Risk kaydı ve yönetişim rolleri

Önceki derste bir riski nasıl ele alacağına karar verdin. Kararı kâğıtta bırakırsan iş biter mi? Bitmez; kararı bir kayda yazman, birine sorumluluk vermen ve düzenli gözden geçirmen gerekir. Bu kaydın adı risk kaydıdır.

Risk kaydı, kurumun tüm risklerini tek yerde tutan yaşayan bir belgedir. Altay Kargo'nun GRC ekibi her riski buraya yazar, her toplantıda günceller.

Kayıt olmadan hangi riskin çözüldüğünü, hangisinin beklediğini kimse hatırlamaz. Ekip her çeyrekte bu kaydı yönetim kuruluna sunar. Kayıt eksikse toplantı yarım kalır, çünkü kimse hangi riskin kapandığını doğrulayamaz.

Risk kaydının sabit sütunları vardır. Kimlik numarası her riski tekil işaretler. Tanım, riski tek cümlede anlatır.

Varlık, tehdit ve zafiyet sütunları önceki derslerde öğrendiğin üçlüyü taşır. Olasılık ve etki puanları risk puanını üretir. İşleme sütunu hangi seçeneğin seçildiğini yazar: azaltma, kabul, kaçınma, paylaşma.

Sahip sütunu, kararı uygulamaktan sorumlu kişinin adını taşır. Durum sütunu riskin açık mı kapalı mı olduğunu gösterir. Son gözden geçirme tarihi, kaydın ne zaman güncellendiğini kanıtlar. Bazı kurumlar buna bir de ilgili kontrol sütunu ekler; bu sütun Ek A'daki hangi kontrolün seçildiğini işaret eder ve bir sonraki modülde bunu göreceksin.

NIST IR 8286 Rev. 1 aynı işi bir siber güvenlik risk kaydı şablonuyla anlatır. Şablonda kimlik, öncelik, risk tanımı ve risk kategorisi vardır. Tanım ortak bir kalıpla yazılır: her senaryoda tehdit, varlık, yöntem ve etki geçer.

Kategori benzer riskleri bir araya toplar; belge buna örnek olarak SP 800-53 kontrol ailelerini verir. Ardından güncel değerlendirme gelir: olasılık, etki ve ikisinin birleşimi olan maruziyet derecesi. SP 800-30 aynı birleşime risk düzeyi der.

Son alanlar yanıt türü, yanıt maliyeti, yanıt açıklaması, risk sahibi ve durumdur. Belge bir noktanın altını çizer: şablon tek bir anı gösterir. Kayıt ancak tutarlı biçimde ve düzenli aralıklarla güncellenirse işe yarar.

ID    Önc.  Tanım (X olursa Y olur)                          Kat.  O  E  Puan  Yanıt    Sahip                  Durum    Son bakış
R-03  1     Fidye yazılımı sipariş sistemini kilitlerse,     CP    4  5  20    Azaltma  BT altyapı müdürü      Açık     2026-09-15
            teslimat iki gün durur
R-09  2     Sürücü hesabı ele geçirilirse teslimat adresi    IA    4  4  16    Azaltma  Mobil ekip lideri      Açık     2026-09-10
            değiştirilir, kargo kaybolur
R-14  3     Eski depo sistemi yamalanamazsa iç ağdan          SI    3  3   9    Kabul    Depo operasyon müdürü  İstisna  2026-09-01
            ele geçirilebilir

KRI (R-03): yamasız kritik sunucu sayısı 5'i aşarsa sarı alarm, 10'u aşarsa kırmızı alarm

Kaydı satır satır oku. Her tanım 'X olursa Y olur' kalıbındadır; tehdit, varlık ve etki aynı cümlede durur. Kategori sütunundaki CP olağanüstü durum planlamasını, IA kimlik tespiti ve doğrulamayı, SI sistem ve bilgi bütünlüğünü gösterir. Böylece aynı aileden riskler kurum düzeyinde kolayca toplanır.

R-03 ile R-09 kritik banttadır ve öncelik sırası puana göre verilmiştir. R-14'ün durumu İstisna'dır; önceki derste gördüğün IST-2026-07 kaydına bağlanır.

Sahip sütununda ekip adı değil, unvanıyla bir kişi yazar. En alttaki satır R-03 için bir anahtar risk göstergesi (KRI) tanımlar. Bu gösterge, puan değişmeden önce riskin büyüdüğünü haber verir.

