Siber Güvenlikte Yöneticilik: Alarm, Ürün ve Denetimden Gerçek Kurumsal Güvenceye

Bir kurumun siber güvenlik odasına girdiğinizde etkileyici ekranlarla karşılaşabilirsiniz. Haritalar, log akışları, alarm sayaçları, durum renkleri, güvenlik ürünlerinin panelleri… 

Dışarıdan bakınca her şey kontrol altında görünür. Sonra basit bir soru sorulur: 
  • Kritik hizmetimiz yarın saldırıya uğrarsa hangi riski kabul ediyoruz, 
  • Kim hangi kararı verecek, 
  • Hangi veriye güvenerek hizmeti geri açacağız?
Eğer cevap birkaç kişinin hafızasında kalıyorsa o ekranların ışığı, yönetim olgunluğunu tek başına göstermiyordur.

Siber güvenlikte teknik becerinin değeri tartışılmaz. Bir zararlı yazılımı analiz etmek, anormal trafiği fark etmek, zafiyeti gidermek veya bir olayın izini sürmek uzmanlık gerektirir. Fakat bir BT Hizmet Yönetimi veya Operasyon Müdürünün görevi bunların üzerine başka bir soru yerleştirmektir: Bütün bu faaliyetler kurumun hangi değerini, hangi ölçüde ve ne kadar sürdürülebilir biçimde koruyor?

İyi güvenlik yönetimi, “her riski sıfırlayalım” söylemiyle işlemez. Kaynaklar sınırlıdır, tehditler değişir, bazı kontroller kullanıcı deneyimini veya hizmet hızını etkiler. Yönetici, teknik ekiplerin verisini karar diline çevirir; belirsizlikleri görünür kılar ve uygulanabilir bir güvence düzeni kurar. Burada başlangıç noktası ürün değil, korunacak hizmet ve kabul edilebilir risk sınırıdır.

Güvenlik yatırımı: Yeni bir kutu almakla yeni bir yetenek kazanmak aynı şey değil

Diyelim ki kurum, merkezi izleme sistemini genişletmek istiyor. Ürün sunumunda daha fazla log, daha gelişmiş korelasyon ve daha hızlı tespit vaat ediliyor. Yönetim kuruluna yalnızca bu özellikler anlatılırsa konuşma kolayca fiyat ve teknik performans yarışına dönüşür. 

Oysa ihtiyaç şöyle tanımlanmalıdır: “Şu kritik hizmetlerde yetkisiz erişim senaryolarını yeterli hızda tespit edemiyoruz; olay doğrulama süremiz uzun; bu nedenle hizmet kesintisi veya veri güvenliği etkisi artıyor.”

Bu cümle kararı değiştirir. Artık satın alma öncesinde, mevcut kabiliyet ölçülür: 
  • Kritik varlık kapsamı, 
  • Log kalitesi, 
  • Tespit senaryosunun doğruluğu, 
  • Olayın gerçek veya yanlış alarm olarak ayrıştırılma süresi, 
  • Müdahale sorumluları ve işletme maliyeti. 
  • Ardından hedef konur. 
  • Yeni sistem gerçekten kapsama alanını artırıyor mu? 
  • Yanlış alarm yükünü azaltıyor mu? 
  • Uzmanın olay başına harcadığı zamanı düşürüyor mu? 
  • Gece vardiyasında da aynı performansı sağlayabiliyor mu?

Başarıyı “kurulum tamamlandı” olarak ilan etmek büyük hatadır. Kurulum teknik kilometre taşıdır; kazanım, hedeflenen tehdide karşı daha iyi karar verebilme yeteneğidir. 

Üstelik yeni ürünün lisansından daha büyük işletme maliyetleri olabilir: uzman eğitimi, entegrasyon, bakım, saklama kapasitesi, değişiklik yönetimi, destek ve hizmet sağlayıcı bağımlılığı. Satın alma bütçesi ile yaşam döngüsü maliyeti farklıdır.

