Üçüncü Taraf ve Tedarik Zinciri Siber Risklerinde Kritik Tedarikçi Segmentasyonu

Kurumların siber güvenlik sınırı artık yalnızca kendi bilgi sistemleri, ağları ve güvenlik kontrolleriyle sınırlı değildir. Kurum adına hizmet sunan, sistemlere erişen, veri işleyen veya operasyonların devamlılığında rol alan her tedarikçi, kurumun dijital risk ekosisteminin bir parçasıdır.

Bu nedenle üçüncü taraf risk yönetiminde temel soru artık: “Hangi tedarikçimiz daha güvenli?” değil; 

“Hangi tedarikçimiz kurumumuz için ne kadar kritik ve bu bağımlılık hangi siber riski oluşturuyor?” olmalıdır. 

Buradaki kritik ayrım şudur:
Tedarikçinin kritik olması ile siber riskinin yüksek olması aynı şey değildir.

Örneğin kritik bir veri merkezi veya bulut hizmet sağlayıcısı, yüksek güvenlik olgunluğuna sahip olabilir. Ancak kurumun operasyonları açısından kritik olduğu için, bu tedarikçinin oluşturduğu bağımlılık yine de yakından yönetilmelidir.

Bu nedenle etkili bir üçüncü taraf risk yönetimi yaklaşımı üç temel aşamada ele alınmalıdır:
Kritiklik → Risk → Kontrol

Neden Her Tedarikçiye Aynı Kontrol Uygulanmamalıdır?

Kurumların çok sayıda tedarikçisi olabilir. Ancak bu tedarikçilerin tamamı kurum açısından aynı etkiye, erişime veya bağımlılık seviyesine sahip değildir. Her tedarikçiye aynı güvenlik kontrolünü uygulamak;

  • Siber güvenlik kaynaklarının yanlış önceliklendirilmesine,
  • Kritik tedarikçilerin diğer tedarikçiler arasında görünmez hale gelmesine,
  • Gereksiz operasyonel maliyetlere,
  • Gerçek risklerin yeterince izlenememesine

neden olabilir. Bu nedenle amaç, tüm tedarikçileri aynı güvenlik seviyesine çıkarmak değil; kurum açısından en kritik tedarikçileri doğru belirleyerek güvenlik kaynaklarını en yüksek etki alanlarına yönlendirmektir.

Kritik Tedarikçi Nasıl Belirlenir?

Tedarikçi kritikliğini belirlemek için tek bir kriter yeterli değildir. Değerlendirme, kurumun iş süreçleri ve risk iştahı dikkate alınarak çok boyutlu yapılmalıdır. Temel değerlendirme kriterleri şu şekilde ele alınabilir:

  • Erişim Düzeyi: Tedarikçi kurum sistemlerine veya ayrıcalıklı hesaplara hangi seviyede erişebiliyor?
  • Veri Hassasiyeti: Hassas, kişisel, finansal veya kritik kurumsal verilere erişiyor mu?
  • İş Sürekliliği Etkisi: Hizmetin kesilmesi kritik iş süreçlerini ne ölçüde etkiler?
  • Alternatifsizlik: Hizmetin kısa sürede ikame edilebilecek alternatifleri bulunuyor mu?
  • Operasyonel Bağımlılık: Kurumun günlük operasyonları bu hizmete ne ölçüde bağımlı?
  • Erişim Mimarisi: Uzaktan erişim, API, VPN, bulut veya diğer entegrasyonlar nasıl yapılandırılmış?
  • Zincirleme Bağımlılık: Tedarikçinin kendi alt yüklenicileri ve hizmet sağlayıcıları kimlerden oluşuyor?
  • Düzenleyici ve Stratejik Etki: Tedarikçinin hizmet kesintisi veya güvenlik ihlali, yasal yükümlülükleri, kritik hizmetleri veya kurumun stratejik hedeflerini etkileyebilir mi?
Bu kriterler sayesinde değerlendirme, “güvenlik formunu doldurdu mu?” seviyesinden çıkarılarak kurum üzerindeki gerçek etki ve bağımlılık seviyesine taşınabilir.

Kritik Tedarikçi Segmentasyonu Nasıl Yapılmalıdır?

