Eklenti (plugin) genel bakışı

21 CFR Part 11, FDA tarafından düzenlenen sektörlerde elektronik kayıtların ve elektronik imzaların güvenilirliğine ilişkin kriterleri belirleyen ABD FDA düzenlemesidir.

Konu: FDA ile bağlantılı ilaç, biyoteknoloji ve tıbbi cihaz şirketleri ile CRO'lar

FedRAMP, NIST SP 800-53 temelinde ABD federal kurumlarına hizmet veren bulut hizmetlerinin güvenlik değerlendirmesini ve yetkilendirmesini standartlaştırır ve bir yetkilendirmenin birden fazla kurum tarafından yeniden kullanılmasını sağlar.

Konu: ABD federal kurumlarına hizmet veren Bulut Hizmet Sağlayıcıları (CSP)

Health Insurance Portability and Accountability Act, sağlık verilerinin (PHI) korunmasına yönelik ABD federal yasasıdır ve Covered Entities ile Business Associates için veri koruma, güvenlik ve bildirim yükümlülüklerini düzenler.

Konu: ABD sağlık hizmeti sağlayıcıları, sağlık sigortası şirketleri ve bunların Business Associate'leri

HITRUST Common Security Framework, 50'den fazla standarttan (HIPAA, ISO 27001, NIST, PCI DSS gibi) gelen gereklilikleri birleştiren ve ABD sağlık sektöründe sertifikalandırılabilir bir uyumluluk kanıtı olarak yerleşmiş bir meta çerçevedir.

Konu: ABD sağlık sektöründeki sağlık kuruluşları, Business Associate'ler ve bulut sağlayıcıları

ICH E6 (R2) Good Clinical Practice, klinik çalışmaların tasarımı, yürütülmesi ve dokümantasyonu için uluslararası kabul görmüş standarttır; bu eklenti, bilgisayar destekli çalışma sistemlerinin BT ve siber güvenlik yönlerine odaklanır.

Konu: İlaç şirketleri (sponsorlar), CRO'lar, klinik araştırma merkezleri ve teknoloji sağlayıcıları (EDC, eTMF)

ISO/IEC 27001:2022, dünya çapında en çok kabul gören bilgi güvenliği yönetim sistemi (ISMS) standardıdır ve 93 Annex-A kontrolüyle çok sayıda sektöre özel düzenlemenin temelini oluşturur.

Konu: Bir ISMS kurmak veya sertifikalandırmak isteyen her sektör ve büyüklükteki kuruluşlar

ISO/IEC 27799:2016 bağımsız bir kontrol listesi değil, ISO 27001/27002'nin sağlık sektörüne yönelik sektöre özel yorum yardımcısıdır; acil durum erişimi ve tıbbi cihaz güvenliğine ilişkin kontroller içerir.

Konu: Hastaneler, klinikler, doktor muayenehaneleri ve uluslararası sağlık BT sağlayıcıları

NERC CIP, North American Electric Reliability Corporation tarafından geliştirilen ve FERC tarafından uygulanan, Kuzey Amerika elektrik sektörü (Bulk Electric System) için zorunlu siber güvenlik standartlar bütünüdür.

Konu: Kuzey Amerika iletim ve üretim şebekesinin işletmecileri ve sahipleri (ABD, Kanada, Meksika)

NIST Cybersecurity Framework 2.0, Govern, Identify, Protect, Detect, Respond ve Recover şeklindeki altı temel fonksiyonla siber güvenlik risklerinin yönetimi için uluslararası kabul görmüş bir taksonomi sunar.

Konu: Her sektör ve büyüklükteki, uluslararası düzeyde kullanılabilen kuruluşlar

Bu eklenti, NIST Secure Software Development Framework'ü (SP 800-218) güvenli açık kaynak yazılım geliştirme, tedarik zinciri güvenliği ve OpenSSF en iyi uygulamalarına özel odaklanarak uygular.

Konu: Yazılım geliştiricileri, açık kaynak projeleri ve DevSecOps ekipleri

PCI DSS v4.0, kredi kartı verilerini saklayan, işleyen veya ileten tüm kuruluşlar için Payment Card Industry'nin küresel güvenlik standardıdır.

Konu: Kart ödemesi işleyen satıcılar, ödeme hizmeti sağlayıcıları ve finans kuruluşları

SLSA (Supply-chain Levels for Software Artifacts), kriptografik olarak doğrulanabilir build kökenini (provenance) kullanarak yazılım tedarik zincirini güvence altına almaya yönelik OpenSSF destekli, aşamalı bir çerçevedir.

