Mimari Riskin İş Etkisine ve Yönetici Kararına Dönüştürülmesi

Siber güvenlikte risk yönetimi, bir güvenlik açığının tespit edilmesiyle tamamlanmaz. Asıl değer; teknik bulgunun kurumun iş süreçleri, kritik hizmetleri ve stratejik hedefleri üzerindeki etkisinin ortaya konulması ve yöneticinin karar verebileceği bir bilgiye dönüştürülmesiyle oluşur.

Bir sistemde kritik bir zafiyet bulunması teknik ekip için acil aksiyon anlamına gelebilir. Ancak yönetim seviyesinde asıl soru şudur:

“Bu risk gerçekleşirse kurumun hangi kritik yeteneği etkilenir, etkisi ne olur ve hangi kararı almalıyız?”

Mimari risk yönetiminin temel amacı, teknik gerçeklik ile kurumsal karar mekanizması arasında doğru bağlantıyı kurmaktır.

Teknik Riskten İş Riskine

Bir güvenlik riskini yönetici seviyesine taşırken yalnızca CVSS skoru, saldırı vektörü veya zafiyetin teknik detayları yeterli değildir. Riskin kurumsal anlamı şu zincir içerisinde değerlendirilmelidir:

Varlık → Tehdit → Zafiyet → İş Etkisi → Olasılık → Risk → Karar

Buradaki kritik nokta, sürecin zafiyet tespitinde sonlandırılmamasıdır.

Yöneticinin asıl ihtiyacı “hangi açık var?” sorusunun cevabından çok, “bu açığın kurum açısından anlamı nedir?” sorusunun cevabıdır.

Örneğin kritik bir kamu hizmetinin kimlik doğrulama altyapısında tespit edilen zafiyet; teknik açıdan bir güvenlik açığıdır. Yönetim açısından ise yetkisiz erişim, hizmet sürekliliğinin bozulması, veri gizliliğinin ihlali veya yasal yükümlülüklerin doğması anlamına gelebilir.

Böylece teknik bir bulgu, kaynak ve önceliklendirme kararlarının alınabileceği somut bir iş riskine dönüşür.

Yönetici İçin Risk, Karar Bilgisidir

Üst yönetimin ihtiyacı yüzlerce teknik bulguyu incelemek değil, riskin önceliğini, etkisini ve alınabilecek aksiyonları anlayabilmektir.

Bu nedenle etkili bir risk değerlendirmesi şu sorulara cevap vermelidir:

• Risk nedir ve hangi kritik iş sürecini etkiliyor?
• Gerçekleşme ihtimali nedir?
• Gerçekleşirse kuruma etkisi ne olacaktır?
• Mevcut kontroller riski ne ölçüde azaltıyor?
• Ortaya çıkan artık risk kabul edilebilir mi?
• Hangi aksiyon, hangi öncelikle uygulanmalı?
• Aksiyon alınmamasının kurumsal sonucu nedir?

Burada amaç her riski sıfırlamak değildir. Risk; azaltılabilir, kabul edilebilir, devredilebilir veya riskten kaçınılabilir.

Dolayısıyla güvenlik yöneticisinin veya koordinatörün rolü yalnızca teknik çözüm önermek değil; seçenekleri, etkileri ve riskleri karar vericinin önüne doğru çerçevede koymaktır.

Mimari Bakış Açısının Farkı

Mimari risk yönetimi, tek tek güvenlik açıklarının kapatılmasının ötesine geçer.

Sistemin kritik varlıklarını, veri akışlarını, sistemler arası bağımlılıklarını, üçüncü taraf bağlantılarını, kritik iş süreçlerini, güvenlik kontrollerini ve süreklilik gereksinimlerini bir bütün olarak değerlendirir.

Çünkü bir zafiyetin gerçek önemi yalnızca bulunduğu sistemin kritiklik seviyesinden değil, o sistemin kurumun hangi kritik yeteneğine bağlı olduğundan anlaşılır.

Bu nedenle olgun bir yaklaşım: “Risk nerede?” sorusunun yanında, “Risk gerçekleşirse kurumun hangi kritik yeteneği zarar görür?” sorusunu da sorar.

Sonuç:

Siber güvenlikte üst seviyeye doğru ilerleyen bakış açısının önemli göstergelerinden biri, teknik bulguyu teknik seviyede bırakmamaktır.

• Zafiyeti tespit etmek teknik yetkinliktir.
• Etkilediği varlığı ve bağımlılıkları anlamak mimari bakış açısıdır.
• İş etkisini ortaya koymak risk yönetimidir.
• Yönetimin hangi kararı vermesi gerektiğini netleştirmek ise stratejik güvenlik yönetimidir.

Bu nedenle:

• Teknik risk bir bulgudur.
• İş etkisi riskin kurumsal karşılığıdır.
• Yönetici kararı ise risk yönetiminin gerçek çıktısıdır.

Siber güvenlikte olgunluk, yalnızca tehditleri görmekle değil; teknik riski kurumun karar mekanizmasının anlayabileceği bir dile dönüştürebilmekle başlar.

Araştırma Kaynakları:

* ChatGPT

* Gemini