Ancak burada zor bir soru vardır: Bir sonraki büyük siber problem geçmiştekilere benzemiyorsa ne olacak? Yeni bir teknoloji ortaya çıkabilir. Bugün önemsiz görünen bir bağımlılık birkaç yıl sonra kritik hale gelebilir. Bir yazılım ekosistemindeki yoğunlaşma sistemik risk oluşturabilir. Yapay zekâ saldırganların çalışma yöntemlerini değiştirebilir.
Kuantum teknolojilerindeki gelişme uzun süreli veri gizliliğine ilişkin bugünkü varsayımları değiştirebilir. Doğal afet, enerji, telekom ve dijital altyapı riskleri beklenmeyen biçimde birleşebilir.
OECD, stratejik öngörüyü mevcut eylem ve stratejileri geliştirmek amacıyla gelecekteki faaliyet ortamına ilişkin bilgilerin sistematik biçimde toplanması, anlamlı trendlerin ve değişimlerin incelenmesi ve farklı olası geleceklerin araştırılmasıyla ilişkilendirmektedir. OECD özellikle yüksek belirsizlik dönemlerinde yalnızca geçmiş verilerin doğrusal biçimde geleceğe taşınmasının yetersiz kalabileceğini vurgulamaktadır. (oecd.org)
1. Tahmin ile stratejik öngörü aynı şey değildir
Bir tahmin şöyle olabilir: “2030 yılında X teknolojisi siber güvenliğin en büyük problemi olacaktır.” Bu oldukça kesin bir iddiadır.
Stratejik öngörü ise farklı sorar: “X teknolojisi yaygınlaşırsa hangi yeni saldırı yüzeyleri oluşabilir ve bugün hangi hazırlıkları yapmalıyız?”
Aradaki fark önemlidir. İlk yaklaşım: geleceği doğru bilmeye çalışır. İkinci yaklaşım: farklı geleceklerde dayanıklı kalmaya çalışır.
OECD, stratejik öngörünün geleneksel tahmin yaklaşımlarının tamamlayıcısı olduğunu; kurumların varsayımlarını sorgulamalarına ve daha geniş bir olası gelecek kümesine hazırlanabilmelerine yardım ettiğini belirtmektedir. (oecd.org)
2. Geçmiş veriler neden her zaman yeterli değildir?
Ancak gelecekte: teknoloji, saldırgan kapasitesi, jeopolitik ortam, kurumsal bağımlılıklar, düzenlemeler değişebilir.
Geçmişte hiç yaşanmamış bir olay: gelecekte yaşanmayacağı anlamına gelmez. Bu nedenle tarihsel veri: geleceğe ilişkin tek bilgi kaynağımız olmamalıdır.
3. Horizon Scanning — Ufuk taraması nedir?
Stratejik öngörünün temel araçlarından biri: Horizon Scanning - Ufuk Taraması dır. Amaç, kurumun faaliyet ortamında henüz ana akım haline gelmemiş fakat gelecekte önemli sonuçlar doğurabilecek değişimleri sistematik olarak araştırmaktır.
OECD, horizon scanning'i özellikle teknolojik değişimin erken işaretlerini ve weak signals - zayıf sinyalleri tespit etmeye yönelik stratejik istihbarat yaklaşımının temel unsurlarından biri olarak tanımlamaktadır. Masa başı araştırma, uzman değerlendirmeleri, literatür analizi ve megatrend incelemeleri bu çalışmaların girdileri arasında bulunabilir. (oecd.org)
Siber güvenlik açısından ufuk taramasında örneğin şunlar takip edilebilir:
- Yeni teknolojiler,
- Saldırgan davranışlarındaki değişiklikler,
- Yeni iş modelleri,
- Tedarik zinciri yoğunlaşmaları,
- Yeni düzenlemeler,
- Toplumsal davranış değişiklikleri,
- Jeopolitik gelişmeler,
- Kritik altyapı dönüşümleri,
- Yeni kimlik ve ödeme sistemleri,
- Yapay zekâ ve kuantum gelişmeleri.
