Risk işleme seçenekleri

Önceki derste sipariş sistemi için yıllık 200.000 TL'lik bir kayıp beklentisi hesapladın. Puan ve para tek başına hiçbir şeyi düzeltmez.

Sırada karar var: bu riskle ne yapacaksın? Karar verilmeyen risk kayıtta bekler ve her çeyrek aynı toplantıda yeniden konuşulur. Altay Kargo'nun CISO'su toplantıya üç soruyla geliyor.

Hangi seçenek riski iştahın altına indirir? Geriye ne kadar risk kalır ve onu kim imzalar? Bütçe kısıtlıysa hangi seçenek parayı en iyi kullanır? Bu soruların yanıtı dört işleme seçeneğinde, kalan risk hesabında ve yazılı bir işleme planında durur.

Puanı aldıktan sonra ekibin dört seçeneği var: riski azaltmak, riski kabul etmek, riskten kaçınmak, riski paylaşmak. ISO/IEC 27005 bu dördünü geleneksel olarak risk değiştirme, risk tutma, risk kaçınma ve risk paylaşma diye adlandırır. ISO 31000 aynı seçenekleri daha ayrıntılı sayar: risk kaynağını kaldırmak, olasılığı değiştirmek ve sonucu değiştirmek orada ayrı maddelerdir.

NIST SP 800-39 ise kabul, kaçınma, azaltma, paylaşma ve devretme fiillerini kullanır. İsimler farklı, seçim mantığı aynı: maliyet ile kalan riski karşılaştırırsın. Aynı puana sahip iki risk bile farklı seçenekle kapanabilir, çünkü kontrolün maliyeti ve uygulama süresi riskten riske değişir.

Azaltma, zafiyeti kapatan ya da etkiyi küçülten bir kontrol eklemektir. Girdi doğrulama eklemek SQL enjeksiyonu riskini azaltır ama sıfırlamaz; kalan miktar kalan risktir. Kabul, riski bilerek taşımaktır; puan düşükse ya da kontrol maliyeti riskten pahalıysa ekip bunu seçer. Kaçınma, riski doğuran işi bırakmaktır; Altay Kargo güvenliği sağlanamayan bir üçüncü taraf entegrasyonundan vazgeçerse kaçınmayı seçmiş olur.

Paylaşma, sonucun bir kısmını başka bir tarafa kaydırmaktır; sigorta ve sözleşmeyle sağlayıcıya devredilen sorumluluk bu gruba girer. Paylaşma riski yok etmez, faturanın bir kısmını başka bir cebe taşır. Fırsatlar, yani olumlu riskler için ayrı fiiller vardır. NIST IR 8286 bunları fırsatı yakalamak (realize), paylaşmak, büyütmek ve kabul etmek diye sayar.

Seçimi anlamak için üç kavramı ayır. Doğal risk (inherent risk), yönetimin hiçbir önlem almadığı durumdaki risktir. Kontrol etkinliği, eklenen önlemin riski ne kadar düşürdüğüdür.

Kalan risk (residual risk) ise önlemler uygulandıktan sonra geriye kalan kısımdır. Bazı GRC araçları bunu basit bir modelle hesaplar: kalan risk = doğal risk x (1 - kontrol etkinliği). Sipariş sisteminin doğal risk puanı 20 olsun.

EDR ve değiştirilemez yedeğin etkinliği %60 ise kalan risk 20 x 0,4 = 8 olur. Kalan risk, risk iştahının altına inerse kayıt kapanır ve izlemeye alınır. Üstünde kalırsa ek kontrol ya da başka bir seçenek gerekir.

Seçim rastgele yapılmaz. Ekip önce kontrolün maliyetini, sonra azalacak puanı hesaplar. Kontrol riskten pahalıysa kabul mantıklı olur; ucuzsa azaltma tercih edilir. Bu kararın sınırını risk iştahı çizer.

NIST sözlüğü risk iştahını, kurumun değer yaratırken kabul etmeye razı olduğu riskin türü ve miktarı diye tanımlar. Risk toleransı ise kurumun bir hedefe ulaşmak için, önlemlerden sonra geriye kalan riski taşımaya ne kadar hazır olduğudur.

Altay Kargo'nun yönetim kurulu risk iştahını baştan belirler; ekip her riski bu çizgiyle karşılaştırır. Çizginin üstündeki risk azaltılır, kaçınılır ya da paylaşılır; altındakiler çoğunlukla kabul edilir. Sınırı yalnız yönetim kurulu değiştirebilir; ekip kendi kararıyla yukarı çekemez.

