Bu noktada Siber Risk İştahı (Cyber Risk Appetite) ve Risk Kabul Otoritesi (Risk Acceptance Authority), teknik güvenlik faaliyetleri ile kurumsal karar mekanizması arasındaki temel yönetişim köprüleridir.
Siber risk iştahı, kurumun stratejik hedefleri, kritik hizmetleri, veri varlıkları, operasyonel kapasitesi ve yasal yükümlülükleri doğrultusunda şu soruya cevap verir:
“Kurum olarak hangi seviyedeki siber riski, hangi koşullar altında taşımaya hazırız?”
Ancak risk iştahının belirlenmesi tek başına yeterli değildir. Asıl yönetişim sorusu şudur:
“Bu risk kabul edilebilir sınırlar içindeyse, kabul kararını kim verebilir ve hangi seviyede hesap verebilir?”
Risk İştahı Bir Sayı Değil, Yönetim Çerçevesidir
Risk iştahı yalnızca “düşük”, “orta” veya “yüksek” risk seviyeleri belirlemek değildir. Kurumun hangi risk alanlarında daha ihtiyatlı, hangi alanlarda ise kontrollü esneklik gösterebileceğini ortaya koyan stratejik bir çerçevedir. Özellikle;
- Kritik hizmetlerin sürekliliğini,
- Hassas ve kritik verilerin güvenliğini,
- Mevzuat ve düzenleyici yükümlülükleri,
- Kritik altyapıları,
- Kurumun itibarını ve stratejik hedeflerini
etkileyebilecek risklerde daha düşük bir risk iştahı belirlenmesi beklenir. Burada önemli olan, risk iştahı ile risk toleransının birbirinden ayrılmasıdır.
- Riski görünür kılmak,
- Teknik ve iş etkisini analiz etmek,
- Mevcut ve alternatif kontrolleri ortaya koymak,
- Karar vericiyi doğru bilgilerle desteklemek
olmalıdır. Risk kabulünün sahibi ise yetkilendirilmiş risk sahibi ve ilgili yönetişim mekanizmasıdır.
Risk Kabul Otoritesi Nasıl Tasarlanmalı?
Risk kabul yetkisi yalnızca organizasyon şemasındaki unvanlara göre belirlenmemelidir. Karar yetkisi;
Risk seviyesi + İş etkisi + Varlık kritiklik seviyesi + Mevzuat etkisi + Risk iştahı + Operasyonel sonuçlar
birlikte değerlendirilerek oluşturulmalıdır. Örneğin düşük etkili bir operasyonel risk ilgili birim seviyesinde yönetilebilirken, kritik hizmetleri veya hassas verileri etkileyen yüksek bir risk daha üst bir karar mekanizmasına taşınmalıdır.
Bu nedenle kurum genelinde bir Risk Kabul Yetki Matrisi oluşturulması önemlidir. Temel yaklaşım:
Karar Zinciri: Riskten Hesap Verebilirliğe
Olgun bir risk yönetimi modeli yalnızca riski tespit etmez; riski karara, sorumluluğa ve izlemeye dönüştürür. Bu nedenle süreç şu zincir üzerinden tasarlanabilir:
Risk → Etki → Değerlendirme → Eşik → Yetki → Karar → Süre → İzleme → Yeniden Değerlendirme
Örneğin kritik bir sistemde önemli bir güvenlik zafiyeti bulunduğunda, yamanın hemen uygulanması kritik hizmet kesintisine yol açabilecekse teknik ekip yalnızca “yama uygulanamıyor” dememelidir.
Riskin teknik boyutu, iş etkisi, mevcut telafi edici kontroller, alternatifler ve kabul edilebilir süre ortaya konulmalı; karar önceden tanımlanmış yetki seviyesine taşınmalıdır.
Eğer risk geçici olarak kabul ediliyorsa bu kabul süresiz olmamalıdır.
Siber Güvenlik Başkanlığı Perspektifi
Siber güvenlik fonksiyonunun stratejik değeri yalnızca güvenlik kontrollerini işletmekle sınırlı değildir. Üst düzey bir siber güvenlik yönetişim yapısının asıl katkısı;
Kurumun siber risklerini ortak bir yönetim diliyle tanımlamak, risk eşiklerini oluşturmak, yetki sınırlarını netleştirmek ve farklı birimleri aynı karar mekanizması içerisinde koordine etmektir.
Bu perspektifte Siber Güvenlik Başkanlığı;
- Siber risklerin görünürlüğünü sağlar,
- Ortak risk değerlendirme yaklaşımını oluşturur,
- Risk iştahının belirlenmesine katkı sunar,
- Risk eşiklerinin ve karar kriterlerinin oluşturulmasını koordine eder,
- Kritik riskleri uygun yönetişim seviyesine taşır,
- Kabul edilen risklerin izlenmesini sağlar,
- Üst yönetimin karar alma sürecini teknik ve analitik verilerle destekler.
Sonuç
Güçlü siber güvenlik yönetişiminin amacı “sıfır risk” değildir.
Amaç; kurumun hangi riski taşıdığını, bu riskin etkisini, hangi sınırlar içerisinde kabul edilebileceğini, kimin karar verebileceğini ve kararın ne zaman yeniden değerlendirilmesi gerektiğini bilmesini sağlamaktır.
Bu nedenle:
Siber risk iştahı, kurumun ne kadar risk taşımaya hazır olduğunu; risk kabul otoritesi ise bu risk konusunda kimin, hangi yetkiyle karar verebileceğini tanımlar.
İkisi birlikte tasarlandığında siber güvenlik, teknik kontrollerin yönetilmesinden çıkarak kurumsal risklerin bilinçli biçimde yönetildiği, kararların yetki ve hesap verebilirlik temelinde alındığı stratejik bir yönetişim alanına dönüşür.