Güvenlik yatırımını savunurken dört soruya cevap verebilmeliyiz: 
  1. Hangi kurumsal risk azalacak? 
  2. Bu azalışı neyle gözleyeceğiz? 
  3. Hangi yeni bağımlılık veya maliyet doğacak? 
  4. Beklenen fayda gerçekleşmezse hangi kararı gözden geçireceğiz? 
Yönetim masasına yalnızca en parlak seçeneği değil, hiçbir şey yapmama ve daha sınırlı iyileştirme alternatiflerini de getirmek, olgunluk işaretidir.

Kriz anında başarılı görünmek, krizden öğrenildiğini kanıtlamaz

Bir siber olayın ilk saatleri yoğundur. Kimi ekip etkilenen sistemleri sınırlar, kimi kayıtları inceler, kimi kullanıcıları bilgilendirir, kimi hizmeti geri getirmeye uğraşır. O an için hız önemlidir. 

Ancak olay sona erdiğinde “Sistem normale döndü” demek yeterli değildir. Aynı saldırı yolunun açık kalması, geç fark edilen alarmın nedeninin anlaşılmaması veya kurtarma sürecinin kişisel kahramanlığa bağımlı olması, bir sonraki krize davetiye çıkarır.

Burada olay müdahalesi ile olay sonrası iyileştirme programını ayırmak gerekir. 
  • Müdahale sırasında öncelik zararı sınırlamak ve güvenli hizmeti geri kazanmaktır.
  • Sonraki günlerde yönetim, teknik bulguları süreç, risk, insan kaynağı, tedarikçi ve iletişim kararlarına dönüştürür. 
Olay raporunun “ne oldu?” bölümünden daha kıymetli kısmı çoğu zaman “bundan sonra ne farklı olacak?” sorusunun cevabıdır.

Olay sonrası ilk otuz günde kanıtlar korunur, zaman çizelgesi doğrulanır, etkilenen hizmetler ve veri sınıfları belirlenir, neden-sonuç varsayımları ayrılır. 

İkinci otuz günde kalıcı aksiyonlar uygulanır: kontrol ayarı, mimari değişiklik, erişim düzenlemesi, izleme senaryosu, tedarikçi yükümlülüğü veya kullanıcı iletişimi gibi. 

Son otuz günde ise aksiyonun gerçekten çalıştığı test edilir. Bir kontrolün kâğıt üzerinde aktif olması ile saldırı senaryosunda etkili olması aynı değildir.

Örneğin olay sırasında zayıf uyarı eşikleri yüzünden kritik bir davranış geç fark edilmiş olsun. Yeni eşik yazmak ilk adımdır. Yönetici bunun yanlış alarm sayısını nasıl değiştirdiğini, gece vardiyasında izlenip izlenmediğini, aynı davranışın kontrollü testte tespit edilip edilmediğini sorgulamalıdır. Aksi halde aksiyon listesi kapatılır, güvenlik boşluğu açık kalır.

Bu dönemde sorumluluğu kişilere yıkmak kolay ama verimsizdir. Bir analistin uyarıyı kaçırması önemli bulgudur; fakat olay yükü gerçekçi miydi, alarm doğru sınıflandırılmış mıydı, eskalasyon zinciri işlemiş miydi, görev devri kayıtlı mıydı? 

Olgun güvenlik programı insan hatasını da sistemin nasıl yönettiği üzerinden inceler. NIST'in 2025 tarihli SP 800-61 Revizyon 3 yaklaşımının olay müdahalesini kurumsal risk yönetimiyle bütünleştirmesi bu açıdan anlamlıdır.

Denetim bulgusu kapandı ama aynı açık altı ay sonra neden geri geldi?

Siber güvenlik denetimlerinde tanıdık bir döngü vardır. Denetçi eksik erişim gözden geçirmesini tespit eder. İlgili birim bir prosedür yayımlar, kontrol listesi oluşturur, bulgu kapanır. Sonraki dönemde örneklem alındığında yine eski hesaplar, yanlış yetkiler veya yapılmamış kontroller ortaya çıkar. Problem, yalnızca eksik belge değil, işleyen bir kontrol sisteminin kurulamamasıdır.