Kaydı dolduran kişiyle kararı veren kişi genelde farklıdır. Yönetim kurulu, kurumun ne kadar risk taşıyabileceğine karar verir; buna risk iştahı denir. Risk sahibi, belirli bir riskin sonucundan hesap veren kişidir; genelde ilgili birimin yöneticisidir. GRC fonksiyonu risk kaydını tutar, puanlama yöntemini standart tutar, yönetim kuruluna özet rapor sunar.

Risk sahibi karar almaz demek değildir; günlük kontrolü o yürütür, GRC fonksiyonu bunu doğrular. Roller karışırsa hesap verebilirlik kaybolur. Bu üç rol aynı kişide toplanırsa denge de bozulur; kararı veren kişi kendi kararını kendisi denetlemiş olur. Altay Kargo bu yüzden risk sahipliğini iş birimlerinde, gözetimi ise ayrı bir GRC biriminde tutar.

Rolleri netleştirmenin pratik aracı RACI tablosudur. R (Responsible) işi yapan kişidir. A (Accountable) sonuçtan hesap veren ve son onayı verendir. C (Consulted) görüşü alınan, I (Informed) sonuçtan haberdar edilen kişidir.

Kural basittir: her işin tek bir A'sı olur. İki A varsa kimse hesap vermez, hiç A yoksa iş sahipsiz kalır. NIST CSF 2.0 da aynı ilkeyi yönetişim sonucu olarak yazar: kurumun liderliği siber güvenlik riskinden sorumludur ve hesap verir.

Rol, sorumluluk ve yetkiler kurulur, duyurulur ve uygulanır. Aşağıdaki tablo Altay Kargo'nun risk kaydı işlerini dağıtır.

İş                           GRC analisti  CISO  Risk sahibi  Yönetim kurulu  İç denetim
Kaydı güncellemek            R             A     C            I               -
Kalan riski kabul etmek      C             C     A/R          I               -
Risk iştahını belirlemek     -             C     -            A/R             I
Kaydı bağımsız denetlemek    C             C     C            I               A/R

Roller genelde üç hat modeliyle anlatılır. Modelin sahibi İç Denetçiler Enstitüsü'dür (IIA). Model 2020'de Üç Hat Modeli adını aldı.

IIA, Temmuz 2026'da yayımladığı tutum belgesiyle modeli yeniden düzenledi ve 2020 belgesinin yerine koydu; çekirdek yapı aynı kaldı. Yönetim kurulu yön verir, risk iştahını belirler ve gözetir.

Birinci hat, işi yürüten operasyon yönetimidir. Riskin günlük sahibidir, süreçleri ve kontrolleri tasarlar ve işletir. İkinci hat risk, uyum ve güvenlik gibi alanlarda uzman desteği verir, birinci hattı izler ve sorgular.

Üçüncü hat iç denetimdir. Yönetim kuruluna işlevsel olarak bağlanır, bağımsız ve nesnel güvence verir, gerektiğinde danışmanlık yapar. Dış denetçi ve düzenleyici gibi dış güvence sağlayıcılar ise üç hattın parçası sayılmaz.

Modeli Altay Kargo'ya yerleştir. Web ekibi birinci hattadır: SQL enjeksiyonuna karşı girdi doğrulamasını o yazar ve riski o sahiplenir. GRC birimi ikinci hattadır: puanlama yöntemini belirler, kaydı tutar, web ekibinin kontrolünü sorgular.

İç denetim üçüncü hattadır ve bulgularını doğrudan yönetim kurulunun denetim komitesine sunar. ISO 27001 belgelendirme denetçisi dış güvence sağlayıcıdır. Hatlar birbirinin yerine geçmez, birbirini tamamlar.

Görevler bu kadar net ayrılınca bir sorun çıktığında hangi hattın neyi kaçırdığı kolayca izlenir. Küçük kurumlar iç denetim işini dış bir firmaya da yaptırabilir. 2026 belgesi burada net bir kural koyar: işi dışarıya vermek, işin hangi hatta durduğunu da yönetim kurulunun hesap verme sorumluluğunu da değiştirmez.

Kayıt statik durmaz. Altay Kargo'da yüksek puanlı riskler ayda bir, düşük puanlılar çeyrekte bir gözden geçirilir. Gözden geçirilmeyen kayıt eskir; puan değişmiş olabilir ama kimse fark etmez.

Kabul edilen riskler de izlenir, çünkü iştahın içinde kaldıklarını ancak ölçerek bilirsin. Kayıt tek düzeyde de kalmaz. NIST SP 800-39'un organizasyon, iş süreci ve bilgi sistemi katmanları burada işe yarar.

