Risk değerlendirme: olasılık ve etki

Önceki derste varlık, tehdit ve zafiyeti ayırt etmeyi öğrendin. Şimdi bu üçünü bir puana çevireceksin. ISO/IEC 27005:2022 süreci üç adıma böler: risk belirleme, risk analizi, risk değerlendirme. Belirleme adımında hangi varlığın hangi tehdide açık olduğunu listelersin.

Analiz adımında olasılık ve etkiyi ayrı ayrı puanlarsın. Değerlendirme adımında bu puanı kabul edilebilir sınırla karşılaştırırsın. Üç adım sırayla ilerler; birini atlarsan puan güvenilmez çıkar.

Belirleme adımına iki kapıdan girebilirsin. ISO/IEC 27005:2022 bunları olay tabanlı ve varlık tabanlı yaklaşım diye ayırır. Olay tabanlı yaklaşım risk kaynaklarından ve üst düzey senaryolardan başlar.

Soru şudur: 'Bir fidye yazılımı grubu sipariş sistemini kilitlerse ne olur?' Varlık tabanlı yaklaşım ise envanterden başlar ve her varlık için tehdit ile zafiyet arar. NIST SP 800-30 benzer bir ayrımı üç yönle yapar: tehdit odaklı, varlık ve etki odaklı, zafiyet odaklı analiz.

Belge önemli bir uyarı ekler: başlangıç noktası sonucu saptırabilir, bazı riskler hiç görünmez. Bu yüzden tehdit odaklı bir çalışmayı varlık odaklı bir bakışla tamamlamak analizi sağlamlaştırır.

Şema varlık tabanlı yaklaşımın beş durağını sırayla gösterir. Önce varlığı, sonra tehdidi, ardından zafiyeti belirlersin. Dördüncü durakta olasılık ve etki birleşir ve puan çıkar.

Beşinci durakta puan bir işleme kararına bağlanır. Her durak bir öncekinin üzerine kurulur; sırayı atlayamazsın. Olay tabanlı yaklaşımda ilk durak değişir, ama olasılık ve etki durağı yine aynı yerde durur. Hangi kapıdan girersen gir, puan çıkmadan karar da çıkmaz.

NIST SP 800-30 üç değerlendirme yaklaşımı tanımlar: nitel, yarı nicel ve nicel. Nitel yaklaşım sayı yerine düzey kullanır: çok düşük, düşük, orta, yüksek, çok yüksek. Karar vericiye anlatması kolaydır, ama iki uzman aynı düzeyi farklı yorumlayabilir. Belge bunun için her değerin gerekçesini yazmayı önerir: 'Bu değer yüksek, çünkü...' Yarı nicel yaklaşım düzeylere temsilî sayılar verir.

SP 800-30'un eklerinde çok yüksek düzey 96-100 aralığına ve 10 puana denk gelir. Yüksek 80-95 ve 8, orta 21-79 ve 5, düşük 5-20 ve 2, çok düşük 0-4 ve 0'dır. Dersteki 5x5 matris aynı mantığı kullanır: çok düşük 1, çok yüksek 5 puan alır.

Puanlamayı somutlaştıralım. Olasılığı 1'den 5'e, etkiyi de 1'den 5'e puanla. İkisini çarp, sonuç 1 ile 25 arasında bir sayı verir.

Altay Kargo'nun web sitesinde SQL enjeksiyonu riski var. Girdi doğrulaması eksik olduğu için olasılık yüksek, dört puan. Sızıntı olursa müşteri verisi çıkar, etki de çok yüksek, beş puan.

Çarpım yirmi eder; bu en üst banda düşer. Deponun elektrik kesintisi riski ise çok daha aşağıda kalır, çünkü olasılık düşük, etki ortadır. Matris, hangi riskin önce ele alınacağını sana sayıyla gösterir. Karmaşık araç gerektirmez, kâğıt üzerinde de çalışır.

Türkiye'den gerçek bir yarı nicel örnek Bilgi ve İletişim Güvenliği Rehberi'dir. Rehber kamu kurumları ve kritik altyapı işletmecileri için yazıldı, ama yöntemini her kurum ödünç alabilir. Her varlık grubu için sekiz soruluk bir kritiklik anketi doldurulur. Sorular gizlilik, bütünlük, erişilebilirlik, etkilenen kişi sayısı, toplumsal ve kurumsal sonuçlar, sektörel etki ve bağımlı varlıkları sorar.