Bir bulgunun tekrar etmesini araştırırken beş olası kaynağa bakarım: 
  1. Kontrol yanlış tasarlanmış olabilir; 
  2. Görev sahibi belirsizdir; 
  3. Personel gereken bilgiyi bilmiyordur; 
  4. Teknik araç uygulanabilirliği desteklemiyordur; 
  5. Ya da kontrol ölçülmediği için kimse çalışıp çalışmadığını görmüyordur. 
Bunların her birinin çözümü farklıdır. Yeni prosedür yazmak, teknik entegrasyon eksikliğini gidermez; eğitim vermek de sorumluluk çatışmasını kendiliğinden çözmez.

Bulgu kapanışını iki ayrı aşama olarak düşünmek yararlı olur. 
  1. Uygulama kapanışı: Kararlaştırılan değişiklik yapılmış mı, sorumlusu ve kanıtı var mı? 
  2. Etkinlik kapanışı: Değişiklik bir süre kullanıldıktan sonra aynı hatayı gerçekten önlüyor mu? 
Örneğin aylık erişim gözden geçirmesi planlandıysa, üç farklı dönemin kanıtları ve istisna işleme kalitesi örneklemle incelenebilir. Bu ikinci aşama olmadan “tamamlandı” ifadesi yalnızca faaliyet bilgisidir.

İyi bir yönetici denetim ekibini düşman, bulguyu da itibar kaybı olarak görmez. Denetim, sistemin kendi kendine fark edemediği zayıflıkları dışarıdan gösterebilir. Fakat her bulguyu aynı önemde ele almak da doğru değildir; gerçek risk, mevzuat yükümlülüğü, hizmet etkisi ve tekrar olasılığı değerlendirilmelidir. Bazı riskler giderilir, bazıları azaltılır, bazıları ise yetkili makamın belirlediği sınırlar içinde gerekçeli olarak kabul edilir. Bu kararın yazılı olması, riskin ortadan kalktığı anlamına gelmez.

Tedarikçiyle sözleşme yapmak, hizmet sorumluluğunu devretmek değildir

Kurumsal güvenlik hizmetlerinin bir bölümü dışarıdan alınabilir: izleme, test, bakım, lisans, olay danışmanlığı veya özel analiz desteği. Bu model doğru kurulduğunda kapasite sağlar. Yanlış kurulduğunda kurum, teknik bilgiyi ve karar yeteneğini yavaş yavaş kaybedebilir. Sözleşmede “7/24 hizmet” yazması, gece 03.00'te gerçek olay çıktığında kimin nasıl hareket edeceğini kendiliğinden açıklamaz.

SLA'lar burada önemli ama tek başına yetersizdir. “Uyarıların yüzde 99'una süresinde dönüldü” ifadesi kulağa iyi gelir. Peki kritik uyarı yanlış sınıflandırıldıysa? Bildirim on dakikada geldi ama anlaşılmaz bir şablonsa? Ekip neyin kesildiğini öğrenemeyip tekrar sormak zorunda kaldıysa? Başarılı hizmet, yalnızca süreye değil, doğruluğa, eyleme dönüştürülebilirliğe, iletişim kalitesine ve sürekliliğe dayanır.

Tedarikçi karnesinde kritik senaryo test sonuçları, yanlış pozitif oranı, eskalasyon kalitesi, hizmet personeli devamlılığı, kanıtların erişilebilirliği ve kapanmamış düzeltici faaliyetler izlenebilir. 

Hizmet başlangıcında erişim sınırları ve veri koruma sorumlulukları netleştirilmelidir. Hizmet devam ederken kalite örneklemleri yapılmalı; sözleşme biterken veri, yapılandırma, rapor ve dokümantasyonun devri tasarlanmalıdır. Bir tedarikçinin ayrılmasıyla kurumun geçmiş alarm bilgisine erişimi de sona eriyorsa hizmetin gerçek sahibi kimdir, yeniden düşünmek gerekir.