4. Weak Signal — Zayıf sinyal nedir?
Zayıf sinyal: henüz yaygınlaşmamış, etkisi tam olarak anlaşılmamış, tek başına büyük önem taşımıyor gibi görünen ama gelecekte daha büyük bir değişimin erken belirtisi olabilecek gelişmedir.
Örneğin yeni bir teknoloji: bugün yalnızca küçük bir araştırma topluluğu tarafından kullanılıyor olabilir. Ancak birkaç yıl içinde yaygınlaşması: kimlik doğrulama, kriptografi, veri güvenliği veya saldırı otomasyonu üzerinde önemli etkiler oluşturabilir.
ENISA'nın Nisan 2026'da yayımladığı Technology and Innovation Radar Methodology, zayıf sinyalleri henüz gelişmemiş veya görünürlüğü düşük olmakla birlikte orta ve uzun vadede yıkıcı/dönüştürücü potansiyele sahip olabilecek erken gelişmeler olarak ele almaktadır. ENISA bu sinyallerin horizon scanning ve uzman değerlendirmeleriyle izlenerek gelecekteki gelişim hızları ve potansiyellerinin takip edilmesini önermektedir. (enisa.europa.eu)
5. Her yeni teknoloji zayıf sinyal değildir
Burada dikkatli olunmalıdır. Sosyal medyada gündem olan her teknoloji: stratejik sinyal değildir. Bir gelişmenin kurum açısından anlamlı olması için örneğin şu sorular sorulabilir:
- Yeni mi?
- Büyüyor mu?
- Kritik görevlerimizi etkileyebilir mi?
- Mevcut güvenlik varsayımlarımızı değiştirebilir mi?
- Başka trendlerle birleşirse etkisi büyür mü?
- Bugün hazırlık yapılmazsa daha sonra seçeneklerimiz daralabilir mi?
6. Signal ile Trend aynı şey değildir
Sonraki aşamada trend: kurumun güvenlik stratejisini değiştirecek kadar büyüyebilir. Basit zincir: Sinyal → Örüntü → Trend → Stratejik Etki şeklinde düşünülebilir.
7. Megatrend nedir?
Bazı değişimler tek bir teknoloji veya sektörle sınırlı değildir. Uzun yıllar boyunca: ekonomi, toplum, teknoloji, jeopolitik ve kurumlar üzerinde geniş etki oluşturan değişimler:
Megatrend olarak ele alınabilir. Siber güvenlik açısından örneğin:
- Yaygın dijitalleşme,
- Bulutlaşma,
- Yapay zekâ,
- Bağlı cihazların artması,
- Otomasyon,
- Veri ekonomisinin büyümesi
gibi gelişmeler yalnızca tek güvenlik kontrolünü değiştirmez. Bütün saldırı yüzeyini ve savunma mantığını değiştirebilir.
8. ENISA neden 2030'u incelemeye çalışıyor?
ENISA, gelecekteki siber güvenlik tehditlerine yönelik özel bir foresight programı yürütmektedir.
Ajansın amacı, gelecekte ortaya çıkabilecek güvenlik zorluklarına ilişkin farkındalığı artırarak Avrupa'nın siber dayanıklılığını geliştirmektir. Bu amaçla geliştirilen metodoloji gelecek çalışmaları ve foresight yöntemlerini kullanmaktadır. (enisa.europa.eu)
ENISA'nın güncel Foresight 2030 çalışmasında öne çıkan risklerden bazıları şunlardır:
- Yazılım bağımlılıklarının tedarik zinciri üzerinden kompromize edilmesi,
- Siber güvenlik yetenek/personel açığı,
- Siber-fiziksel ekosistemlerde insan hatası ve legacy sistemler,
- Güncellenmemiş sistemlerin sömürülmesi,
- Sınır ötesi ICT sağlayıcılarının tek hata noktası haline gelmesi,
- Gelişmiş hibrit tehditler,
- AI kötüye kullanımı,
- Doğal/çevresel olayların kritik dijital altyapıya fiziksel etkileri. (enisa.europa.eu)
9. Gelecek riski tek bir trendden oluşmayabilir
Örneğin yalnızca: AI gelişimine bakarsak belirli riskler görürüz. Fakat AI aynı zamanda:
- Kimlik teknolojileri,
- Sosyal medya,
- Otomasyon,
- Deepfake
- İnsan davranışı
- Siber suç ekonomisi
ile birleşebilir. Ortaya çıkan risk: bu unsurların hiçbirinin tek başına oluşturduğu riskle aynı olmayabilir. Örneğin: AI + veri ihlalleri + deepfake + ses taklidi + uzaktan çalışma birleşimi: çok daha ikna edici kimlik sahtekârlığı senaryosu oluşturabilir.
