Olasılık ve etki

Açılış

Defne Hanım'ın bürosu yılın son çeyreğine geldiğinde güvenlik için ayırdığı bütçenin yalnız bir projeye yeteceği ortaya çıktı. Teknisyen masaya üç öneri koydu. Birincisi, büronun yedek cihazını yenilemekti; cihaz beş yaşındaydı. İkincisi, bütün çalışanlar için oltalamaya dayanıklı ikinci adım doğrulamaya geçmekti. Üçüncüsü, sunucu dolabının bulunduğu küçük odaya bir yangın algılama ve söndürme düzeni kurmaktı.

Defne Hanım sordu: "Hangisi en büyük risk?"

Teknisyen biraz düşündü. "Üçü de yüksek risk," dedi. Kıdemli çalışan, yangını en büyük risk olarak görüyordu: bir yangın büroyu tamamen kapatabilirdi. Stajyer, geçen ay yaşadıkları parola olayından sonra e-postayı öne çıkarıyordu. Teknisyen ise eski diskin her an bozulabileceğini söylüyordu.

Üç kişi, üç farklı "yüksek" diyordu ve üçü de haklı görünüyordu. Defne Hanım bir mali müşavirdi; rakamlarla karar vermeye alışkındı. Ama burada rakam yoktu, yalnız sıfatlar vardı. Sordu: "Bu üçünü aynı cetvelle nasıl ölçeriz?"

Tek fikir

Bir riskin büyüklüğü iki şeyden gelir: bir olayın belirli bir süre içinde gerçekleşme olasılığı ve gerçekleşirse doğuracağı zararın büyüklüğü. Bu iki boyut sözcüklerle, aralıklarla ya da sayılarla ölçülebilir; her yolun bir gücü ve bir tuzağı vardır.

Nasıl çalışır

Modül 1'de riski, bir tehdidin bir zafiyeti kullanarak bir varlığa zarar verme ihtimali olarak tanımlamıştık. Bu modül o tanımı bir yönetim aracına çeviriyor ve iki bileşeninden başlıyor.

Bu iki tanım, risk değerlendirmesi üzerine en çok başvurulan rehberlerden birinden gelir.

Rehberin olasılık tanımındaki son ayrıntı küçük görünür ama önemlidir: zaman dilimi. "Yangın olasılığı yüksek" demek anlamsızdır; "önümüzdeki on iki ay içinde yangın olasılığı" bir şey söyler. Zaman dilimi belirtilmeyen bir olasılık, herkesin kafasında farklı bir süreyle okunur.

Rehberin üç yaklaşımı, Defne Hanım'ın masasındaki üç "yüksek"i ayırmanın üç yoludur.

Nitel değerlendirmenin gücü iletişimdir: bir yöneticiye "yüksek" demek, bir olasılık dağılımı göstermekten kolaydır. Zayıflığı da masadaki sahnedir.

Nicel değerlendirme, seçenekler arasında maliyet ve fayda karşılaştırmasını en iyi destekleyen yaklaşımdır. Basit bir örnek, örnek sayılarla: bir olayın bir yıl içinde gerçekleşme olasılığı yüzde on ve gerçekleşirse zararı iki yüz bin lira ise, o riskin yıllık beklenen kaybı yirmi bin liradır. Bunu önleyecek bir önlemin yıllık maliyeti beş bin liraysa, karar açıktır. Ama NIST aynı yerde bir uyarı yapar: sayıların içine gömülmüş öznel kararlar ya da değerleri çevreleyen büyük belirsizlik, nicel değerlendirmenin titizliğini önemli ölçüde azaltır. Yüzde on rakamı bir tahminse, sonuç da bir tahmindir; yalnız daha kesin görünür.

Yarı nicel yaklaşım iki dünyanın ortasında durur: sayılar sıralama yapmayı kolaylaştırır, aralıklar ise "doksan beş çok yüksektir" gibi sözcüklere kolayca çevrilir. Ama bu sayılar gerçek olasılıklar ya da gerçek liralar değildir; yalnız o tablonun içinde bir anlam taşırlar.

Sahada

Savunma

Bu dersin savunması, kararların nasıl verildiğiyle ilgilidir; bir saldırıya değil, yanlış önceliğe karşıdır. Yanlış ölçülmüş bir risk, bütçeyi küçük bir tehdide harcatır ve büyük olanı açık bırakır.

Önleme açısından ilk kural, ölçeği önceden tanımlamaktır. Hem olasılık hem etki için her düzeyin ne anlama geldiği yazılır ve somut örneklerle desteklenir: "yüksek etki" bürodan ne kadar süre çalışamamak, ne kadar müşteri kaybetmek, hangi yasal yükümlülüğü yerine getirememek demektir? Bora'nın hastanesindeki tablo, iki ekibin aynı sözcüğü aynı anlamda kullanmasını sağladı.

İkinci kural, her olasılığa bir zaman dilimi vermektir. Önümüzdeki on iki ay, çoğu küçük kurum için iyi bir başlangıçtır; büyük ve yavaş değişen riskler için daha uzun bir süre seçilebilir. Önemli olan, aynı tablodaki bütün olasılıkların aynı süreye göre verilmesidir.

