Siber Risk İştahı ve Risk Kabul Otoritesinin Tasarlanması

Siber güvenlikte “sıfır risk” hedefi, güvenli görünse de kurumsal gerçeklik açısından sürdürülebilir değildir. Hiçbir kurum tüm tehditleri ortadan kaldıramaz. Gerçek siber güvenlik olgunluğu; riskleri tamamen yok etmekten ziyade hangi risklerin, hangi koşullarda kabul edilebileceğini ve bu kararın hangi yetkiyle alınacağını belirleyebilmektir.

Bu noktada Siber Risk İştahı (Cyber Risk Appetite) ve Risk Kabul Otoritesi (Risk Acceptance Authority), teknik güvenlik faaliyetleri ile kurumsal karar mekanizması arasındaki temel yönetişim köprüleridir.

Siber risk iştahı, kurumun stratejik hedefleri, kritik hizmetleri, veri varlıkları, operasyonel kapasitesi ve yasal yükümlülükleri doğrultusunda şu soruya cevap verir:

“Kurum olarak hangi seviyedeki siber riski, hangi koşullar altında taşımaya hazırız?”

Ancak risk iştahının belirlenmesi tek başına yeterli değildir. Asıl yönetişim sorusu şudur:

“Bu risk kabul edilebilir sınırlar içindeyse, kabul kararını kim verebilir ve hangi seviyede hesap verebilir?”

İşte bu nedenle risk kabul otoritesi; kişisel inisiyatiflere değil, tanımlı roller, risk eşikleri, yetki sınırları ve hesap verebilirlik esasına dayanmalıdır.

Risk İştahı Bir Sayı Değil, Yönetim Çerçevesidir

Risk iştahı yalnızca “düşük”, “orta” veya “yüksek” risk seviyeleri belirlemek değildir. Kurumun hangi risk alanlarında daha ihtiyatlı, hangi alanlarda ise kontrollü esneklik gösterebileceğini ortaya koyan stratejik bir çerçevedir. Özellikle;

  • Kritik hizmetlerin sürekliliğini,
  • Hassas ve kritik verilerin güvenliğini,
  • Mevzuat ve düzenleyici yükümlülükleri,
  • Kritik altyapıları,
  • Kurumun itibarını ve stratejik hedeflerini

etkileyebilecek risklerde daha düşük bir risk iştahı belirlenmesi beklenir. Burada önemli olan, risk iştahı ile risk toleransının birbirinden ayrılmasıdır.

Risk iştahı kurumun genel olarak üstlenmeye hazır olduğu risk seviyesini ifade ederken, risk toleransı belirli bir risk alanında kabul edilebilecek sapmanın sınırlarını tanımlar. Bu ilişki şu şekilde özetlenebilir: Risk İştahı → Tolerans → Eşik → Yetki → Karar

Risk Kabulü Teknik Değil, Kurumsal Bir Karardır Bir güvenlik açığının kapatılması teknik olarak gerekli olabilir. Ancak bu işlemin kritik bir hizmeti durdurması, operasyonel kayba yol açması veya iş sürekliliğini etkilemesi halinde konu artık yalnızca teknik bir karar değildir. Bu durumda siber güvenlik fonksiyonunun görevi;

  • Riski görünür kılmak,
  • Teknik ve iş etkisini analiz etmek,
  • Mevcut ve alternatif kontrolleri ortaya koymak,
  • Karar vericiyi doğru bilgilerle desteklemek

olmalıdır. Risk kabulünün sahibi ise yetkilendirilmiş risk sahibi ve ilgili yönetişim mekanizmasıdır.

Bu ayrım kritik önemdedir. Siber güvenlik yöneticisi veya CISO'nun rolü, kurum adına sınırsız biçimde iş riski kabul etmek değil; yönetimin bilinçli ve ölçülebilir karar verebilmesini sağlamaktır.

Risk Kabul Otoritesi Nasıl Tasarlanmalı?

Risk kabul yetkisi yalnızca organizasyon şemasındaki unvanlara göre belirlenmemelidir. Karar yetkisi;

Risk seviyesi + İş etkisi + Varlık kritiklik seviyesi + Mevzuat etkisi + Risk iştahı + Operasyonel sonuçlar

birlikte değerlendirilerek oluşturulmalıdır. Örneğin düşük etkili bir operasyonel risk ilgili birim seviyesinde yönetilebilirken, kritik hizmetleri veya hassas verileri etkileyen yüksek bir risk daha üst bir karar mekanizmasına taşınmalıdır.