10. Stratejik sürpriz nedir?
Stratejik sürprizi bu yazı kapsamında şöyle düşünebiliriz: Bir gelişmenin kurumu teknik veya yönetsel olarak hazırlıksız yakalaması ve mevcut planların temel varsayımlarını geçersiz hale getirmesi.
Önemli olan olayın tamamen bilinmez olması değildir. Bazen işaretler vardır. Ama kurum: önemsiz görmüş, başka önceliklerle uğraşmış, sinyalleri birleştirememiş veya karar mekanizmasına aktaramamış olabilir.
11. Gray Rhino: Görünen fakat ertelenen risk
Bazı riskler sürpriz değildir. Büyük oldukları bilinir. Gerçekleşmeleri makuldür. Fakat sürekli ertelenirler. Bu tür riskleri açıklamak için kullanılan kavramlardan biri: Gray Rhino - Gri Gergedan dır. Siber güvenlikte buna benzer örnekler:
- Destek süresi dolmuş kritik sistemler,
- Test edilmeyen yedekler,
- Bilinen tek hata noktaları,
- Sürekli ertelenen MFA dönüşümü,
- Tek tedarikçiye aşırı bağımlılık,
- Bilinen kritik zafiyetlerin kapatılmaması
12. Black Swan kavramına dikkatli yaklaşmak
“Black Swan - Siyah Kuğu” kavramı genellikle: çok düşük ihtimalli fakat büyük etkili olay şeklinde basitleştirilir.
Ancak kavramın asıl vurgularından biri, olayın mevcut beklenti çerçevesinin dışında olması ve sonrasında insanların geçmişe bakarak olayı olduğundan daha öngörülebilir görme eğilimidir.
Siber güvenlik açısından burada alınacak ders: Her olayı önceden tahmin edemeyiz. Dolayısıyla stratejimiz sadece: bildiğimiz tehditlere karşı kontrol listesi üzerine kurulamaz. Bilinmeyen olaylar için de:
- Yedek kapasite,
- Alternatif iletişim,
- Karar yetkisi,
- Kriz yönetimi,
- Recovery,
- Dayanıklı mimari
13. Unknown Unknowns — Bilmediğimizi bilmediğimiz şeyler
Risk kayıtlarına genellikle: bildiğimiz riskleri yazarız. Ancak bazı tehditleri henüz bilmiyor olabiliriz. Bu durumda doğrudan kontrol tasarlamak mümkün değildir. Fakat: genel dayanıklılık kapasitesi tasarlanabilir. Örneğin saldırının ne olacağını bilmiyoruz. Ama şu yeteneklere sahip olabiliriz:
- Hızlı tespit,
- Güçlü loglama,
- Ağ segmentasyonu,
- Bağımsız kurtarma ortamı,
- Alternatif çalışma,
- Kriz karar mekanizması,
- Tedarikçi alternatifleri.
14. Scenario Planning — Senaryo planlaması
Geleceği tek bir tahmin üzerinden planlamak risklidir. Bunun yerine: Scenario Planning - Senaryo Planlaması kullanılabilir. Amaç: tek bir geleceği tahmin etmek değil, birbirinden anlamlı şekilde farklı birkaç makul geleceği incelemektir.
