Dijital dönüşümün hızlanmasıyla birlikte kurumlar; uygulamalar, bulut servisleri, veri platformları, entegrasyonlar ve yeni teknolojilerden oluşan giderek daha karmaşık bir teknoloji ekosistemine sahip oluyor. Bu ortamda siber güvenliği yalnızca güvenlik ürünlerinin doğru yapılandırılmasıyla sağlamak mümkün değildir.
Güvenliğin, sistem canlıya alındıktan sonra kontrol edilen bir konu olmaktan çıkarılıp tasarımın başlangıç aşamasına taşınması gerekir. İşte Siber Güvenlik Mimari Değerlendirme Kurulu (Security Architecture Review Board – SARB) bu ihtiyaca cevap veren stratejik bir yönetişim mekanizmasıdır.
SARB'nin temel amacı projeleri yavaşlatmak veya güvenliği bir onay bariyerine dönüştürmek değildir. Amaç; yeni sistem, uygulama, altyapı, entegrasyon veya teknoloji yatırımlarının kurumun güvenlik mimarisi, güvenlik prensipleri ve risk iştahı ile uyumlu şekilde tasarlanmasını sağlamaktır.
SARB Nedir?
SARB; yeni veya kritik bir teknoloji çözümünün canlıya alınmasından önce, ilgili çözümün güvenlik mimarisi açısından değerlendirilmesini sağlayan çok disiplinli bir karar ve yönetişim mekanizmasıdır. Değerlendirme yalnızca teknik güvenlik kontrollerine odaklanmaz. Aynı zamanda;
- İş amacı ve kritikliği,
- Veri türleri ve hassasiyeti,
- Kimlik ve erişim modeli,
- Ağ ve sistem mimarisi,
- Bulut kullanımı,
- Entegrasyonlar ve API'ler,
- Loglama ve izleme,
- Güvenli yazılım geliştirme,
- Üçüncü taraf bağımlılıkları,
- İş sürekliliği,
- Riskler ve istisnalar
bir bütün olarak ele alınır. Bu yaklaşımın temel prensibi Security by Design anlayışıdır: Güvenliği sonradan eklemek yerine, güvenliği tasarlamak.
SARB Nasıl Çalışır?
Olgun bir SARB süreci beş temel aşamada ele alınabilir.
1. Projenin Değerlendirmeye Alınması
Projenin kapsamı, amacı, kritikliği, işlediği veriler, kullanıcıları ve diğer sistemlerle olan bağlantıları belirlenir.
Özellikle kritik sistemler, hassas veri işleyen çözümler, internet erişimli servisler, bulut ortamları ve yüksek ayrıcalıklı erişim gerektiren projeler önceliklendirilir.
2. Güvenlik Mimarisinin Değerlendirilmesi
Çözümün teknik mimarisi güvenlik perspektifiyle incelenir. Kimlik ve erişim yönetimi, ağ segmentasyonu, veri güvenliği, şifreleme, anahtar ve sır yönetimi, loglama, izleme, zafiyet yönetimi, güvenli yazılım geliştirme, API güvenliği ve üçüncü taraf bağlantıları gibi alanlar değerlendirilir.
Buradaki temel soru: “Hangi güvenlik ürününü kullanacağız?” değil, “Bu mimari kabul edilebilir bir risk seviyesinde çalışabilir mi?” sorusudur.
3. Risklerin Belirlenmesi ve Önceliklendirilmesi
Tespit edilen güvenlik riskleri; olasılık, etki ve kurumun risk iştahı dikkate alınarak değerlendirilir. Böylece teknik bir bulgu yalnızca bir güvenlik problemi olarak değil, iş hedefleri ve kurumsal risk üzerindeki etkisiyle ele alınır.
4. Güvenlik Gereksinimlerinin Belirlenmesi
Belirlenen risklere karşı uygulanması gereken teknik ve yönetsel kontroller tanımlanır. Buradaki hedef her projeye aynı güvenlik kontrollerini uygulamak değil, risk seviyesine uygun ve uygulanabilir güvenlik gereksinimleri oluşturmaktır.
