Burada önemli bir ayrım bulunmaktadır: Her zafiyet teknik borç değildir; her teknik borç da doğrudan bir zafiyet değildir. Zafiyet çoğunlukla mevcut bir güvenlik açığını ifade ederken, teknik borç kurumun zaman içinde biriktirdiği ve gelecekte daha yüksek risk, maliyet veya operasyonel bağımlılık oluşturabilecek güvenlik yükünü ifade eder.
Portföy Yaklaşımı Neden Önemlidir?
Her teknik borç aynı öneme veya aciliyete sahip değildir. Kritik bir iş uygulamasındaki güvenlik kontrol eksikliği ile düşük riskli bir test ortamındaki eski teknoloji aynı öncelik seviyesinde ele alınamaz.
Kurumsal portföy yaklaşımının amacı, teknik ekiplerin önündeki dağınık ve sürekli büyüyen güvenlik iş yükünü ölçülebilir bir karar mekanizmasına dönüştürmektir.
Bu yaklaşım üst yönetime şu soruların yanıtını sunmalıdır:
- Hangi güvenlik teknik borçlarına sahibiz?
- Bu borçların kurumsal risk üzerindeki etkisi nedir?
- Hangileri kritik varlıkları ve iş sürekliliğini etkiliyor?
- Hangi borçların giderilmesi başka riskleri de azaltacaktır?
- Mevcut kaynaklarla hangi çalışmalar en yüksek risk azaltımını sağlayacaktır?
- Hangi riskler hemen ele alınmalı, hangileri planlı olarak yönetilmelidir?
Kurumsal Önceliklendirme Modeli
Sürdürülebilir bir modelde her teknik borç kalemi yalnızca teknik özellikleriyle değil, kurum açısından oluşturduğu toplam etkiyle değerlendirilmelidir.
Temel değerlendirme boyutları:
| Kriter | Temel soru |
|---|---|
| Varlık Kritiklik | Etkilenen sistem veya hizmet kurum için ne kadar kritik? |
| Tehdit Maruziyeti | Riskin mevcut tehdit ortamında gerçekleşme ihtimali nedir? |
| İş Etkisi | Gerçekleşmesi halinde operasyon, hizmet veya itibar üzerindeki etkisi nedir? |
| Bağımlılık | Başka sistemleri, süreçleri veya güvenlik kontrollerini etkiliyor mu? |
| Giderim Maliyeti | Riskin giderilmesi için gereken kaynak ve efor nedir? |
| Zaman Baskısı | Risk ne kadar süre kabul edilebilir seviyede taşınabilir? |
Bu değerlendirme sonucunda teknik borçlar kritik, yüksek, orta ve düşük gibi öncelik seviyelerine ayrılabilir.
Yönetimsel Karar Döngüsü
Teknik borcun kurumsal yönetimi aşağıdaki döngü üzerinden ele alınabilir:
Tespit → Sınıflandırma → Risk Değerlendirmesi → Önceliklendirme → Kaynak Tahsisi → Yol Haritası → Giderim → Ölçüm → Yeniden Değerlendirme
Bu döngü sayesinde teknik bulgular yalnızca bir “iş listesi” olarak kalmaz; risk, yatırım ve karar mekanizmasının bir parçası haline gelir.
Koordinasyon ve Yönetişim Perspektifi
Teknik borç yalnızca BT veya Bilgi Güvenliği biriminin operasyonel problemi değildir. Mimari, altyapı, uygulama geliştirme, tedarik, insan kaynağı, bütçe ve iş sürekliliği kararlarıyla doğrudan ilişkilidir.
Bu nedenle etkin bir teknik borç yönetimi yaklaşımı, teknik bulguları yönetilebilir kurumsal kararlara dönüştürmelidir.
Başka bir ifadeyle:
Teknik Bulgu → Risk → Öncelik → Yatırım → Karar
Ölçüm ve Kurumsal İzleme
Teknik borcun yönetilebilmesi için yalnızca mevcut borcun tespit edilmesi yeterli değildir. Borcun zaman içerisindeki değişimi de izlenmelidir. Bu kapsamda kurumlar;
- Toplam teknik borç miktarını,
- Kritik seviyedeki borçların oranını,
- Ortalama giderim süresini,
- Belirli yaşın üzerindeki teknik borçları,
- Geciken giderimlerin oranını,
- Giderim sonrasında sağlanan risk azaltımını,
- Teknik borcun oluştuğu temel kaynakları
düzenli olarak takip edebilir.
Sonuç:
Siber güvenlik teknik borcunun kurumsal bir portföy olarak yönetilmesi, güvenlik operasyonlarının önceliklendirilmesinden daha geniş bir anlam taşır. Bu yaklaşım; kurumsal risk iştahı, yatırım kararları, kaynak tahsisi, iş sürekliliği ve siber güvenlik stratejisi arasında ölçülebilir bir bağ kurulmasına yardımcı olur.
Olgun siber güvenlik yönetimi, bütün sorunları aynı anda çözmeye çalışmak değildir.
Asıl olgunluk; hangi riskin daha önemli olduğunu belirlemek, sınırlı kaynakları doğru yere yönlendirmek ve yapılan yatırımın kurumsal riski ne ölçüde azalttığını gösterebilmektir.