Kurumsal Siber Güvenlik Politika ve Prosedür Hiyerarşisinin Tasarımı

Kurumsal siber güvenlik, yalnızca güvenlik ürünlerinin, teknik kontrollerin veya güvenlik operasyonlarının yönetilmesi değildir. Siber güvenlik olgunluğunun temel göstergelerinden biri, kurumun güvenlikle ilgili kararları hangi ilkelere göre aldığını, bu kararları nasıl uyguladığını, sonuçlarını nasıl ölçtüğünü ve sorumluluğu nasıl yönettiğini açık biçimde ortaya koyabilmesidir.

Bu nedenle kurumsal siber güvenlikte politika ve prosedürler, yalnızca hazırlanıp arşivlenen dokümanlar olarak değerlendirilmemelidir. Doğru tasarlanmış bir politika mimarisi; strateji, yönetişim, risk yönetimi, teknik kontroller, operasyon, denetim ve sürekli iyileştirme arasında bağ kuran bir yönetim mekanizmasıdır.

Temel amaç daha fazla doküman üretmek değil; stratejik hedefleri günlük uygulamalara dönüştüren, sorumlulukları netleştiren, ölçülebilir, denetlenebilir ve sürdürülebilir bir siber güvenlik sistemi oluşturmaktır.

1. Politika Hiyerarşisi Neden Stratejik Bir Konudur?

Bir kurumun siber güvenlik stratejisi, ulaşılmak istenen yönü belirler. Ancak stratejinin sahada nasıl uygulanacağı açıkça tanımlanmadığında, stratejik hedefler günlük operasyonlara yeterince yansımayabilir.

Bu nedenle politika mimarisi, strateji ile uygulama arasındaki yönetişim köprüsü olarak ele alınmalıdır. Olgun bir yapı, stratejik seviyeden operasyonel seviyeye doğru birbirini tamamlayan katmanlardan oluşur:

Siber Güvenlik Stratejisi
Siber Güvenlik Politikası
Standartlar
Güvenlik Kontrolleri
Prosedürler
Talimatlar ve Kılavuzlar
Uygulama, Kanıt ve Ölçüm

Bu yapı sayesinde:

  • Strateji yönü belirler.
  • Politika temel ilkeleri ortaya koyar.
  • Standart asgari gereklilikleri tanımlar.
  • Kontrol gerekliliklerin uygulanmasını güvence altına alır.
  • Prosedür uygulamanın nasıl gerçekleştirileceğini açıklar.
  • Talimat ve kılavuzlar günlük operasyonu destekler.
  • Ölçüm ve denetim sistemin gerçekten çalışıp çalışmadığını ortaya koyar.

Böylece “Ne yapmak istiyoruz?” ile “Bunu sahada nasıl uygulayacağız?” arasındaki boşluk ortadan kaldırılır.

2. Politika Mimarisi Doküman Değil, Yönetişim Sistemidir

Bir kurumda çok sayıda politika ve prosedür bulunması, tek başına siber güvenlik olgunluğunun göstergesi değildir. Asıl önemli olan bu dokümanların:

  • Doğru risklere dayanması,
  • Birbirleriyle ilişkili olması,
  • Sorumlularının belirlenmesi,
  • Uygulanabilir olması,
  • Ölçülebilir olması,
  • Denetlenebilir olması,
  • Güncel tutulması ve
  • Gerektiğinde istisnalarının kontrollü biçimde yönetilmesidir.

Bu nedenle başarılı bir politika mimarisi “doküman yönetimi” yaklaşımından “yönetişim ve güvence” yaklaşımına geçiş gerektirir.

Bir politikanın gerçekten değer üretip üretmediğini anlamak için yalnızca “Politika mevcut mu?” sorusu yeterli değildir. Daha doğru sorular şunlardır:

  • Bu politika hangi riski yönetiyor?
  • Hangi stratejik hedefi destekliyor?
  • Hangi standart ve kontrollerle uygulanıyor?
  • Kim sorumlu?
  • Uygulandığını nasıl kanıtlıyoruz?
  • Etkinliğini nasıl ölçüyoruz?
  • Hangi koşullarda gözden geçiriliyor?
Bu yaklaşım, politika yönetimini kurumsal siber güvenlik güvencesinin önemli bir parçası haline getirir.