5. Karar ve İstisna Yönetimi
Mimari değerlendirme sonucunda proje;
- Uygun
- Koşullu Uygun
- Revizyon Gerekli
şeklinde sonuçlandırılabilir. Ancak olgun bir SARB burada sona ermez. Uygulanamayan bir güvenlik gereksinimi varsa konu istisna yönetimi kapsamında ele alınmalıdır. İstisnalar gerekçeli, kayıt altına alınmış, risk sahibi tarafından kabul edilmiş ve mümkün olduğunca süreli olmalıdır.
Bu yaklaşım SARB'yi basit bir “onay/ret” mekanizmasından çıkararak kurumsal risk kararlarının üretildiği bir yönetişim mekanizmasına dönüştürür.
Kimler SARB'de Yer Almalı?
SARB tek başına siber güvenlik ekibinin sorumluluğunda olmamalıdır. Kurumun yapısına göre;
- Siber Güvenlik,
- Güvenlik Mimarisi,
- Kurumsal Mimari,
- Ağ ve Sistem Yönetimi,
- Yazılım Geliştirme,
- Bulut Teknolojileri,
- Veri Güvenliği,
- Risk ve Uyum,
- Hukuk ve gizlilik,
- İlgili iş birimleri
sürece dahil olabilir. Başarıyı belirleyen masadaki kişi sayısı değil, farklı disiplinlerin ortak bir güvenlik ve risk dili oluşturabilmesidir.
SARB Koordinatörünün Rolü
SARB'nin sürdürülebilirliğinde koordinatör kritik bir role sahiptir. Koordinatör yalnızca toplantıları organize eden veya dokümanları takip eden kişi değildir. Asıl görevi;
iş hedefleri, teknoloji, güvenlik, risk ve yönetişim arasında ortak bir karar zemini oluşturmaktır. İyi bir SARB koordinatörü;
- Doğru soruları sorar,
- Doğru uzmanları sürece dahil eder,
- Riskleri görünür hale getirir,
- Kararları kayıt altına alır,
- Aksiyonların sahiplerini belirler,
- İstisnaları takip eder,
- Tekrarlayan mimari riskleri analiz eder,
- Güvenlik ile iş birimleri arasında ortak bir dil oluşturur.
Bu nedenle SARB koordinasyonu yalnızca teknik bilgi değil; liderlik, iletişim, risk yönetimi ve karar alma yetkinliği gerektirir.
SARB'nin Başarısı Nasıl Ölçülür?
SARB'nin başarısı yalnızca kaç proje değerlendirdiğiyle ölçülmemelidir. Daha anlamlı göstergeler arasında;
- Kritik projelerin SARB kapsamına alınma oranı,
- Tasarım aşamasında tespit edilen kritik riskler,
- Canlıya geçiş öncesi kapatılan kritik bulgular,
- Açık güvenlik istisnalarının sayısı ve yaşları,
- Tekrarlayan mimari riskler,
- Güvenlik gereksinimlerinin uygulanma oranı,
- SARB sonrası ortaya çıkan güvenlik olayları
gibi KPI/KRI göstergeleri kullanılabilir. Bu ölçüm yaklaşımı, SARB'nin yalnızca toplantı yapan bir kurul değil, kurumun güvenlik mimarisini sürekli geliştiren bir yönetim mekanizması olduğunu ortaya koyar.
Sonuç:
Olgun bir siber güvenlik yaklaşımında güvenlik, projenin sonunda kontrol edilen bir kriter değil, projenin başlangıcında alınan stratejik bir mimari karardır.
Güçlü bir SARB; projeleri durduran bir güvenlik kapısı değil, projelerin güvenli şekilde hayata geçirilmesini sağlayan stratejik bir yönetişim mekanizmasıdır.
SARB'nin gerçek değeri tek tek projeleri değerlendirmekten daha büyüktür. Kurum genelinde ortak güvenlik prensipleri oluşturur, tekrar eden mimari riskleri görünür kılar, güvenlik kararlarının kurumsallaşmasını sağlar ve zaman içerisinde güvenliği kurumun teknoloji ve karar alma DNA'sının bir parçası haline getirir. "Güvenliği sonradan eklemeyin. Güvenliği tasarlayın."
Araştırma Kaynakları:
* ChatGPT
* Gemini