Puanlar toplanır: 18'in altı Derece 1, 18 ile 27 arası Derece 2, 28 ve üstü Derece 3 olur. Rehber anket için Delfi yöntemini önerir. Uzmanlar anketi ayrı ayrı doldurur, sonuçlar karşılaştırılır ve uzlaşı çıkana kadar tur tekrarlanır. Altay Kargo'nun depo yönetim sistemi 24 puan alırsa Derece 2 olur.

Sayısal puanı yönetime sunarken bir etiket eklemek işini kolaylaştırır. Çoğu ekip 1-4 arası düşük, 5-9 orta, 10-14 yüksek, 15-25 kritik diye bantlar. Bant, hangi seviyenin kimin onayını gerektirdiğini de belirler; kritik bant genelde üst yönetime çıkar. Bantlamayı elle yapma, tablo formülü hatayı önler.

Aşağıdaki formül Türkçe Excel ve LibreOffice'te çalışır. İngilizce arayüzde EĞER yerine IF yazılır. Bağımsız değişken ayırıcısı ise bölge ayarına bağlıdır: Türkçe ayarda noktalı virgül, ABD ayarında virgül kullanılır.

E2 (puan):  =C2*D2
F2 (bant):  =EĞER(E2>=15;"Kritik";EĞER(E2>=10;"Yüksek";EĞER(E2>=5;"Orta";"Düşük")))

Satır  Risk                      C (olasılık)  D (etki)  E (puan)  F (bant)
2      Web sitesinde SQLi        4             5         20        Kritik
3      Sürücü hesabı ele geçirme 4             4         16        Kritik
4      Eski yazıcı sürücüsü      2             2          4        Düşük

Nicel yaklaşım riski parayla ifade eder. Altı terimi bilmen yeter. Varlık değeri (AV), varlığın parasal karşılığıdır.

Maruz kalma oranı (EF), tek bir olayda bu değerin yüzde kaçının kaybedildiğidir. Tek kayıp beklentisi (SLE) ikisinin çarpımıdır: SLE = AV x EF. Yıllık gerçekleşme oranı (ARO), olayın yılda kaç kez beklendiğidir; 0,25 dört yılda bir demektir.

Yıllık kayıp beklentisi (ALE) de SLE ile ARO'nun çarpımıdır: ALE = SLE x ARO. Güvenlik yatırımının getirisi (ROSI) ise kontrolün önlediği kaybı maliyetiyle karşılaştırır. Aşağıda Altay Kargo'nun sipariş sistemi için çözümlü bir hesap var.

Senaryo: fidye yazılımı sipariş sistemini kilitler
Varlık değeri (AV)              2.000.000 TL
Maruz kalma oranı (EF)          %40
SLE = AV x EF                     800.000 TL
ARO (dört yılda bir)              0,25
ALE = SLE x ARO                   200.000 TL

Kontrol: EDR + değiştirilemez yedek, yıllık 60.000 TL
Yeni ARO (yirmi yılda bir)        0,05
Yeni ALE = 800.000 x 0,05          40.000 TL
ROSI = (200.000 - 40.000 - 60.000) / 60.000 = 1,67  (yaklaşık %167)

Hesabı satır satır oku. EF %40, tek bir saldırının sistemin değerinin beşte ikisini götürdüğünü söyler: kayıp siparişler, kurtarma işçiliği, gecikme cezaları. SLE 800.000 TL, bir olayın faturasıdır.

ARO 0,25, geçmiş olay kayıtlarından ve sektör verisinden gelir. ALE 200.000 TL ise bu risk için yıllık bütçe tavanıdır; tek başına bu riske yılda daha fazla harcamak mantıksızdır. Uç nokta tespit ve müdahale (EDR) aracı ile değiştirilemez yedek, olasılığı yirmi yılda bire indirir.

Yeni ALE 40.000 TL olur. Kontrol 160.000 TL kayıp önler, 60.000 TL tutar. Net fayda 100.000 TL'dir ve ROSI yaklaşık %167 çıkar.

Nicel sonucun zayıf yanı girdileridir. ARO ve EF birer tahmindir; SP 800-30 da öznel yargılar sayıların içine gömülünce analizin sağlamlığının ciddi biçimde azaldığını söyler. Bu yüzden tek sayı verme, aralık ver. ARO için 0,15 ile 0,35 arasında bir değer bekliyorsan ALE 120.000 ile 280.000 TL arasında kalır.