NIST IR 8286C bu yukarı taşıma işini anlatır. Sistem kayıtları birim kaydında, birim kayıtları kurum kaydında toplanır ve ortak bir ölçeğe çevrilir. Toplanan her risk kaynak kimliğini korur: A sisteminin 1 numaralı riski A-1 diye etiketlenir ve geriye izlenebilir.

Toplama sırasında sık bir durumla karşılaşırsın: aynı risk iki birimde farklı yanıt almıştır. Depo birimi riski azaltmış, muhasebe birimi kabul etmiştir. IR 8286C iki yol önerir. Birleşik risk her yanıt için ayrı bir satırda gösterilir ya da tek satırda iki yanıt birlikte yazılır.

Fark tek başına hata değildir, çünkü bağlam farklı olabilir. Ama nedeni anlaşılır ve kayda geçer. Kurum kaydındaki anahtar riskler sonunda kurumsal risk profiline girer. Yönetim kurulunun gördüğü tablo budur.

Kaydı canlı tutan araç göstergedir. Anahtar risk göstergesi (KRI), riskin yükseldiğini önceden haber veren ölçüdür. NIST IR 8286 öncü göstergelere bir örnek verir: dışarıdan gelen keşif taramalarının artması, yaklaşan bir saldırının işareti olabilir. Anahtar performans göstergesi (KPI) ise bir sürecin hedefe ne kadar iyi hizmet ettiğini ölçer.

Kritik yamaların 30 gün içinde uygulanma oranı bir KPI'dır. Göstergenin yanına eşik ve tetik yazılır. R-03'ün KRI'sı şöyledir: yamasız kritik sunucu sayısı 5'i aşarsa sarı alarm, 10'u aşarsa kırmızı alarm verilir. Kırmızıda risk sahibi 48 saat içinde bir eylem planı sunar.

Yönetim kurulu teknik ayrıntı değil, karar ister. Çeyreklik raporda üç parça bulunur. Birincisi ısı haritasıdır: riskler olasılık ve etki eksenlerinde renkli hücrelere yerleşir. İkincisi eğilimdir: R-03'ün puanı geçen çeyrek 20 iken bu çeyrek 12'ye indiyse bu düşüş rapora yazılır.

Üçüncüsü karar listesidir: risk iştahının üstünde kalan riskler, geciken planlar ve onay bekleyen kabuller. Kurul bu listeye bakarak bütçe ayırır ya da iştahı yeniden tartışır. Rapor her çeyrek aynı biçimde hazırlanırsa kurul değişimi bir bakışta görür.

Kaydı nerede tutacaksın? Küçük bir ekip için tablo dosyası ve sürüm kontrolü yeter. Kayıt bir CSV dosyasında durur, her değişiklik git ile kaydedilir. Kim, neyi, ne zaman ve neden değiştirdi sorusunun yanıtı böylece kendiliğinden birikir.

Zayıf yanı iş akışıdır: hatırlatma, onay adımı ve rapor paneli yoktur. Kurum büyüdükçe bir GRC aracına geçilir. CISO Assistant, SimpleRisk ve eramba gibi açık kaynak ya da ücretsiz sürümü olan araçlar risk kaydını, kontrol kataloğunu, hatırlatmaları ve onay akışını tek yerde toplar. NIST IR 8286 da kaydın tablo dışında JSON gibi makine okunur biçimde tutulabileceğini söyler.

$ git log --oneline -- risk-kaydi.csv
4f2a9c1 R-03: EDR kapsaması %100 oldu, puan 20'den 12'ye indi
b71e0d4 R-14: istisna IST-2026-07 bağlandı, sahip depo operasyon müdürü
9c3d552 R-21: risk kapandı, satır arşiv sayfasına taşındı

Çıktıyı satır satır oku. İlk satır, kaydın hangi dosyada tutulduğunu ve yalnız o dosyanın geçmişinin istendiğini gösterir. 4f2a9c1 değişikliği R-03'ün puanının neden düştüğünü yazar: EDR bütün sunuculara yayıldı. b71e0d4, R-14'ü önceki dersteki istisna kaydına bağlar ve sahibini belirtir.

9c3d552 kapanan R-21'in silinmediğini, arşive taşındığını gösterir. Arşiv önemlidir. Bir yıl sonra denetçi bu riskin neden kapandığını sorarsa kanıt oradadır. Silinen satır ise geçmiş kararın kanıtını da götürür.