Konu: Yazılım geliştiricileri, açık kaynak projeleri ve bulut yerel (cloud-native) kuruluşlar

SOC 2, AICPA'nın Trust Services Criteria'sına dayanır ve güvenlik, kullanılabilirlik, gizlilik ve veri korumasını kanıtlamak için SaaS ve bulut sağlayıcıları açısından fiili uyumluluk standardıdır.

Konu: SaaS sağlayıcıları, bulut sağlayıcıları ve teknoloji tabanlı hizmet sağlayıcıları

SWIFT Customer Security Programme, SWIFT ağına bağlı tüm kurumları Customer Security Controls Framework (CSCF) güvenlik kontrollerini uygulamaya ve yıllık öz beyan yapmaya zorunlu kılar.

Konu: SWIFT ödeme ağına bağlı bankalar ve finans kuruluşları

Chemicals & Raw Materials Sector eklentisi, kimya sektörünün kendine özgü siber güvenlik gerekliliklerini, özellikle proses güvenliğini, Safety Instrumented Systems'ı (SIS) ve REACH/Seveso-III uyumluluğunu ele alır.

Konu: Temel, özel ve petrokimya, polimer, tarım kimyası ve hammadde işleme şirketleri

Cloud, SaaS & Data Services Sector eklentisi, çok kiracılı (multi-tenant) mimarilerin, API-first sistemlerin ve Kubernetes ile Serverless gibi bulut yerel teknolojilerin özel güvenlik gerekliliklerini ele alır.

Konu: SaaS sağlayıcıları, Bulut Hizmet Sağlayıcıları, Yönetilen Hizmet Sağlayıcıları ve platform işletmecileri

Energy & Renewables Sector eklentisi, geleneksel ve yenilenebilir enerji üreticileri için SCADA/ICS güvenliği, akıllı şebeke, rüzgar ve güneş enerjisi santralleri ile enerji ticaret sistemlerini kapsar.

Konu: Enerji tedarikçileri, şebeke işletmecileri ve yenilenebilir enerji tesisi işletmecileri

Financial Services Sector eklentisi, ödeme güvenliği, Açık Bankacılık (PSD2), ticaret sistemleri, dolandırıcılık tespiti ve AML odaklı olmak üzere perakendeden yatırım bankacılığına kadar tüm yelpazeyi kapsar.

Konu: Bankalar, sigorta şirketleri, ödeme hizmeti sağlayıcıları ve yatırım şirketleri

Healthcare & Medicine Sector eklentisi, hastane bilgi sistemleri, elektronik hasta kayıtları, tıbbi cihazlar (IoMT), telemedicine ve Almanya'ya özgü gereklilikler (PatRG, SGB V/Telematik altyapısı) için kontroller sunar.

Konu: Hastaneler, klinikler, doktor muayenehaneleri, telemedicine sağlayıcıları ve eczaneler

Industrial Manufacturing Sector eklentisi, Endüstri 4.0 teknolojilerini, OPC-UA güvenliğini, MES'i, robotik/cobot'ları, CAD/PLM veri korumasını ve imalat sektörü için TISAX uyumluluğunu ele alır.

Konu: Metal, elektrik ve makine mühendisliği ile otomotiv tedarikçileri (Tier 1-3)

OEM Automotive Sector eklentisi, araç tip onayları için 2024'ten itibaren zorunlu olan UN-R155/R156 gerekliliklerini (CSMS/SUMS) ve araç üreticileri için V2X, VSOC ve ECU güvenliğini ele alır.

Konu: Binek araç, ticari araç, elektrikli ve otonom araç üreticileri (OEM'ler)

Online Platforms & E-Commerce Sector eklentisi, çevrimiçi ticaretin işe özgü güvenlik gerekliliklerini ele alır: ödeme güvenliği, dolandırıcılık tespiti, hesap ele geçirme önleme ve pazar yeri güven sistemleri.

Konu: B2C/B2B e-ticaret, pazar yerleri, abonelik ticareti ve dijital ürünler

Pharma & Life Science Sector eklentisi, ilaç ve tıbbi teknoloji şirketleri için tüm GxP alanlarını (GMP, GCP, GLP, GDP) ve FDA 21 CFR Part 11, EU GMP Annex 11, ISO 13485 ile EU MDR/IVDR'yi kapsar.