Yönetime 'yaklaşık 200.000 TL, büyük olasılıkla bu aralıkta' demek savunulabilir bir cümledir. Tek bir kesin rakam ise sahte bir güven verir. Nicel hesap nitel matrisi ortadan kaldırmaz; ikisi birlikte kullanılır. Matris hızlı sıralama yapar, para hesabı pahalı kararları gerekçelendirir.

SLE            = 300.000 TL
ARO (önce)     = 0,5
Kontrol        : çok adımlı doğrulama, yıllık 30.000 TL
ARO (sonra)    = 0,1
ALE (sonra)    = ?

Puanlama tek kişinin kararına bırakılmaz. En az iki analist aynı riski ayrı ayrı puanlar. Olasılıkta ya da etkide fark 2 puan ve üstündeyse ekip bir kalibrasyon toplantısı yapar. Toplantıda herkes gerekçesini söyler ve ortak bir değere varılır.

Olasılığı sezgiye değil kanıta dayandır: son üç yıldaki olay sayısı, zafiyetin KEV kaydı, dış tehdit istihbaratı. NIST CSF 2.0 bunu bir yönetişim sonucu olarak yazar: riskleri hesaplamak, belgelemek, sınıflandırmak ve önceliklendirmek için standart bir yöntem kurulur ve herkese duyurulur (GV.RM-06). Aynı yöntem kullanılmazsa iki birimin puanları karşılaştırılamaz.

Kalibrasyonu bir örnekle gör. Analist A, web sitesindeki SQL enjeksiyonu riskine olasılık 4 verdi. Gerekçesi eksik girdi doğrulaması ve bu tür açıkların sektörde her yıl kullanılmasıydı.

Analist B 2 verdi, çünkü site bir web uygulama güvenlik duvarının arkasında duruyor. Fark 2 olduğu için toplantı yapılır. Ekip, güvenlik duvarının bu açığı gerçekten engelleyip engellemediğini test ortamında dener.

Test, kuralın bir atlatma yolunu kaçırdığını gösterirse ortak değer 4 olur. Ortalamayı alıp 3 demek kolaydır ama yanlıştır. Kalibrasyon ortalamayla değil, kanıtla karar verir.

Üç hata sık görülür. Birincisi ortaya yığılmadır. Kararsız kalan analist her şeye 3 verir, matrisin ortası dolar, öncelik kaybolur.

Her düzeyi somut örnekle tanımlamak bunu önler: 'Olasılık 4, son iki yılda sektörde en az bir kez yaşandı.' İkincisi etkiyi yalnız parayla ölçmektir. İtibar, müşteri güveni, yasal yükümlülük ve insan güvenliği de etkidir; bir kişisel veri ihlali Kişisel Verileri Koruma Kurulu'na bildirim ve müşteri kaybı getirir.

Üçüncüsü nicel sonucu kesin sanmaktır. ALE bir tahmindir, bir aralıkla sunulur. Bu üç hatayı kalibrasyon toplantısında ayrı bir gündem maddesi yapmak işe yarar.

NIST SP 800-30 değerlendirmeyi SP 800-39'dan gelen üç katmanda yürütür: organizasyon, iş süreci ve bilgi sistemi. Üst katmandaki karar alt katmandaki puanı etkiler. Yönetim kurulunun kabul ettiği risk iştahı, sistem düzeyindeki puanlamanın sınırını çizer.

Bir sistemdeki bulgu da yukarı taşınır ve kurum düzeyindeki tabloyu değiştirebilir. ISO/IEC 27005 ise belirleme, analiz ve değerlendirme adımlarını sıkı sıkıya ayırır. İki standart aynı sonuca farklı yoldan varır. Hangisini seçersen seç, olasılık ve etkiyi ayrı ayrı puanlamadan risk puanı üretemezsin.

Altay Kargo'nun sürücü uygulaması için aynı beş adımı çalıştır. Varlık, sürücü hesapları ve arkalarındaki V-01 API'sidir. Tehdit, sızmış parola listeleriyle hesap ele geçiren dolandırıcılardır. Zafiyet, sürücü girişinde çok adımlı doğrulamanın olmamasıdır.

Geçen yıl iki hesap ele geçirildiği için olasılık 4 alır. Ele geçirilen hesapla teslimat adresi değiştirilebildiği için etki de 4 alır. Puan 16 olur ve kritik banda düşer.

Beşinci adımda bu puan bir işleme kararına bağlanır; seçenekleri sonraki derste göreceksin. Sırayı karıştırırsan puan tutmaz ve üst yönetime yanlış öncelik sunarsın.