Burada hizmet yöneticisinin rolü yalnızca aylık faturayı onaylamak değildir. Kurumun beklentisini anlaşılır hale getirir, tarafların kontrol alanlarını ayırır, değişen iş ihtiyaçlarını sözleşme performansına yansıtır ve gerektiğinde alternatif kapasite geliştirir. Dış kaynak kullanımı, hesap verebilirliğin dışarı verilmesi anlamına gelmemelidir.

Üç birim, beş kritik talep, tek bütçe: Yönetim masasındaki gerçek sınav

Kâğıt üzerinde bütün güvenlik talepleri önemlidir. Gerçekte ise bütçe, zaman ve uzman kapasitesi sınırlıdır. Ağ ekibi altyapı yenilemesi ister; bilgi güvenliği ekibi izleme açığına yatırım talep eder; uygulama ekibi kritik sürüm güncellemesini savunur. Herkes kendi riskini doğru anlatıyor olabilir. 

Müdürün görevi, en yüksek sesle konuşanı memnun etmek değil, kuruma en fazla değer sağlayacak ve kabul edilemez riskleri önceleyecek kararı oluşturabilmektir.

Bu karar yalnızca sayısal puanlama tablosuna bırakılamaz. Mevzuat veya kritik hizmet yükümlülüğü, sırf puanı düşük diye ertelenemez. Projeler arasında bağımlılık olabilir: Kimlik altyapısı düzelmeden yeni güvenlik çözümünün etkinliği düşük kalabilir. Bazı iyileştirmeler küçük bütçeyle yüksek risk azaltımı sağlar; bazısı pahalı olmakla birlikte zorunludur. Müdür seçenekleri aynı dilde karşılaştırır: korunan hizmet, risk seviyesi, maliyet, uygulanabilirlik, bağımlılık, gecikme etkisi ve başarı kanıtı.

Temsili bir karar toplantısı düşünelim. Beş talep arasından üçüne kaynak ayrılabiliyor.
  • Birinci talep, kritik yetki açığını kapatıyor; 
  • İkinci talep, olay tespit süresini azaltıyor; 
  • Üçüncüsü eskimiş sistemin işletme riskini düşürüyor; 
  • Diğer ikisi daha kapsamlı ama, sonraya bırakılabilir dönüşümler. 
Karar verilen üç iş için hedef ve sorumlu tanımlanır. Ertelenen iki iş için de risk sahibi, geçici kontrol, yeniden değerlendirme tarihi ve hangi koşulda önceliğin değişeceği kaydedilir.

Bu son bölüm kritik. Yönetici kararı yalnızca “onaylandı / reddedildi” tablosuyla kapatırsa ertelenen risk sahipsiz kalır. Kurumsal güvence; zor kararın neden verildiğini ve hangi koşullarda değiştirileceğini açık bırakmadan belgeleyebilme becerisidir. İyi yönetici her talebe evet diyemez; ama her talebi aynı özenle değerlendirebilir.

Dijital adli bilişimde hız ile kanıt güvenilirliği neden çatışabilir?

Siber olayların ardından dijital adli inceleme gündeme geldiğinde başka bir yönetim sınavı başlar. Dosyaların hızlı sonuçlanması önemlidir; çünkü karar vericiler olayın nasıl geliştiğini, etki alanını ve hangi düzeltmenin gerektiğini bilmek ister. 

Ancak adli inceleme sıradan destek talebi değildir. Delilin kimden alındığı, nasıl korunduğu, hangi işlemlerin uygulandığı, bulgunun hangi yöntemle doğrulandığı ve hangi yorumun varsayım olduğu kayıt altına alınmalıdır.

Bir laboratuvarda performansı yalnızca “aylık kapatılan dosya sayısı” ile ölçmek yanıltıcıdır. Tek kaynaklı basit bir vaka ile çok sayıda sistem, kullanıcı ve şifreli veri içeren karmaşık inceleme aynı değildir. 