OECD, stratejik foresight'ın alternatif geleceklerin araştırılması ve bu geleceklerin bugünkü politika ve kararlar üzerindeki etkilerinin değerlendirilmesi için kullanılabileceğini belirtmektedir. Senaryo planlaması, karar vericilerin “what if?” sorularıyla beklenen geleceğin dışındaki olasılıkları değerlendirmesine yardımcı olur. (oecd.org)
15. Dört örnek siber gelecek senaryosu
16. Scenario Stress Test
Bir senaryo oluşturduktan sonra kurumun mevcut stratejisini test edebiliriz. Örneğin:
Yönetim nasıl iletişim kuracak? SOC nasıl çalışacak? Bulut sistemine nasıl ulaşacağız? Yedek ortamı nasıl yöneteceğiz? Bu işlem: planın gizli varsayımlarını ortaya çıkarır.
Stratejik planlarımızın arkasında birçok varsayım vardır. Örneğin:
- Bulut sağlayıcımız çalışacak.
- Elektrik olacak.
- İnternet olacak.
- Domain Controller'a güvenebileceğiz.
- Kritik tedarikçimiz erişilebilir olacak.
- Uzman personelimiz olay sırasında görevde olacak.
- Saldırgan yalnızca teknik sistemleri hedefleyecek.
18. Indicators & Warnings gelecekte de kullanılabilir
Önceki CTI yazısında: Indicators & Warnings yaklaşımını ele almıştık. Foresight çalışmalarında da benzer yapı kullanılabilir.
Örneğin gelecek riskimiz: Kritik hizmetlerde bulut yoğunlaşması olsun. İzlenebilecek göstergeler:
- Kritik uygulamaların aynı sağlayıcıya taşınma oranı,
- Alternatif sağlayıcı sayısının azalması,
- Vendor lock-in seviyesinin artması,
- Kritik verinin taşınabilirliğinin azalması,
- Aynı kimlik sağlayıcısına bağımlılığın yükselmesi.
19. Signal Register — Sinyal kayıt defteri
Risk Register gibi: Signal Register oluşturmak mümkündür. Örnek:
| Alan | Örnek |
|---|---|
| Sinyal ID | FS-2026-014 |
| Gelişme | AI tabanlı ses taklidi araçlarının yaygınlaşması |
| Kaynak | Akademik / sektör / olay raporları |
| Olgunluk | Zayıf → güçleniyor |
| İlgili risk | Yönetici kimlik sahtekârlığı |
| Kritik hizmet | Finansal onay / kriz yönetimi |
| Zaman ufku | 1–3 yıl |
| Belirsizlik | Orta |
| İzlenecek gösterge | Gerçek saldırı vakalarında kullanım |
| Olası hazırlık | Out-of-band kimlik doğrulama |
| Son inceleme | Eylül 2026 |
20. Sinyal ne zaman alarma dönüşmelidir?
Her zayıf sinyal için yatırım yapmak mümkün değildir. Bu nedenle:
- Sektörümüzde doğrulanmış vaka görülmesi,
- Saldırı araçlarının yaygınlaşması,
- Yönetici taklidiyle finansal kayıp vakalarının artması,
- Kullanılan teknolojinin maliyetinin ciddi düşmesi
21. No-Regret Actions — Pişmanlık yaratmayacak hazırlıklar
Senaryonun gerçekleşip gerçekleşmeyeceğini bilmiyor olabiliriz. Ancak bazı hazırlıklar: birçok farklı gelecekte faydalıdır. Örneğin:
OECD'nin foresight yaklaşımında da farklı gelecek koşullarında işe yarayabilecek sağlam ve uyarlanabilir kararların geliştirilmesi temel hedeflerden biridir. Güncel OECD uygulama materyalleri bu tür kararları no-regret actions yaklaşımıyla da ele almaktadır. (oecd.org)
22. Option Value — Seçenekleri korumak
Stratejik dayanıklılık açısından önemli düşüncelerden biri de: seçenekleri kaybetmemektir. Örneğin bugün bir teknolojiye tamamen bağlanırsak: beş yıl sonra başka sağlayıcıya geçmek ekonomik veya teknik olarak imkânsız hale gelebilir.
Bugünkü karar: uygun fiyatlı olabilir. Ancak gelecekte: hareket alanımızı daraltabilir. Bu nedenle stratejik kararlar değerlendirilirken: “Bu karar gelecekteki seçeneklerimizi artırıyor mu, azaltıyor mu?” sorusu sorulabilir.
