Yama Yönetimi Rehberi: KOBİ'ler İçin 2026

Geçen ay bir müşterimizin muhasebe bilgisayarı fidye yazılımına kilitlendi. Saldırının giriş noktası ne dâhiyane bir hacker ne de bilinmeyen bir sıfırıncı gün açığıydı — sekiz ay önce yayınlanmış, bir türlü kurulmamış bir Windows güncellemesiydi. Yama yönetimi, işletmenizdeki tüm cihaz ve yazılımların güvenlik güncellemelerini düzenli, denetlenebilir ve gecikmesiz biçimde uygulama sürecidir. 25 yıllık saha deneyimimde gördüğüm en pahalı ihlallerin neredeyse tamamı, “sonra hallederim” denip ertelenen bir güncellemeden çıktı.

Yama Yönetimi Nedir ve Neden Sadece “Güncelle” Demek Değildir?

Yama yönetimi; eksik güncellemeleri tespit etmek, önceliklendirmek, test etmek, dağıtmak ve sonucu raporlamak demektir. Tek bir bilgisayarda “Windows Update”e tıklamak kolaydır; ama 25 cihaz, 3 sunucu, Microsoft 365 uygulamaları, tarayıcılar, PDF okuyucular ve muhasebe yazılımı bir aradayken işin rengi değişir. Kritik fark şudur: ev kullanıcısı için güncelleme bir buton, kurum için bir süreçtir.

KOBİ’ler Neden Bu Kadar Kolay Hedef Oluyor?

Saldırganlar artık tek tek kurum seçmiyor; internete açık, yaması eksik sistemleri otomatik tarıyor. Türkiye’de son üç yılda fidye yazılımı tespitleri katlanarak arttı ve en çok zarar gören kesim, bütçesi ve BT ekibi sınırlı olan KOBİ’ler oldu. Üç temel sebep:

• Görünürlük yok: Hangi cihazda hangi güncellemenin eksik olduğunu kimse bilmiyor.
• Sorumlu yok: “Herkesin işi” olan yama, kimsenin işi olmuyor.
• Erteleme kültürü: “Çalışıyorsa dokunma” yaklaşımı, açık bir kapıyı aylarca açık tutuyor.

Eksik Bir Yama Ne Kadara Mal Olur?

Rakamlarla bakalım. Aşağıdaki tablo, 25 kişilik bir işletme için tipik bir karşılaştırmadır:

Senaryo	Yıllık Maliyet	İş Kesintisi Riski
Yönetilen yama hizmeti	~12.000–18.000 ₺	Düşük
Yama yok, ihlal yaşandı	250.000 ₺+ (kurtarma + kesinti + itibar)	3–10 iş günü durma
KVKK veri ihlali bildirimi	Ayrıca idari para cezası riski	Yasal süreç

Yani yama yönetimi bir maliyet kalemi değil, sigorta primidir — üstelik çok daha ucuzudur.

Etkili Bir Yama Yönetimi Süreci Nasıl Kurulur?

1. Envanter çıkarın: Hangi cihaz, hangi işletim sistemi, hangi yazılım sürümü? Görmediğinizi koruyamazsınız.
2. Önceliklendirin: Kritik güvenlik açıkları 72 saat içinde, diğerleri 15 gün içinde kapatılmalı.
3. Test edin: Güncellemeyi önce pilot bir gruba uygulayın; muhasebe yazılımıyla çakışan yamalar nadir değildir.
4. Otomatikleştirin: Elle takip sürdürülebilir değil — merkezi bir araç şart.
5. Raporlayın: Aylık “uyum oranı” raporu hem yönetime hem KVKK denetimine kanıt sunar.

Microsoft Araçlarıyla Yamayı Otomatiğe Almak

İyi haber: doğru lisansınız varsa yeni bir bütçe gerekmez. Microsoft Intune ile Windows, sürücü ve Microsoft 365 uygulama güncellemelerini merkezden yönetebilir; Windows Autopatch ile dağıtımı tamamen otomatikleştirebilirsiniz. Microsoft Defender for Business ise eksik yamaları “güvenlik açığı yönetimi” panosunda risk puanıyla listeler — yani önce neyi kapatmanız gerektiğini size söyler. Bu üçlü, Microsoft 365 Business Premium lisansının içinde gelir.

Biz Xen Bilişim olarak müşterilerimizde bu süreci yönetilen hizmet kapsamında kuruyoruz: envanteri biz çıkarıyoruz, kritik yamaları biz takip ediyoruz, aylık uyum raporunu siz alıyorsunuz. Geçen haftaki fidye yazılımı vakasından sonra o müşterimizde tam da bu yapıyı devreye aldık — artık eksik yama 72 saatten fazla açık kalmıyor.

Sıkça Sorulan Sorular

Güncellemeler işimi aksatır mı?

Doğru planlandığında hayır. Yamalar mesai dışına veya bakım pencerelerine zamanlanır, pilot grupta test edildikten sonra yaygınlaştırılır.

Küçük bir işletmeyim, gerçekten gerekli mi?

Evet. Saldırganlar büyüklüğe değil, açığa bakar. 5 kişilik bir ofis de 500 kişilik bir kurum da aynı otomatik taramalara yakalanır.

Windows 10 cihazlarım için yama alabilir miyim?

Windows 10 ana desteği bitti; bu cihazlar için yama yönetiminin ilk adımı Windows 11’e geçiş veya genişletilmiş güvenlik güncellemesi planıdır.

Yama yönetimi KVKK için bir zorunluluk mu?

KVKK “uygun teknik tedbirler” ister. Güncel olmayan bir sistemden kaynaklı veri ihlalinde, eksik yama doğrudan kusur olarak değerlendirilir.

Özetle

Yama yönetimi, siber güvenliğin en az konuşulan ama en çok işe yarayan ayağıdır. Pahalı bir ürün değil, disiplinli bir süreçtir — ve bu süreci kurmak için tek bir fidye yazılımı vakasını beklemenize gerek yok. İşletmenizin yama uyum oranını birlikte ölçelim ve riski 72 saatin altına indirelim. Bizimle iletişime geçin, mevcut durumunuzu ücretsiz değerlendirelim.