İş yükü; hukuki son tarih, delilin kaybolabilirliği, olayın aciliyeti, veri hacmi, teknik karmaşıklık ve dış bağımlılıklar dikkate alınarak planlanmalıdır. İşin gecikmesi bazen personel yetersizliğinden, bazen ek yetki veya bilgi beklenmesinden kaynaklanır; bunları ayrı göstermek gerekir.

Kalite kapıları açık olmalıdır. Kabulde yetki ve teslim zinciri doğrulanır. İncelemeye hazırlıkta kaynak bütünlüğü ve kullanılan araçlar kaydedilir. Analizde bulgu ile çıkarım birbirinden ayrılır; gerektiğinde ikinci uzman kontrolü uygulanır. 

Raporda yöntemin sınırları ve tekrarlanabilirlik değerlendirilir. Teslimde emanet zinciri ve saklama koşulları korunur. Yönetici bu adımları kaldırarak hız kazanmış görünürse sonuçta güven kaybı ve yeniden inceleme maliyeti doğabilir.

Adli incelemenin yönetim değeri, teknik ayrıntıyı doğru kapsamda karar vericiye sunmasıdır. “Şu dosya çalıştırıldı” ile “bu işlemi şu kişi kesin yaptı” aynı iddia değildir. Teknik bulgudan insan davranışına geçerken alternatif açıklamalar ve kanıtın sınırları korunmalıdır. Yönetim baskısı, bulgunun ifade edebildiğinden daha kesin bir sonuca zorlamamalıdır.

Risk iştahı: Her alarmı acil sayarsanız gerçekte neyi koruyabilirsiniz?

Bir güvenlik izleme merkezinde her uyarı aynı düzeyde acil olarak işaretlendiğinde iki sonuç doğar: Ekip hızla yorulur ve gerçekten kritik olay kalabalığın içinde kaybolur. Risk iştahı kavramı burada soyut bir yönetim terimi olmaktan çıkar. Kurumun hangi riskleri kabul edemeyeceği, hangi istisnaları hangi yetkiyle yöneteceği ve hangi kontrol kaybında hizmeti durdurabileceği önceden belirlenmelidir.

Risk iştahı yalnızca yöneticinin kişisel cesareti değildir; yetkili yönetim tarafından kurumsal hedeflerle uyumlu biçimde belirlenen sınırdır. Müdür bu sınırın operasyonel kurallara dönüşmesini sağlar. 

Örneğin kritik kimlik sisteminde doğrulama kontrolünün devre dışı kalması ile düşük etkili test ortamındaki yanlış alarm aynı eskalasyon yolundan geçmemelidir. Farklılık keyfilik değil, risk temelli önceliklendirme olmalıdır.

Bu nedenle kırmızı uyarı eşiği tanımlarken alarm hacmini, varlık kritikliğini, olayın doğrulanma düzeyini ve telafi kontrollerini birlikte ele alırız. Her risk için “sıfır olay” vaadi vermek, ölçümü ve hesap verebilirliği zayıflatır. Açık riskin sahibini, kabul süresini, yeniden değerlendirme koşulunu ve gerektiğinde yönetime taşınma ölçütünü görünür kılmak daha güvenilirdir.

Masa başı tatbikat: Planın gerçek sahibi kriz çıkmadan ortaya çıksın

Bir olay müdahale prosedürü kâğıt üzerinde kusursuz görünebilir; fakat telefonlar çalmaya başladığında karar sahipleri birbirini bekliyorsa plan çalışmıyor demektir. Bu nedenle en azından seçilmiş kritik hizmetlerde masa başı senaryoları uygulanmalıdır. Senaryo yalnızca teknik sorulardan oluşmamalıdır. İletişim sorumlusu, hukuk, hizmet sahibi, tedarikçi ve gerektiğinde yetkili üst yönetim hangi aşamada devreye girecek, açık olmalıdır.

Örnek bir tatbikatta kritik uygulamanın kullanıcı kimlik doğrulama kayıtlarında şüpheli faaliyet fark edildiğini varsayalım. Teknik ekip erişimi kısıtlamayı öneriyor, iş birimi hizmetin kesintisinden kaygı duyuyor, tedarikçi ise daha fazla kanıt toplamak istiyor. 

