Categories
QNAP Proaktif Bir Savunma Mimarisi Oluşturuyor
QNAP, 2026 yılında endüstriyel kontrol sistemleri (ICS) alanındaki en katı güvenli geliştirme yaşam döngüsü standardı olan IEC 62443-4-1 sertifikasını resmî olarak alarak bu sertifikaya sahip az sayıdaki Tayvanlı donanım üreticisinden biri oldu. QNAP yıllar içinde Bounty Program’ını genişleterek, dünya çapındaki Pwn2Own yarışmasına katılarak, Viettel Cyber Security Red Team ile sızma testi ve doğrulama çalışmalarını tamamlayarak, Ulusal Siber Güvenlik Enstitüsü ile iş birliği yaparak ve Yazılım Malzeme Listesi (SBOM) ile DevSecOps’u kapsamlı biçimde benimseyerek güvenliği geliştirme sürecinin merkezine yerleştirdi ve yeni bir “proaktif savunma” mimarisi oluşturdu.
IEC 62443-4-1 Sertifikası, Güvenli Geliştirme Süreçlerinin Titiz Bir Denetimden Geçtiği Anlamına Gelir
IEC 62443-4-1, Uluslararası Elektroteknik Komisyonu (IEC) tarafından Endüstriyel Otomasyon ve Kontrol Sistemleri (IACS) için geliştirilen siber güvenlik standartları çerçevesinin bir parçasıdır. Standart, özellikle “Ürün Güvenliği Geliştirme Yaşam Döngüsü Gereksinimleri”ni tanımlar.
Bu standart kapsamındaki denetim ürünün kendisine değil, geliştirme sürecine odaklanır. Denetim özellikle sekiz temel alanı kapsar: güvenlik yönetimi, güvenlik gereksinimlerinin tanımlanması, güvenli tasarım, güvenli uygulama rehberliği, güvenlik doğrulama ve onaylama testleri, güvenlik sorunu yönetimi, güvenlik güncellemesi yönetimi ve güvenlik rehberi dokümantasyonu. Her alanın izlenebilir dokümantasyon ve uygulama kayıtlarıyla desteklenmesi gerekir; bu kayıtlar sertifika verilmeden önce bağımsız bir sertifikasyon kuruluşu tarafından incelenir.
IEC 62443-4-1 sertifikasını almak, QNAP’ın ürün geliştirme süreçlerinin endüstriyel kontrol sistemleri düzeyindeki güvenlik gereksinimlerine uygun olduğu ve üçüncü taraf bir kuruluş tarafından resmî olarak tanındığı anlamına gelir. Endüstriyel otomasyon ve kritik altyapı için geliştirilen bu standart, genel BT ürün sertifikalarında tipik olarak uygulananlardan daha katı gereksinimler getirir. Bu sertifika yalnızca QNAP’ın Ar-Ge yönetimindeki olgunluğunu göstermekle kalmaz, işletmeler Avrupa Birliği’nin Siber Dayanıklılık Yasası (CRA) gibi yeni nesil uluslararası siber güvenlik düzenlemeleriyle karşı karşıya kalırken önemli bir uyumluluk temeli de oluşturur.
2025: Taahhüdü Sisteme Dönüştürmek
QNAP, siber güvenlik taahhüdünü uygulanabilir bir çerçeveye dönüştürerek “hızlı müdahaleyi” günlük operasyonlarının bir parçası hâline getirdi.
QNAP’ın Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), yüksek önem derecesine sahip güvenlik açığı bildirimlerini aldıktan sonra incelemeyi 9 saat içinde, düzeltmeyi 14 saat içinde ve vakanın kapatılmasını 24 saat içinde tamamlar. QNAP 2025 yılında 224’ten fazla CVE kimliği (Common Vulnerabilities and Exposures) atayarak küresel siber güvenlik veritabanına katkıda bulundu; Kritik önem derecesindeki tüm güvenlik açıkları ise bir hafta içinde giderildi. Bu, bir Hizmet Düzeyi Sözleşmesi (SLA) olmasının yanı sıra QNAP’ın tüm müşterilerine verdiği bir taahhüttür.
QNAP ayrıca yazılım bileşenlerinin şeffaflığını ve güvenliğini sağlamak için resmî olarak Yazılım Malzeme Listesi (SBOM) uygulamasını başlattı; güvenilir tedarikçilerle birlikte çalışarak riskleri kaynağında yönetiyor ve veri güvenliğine yönelik en yüksek taahhüdünü sürdürüyor.
2026: QNAP, Siber Güvenlik Başarılarını Dış Ortaklarla Birlikte Doğruluyor
QNAP, şirket içi güvenlik süreçlerini oluşturup iyileştirmenin yanı sıra dış ortaklarla da aktif olarak iş birliği yaparak siber güvenlik kuruluşlarının süreçlerinin etkinliğini ve ürünlerinin güvenliğini doğrulamasına olanak tanıdı.
QNAP, 2026 yılında Viettel Cyber Security (VCS) tarafından verilen “Cyber Security Certificate of Completion” belgesini aldı. VCS, birden fazla Pwn2Own şampiyonluğu kazanmış ve yaklaşık 500 sıfırıncı gün (zero-day) güvenlik açığı araştırma bulgusu ortaya koymuş, Asya’nın önde gelen siber güvenlik kuruluşlarından biridir. Testler, QNAP’ın kurumsal sınıf NAS çözümlerine güç veren ve son derece güvenilir ZFS dosya sistemi üzerine kurulu temel işletim sistemi QuTS hero’ya odaklandı. Testler sırasında tespit edilen tüm güvenlik açıkları, sertifika verilmeden önce tamamen giderildi ve başarıyla doğrulandı.