Seçilen seçenek tek başına yeterli değildir; bir plana bağlanmalıdır. ISO/IEC 27001:2022'nin 6.1.3 maddesi bu adımı sıralar.

Kurum önce işleme seçeneklerini seçer ve gereken kontrolleri belirler. Sonra bu kontrolleri Ek A listesiyle karşılaştırır ve gerekli bir kontrolün atlanmadığını görür. Ardından Uygulanabilirlik Bildirgesi'ni hazırlar ve bir risk işleme planı yazar.

Son adımda risk sahiplerinden iki onay alır: planın onayı ve kalan riskin kabulü. Kalan riski kabul eden kişi GRC analisti değil, risk sahibidir. Denetçi de önce bu imzayı arar.

NIST dünyasında aynı belgenin adı eylem ve kilometre taşları planıdır (POA&M). NIST sözlüğü onu yapılacak görevleri, gereken kaynakları, ara hedefleri ve bitiş tarihlerini gösteren araç diye tanımlar. CSF 2.0 da risk yanıtlarının seçilmesini, önceliklendirilmesini, planlanmasını, izlenmesini ve duyurulmasını ister (ID.RA-06).

Bir plan satırı en az beş alan taşır: eylem, sahip, bütçe, bitiş tarihi ve doğrulama yöntemi. Doğrulama yöntemi en çok unutulan alandır. Eylemin bittiğini kimin, hangi kanıtla göstereceğini yazmazsan 'tamamlandı' kelimesi boş kalır.

Plan  Risk  Eylem                           Sahip              Bütçe      Bitiş       Doğrulama
P-01  R-03  EDR'yi tüm sunuculara yay       BT altyapı müdürü  45.000 TL  2026-11-30  EDR konsolunda kapsama %100
P-02  R-03  Değiştirilemez yedek kur        BT altyapı müdürü  15.000 TL  2026-12-15  Çeyreklik geri yükleme tatbikatı

Şimdi seçenekleri aynı risk üzerinde parayla karşılaştır. Önceki dersteki fidye yazılımı senaryosunu kullan: SLE 800.000 TL, ARO 0,25, ALE 200.000 TL. Azaltma için EDR ve değiştirilemez yedek yılda 60.000 TL tutar ve ARO'yu 0,05'e indirir. Paylaşma için bir siber sigorta teklifi var: yıllık prim 45.000 TL, olay başına muafiyet 100.000 TL.

Muafiyet, her olayda zararın kurumun kendi cebinden çıkan ilk kısmıdır. Poliçe limitinin bu senaryodaki zararı karşıladığını varsay. Aşağıdaki tablo her seçeneğin yıllık toplam maliyetini gösterir.

Seçenek              Yıllık gider   Kurumda kalan beklenen kayıp      Toplam
Kabul                0 TL           0,25 x 800.000 = 200.000 TL       200.000 TL
Azaltma              60.000 TL      0,05 x 800.000 =  40.000 TL       100.000 TL
Paylaşma (sigorta)   45.000 TL      0,25 x 100.000 =  25.000 TL        70.000 TL
Azaltma + paylaşma   105.000 TL     0,05 x 100.000 =   5.000 TL       110.000 TL

Tabloyu satır satır oku. Kabulde gider yoktur, ama yılda ortalama 200.000 TL kayıp beklenir. Azaltmada gider 60.000 TL'dir ve olay yirmi yılda bire düşer.

Paylaşma ilk bakışta en ucuz seçenektir: 70.000 TL. Ama olay sıklığı değişmez; dört yılda bir sipariş sistemi yine kilitlenir, müşteriler yine bekler. Son satır iki seçeneği birleştirir.

Toplam 110.000 TL'dir ve hem sıklık hem kurumda kalan kayıp düşer. Altay Kargo son satırı seçti. Gerekçesi şudur: tabloda görünmeyen itibar kaybı sigortayla geri gelmez. Ayrıca sigortacı poliçe şartı olarak zaten çok adımlı doğrulama ve yedek kanıtı istiyor.