Konu: İlaç üreticileri, biyoteknoloji şirketleri, CRO'lar, tıbbi cihaz üreticileri ve QC laboratuvarları

Telecommunications & Networks Sector eklentisi, telekomünikasyon operatörleri ve ISP'ler için 5G/4G çekirdek ağları, SS7/sinyalleşme, VoIP/IMS, BSS/OSS, yasal dinleme ve DDoS korumasını kapsar.

Konu: Mobil ve sabit hat operatörleri, İnternet Servis Sağlayıcıları ve veri merkezi işletmecileri

BAIT (Bankaufsichtliche Anforderungen an die IT), Alman kredi kuruluşları için BT'ye özel gereklilikleri somutlaştıran bir BaFin genelgesidir. BAIT, MaRisk AT 7.2 (BT kaynakları) ve BTR 5'in (operasyonel riskler) özellikle BT konularına yönelik uygulama ve detaylandırmasıdır.

Konu: Alman kredi kuruluşları (bankalar, tasarruf sandıkları, kooperatif bankaları)

BSI IT-Grundschutz, Bundesamt für Sicherheit in der Informationstechnik tarafından geliştirilen Alman bilgi güvenliği yönetimi standardıdır. IT-Grundschutz temelli ISO 27001 sertifikasyonlarının temelini oluşturur ve KRITIS kanıtının dayanağıdır.

Konu: Alman kamu kurumları, her büyüklükteki şirketler, KRITIS işletmecileri

BSI-Kritisverordnung, §§ 8a, 8b BSIG temelinde hangi tesislerin kritik altyapı sayıldığını somutlaştırır ve dokuz sektörde bu tesislerin işletmecileri için BT güvenlik gerekliliklerini düzenler.

Konu: Almanya'daki kritik altyapı işletmecileri (enerji, su, sağlık, finans, BT/telekom, ulaşım vb.)

MaRisk (Mindestanforderungen an das Risikomanagement), Alman kredi ve finansal hizmet kuruluşlarının risk yönetimine ilişkin gerekliliklerini somutlaştıran BaFin genelgeleridir; BT güvenliğine (AT 9) ve dış kaynak kullanımına (AT 7.2) özel odaklanır.

Konu: Alman kredi ve finansal hizmet kuruluşları

Loi de Programmation Militaire 2024-2030, Fransız hayati önem taşıyan işletmecilerin (OIV) ve kritik bilgi sistemlerinin (SIIV) siber güvenlik gerekliliklerini sıkılaştırır ve ANSSI tarafından uygulanır.

Konu: 10 stratejik sektörde (enerji, savunma, finans, sağlık vb.) faaliyet gösteren Fransız Opérateurs d'Importance Vitale (OIV)

Référentiel Général de Sécurité v2.0, kamu kurumları ve kamu çevrimiçi hizmetleri için DICA ilkesine (Disponibilité, Intégrité, Confidentialité, Authenticité) göre yapılandırılmış Fransız güvenlik çerçevesidir.

Konu: Fransız kamu kurumları, kamu idareleri ve güven hizmeti sağlayıcıları

Cyber Resilience Act (EU 2024/2847), dijital unsurlar içeren ürünler için tüm yaşam döngüsü boyunca yatay siber güvenlik gerekliliklerini belirler ve CE işaretlemesi için ön koşuldur.

Konu: AB'de donanım ve yazılım ürünleri üreten, ithal eden ve dağıtan kuruluşlar

Digital Operational Resilience Act (EU 2022/2554), AB'deki finans kuruluşlarını BİT risk yönetimi, olay bildirimi, dayanıklılık testleri ve üçüncü taraf risk yönetimine ilişkin ortak gerekliliklere tabi kılar.

Konu: AB finans kuruluşları (bankalar, sigorta şirketleri, ödeme hizmeti sağlayıcıları, kripto hizmet sağlayıcıları vb.)

EBA ICT Guidelines Framework, European Banking Authority'nin BİT ve güvenlik risk yönetimine ilişkin gerekliliklerini finans kuruluşları için tek bir kontrol çerçevesinde birleştirir.

Konu: AB'deki kredi kuruluşları, yatırım şirketleri, ödeme ve e-para kuruluşları

eIDAS Yönetmeliği (EU 910/2014), AB iç pazarında elektronik kimlik doğrulama ve güven hizmetleri için hukuki çerçeveyi oluşturur ve nitelikli elektronik imzaların sınır ötesi tanınmasını güvence altına alır.

