Siber Güvenlik Teknik Borcu Kurumsal Portföy ve Önceliklendirme Modeli

Siber güvenlikte teknik borç, yalnızca güncellenmemiş sistemlerden veya kapatılmamış zafiyetlerden ibaret değildir. Zaman içinde biriken eski teknolojiler, ertelenmiş güvenlik kontrolleri, karmaşık mimari bağımlılıklar, yetersiz görünürlük, dokümantasyon eksiklikleri ve sürdürülemeyen güvenlik süreçleri, kurumun risk maruziyetini artıran bir güvenlik yükü oluşturur.

Burada önemli bir ayrım bulunmaktadır: Her zafiyet teknik borç değildir; her teknik borç da doğrudan bir zafiyet değildir. Zafiyet çoğunlukla mevcut bir güvenlik açığını ifade ederken, teknik borç kurumun zaman içinde biriktirdiği ve gelecekte daha yüksek risk, maliyet veya operasyonel bağımlılık oluşturabilecek güvenlik yükünü ifade eder.

Bu nedenle teknik borcun yönetimi, tek tek güvenlik bulgularını kapatmanın ötesinde ele alınmalıdır. Kurumun güvenlik borçları; varlık kritiklik seviyesi, tehdit maruziyeti, iş etkisi, teknik bağımlılıklar, giderim maliyeti ve zaman baskısı birlikte değerlendirilerek kurumsal bir portföy haline getirilmelidir.

Portföy Yaklaşımı Neden Önemlidir?

Her teknik borç aynı öneme veya aciliyete sahip değildir. Kritik bir iş uygulamasındaki güvenlik kontrol eksikliği ile düşük riskli bir test ortamındaki eski teknoloji aynı öncelik seviyesinde ele alınamaz.

Kurumsal portföy yaklaşımının amacı, teknik ekiplerin önündeki dağınık ve sürekli büyüyen güvenlik iş yükünü ölçülebilir bir karar mekanizmasına dönüştürmektir.

Bu yaklaşım üst yönetime şu soruların yanıtını sunmalıdır:

  • Hangi güvenlik teknik borçlarına sahibiz?
  • Bu borçların kurumsal risk üzerindeki etkisi nedir?
  • Hangileri kritik varlıkları ve iş sürekliliğini etkiliyor?
  • Hangi borçların giderilmesi başka riskleri de azaltacaktır?
  • Mevcut kaynaklarla hangi çalışmalar en yüksek risk azaltımını sağlayacaktır?
  • Hangi riskler hemen ele alınmalı, hangileri planlı olarak yönetilmelidir?

Kurumsal Önceliklendirme Modeli

Sürdürülebilir bir modelde her teknik borç kalemi yalnızca teknik özellikleriyle değil, kurum açısından oluşturduğu toplam etkiyle değerlendirilmelidir.

Temel değerlendirme boyutları:

KriterTemel soru
Varlık KritiklikEtkilenen sistem veya hizmet kurum için ne kadar kritik?
Tehdit MaruziyetiRiskin mevcut tehdit ortamında gerçekleşme ihtimali nedir?
İş EtkisiGerçekleşmesi halinde operasyon, hizmet veya itibar üzerindeki etkisi nedir?
BağımlılıkBaşka sistemleri, süreçleri veya güvenlik kontrollerini etkiliyor mu?
Giderim MaliyetiRiskin giderilmesi için gereken kaynak ve efor nedir?
Zaman BaskısıRisk ne kadar süre kabul edilebilir seviyede taşınabilir?

Bu değerlendirme sonucunda teknik borçlar kritik, yüksek, orta ve düşük gibi öncelik seviyelerine ayrılabilir.

Buradaki amaç daha fazla güvenlik işi üretmek değil; en yüksek kurumsal risk azaltımını sağlayacak çalışmayı doğru zamanda ve uygun kaynakla gerçekleştirmektir.

Yönetimsel Karar Döngüsü

Teknik borcun kurumsal yönetimi aşağıdaki döngü üzerinden ele alınabilir:

Tespit → Sınıflandırma → Risk Değerlendirmesi → Önceliklendirme → Kaynak Tahsisi → Yol Haritası → Giderim → Ölçüm → Yeniden Değerlendirme

Bu döngü sayesinde teknik bulgular yalnızca bir “iş listesi” olarak kalmaz; risk, yatırım ve karar mekanizmasının bir parçası haline gelir.

Örneğin destek ömrünü tamamlamış kritik bir sistem yalnızca “eski teknoloji” olarak değerlendirilmemelidir. Sistemin iş kritiklik seviyesi, internete maruziyeti, mevcut güvenlik kontrolleri, değiştirilme maliyeti ve bağımlı olduğu diğer sistemler birlikte ele alınarak yönetimsel bir öncelik oluşturulmalıdır.

Koordinasyon ve Yönetişim Perspektifi

Teknik borç yalnızca BT veya Bilgi Güvenliği biriminin operasyonel problemi değildir. Mimari, altyapı, uygulama geliştirme, tedarik, insan kaynağı, bütçe ve iş sürekliliği kararlarıyla doğrudan ilişkilidir.

Bu nedenle etkin bir teknik borç yönetimi yaklaşımı, teknik bulguları yönetilebilir kurumsal kararlara dönüştürmelidir.

Başka bir ifadeyle:

Teknik Bulgu → Risk → Öncelik → Yatırım → Karar

Güvenlik ekiplerinin ürettiği teknik çıktılar, yönetimin anlayabileceği risk, maliyet, öncelik ve yatırım diline dönüştürüldüğünde siber güvenlik fonksiyonu yalnızca operasyonel bir kontrol mekanizması olmaktan çıkar; kurumsal karar alma sürecinin bir parçası haline gelir.

Ölçüm ve Kurumsal İzleme

Teknik borcun yönetilebilmesi için yalnızca mevcut borcun tespit edilmesi yeterli değildir. Borcun zaman içerisindeki değişimi de izlenmelidir. Bu kapsamda kurumlar;

  • Toplam teknik borç miktarını,
  • Kritik seviyedeki borçların oranını,
  • Ortalama giderim süresini,
  • Belirli yaşın üzerindeki teknik borçları,
  • Geciken giderimlerin oranını,
  • Giderim sonrasında sağlanan risk azaltımını,
  • Teknik borcun oluştuğu temel kaynakları

düzenli olarak takip edebilir.

Böylece yönetim, yalnızca “kaç güvenlik problemi var?” sorusunu değil, “kurumun güvenlik borcu azalıyor mu ve yatırımlarımız riski gerçekten düşürüyor mu?” sorusunu da cevaplayabilir.

Sonuç:

Siber güvenlik teknik borcunun kurumsal bir portföy olarak yönetilmesi, güvenlik operasyonlarının önceliklendirilmesinden daha geniş bir anlam taşır. Bu yaklaşım; kurumsal risk iştahı, yatırım kararları, kaynak tahsisi, iş sürekliliği ve siber güvenlik stratejisi arasında ölçülebilir bir bağ kurulmasına yardımcı olur.

Olgun siber güvenlik yönetimi, bütün sorunları aynı anda çözmeye çalışmak değildir.

Asıl olgunluk; hangi riskin daha önemli olduğunu belirlemek, sınırlı kaynakları doğru yere yönlendirmek ve yapılan yatırımın kurumsal riski ne ölçüde azalttığını gösterebilmektir.

Siber güvenlikte teknik borcu yönetmek, sorunları listelemek değil; kurumsal riski görünür hale getirerek doğru sorunları doğru sırayla çözmektir.


Araştırma Kaynakları:
* ChatGPT
* Gemini