Üçüncü kural, her değerin gerekçesini yazmaktır. NIST'in önerdiği budur ve Kaan'ın listesinde görüldüğü gibi, gerekçeyi yazmak bazen değerin kendisini değiştirir. Gerekçe, bir yıl sonra değerlendirmeyi yeniden yapan kişiye, neyin değiştiğini görme imkânı da verir.

Dördüncü kural, sayılara sayı oldukları için güvenmemektir. Nicel ve yarı nicel değerlendirmeler kesin görünür ama içlerindeki tahminler kadar güvenilirdir. Selin'in ekibinin eklediği güven sütunu, bir sayının nereden geldiğini görünür kılar.

Uygulama

Kendi kişisel verilerin ve hesapların için dört riski olasılık ve etkiyle değerlendireceksin.

Sıralamanın sonucu seni şaşırtabilir; şaşırtmıyorsa, gerekçe sütununa bir kez daha bak.

Defter: Risk bölümüne olasılık ve etki ölçeği, dört riskin değerleri ve gerekçeleri, puan sıralaması ve bir riskin nicel tahmini ile güven notu. Değerlendirmenin yeniden yapılacağı tarih.

Hata köşesi

Etik ve sınırlar

Bir risk değerlendirmesi, bir kurumun en zayıf noktalarının listesidir; bu yüzden kendisi de korunması gereken bir belgedir ve yalnız işi gereği bilmesi gerekenlerle paylaşılır. Başka bir kurumun riskini, onun yetkilisinin izni ve görevlendirmesi olmadan değerlendirmek, ona dair bilgi toplamak ya da sonuçları yaymak, iyi bir güvenlik alışkanlığı değil yetkisiz bir işlemdir. Değerlendirmenin içinde de bir dürüstlük yükümlülüğü vardır: bir riski bütçe almak için şişirmek ya da bir sorumluluğu üstlenmemek için küçültmek, kararı verecek kişiyi yanıltır. Defne Hanım'ın masasındaki üç "yüksek" ancak her biri dürüstçe ve gerekçesiyle ölçüldüğünde karşılaştırılabilir hâle geldi. Bu dersteki değerlendirme, okurun yalnız kendi verisi ve hesapları üzerinde yapılır.

Kapanış

1. Bir riskin büyüklüğü iki boyuttan gelir: bir tehdit olayının belirli bir zaman dilimi içinde gerçekleşme olasılığı ve gerçekleşirse doğuracağı zararın büyüklüğü olan etki.
2. Değerlendirme üç yolla yapılır: nitel düzeyler iletişimi kolaylaştırır ama tanımsız bırakılırsa herkes farklı okur; nicel sayılar maliyet ve fayda karşılaştırmasını destekler ama içlerindeki tahminler kadar güvenilirdir; yarı nicel ölçekler ikisinin arasında durur.
3. Bir değerlendirmeyi güvenilir kılan dört kural, ölçeği önceden tanımlamak, her olasılığa aynı zaman dilimini vermek, her değerin gerekçesini yazmak ve sayılara sayı oldukları için güvenmemektir.

Üç soru

1. Defne Hanım'ın masasındaki üç kişi neden aynı üç riske farklı "yüksek" değerleri verebildi?
2. Kaan'ın ilk olasılık listesinde ne eksikti ve gerekçeleri yazmak listeyi nasıl değiştirdi?
3. Nicel değerlendirmede yıllık beklenen kayıp nasıl hesaplanır ve bu hesabın sınırı nedir?

Yanıtlar

1. "Yüksek" tanımlanmamıştı; her biri kendi deneyimine ve kaygısına göre okuyordu. NIST, değerler açıkça tanımlanmadıkça ya da örneklerle desteklenmedikçe farklı uzmanların farklı sonuçlara varabileceğini yazar. Ortak bir ölçek ve her değerin gerekçesi, üç "yüksek"i karşılaştırılabilir kılar.
2. Hiçbir olasılığın bir zaman dilimi yoktu; NIST olasılığın her zaman belirli bir süreye göre değerlendirilmesini ister. Kaan tahminlerini önümüzdeki on iki ay için yeniden yazıp her birinin dayanağını ekleyince, bir "yüksek" değerin dayanağı zayıf çıktı ve "orta"ya indi.
3. Bir olayın bir yıl içindeki gerçekleşme olasılığı, gerçekleşirse doğuracağı zararla çarpılır; yüzde on olasılık ve iki yüz bin liralık zarar, yıllık yirmi bin liralık beklenen kayıp verir. Sınırı, sayıların içindeki tahminlerdir: NIST, öznel kararların ve belirsizliğin nicel değerlendirmenin titizliğini önemli ölçüde azalttığını söyler; sonuç ancak girdiler kadar güvenilirdir.

Sonraki derse köprü

Bu derste riskleri ölçmeyi öğrendik; ama ölçülecek riskler, önce neyi koruduğumuzu bilmemize bağlıdır. Varlık envanteri dersi buna bakıyor: bir kurumun donanımını, yazılımını, verisini ve insanlarını listelemenin neden her risk çalışmasının ilk adımı olduğunu ve bilmediğin bir şeyi neden koruyamayacağını ele alıyor.