Konu: Güven hizmeti sağlayıcıları (TSP/QTSP) ve eIDAS uyumlu sistemlere sahip kuruluşlar

EU AI Act (EU 2024/1689), yapay zeka için dünyanın ilk kapsamlı hukuki çerçevesidir ve YZ sistemlerinin geliştirilmesi, piyasaya sürülmesi ve kullanımı için risk bazlı gereklilikler belirler.

Konu: AB ile bağlantılı YZ sistemleri sağlayan, işleten, ithal eden ve satan kuruluşlar

Genel Veri Koruma Tüzüğü (EU 2016/679), dünyanın en önemli veri koruma düzenlemesidir ve şirket merkezinden bağımsız olarak AB'deki kişilerin kişisel verilerini işleyen tüm kuruluşlar için geçerlidir.

Konu: AB vatandaşlarının kişisel verilerini işleyen tüm kuruluşlar

Markets in Crypto-Assets Regulation (EU 2023/1114), kripto varlıklar, Crypto-Asset Service Provider'lar (CASP) ile Asset-Referenced ve E-Money Token'lar için ilk birleşik AB hukuki çerçevesini oluşturur.

Konu: AB'deki kripto borsaları, saklama hizmeti sağlayıcıları, brokerler ve kripto token ihraççıları

NIS-2 Direktifi (EU 2022/2555), AB genelinde siber güvenliğe ilişkin asgari gereklilikleri 18 kritik sektöre genişletir ve Almanya'da NIS2-Umsetzungsgesetz ile hayata geçirilir.

Konu: AB'deki 18 kritik sektörde faaliyet gösteren temel ve önemli kuruluşlar

REMIT Yönetmeliği (EU 1227/2011), Avrupa enerji toptan satış piyasalarında piyasa manipülasyonunu ve içeriden öğrenenlerin ticaretini önler ve piyasa katılımcılarını ACER'e işlem bildirimi yapmakla yükümlü kılar.

Konu: Avrupa elektrik ve gaz toptan piyasasındaki katılımcılar (üreticiler, tacirler, borsalar, bankalar)

TIBER-EU, Avrupa Merkez Bankası tarafından geliştirilen ve finans sektöründe tehdit odaklı Red Team testleri (Threat-Led Penetration Testing) için çerçeve olup DORA-TLPT gerekliliğinin temelini oluşturur.

Konu: AB'deki finans kuruluşları ve sistemik önemi olan finansal piyasa altyapısı

TISAX, ENX Association tarafından işletilen ve OEM'ler ile tedarikçilerin bilgi güvenliğini değerlendirmek için VDA-ISA kataloğuna dayanan, otomotiv sektöründe Avrupa çapında tanınan bir denetim standardıdır.

Konu: Avrupa tedarik zincirindeki otomotiv üreticileri ve tedarikçileri (Tier 1-3)

Asana entegrasyonu, denetim bulguları ve boşluk analizlerinden otomatik görev oluşturulmasını, Asana ile denetim sistemi arasında çift yönlü durum senkronizasyonuyla birlikte sağlar.

Konu: Remediation önlemlerini ve bulguları Asana'da yöneten ekipler

JIRA entegrasyonu, denetim bulguları ve boşluk analizlerinden otomatik ticket oluşturulmasını, JIRA ile denetim sistemi arasında çift yönlü durum senkronizasyonuyla birlikte sağlar.

Konu: Remediation önlemlerini ve bulguları JIRA'da yöneten ekipler

Network Scanner, host tespiti, port taraması, servis ve işletim sistemi parmak izi çıkarma ile açık taraması için Nmap tabanlı bir ağ güvenlik tarayıcısıdır.

Konu: Açık portlar ve açıklar bakımından kontrol edilmesi gereken BT altyapısı ve ağlar

OWASP Dependency-Check Scanner, Software Composition Analysis (SCA) gerçekleştirir ve 11 paket yöneticisi ekosistemi genelinde proje bağımlılıklarındaki bilinen açıkları (CVE) tespit eder.

Konu: Açık kaynak bağımlılıklarını analiz eden yazılım geliştirme ekipleri

SBOM Scanner, Software Bill of Materials için eksiksiz yaşam döngüsü yönetimi sunar: oluşturma, doğrulama, lisans analizi, açık zenginleştirme, sürüm karşılaştırma ve uyumluluk kontrolü.

Konu: DevSecOps ekipleri, yazılım sağlayıcıları ve uyumluluk sorumluları