Müdürün görevi bu seçeneklerden birini refleksle seçmek değildir. Risk sınırlarını, kanıtın güvenilirliğini, hizmetin etkisini, hukukî gereksinimleri ve alternatif işletme yöntemlerini aynı masaya getirmektir.

Tatbikatın sonucunu “senaryoyu başarıyla tamamladık” cümlesine indirgememek gerekir. Asıl rapor; yanlış anlaşılan sorumlulukları, geç ulaşan bilgileri, test edilememiş kurtarma yöntemlerini ve karar gecikmelerini görünür kılmalıdır. Her eksik için sahip, hedef tarih ve doğrulama yöntemi atanır. Tatbikatın değeri prova edilmiş krizden çok, bir sonraki gerçek krizde kaldırılmış belirsizliklerdir.

Üst yönetime siber güvenliği hangi dilde anlatmak gerekir?

Üst yöneticiye ayrıntılı alarm sayıları, yüzlerce zafiyet kimliği ve karmaşık teknik grafikler sunmak kolaydır. Zor olan, bütün bunları karar gerektiren bir sayfaya indirebilmektir. Bir yönetim notu şu soruları cevaplamalıdır: 
  • Korunan kritik hizmet hangisi? 
  • Bugünkü risk nedir? 
  • Mevcut kontrolün etkinliği hangi kanıtla gösteriliyor? 
  • İki seçenek arasındaki maliyet ve fayda farkı nedir? 
  • Karar gecikirse ne olur?

Bu dil, teknik ayrıntıyı gizlemek anlamına gelmez. Tam tersine ayrıntıyı doğru yerde tutmaktır. Uzmanın derin bulguları raporun dayanağıdır; yönetim sayfasında ise açıklanmış varsayımlar, karar seçenekleri, risk sahibi, zaman baskısı ve önerilen eylem bulunur. Belirsizlik açıkça yazılır; sanki kesin olan her şey ölçülmüş gibi davranılmaz. Böyle raporlar teknik ekibin de karar vericiye olan güvenini artırır.

Örneğin “güvenlik puanımız 82 oldu” cümlesinden çok, “kritik hizmetlerde kimlik doğrulama olaylarının şu kısmı zamanında tespit edilemiyor; şu önlemle bu boşluğu azaltmayı, şu tarihte test etmeyi öneriyoruz” cümlesi değerlidir. Çünkü ikincisi hem karar hem hesap verebilirlik içerir. Siber güvenlik yöneticiliği, yalnızca riskleri bilmek değil, risk hakkında doğru karar alınmasını sağlayacak dili kurmaktır.

İyi güvenlik kararı bazen “şimdilik durduruyoruz” diyebilmektir

Teknoloji operasyonlarının doğası hareketlidir. Yeni sistemler kurulur, entegrasyonlar açılır, güncellemeler yetiştirilir. Fakat güvenlik programı yalnızca hızlanan işlerin arkasından kontrol yetiştirmeye çalışırsa sürekli geç kalır. 

Kritik bir değişiklikte geri dönüş testi yapılamadıysa, hassas veri erişim sınırları belirsizse veya olay kayıtlarının bütünlüğü doğrulanamıyorsa yetkili karar mekanizması bazen geçişi erteleyebilir. Bu, teknolojiden korkmak değil, kurumsal değeri korumaktır.

Böyle bir kararı savunmak için soyut endişeler yeterli değildir. Hangi kontrol eksik, bu eksikliğin olası etkisi ne, geçici hangi önlem alınabilir, karar hangi koşulda yeniden değerlendirilecek? Tüm bunlar kısa ve açık yazılmalıdır. 

İş birimlerinin baskısı ile teknik ekiplerin ihtiyatı arasında ortak dil kurulmazsa güvenlik “hep hayır diyen birim” olarak algılanır. Oysa iyi güvenlik yöneticisi mümkün olduğunca güvenli evet diyebilen; gerekli olduğunda gerekçeli hayır diyebilen kişidir.

