cihaz envanteri, USB politikası ve çalışan onaylı uzak ekran aynı panelde çalışır.

Aksiyon önerisi

Kurumsal antivirüs seçiminizi yapmadan önce mevcut cihaz sayınızı, Windows Defender'ın hangi cihazlarda etkin olduğunu ve yasal uyumluluk gereksinimlerinizi netleştirin. Defender yeterli bir motordur; eksik olan merkezi görünürlük ve önceliklendirme katmanıdır ve bu katman lisanslı bir çözüm gerektirir. Cihaz sayınıza göre teklif ve ürün detayları için Arin Agent kurumsal antivirüs programı sayfasını inceleyebilirsiniz.

Sık sorulan sorular

Windows Defender kurumsal ortam için yeterli mi?

Motor olarak modern tehditlerin büyük kısmını yakalar; eksik olan, tespitlerin merkezi görünürlüğü ve hangi cihaza önce müdahale edileceğinin bilinmesidir. Arin Agent bu katmanı ekler, Defender çalışmaya devam eder.

Kurumsal antivirüs fiyatı neye göre belirlenir?

Cihaz sayısına ve seçilen modüllere göre belirlenir. Güvenlik izleme, cihaz envanteri ve risk skorunun aynı lisansta gelmesi ve ayrı bir antivirüs motoru lisansı gerekmemesi toplam maliyeti düşürür.

KVKK ve 5651 uyumu için antivirüsten ne beklenmeli?

Tespit ve engelleme kayıtlarının cihaz, kullanıcı ve zaman bilgisiyle merkezi tutulması, saklama süresinin politikayla yönetilmesi ve denetimde dışa aktarılabilmesi beklenmelidir; 5651 erişim kaydı ise antivirüsten ayrı bir işlevdir.

Ücretsiz kurumsal antivirüs var mı?

Windows'ta yerleşik Defender ek ücret gerektirmez; ancak merkezi görünürlük, risk skoru ve uyum kaydı sunmaz. Kurumsal ihtiyaç bu katmandır ve lisanslı bir çözüm gerektirir.