23. Teknoloji radarının siber güvenlikteki değeri
ENISA'nın 2026 Technology and Innovation Radar Methodology çalışması: yeni ve gelişen teknolojilerin yalnızca teknik olgunluk açısından değil;
- Gelecek potansiyeli,
- Benimsenme düzeyi,
- Paydaş etkisi,
- Erken sinyaller
üzerinden izlenmesini amaçlayan bir yaklaşım geliştirmiştir. (enisa.europa.eu)
Kurumlar da benzer şekilde basit bir: Siber Teknoloji ve Risk Radarı oluşturabilir. Örneğin:
- Yakın dönem 1–2 yıl.
- Orta dönem 3–5 yıl.
- Uzun dönem 5+ yıl.
24. Foresight ile Threat Intelligence arasındaki fark
Önceki yazının konusu CTI idi. CTI ve foresight birbirine yakındır ama aynı değildir.
25. Foresight ile Risk Management arasındaki bağlantı
Weak Signal
↓
Emerging Trend
↓
Scenario
↓
Emerging Risk
↓
Risk Register
↓
Control / Strategy
26. Foresight ile Siber Dayanıklılık arasındaki ilişki
Foresight → Neye hazırlanacağımızı genişletir.
Resilience → Bilmediğimiz durumda da çalışabilmemizi sağlar.
27. Kurumsal Foresight toplantısı nasıl yapılabilir?
- CISO,
- SOC/CTI,
- Risk yönetimi,
- Mimari,
- İş sürekliliği,
- Strateji,
- Kritik iş birimleri
bulunabilir. Toplantıda yalnızca mevcut olaylar değil:
- Son dönemde hangi yeni sinyalleri gördük?
- Hangileri güçleniyor?
- Hangileri kritik görevlerimizi etkileyebilir?
- Mevcut varsayımlarımızdan hangisini sorgulatıyor?
- Hangi senaryoyu test etmeliyiz?
- Şimdiden hangi düşük maliyetli hazırlığı yapabiliriz?
28. Türkiye açısından neden önemli?
Türkiye Cumhuriyeti Siber Güvenlik Başkanlığı güncel faaliyet alanlarında: mevcut ve muhtemel tehditlerin değerlendirilmesi, kurumların siber güvenlik ve risk yönetimi kapasitesinin artırılması, kamu hizmetlerinin sürekliliğinin desteklenmesi, yapay zekâ teknolojilerinin güvenli kullanımı ve gelişen teknolojilerin ortaya çıkarabileceği risklerin takip edilmesini faaliyetleri arasında saymaktadır. (siberguvenlik.gov.tr)
Bu yaklaşım stratejik açıdan önemlidir. Çünkü ulusal siber güvenlik: yalnızca mevcut saldırılara müdahale etmekle sürdürülemez. Aynı zamanda: teknolojik ve sistemik değişimlerin oluşturacağı yeni risklerin erken anlaşılmasını gerektirir.
- Kamu kurumları açısından soru: “Bugünkü standarda uyuyor muyuz?” ile bitmemelidir.
- Bir sonraki soru: “Bugün doğru görünen kontrol beş yıl sonra hangi koşulda yetersiz kalabilir?” olmalıdır.
29. Stratejik Sürpriz ve Siber Gelecek Modeli
Bu çalışmanın temel modelini şöyle kurabiliriz:
1 — Ufku tara
Teknoloji, tehdit, toplum, ekonomi ve altyapıda ne değişiyor?
↓
2 — Zayıf sinyalleri kaydet
Henüz küçük ama potansiyel olarak önemli hangi değişimler var?
↓
3 — Örüntüleri ara
Sinyaller birbirleriyle ilişki kuruyor mu?
↓
4 — Trendi değerlendir
Değişim güçleniyor mu?
↓
5 — Kritik görevle ilişkilendir
Bu değişim bizi neden ilgilendiriyor?
↓
6 — Varsayımları sorgula
Bugünkü planımız hangi varsayıma dayanıyor?
