Bir siber olay meydana geldiğinde ilk sorumuz genellikle: “Ne oldu?” oluyor.
Olayın nedenini ve kapsamını anlamak elbette gerekli. Ancak aktif bir kriz sırasında yönetim açısından daha kritik bir soru ortaya çıkıyor: “Şimdi hangi kararı vermeliyiz?”
Çünkü gerçek kriz ortamı, hazırlanan senaryolardan genellikle daha karmaşıktır.
- Bilgi eksiktir.
- Zaman sınırlıdır.
- Teknik ve operasyonel öncelikler birbiriyle çatışabilir.
- Alınan bir karar, güvenlik riskini azaltırken operasyonel başka bir risk oluşturabilir. (Örneğin; saldırı şüphesi bulunan bir sistemi izole etmek, teknik açıdan doğru karar olabilir.)
Ancak; aynı sistem kritik bir hizmeti destekliyorsa karar artık yalnızca teknik değildir. Bu noktada farklı sorular gündeme gelir:
- Hangi hizmetlerin devamlılığı kritik?
- Operasyonel kesintinin kabul edilebilir sınırı nedir?
- Hangi risk geçici olarak kabul edilebilir?
- Karar yetkisi kimde olmalı?
- Hangi aşamada üst yönetim sürece dahil edilmeli?
Bu nedenle, Incident Response'u "Olay Müdahalesi"; (Bir kurumda meydana gelen veya meydana geldiğinden şüphelenilen siber güvenlik olaylarının tespit edilmesi, analiz edilmesi, kontrol altına alınması, etkilerinin giderilmesi ve sistemlerin güvenli şekilde normale döndürülmesi sürecidir.) yalnızca teknik ekiplerin yürüttüğü bir müdahale faaliyeti olarak değerlendirmeyi eksik buluyorum.
Teknik ekiplerin olayın tespiti, analizi ve sınırlandırılmasındaki rolü kritik. Ancak; Büyük ölçekli bir olayda teknik müdahalenin yanında risk yönetimi, iş sürekliliği, iletişim ve yönetsel karar mekanizmalarının da birlikte çalışması gerekiyor.
Bu da başka bir hazırlık anlayışını gerektiriyor. Yalnızca: “Bu saldırıya karşı teknolojimiz var mı?” sorusunu değil,
“Bu olay gerçekleştiğinde kim, hangi bilgiyle, hangi kararı verecek?” sorusunu da önceden cevaplamamız gerekiyor.
Çünkü kriz yönetiminde kapasite, yalnızca doğru teknolojiye sahip olmakla değil; belirsizlik altında doğru kararları, yeterince hızlı verebilmekle de ölçülür.
Araştırma Kaynakları:
* ChatGPT