3. Katmanlar Arasında İzlenebilirlik Sağlanmalıdır

Olgun bir politika mimarisinin en önemli özelliklerinden biri uçtan uca izlenebilirliktir. Örneğin bir güvenlik gerekliliğinin aşağıdaki zincir içerisinde takip edilebilmesi gerekir:

Risk → Stratejik Hedef → Politika → Standart → Kontrol → Prosedür → Uygulama → Kanıt → Ölçüm

Bu zincir sayesinde yönetim yalnızca “kuralımız var” diyemez; aynı zamanda kuralın neden var olduğunu, nasıl uygulandığını ve ne kadar etkili olduğunu gösterebilir. Örneğin erişim güvenliği konusunda:

Risk: Yetkisiz erişim
Politika: Kritik sistemlere erişimler kontrollü olmalıdır.
Standart: Ayrıcalıklı hesaplar için çok faktörlü kimlik doğrulama uygulanmalıdır.
Kontrol: MFA mekanizması ve ayrıcalıklı hesap yönetimi
Prosedür: Ayrıcalıklı hesap oluşturma, değiştirme ve sonlandırma süreci
Kanıt: Yetki kayıtları, onaylar ve loglar
Ölçüm: Uyum oranı, istisna sayısı ve uygunsuz erişim bulguları

Bu örnek, politika mimarisinin neden yalnızca dokümantasyon faaliyeti olarak görülmemesi gerektiğini açıkça ortaya koymaktadır.

4. Politika Yaşam Döngüsü Tanımlanmalıdır

Politikanın yayımlanması sürecin sonu değil, başlangıcıdır. Her politika ve prosedür için bir yaşam döngüsü oluşturulmalıdır:

İhtiyacın belirlenmesi → Tasarım → Paydaş görüşü → Onay → Yayım → Uygulama → İzleme → Ölçme → Gözden geçirme → Güncelleme veya yürürlükten kaldırma

Bu süreçte dokümanın sahibi, onay makamı, uygulayıcıları ve gözden geçirme sorumluları açıkça belirlenmelidir. Özellikle aşağıdaki hususlar kurumsal yapının ayrılmaz parçaları olmalıdır:

Sahiplik
Dokümanın içeriğinden ve güncelliğinden kim sorumlu?

Onay
Politika veya prosedürü kim yürürlüğe koyuyor?

Uygulama
Kurallar hangi birimler ve roller tarafından uygulanıyor?

İzleme
Uygulama hangi yöntemlerle takip ediliyor?

Ölçüm
Politikanın etkinliği hangi göstergelerle değerlendiriliyor?

Gözden Geçirme
Doküman hangi periyotlarda veya hangi tetikleyiciler sonrasında yeniden değerlendiriliyor?
Bu yaklaşım, politika yönetimini yaşayan bir sisteme dönüştürür.

5. İstisna Yönetimi Politika Sisteminin Kritik Unsurudur

Her güvenlik gerekliliğinin her koşulda aynı şekilde uygulanması mümkün olmayabilir. Ancak istisnaların kontrolsüz biçimde oluşması, zaman içerisinde politikanın etkinliğini zayıflatabilir. Bu nedenle istisna yönetimi:

  • Gerekçeli,
  • Yetkili makam tarafından onaylanmış,
  • Risk değerlendirmesine dayalı,
  • Süreli,
  • Kayıt altına alınmış,
  • Telafi edici kontrolleri tanımlanmış ve
  • Düzenli olarak gözden geçirilen

bir mekanizma olarak tasarlanmalıdır. Böylece “politikaya uyulamıyor” yaklaşımı yerine “uyumsuzluk hangi riskle, hangi gerekçeyle ve hangi kontrol altında yönetiliyor?” yaklaşımı benimsenir. Bu, özellikle kurumsal risk yönetimi açısından önemli bir olgunluk göstergesidir.

6. Siber Güvenlik Sadece BT'nin Sorumluluğu Değildir

Politika ve prosedürlerin başarısı, yalnızca siber güvenlik veya bilgi teknolojileri birimlerinin performansına bağlı değildir. Etkili bir yönetişim modelinde görevler farklı fonksiyonlar arasında dağıtılır:

  • Üst yönetim: Stratejik yönü, öncelikleri ve risk yaklaşımını belirler.
  • Siber güvenlik yönetimi: Politika mimarisini oluşturur, koordinasyonu sağlar ve güvenlik yönetişimini yürütür.
  • Bilgi teknolojileri ve teknik ekipler: Belirlenen kontrolleri teknik ortama uygular.
  • Hukuk ve uyum fonksiyonları: Mevzuat ve düzenleyici gereklilikleri değerlendirir.
  • İş birimleri: Güvenlik gerekliliklerini kendi süreçlerine entegre eder.
  • İç denetim ve güvence fonksiyonları: Kontrollerin etkinliğini ve yönetişim yapısını değerlendirir.
  • Çalışanlar: Kendilerine tanımlanan güvenlik sorumluluklarını yerine getirir.