Paylaşmayı sorumluluktan kurtulmak sanma. NIST IR 8286 bunu açıkça yazar: finansal sonucun bir kısmı devredilebilir, ama müşteri güveni gibi sonuçlar devredilemez. İdari para cezasının karşılanıp karşılanmayacağı poliçe metnine ve hukuka bağlıdır. Yasal yükümlülük de kurumda kalır; kişisel veri ihlalini Kişisel Verileri Koruma Kurulu'na bildirmek veri sorumlusunun görevidir, sigortacının değil.

Her risk bu kadar ayrıntılı hesap istemez. Altay Kargo'nun muhasebe veri tabanı riski yüksek puan aldı ve geçen ay bir sızıntı denemesiyle gündeme geldi. Rol bazlı erişim kontrolü gibi ucuz bir kontrol varsa karar birkaç dakikada verilir.

Tabloda kaçınma yok, çünkü sipariş sistemini kapatmak işi kapatmak demektir. NIST IR 8286'ya göre riski uygun maliyetle kabul edilebilir düzeye indirecek bir yol yoksa kaçınma en iyi seçenek olabilir. Belge vazgeçilen fırsatın bedelini de hesaba katmayı ister.

Altay Kargo'nun güvensiz bir entegrasyondan vazgeçmesi mantıklıdır, çünkü o entegrasyon gelirin küçük bir parçasıdır. Sipariş sistemi ise gelirin kendisidir. Kaçınma, riski doğuran iş vazgeçilebilir olduğunda anlam taşır.

Kabul de bir karardır ve belgelenir. Belgesiz kabul, fark edilmemiş riskten farksızdır; denetçi ikisini aynı bulgu olarak yazar. Kabul kaydında dört alan bulunur: risk sahibinin imzası, geçerlilik süresi, varsa telafi edici kontrol ve yeniden değerlendirme tarihi. Depo elektrik kesintisi riski buna iyi bir örnektir.

Puanı düşük çıktı, jeneratör kurmanın maliyeti ise yüksek. Depo operasyon müdürü riski bir yıllığına kabul eder ve imzalar. Bir yıl sonra fiyatlar ya da iş hacmi değişmişse karar yeniden açılır. Süresiz kabul yoktur, çünkü ne risk ne de işletme yerinde durur.

İSTİSNA KAYDI     IST-2026-07
Risk              R-14  Eski depo yönetim sistemi yamalanamıyor
Sapılan kural     Politika 4.2: kritik yama 30 gün içinde uygulanır
Gerekçe           Üretici desteği bitti, yeni sistem Mart 2027'de devreye girer
Telafi edici      Ayrı VLAN; yalnız 10.20.0.0/24 depo yönetim ağından erişim;
kontrol           başka ağdan gelen her bağlantı denemesine SIEM uyarısı
Süre              90 gün (bitiş 2026-12-28)
Onay              Risk sahibi: Depo operasyon müdürü; CISO
Yeniden bakış     2026-12-15

Kaydı satır satır oku. IST-2026-07, eski depo yönetim sisteminin kritik yama kuralından sapmasını kaydeder. Üretici desteği bitmiştir, sistem yamalanamaz.

Yeni sistem gelene kadar ekip telafi edici kontrol kurar. NIST sözlüğü telafi edici kontrolü, temel kontrolün yerine uygulanan ve eşdeğer ya da yakın koruma sağlayan önlem diye tanımlar. Burada üç önlem var.

Sistem ayrı bir sanal ağa (VLAN) alınır. Güvenlik duvarı yalnız 10.20.0.0/24 ağından gelen trafiği kabul eder. SIEM'de de başka bir ağdan gelen her bağlantı denemesi için uyarı kuralı çalışır. Süre 90 gündür ve bitişten önce yeniden bakılır.

İstisna ile muafiyeti karıştırma. İstisna (exception), belirli bir varlık ya da durum için politikadan geçici sapmadır. Süreli ve gerekçelidir, çoğu zaman telafi edici kontrolle gelir.

Süre dolunca ya kapanır ya da yeniden onaylanır. Muafiyet (exemption) ise bir gerekliliğin o kapsam için hiç uygulanmamasıdır. Genelde daha kalıcıdır ve daha üst bir makam verir: politikanın sahibi ya da düzenleyici kurum.

Örneğin hiç kart verisi işlemeyen bir birim, kart verisi kuralından muaf tutulabilir. CSF 2.0 da değişikliklerin ve istisnaların yönetilmesini, risk etkisinin değerlendirilmesini, kaydedilip izlenmesini ister (ID.RA-07).