↓
7 — Alternatif senaryolar üret
Tek gelecek yerine birkaç makul gelecek oluştur.
↓
8 — Stratejiyi stres testine sok
Bugünkü kontroller hangi senaryoda kırılıyor?
↓
9 — Indicators & Warnings oluştur
Senaryonun yaklaştığını nasıl anlayacağız?
↓
10 — Tetikleyici belirle
Hangi noktada hazırlık seviyesini artıracağız?
↓
11 — No-Regret aksiyonlarını uygula
Birçok gelecekte fayda sağlayacak kapasitelere yatırım yap.
↓
12 — Seçenekleri koru
Gelecekte hareket alanımızı daraltma.
↓
13 — Sürekli güncelle
Yeni sinyal geldikçe varsayımı ve senaryoyu değiştir.
30. Örnek Siber Erken Sinyal Panosu
Bu tablo: risk tahmini değildir. Bir: yönetim dikkat haritasıdır.
31. Üst yönetime nasıl raporlanmalıdır?
Kritik uygulamaların az sayıda bulut ve kimlik sağlayıcısında yoğunlaşması.
Tek sağlayıcıdaki büyük arıza aynı anda birden fazla kritik hizmetimizi etkileyebilir.
1–3 yıl.
Orta.
Kritik servislerin sağlayıcı yoğunlaşma oranındaki artış.
Alternatif sağlayıcı var ancak düzenli failover testi yapılmıyor.
Çıkış ve kurtarma senaryosunun yılda en az bir kez test edilmesi.
32. Sık yapılan stratejik öngörü hataları
Amaç geleceğin tek doğru versiyonunu bulmak değildir.
Zayıf sinyaller yanlış çıkabilir.
Jeopolitik, ekonomik, toplumsal ve çevresel gelişmeler de siber risk yaratabilir.
Senaryo düşünme aracıdır.
Foresight'ın değeri alternatif gelecekleri karşılaştırmaktır.
Rapor üretilir fakat hiçbir şey değişmez.
Gerçek sürprizleri eksiksiz tahmin etmek mümkün değildir.
Yeni riskleri ararken mevcut “gri gergedanlar” unutulmamalıdır.
Gelecek ortamı değiştikçe sinyaller ve varsayımlar da güncellenmelidir.
Sonuç: Geleceği bilmek zorunda değiliz, hazırlıksız kalmamak zorundayız
Siber güvenlik profesyonellerinin önemli bölümü: geçmişi analiz etmek ve bugünü savunmak konusunda çalışır. Ama stratejik güvenliğin üçüncü bir boyutu vardır: Henüz gerçekleşmemiş risklere hazırlanmak.
Bunun için geleceği doğru tahmin etmemiz gerekmez. Daha değerli olan:
- Değişimi erken fark etmek,
- Varsayımlarımızı sorgulamak,
- Birden fazla makul gelecek oluşturmak,
- Planlarımızı bu geleceklerde test etmek,
- Erken uyarı göstergeleri oluşturmak
- Risk görünür hale gelmeden seçenek üretmektir.
Stratejik öngörünün temel zinciri bu nedenle: Weak Signal → Scenario → Decision değildir.
Daha güçlü hali: Weak Signal → Anlam → Senaryo → Gösterge → Eşik → Hazırlık Kararı → Dayanıklılık şeklindedir.
Bu düşüncenin en önemli sonucu şudur: Bir kurumun geleceğe hazırlıklı olması, geleceği doğru tahmin etmesine bağlı değildir. Asıl ihtiyaç: yanıldığında dahi ayakta kalabilecek kadar dayanıklı, yeni sinyal geldiğinde yön değiştirebilecek kadar uyarlanabilir ve risk ortaya çıkmadan harekete geçebilecek kadar öngörülü olmaktır.
Siber güvenliğin stratejik seviyesi tam olarak burada başlar. Bugünün sorusu: “Bize bugün kim saldırıyor?” olabilir.
Yarının sorusu ise: “Bugün küçük görünen hangi değişim birkaç yıl sonra kritik görevimizi tehdit edecek kadar büyüyebilir?”