QNAP ayrıca Dijital İşler Bakanlığı Siber Güvenlik İdaresi’nin rehberliğinde Ulusal Siber Güvenlik Enstitüsü (NICS) tarafından düzenlenen “Ürün Güvenliği Hata Ödül Programı”na aktif olarak katıldı. Testler, QNAP’ın ADRD NDR (Network Detection and Response) ürünlerini ve QHora serisi yeni nesil yönlendiricilerini kapsadı. Bu süreçte QuTS hero sistemi de titiz testler altında yüksek düzeyde mimari kararlılık sergiledi.
Aynı zamanda Bounty Program‘ın ölçeği önemli ölçüde genişledi; dünyanın dört bir yanından 151’den fazla harici güvenlik araştırmacısı programa katıldı ve tek bir yılda 88.000 ABD dolarının üzerinde ödül verildi. QNAP ayrıca dünya çapında en prestijli gerçek zamanlı saldırı yarışmalarından biri olarak kabul edilen uluslararası siber güvenlik yarışması Pwn2Own’a üst üste birçok yıl katıldı. QNAP 2024 yılında Trend Micro’nun Zero Day Initiative (ZDI) programına da sponsor oldu. Bu çabalar, QNAP’ın sıfırıncı gün güvenlik açığı araştırma topluluğunun aktif bir katılımcısı hâline geldiğini ve siber güvenlik korumasını şirket içi testlerin ötesine taşıyarak dünya genelindeki siber güvenlik uzmanlarıyla ortak bir çabaya dönüştürdüğünü gösteriyor.
Sertifika Almak Yalnızca Bir Kilometre Taşı; Yüksek Siber Güvenlik Standartlarını Korumak ise Süregelen Bir Süreç
QNAP; ISO 27001 (Bilgi Güvenliği Yönetimi), ISO 27017 (Bulut Güvenliği Kontrolleri) ve ISO 27018 (Bulutta Kişisel Verilerin Korunması) sertifikalarına sahiptir ve bu sertifikalar IEC 62443-4-1 ile birlikte kurumsal yönetimden ürün geliştirmeye ve bulut hizmetlerine uzanan kapsamlı bir sertifika çerçevesi oluşturur. Yapay Zekâ Destekli Kod İncelemesi ve Güvenlik Açığı Taraması CI/CD hattına entegre edilmiş, GenAI tarafından üretilen kodların incelenmesi için de bir SOP oluşturulmuştur.
Siber güvenlik tehditleri gelişmeye devam ediyor; QNAP’ın siber güvenliğe olan bağlılığı ise sarsılmadan sürüyor.
QNAP Trust Center’ı ziyaret edin >>
Sıkça Sorulan Sorular (SSS)
S1: QNAP Bounty Program’a nasıl katılabilirim?
Harici güvenlik araştırmacıları, güvenlik açığı raporlarını Bounty Program üzerinden gönderebilir. QNAP, her güvenlik açığının önem derecesine göre ödül verir. Kritik önem derecesindeki güvenlik açıkları bir hafta içinde giderilir ve bildirimi yapan kişiler bilgilendirilir.
S2: Kullanıcılar NAS’larını fidye yazılımlarına karşı nasıl koruyabilir? QNAP kullanıcılara hangi siber güvenlik önlemlerini öneriyor?
Hiçbir siber güvenlik önlemi mutlak koruma sağlayamasa da iyi güvenlik uygulamaları riski neredeyse sıfıra indirebilir. Kullanıcıların aşağıdaki üç temel uygulamayı hayata geçirmesini önemle tavsiye ediyoruz:
- Güvenli Uzaktan Erişim: NAS’ınızı asla doğrudan genel internete açmayın. Yönlendiricinizin UPnP otomatik port yönlendirme özelliğini mutlaka devre dışı bırakın ve varsayılan port numaralarını kullanmaktan kaçının. Güvenli uzaktan erişim için VPN veya myQNAPcloud Link kullanın. (Blog Yazısını Okuyun)
- Temel Güvenlik Önlemlerini Uygulayın: İki Faktörlü Kimlik Doğrulamayı (2FA) mutlaka etkinleştirin, “3-2-1 yedekleme kuralına” sıkı sıkıya uyun ve yedeklemelerin her zaman kullanılabilir olduğundan emin olmak için düzenli olarak geri yükleme testleri yapın.
- Değiştirilemez Depolama Kullanın: WORM klasörleri veya değiştirilemez anlık görüntüler oluşturmak için bir QuTS hero NAS ya da myQNAPcloud One bulut depolama hizmetini tercih edin. Bu özellikler dosyaları kilitleyerek önceden belirlenen saklama süresi boyunca kötü amaçlı yazılımların veya personelin dosya içeriklerini değiştirmesini önler.
S3: QNAP, IEC 62443-4-1 sertifikasının ötesinde işletmelerin CRA gibi yeni nesil uluslararası siber güvenlik düzenlemelerine uyum sağlamasına nasıl yardımcı oluyor?
QNAP, AB Siber Dayanıklılık Yasası’nın (CRA) yürürlüğe girmesine yanıt olarak özel bir QNAP CRA Siber Güvenlik Olayı Bildirim Platformu oluşturdu. QNAP çözümlerini dağıtırken veya işletirken aktif olarak istismar edilen bir güvenlik açığı ya da doğrulanmış büyük bir siber güvenlik olayı tespit ederseniz, bunu bu resmî kanal üzerinden bildirebilirsiniz. PSIRT ekibimiz güvenlik müdahale sürecini hemen başlatacaktır.
Yapay Zekâ Beyanı: Bu makaledeki bazı görseller ve metinler, yapay zekâ (YZ) desteğiyle oluşturulmuş veya iyileştirilmiş ve insan editörler tarafından gözden geçirilmiştir.