Segmentasyonun yalnızca “yüksek risk / düşük risk” şeklinde yapılması yeterli değildir. 
Daha sağlıklı yaklaşım:

1. Tedarikçinin kritikliğini belirlemek
2. Bu kritiklik üzerinden siber riski değerlendirmek
3. Risk seviyesine uygun güvenlik kontrollerini belirlemek
4. Kontrollerin etkinliğini düzenli olarak izlemek

şeklinde ilerlemelidir. Örnek bir segmentasyon modeli:

Burada önemli olan kontrol sayısını artırmak değil, kontrol yoğunluğunu tedarikçinin kritiklik ve risk seviyesine göre belirlemektir.

Tedarik Zinciri Riski Sadece Birinci Tarafla Sınırlı Değildir

Üçüncü taraf risk yönetiminin önemli bir boyutu da zincirleme bağımlılıklardır. Bir tedarikçiyi değerlendirmek, yalnızca doğrudan çalışılan şirketi değerlendirmek anlamına gelmez. Kritik hizmetin arka planında;

  • Alt yükleniciler,
  • Bulut hizmet sağlayıcıları,
  • Yazılım bileşenleri,
  • Veri işleme hizmetleri,
  • Dış kaynak operasyonları

gibi başka kuruluşlar da bulunabilir. Bu nedenle kritik bir tedarikçinin kendi tedarik zinciri de gerektiğinde değerlendirme kapsamına alınmalıdır.

Birinci tarafın riski, ikinci tarafın kontrolünde son bulmaz; zincir boyunca devam edebilir.

Bu yaklaşım, üçüncü taraf risk yönetiminden daha geniş olan tedarik zinciri siber risk yönetimi perspektifinin temelini oluşturur.

Siber Güvenlik Sadece BT'nin Sorumluluğu Değildir

Üçüncü taraf ve tedarik zinciri siber riskleri yalnızca Siber Güvenlik veya Bilgi Teknolojileri biriminin sorumluluğunda yönetilemez. Etkili bir modelde;

Siber Güvenlik + BT + Satın Alma + Hukuk + Risk Yönetimi + İş Birimleri + Üst Yönetim

arasında ortak bir yönetişim mekanizması bulunmalıdır. Çünkü bir tedarikçinin teknik güvenlik seviyesi, kurum açısından taşıdığı toplam riski tek başına belirlemez.

Örneğin güçlü güvenlik kontrollerine sahip bir tedarikçi;

  • Kritik bir sisteme erişiyorsa,
  • Alternatifi bulunmuyorsa,
  • İş sürekliliği açısından vazgeçilmezse,

kurum açısından yine kritik bir bağımlılık oluşturabilir. Bu nedenle tedarikçi değerlendirmesi teknik güvenlik ile sınırlı tutulmamalı; iş etkisi, bağımlılık, erişim, veri ve stratejik önem birlikte değerlendirilmelidir.

Yönetici Perspektifi

Kritik tedarikçi yönetiminde temel hedef, tüm tedarikçileri aynı güvenlik seviyesine çıkarmak değildir. Asıl hedef;

Kurumun kritik varlıklarını, iş süreçlerini ve operasyonel sürekliliğini etkileyebilecek tedarikçileri doğru tespit etmek; bu tedarikçilerin oluşturduğu riski ölçmek ve güvenlik kaynaklarını öncelikli risk alanlarına yönlendirmektir.

Bu yaklaşım, tedarikçi yönetimini operasyonel bir satın alma sürecinden çıkararak kurumsal siber risk yönetiminin bir parçası haline getirir.

Sonuç: 

Güvenlik Sınırınız Ekosisteminiz Kadardır Dijitalleşmenin artmasıyla birlikte kurumların güvenlik sınırı artık kendi ağı değildir. Kurumun güvenlik sınırı, bağlı olduğu dijital ekosistemin tamamıdır.

Bu nedenle güçlü bir siber güvenlik duruşu yalnızca kendi sistemlerini koruma kapasitesiyle değil; kurumun güvenmek zorunda olduğu üçüncü tarafları, kritik bağımlılıklarını ve tedarik zincirini yönetebilme kabiliyetiyle de ölçülmelidir.

Sonuç olarak olgun bir üçüncü taraf risk yönetimi yaklaşımı şu prensip üzerine kurulmalıdır:

  • Kritik olanı belirle.
  • Riski ölç.
  • Kontrolü önceliklendir.
  • Sürekli izle.

Çünkü siber güvenlikte asıl mesele, her şeyi kontrol etmek değil; kontrol edilmesi gerekeni doğru zamanda ve doğru seviyede yönetebilmektir.


Araştırma Kaynakları:
* ChatGPT
* Gemini