Bu nedenle kurum genelinde bir Risk Kabul Yetki Matrisi oluşturulması önemlidir. Temel yaklaşım:

Düşük Risk → Operasyonel Yetki
Orta Risk → Fonksiyon/Birim Yönetimi
Yüksek Risk → Üst Yönetim Değerlendirmesi
Kritik Risk → Tanımlanmış Üst Düzey Yönetişim Mekanizması

Buradaki seviyeler örnektir. Gerçek yetki sınırları kurumun risk iştahı, organizasyon yapısı, mevzuatı ve yönetim modeline göre belirlenmelidir.

Karar Zinciri: Riskten Hesap Verebilirliğe

Olgun bir risk yönetimi modeli yalnızca riski tespit etmez; riski karara, sorumluluğa ve izlemeye dönüştürür. Bu nedenle süreç şu zincir üzerinden tasarlanabilir:

Risk → Etki → Değerlendirme → Eşik → Yetki → Karar → Süre → İzleme → Yeniden Değerlendirme

Örneğin kritik bir sistemde önemli bir güvenlik zafiyeti bulunduğunda, yamanın hemen uygulanması kritik hizmet kesintisine yol açabilecekse teknik ekip yalnızca “yama uygulanamıyor” dememelidir.

Riskin teknik boyutu, iş etkisi, mevcut telafi edici kontroller, alternatifler ve kabul edilebilir süre ortaya konulmalı; karar önceden tanımlanmış yetki seviyesine taşınmalıdır.

Eğer risk geçici olarak kabul ediliyorsa bu kabul süresiz olmamalıdır.

Çünkü risk kabulü bir güvenlik açığını kalıcı olarak görmezden gelme mekanizması değil, belirli koşullar ve süre içerisinde alınmış izlenebilir bir yönetim kararıdır.

Siber Güvenlik Başkanlığı Perspektifi

Siber güvenlik fonksiyonunun stratejik değeri yalnızca güvenlik kontrollerini işletmekle sınırlı değildir. Üst düzey bir siber güvenlik yönetişim yapısının asıl katkısı;

Kurumun siber risklerini ortak bir yönetim diliyle tanımlamak, risk eşiklerini oluşturmak, yetki sınırlarını netleştirmek ve farklı birimleri aynı karar mekanizması içerisinde koordine etmektir.

Bu perspektifte Siber Güvenlik Başkanlığı;

  • Siber risklerin görünürlüğünü sağlar,
  • Ortak risk değerlendirme yaklaşımını oluşturur,
  • Risk iştahının belirlenmesine katkı sunar,
  • Risk eşiklerinin ve karar kriterlerinin oluşturulmasını koordine eder,
  • Kritik riskleri uygun yönetişim seviyesine taşır,
  • Kabul edilen risklerin izlenmesini sağlar,
  • Üst yönetimin karar alma sürecini teknik ve analitik verilerle destekler.

Böylece siber güvenlik, yalnızca “sistemleri koruyan” bir fonksiyon olmaktan çıkar; risk, strateji, yetki, koordinasyon ve hesap verebilirliği bir araya getiren kurumsal yönetişim fonksiyonuna dönüşür.

Sonuç

Güçlü siber güvenlik yönetişiminin amacı “sıfır risk” değildir.

Amaç; kurumun hangi riski taşıdığını, bu riskin etkisini, hangi sınırlar içerisinde kabul edilebileceğini, kimin karar verebileceğini ve kararın ne zaman yeniden değerlendirilmesi gerektiğini bilmesini sağlamaktır.

Bu nedenle:

Siber risk iştahı, kurumun ne kadar risk taşımaya hazır olduğunu; risk kabul otoritesi ise bu risk konusunda kimin, hangi yetkiyle karar verebileceğini tanımlar.

İkisi birlikte tasarlandığında siber güvenlik, teknik kontrollerin yönetilmesinden çıkarak kurumsal risklerin bilinçli biçimde yönetildiği, kararların yetki ve hesap verebilirlik temelinde alındığı stratejik bir yönetişim alanına dönüşür.

Asıl olgunluk, her riski sıfırlamak değil; her önemli risk için doğru değerlendirmeyi, doğru yetkiyi ve doğru kararı zamanında devreye sokabilmektir.


Araştırma Kaynakları:
* ChatGPT
* Gemini