Bu modelde siber güvenlik birimi her işi kendisi yapan bir yapı olmaktan ziyade, kurum genelindeki güvenlik faaliyetlerini ortak hedefler etrafında hizalayan ve koordine eden bir yapı haline gelir.

7. Yönetim Açısından Başarı Nasıl Ölçülmeli?

Bir politika sisteminin başarısı yalnızca “dokümanların tamamlanmış olması” ile ölçülmemelidir. Yönetimin takip edebileceği göstergeler arasında:

  • Politika ve prosedürlerin güncellik oranı,
  • Kritik politika kapsamı,
  • Güvenlik kontrollerinin uyum oranı,
  • Açık politika istisnalarının sayısı ve süresi,
  • Tekrar eden uyumsuzluklar,
  • Eğitim ve farkındalık oranları,
  • Denetim bulgularının kapanma süresi,
  • Kritik güvenlik gerekliliklerinin uygulanma oranı,
  • Politika ihlallerinin eğilimi

gibi ölçümler bulunabilir. Böylece politika yönetimi yalnızca dokümanların bulunduğu statik bir alan olmaktan çıkar; yönetimin karar almasını destekleyen ölçülebilir bir performans alanına dönüşür.

8. Olgun Bir Politika Mimarisi 7 Temel Soruyu Cevaplamalıdır

Kurumun politika ve prosedür yapısı aşağıdaki sorulara açık cevap verebilmelidir:

  1. Ne yapılmalı?
  2. Neden yapılmalı?
  3. Hangi riski yönetiyor?
  4. Kim sorumlu?
  5. Nasıl uygulanmalı?
  6. Nasıl kontrol edilmeli ve kanıtlanmalı?
  7. Ne zaman gözden geçirilmeli ve güncellenmeli?

Bu soruların cevapları net değilse kurumda dokümanlar bulunabilir; ancak bunların birlikte çalıştığı olgun bir siber güvenlik yönetişim mekanizması henüz oluşmamış olabilir.

Sonuç: Belgeden Kurumsal Kültüre

Kurumsal siber güvenlikte gerçek olgunluk, yalnızca güvenlik teknolojilerine sahip olmakla veya kapsamlı politika dokümanları hazırlamakla elde edilmez.

Olgunluk;
Stratejinin politikaya, politikanın standartlara, standartların kontrollere, kontrollerin prosedürlere ve prosedürlerin güvenli davranışlara dönüşebilmesiyle ortaya çıkar.

Bu nedenle kurumsal politika ve prosedür hiyerarşisinin nihai amacı doküman üretmek değil; güvenli karar alma ve güvenli davranışı kurumsallaştırmaktır.

Doğru tasarlanmış bir politika mimarisi;
Stratejik hedefleri operasyonlara bağlar, sorumlulukları netleştirir, risklerin yönetimini destekler, uygulamayı ölçülebilir hale getirir, denetlenebilirlik sağlar ve kurumsal siber dayanıklılığı güçlendirir.

Sonuç olarak güçlü bir siber güvenlik kültürü, yalnızca güvenlik kurallarının yazılmasıyla değil; bu kuralların kurumun karar alma, çalışma, denetleme ve sürekli iyileştirme mekanizmalarına yerleşmesiyle oluşur.

Siber güvenlikte amaç, güvenliği belgelere yazmak değil; güvenliğin kurumun çalışma biçimine dönüşmesini sağlamaktır.

İyi bir politika sistemi, kurumun ne yapacağını söyleyen bir doküman setinden daha fazlasıdır. İyi tasarlanmış bir politika mimarisi; kurumun ortak güvenlik dilini, sorumluluk modelini, kontrol mekanizmasını ve hesap verebilirlik çerçevesini oluşturur.

Bu nedenle politika ve prosedür hiyerarşisinin tasarımı, siber güvenlik yönetiminin ikincil bir dokümantasyon faaliyeti değil; kurumsal siber güvenlik kapasitesinin temel yönetişim bileşenlerinden biri olarak ele alınmalıdır.


Araştırma Kaynakları:
* ChatGPT
* Gemini