Bu ölçekte bir stratejinin başarısı, yalnızca ortaya konulan hedeflerin niteliğiyle değil; bu hedeflerin somut eylemlere dönüştürülmesi, ölçülebilir göstergelerle izlenmesi, elde edilen sonuçların değerlendirilmesi ve karar alma süreçlerine geri beslenmesiyle ortaya çıkar.
Hedef: Nereye ulaşmak istiyoruz?
Eylem: Hedefe nasıl ulaşacağız?
Risk analizlerinin standartlaştırılması, olaylara müdahale kapasitesinin geliştirilmesi, siber güvenlik tatbikatlarının gerçekleştirilmesi, kurumlar arası bilgi paylaşımının güçlendirilmesi ve kritik sistemlerde güvenlik açıklarının azaltılması buna örnek olarak verilebilir.
Burada kritik nokta, her eylemin açık bir hedefle ilişkilendirilmesi ve sorumluluğunun belirlenmesidir.
Gösterge: İlerlemeyi nasıl ölçeceğiz?
- Kritik kurumların tatbikatlara katılım oranı,
- Kritik güvenlik açıklarının giderilme süresi,
- Siber olaylara ortalama müdahale süresi,
- Belirlenen güvenlik standartlarına uyum oranı,
- Kurumsal siber güvenlik olgunluk seviyesindeki değişim.
Örneğin yüz kurumda tatbikat gerçekleştirilmesi bir çıktı göstergesi olabilir. Fakat bu tatbikatların olaylara müdahale süresini azaltıp azaltmadığı veya kurumların dayanıklılığını artırıp artırmadığı ayrıca değerlendirilmelidir.
Dolayısıyla stratejik ölçümde yalnızca “ne yaptık?” değil, “ne değiştirdik?” sorusu da sorulmalıdır.
Sonuç: Gerçekten bir iyileşme sağlandı mı?
Bir eylemin tamamlanması başarı olarak kabul edilmeden önce, eylemin hedeflenen sonucu üretip üretmediği değerlendirilmelidir.
Bu nedenle: Faaliyet → Çıktı → Sonuç → Etki ayrımı kurulmalıdır.
Bu yaklaşım, siber güvenlik çalışmalarının yalnızca faaliyet sayıları üzerinden değil, risk azaltma, dayanıklılık geliştirme ve kurumsal kapasite oluşturma açısından değerlendirilmesine imkân sağlar.
Koordinasyon: Stratejiyi ortak bir sisteme dönüştürmek
Stratejik koordinasyon;
- ortak hedeflerin belirlenmesini,
- sorumlulukların netleştirilmesini,
- önceliklerin uyumlaştırılmasını,
- kaynak ve kapasitenin doğru alanlara yönlendirilmesini,
- performans ve sonuçların izlenmesini,
- kurumlar arasındaki bilgi akışının güçlendirilmesini,
- risk ve sapmaların zamanında değerlendirilmesini
gerektirir. Bu bakış açısıyla koordinasyonun temel amacı, stratejik hedefler ile kurumsal uygulamalar arasında sürdürülebilir bir yönetim bağı kurmaktır.
Geri Besleme: Ölçmekten yönlendirmeye
- Hedef gerçekçi mi?
- Eylem doğru seçilmiş mi?
- Kaynak yeterli mi?
- Kurumsal kapasite yeterli mi?
- Koordinasyon mekanizmasında bir sorun var mı?
- Tehdit ortamı değişti mi?
gibi sorular yeniden değerlendirilmelidir. Böylece strateji statik bir belge olmaktan çıkar ve değişen tehdit ortamına göre kendisini geliştirebilen dinamik bir yönetim döngüsüne dönüşür.
Strateji, ölçülemediğinde temenniye; ölçüm sonuçla ilişkilendirilmediğinde raporlamaya; sonuçlar kararlara yansıtılmadığında ise öğrenmeyen bir yönetime dönüşür.
Sonuç olarak:
- Hedef yönü gösterir.
- Eylem hedefi gerçeğe dönüştürür.
- Gösterge ilerlemeyi görünür kılar.
- Sonuç gerçek etkiyi ortaya koyar.
- Geri besleme ise stratejiyi geliştirir.
Asıl kurumsal olgunluk, stratejiyi yalnızca hazırlamak değil; stratejinin sahadaki karşılığını ölçmek, sonuçları yorumlamak ve elde edilen bulguları bir sonraki stratejik karara dönüştürebilmektir.
Ulusal siber güvenlik açısından sürdürülebilir başarı, tam olarak bu ölçülebilir ve geri beslemeli yönetim döngüsünün kurulmasına bağlıdır.