Bu yaklaşım özellikle olay sonrası normal işletmeye dönüşte önemlidir. Sistemler temizlenmiş görünür; ancak kimlik bilgileri yenilenmedi, izleme senaryoları doğrulanmadı veya veri bütünlüğü denetlenmedi ise hızlı açılış ikinci olaya yol açabilir. Hizmete geri dönüş kararı teknik kanıt, iş ihtiyacı, kabul edilen artık risk ve yetkili onayın birleşimidir. Yönetim olgunluğu, yalnızca başlatma kararında değil, ne zaman durmak gerektiğinde de ortaya çıkar.

Tek bir güvenlik yönetim tablosu nasıl kurulmalı?

Yatırım, olay, denetim, tedarikçi, bütçe ve adli inceleme ilk bakışta altı farklı konu gibi görünebilir. Gerçekte hepsi aynı yönetsel soruya bağlanır: Kurumun hangi riski hangi kontrolle yönettiğini ve kontrolün işe yarayıp yaramadığını nasıl biliyoruz?

Benim kuracağım yönetim panosunda yüzlerce alarmın ham listesi değil, karar vermeye yetecek birkaç bütünlüklü gösterge bulunur. Kritik hizmetlerde kontrol kapsama oranı; öncelikli olayların tespit ve doğrulama süresi; tekrar eden yüksek riskli denetim bulguları; geciken olay sonrası aksiyonlar; tedarikçi kritik senaryo başarısı; kabul edilmiş açık riskler; delil kalitesi ve yasal süre riski gibi. Sayılar yalnızca durum raporu değildir; her biri bir karar eşiğine, bir sorumluya ve bir sonraki gözden geçirmeye bağlanır.

Bir gösterge kırmızı olduğunda refleksimiz mutlaka yeni ürün almak olmamalıdır. Belki sorun eğitimdedir, belki prosedür karmaşıktır, belki tedarikçi yanlış ölçülüyordur, belki envanter eksiktir. Teknoloji doğru yerde güçlüdür; ama yönetim problemini her zaman teknoloji çözmez. Bu ayrımı yapmak, güvenlik müdürünün işidir.

NIST Siber Güvenlik Çerçevesi 2.0'ın Govern, Identify, Protect, Detect, Respond ve Recover işlevlerini bir arada ele alması da aynı gerçeği hatırlatır. Güvenlik yalnızca saldırıyı yakalayan sistem değildir; sorumluluğun tanımlanması, varlığın bilinmesi, korunması, olayın görülmesi, doğru müdahale edilmesi ve hizmetin güvenle iyileştirilmesidir. Her işlev diğerinin sonucunu etkiler.

Güvence, “bir şey olmadı” demekten daha zor bir sözdür

Uzun süre ciddi olay yaşanmaması iyi haber olabilir; ama bunun nedeni başarılı kontroller mi, düşük tehdit maruziyeti mi, yoksa görünmeyen olaylar mı? Bunu bilmeden “güvendeyiz” demek kolaydır. Daha kıymetli olan, kontrolün neden gerekli olduğunu, nasıl test edildiğini, hangi açığın devam ettiğini ve karar sahibinin hangi riski kabul ettiğini dürüstçe açıklayabilmektir.

Siber güvenlikte olgun yöneticilik, teknik ekibin emeğini sayılarla süslemek değil, kurumsal değere çevirmektir. Ürün alındığında faydayı aramak, olaydan sonra öğrenmek, bulguyu gerçekten kapatmak, tedarikçiyi ölçmek, bütçeyi gerekçelendirmek ve kanıtın sınırına saygı duymak aynı disiplinin parçalarıdır.

Bir gün bütün paneller yeşil görünse bile yöneticinin sorması gereken son soru şudur: “Bu yeşili hangi kanıtla savunuyoruz?” O soruyu sormaya devam ettiğimiz sürece güvenliği gösteriden çıkarıp kurumsal güvenceye yaklaştırırız.

Kaynaklar