Riskle ne yapılır?

Açılış

Risk tablosu senaryolarla yeniden yazıldıktan sonra Defne Hanım'ın masasında üç büyük risk kalmıştı: büro e-postasına bir yabancının girip sahte ödeme talimatı göndermesi, fidye yazılımının muhasebe arşivini şifrelemesi ve sunucu dolabının bulunduğu odada çıkabilecek bir yangın. Bütçe hâlâ yalnız birine yetiyordu.

Ertesi gün bir sigorta acentesi aradı. Büronun işyeri sigortasını yenileme zamanı gelmişti ve acente bir teklif daha getirmişti: siber sigorta. "Fidye yazılımı, veri sızıntısı, sahte ödeme," dedi, "hepsi teminat altında. Başınıza ne gelse biz öderiz."

Defne Hanım teklifi masaya koydu. Kıdemli çalışan rahatlamıştı: o zaman ikinci adım doğrulamaya, yedeklere, yangın düzenine para harcamaya gerek yoktu. Teknisyen ise kaşlarını çattı.

Defne Hanım ikisine de baktı ve bir soru sordu: "Bir riski ortadan kaldırmak, birine devretmek ve olduğu gibi kabul etmek arasındaki fark ne? Ve bu üç riskin her biri için hangisini seçmeliyiz?"

Tek fikir

Ölçülmüş bir riskin karşısında dört yol açılır: onu küçültmek, yükünü başka bir kurumla bölüşmek ya da ona devretmek, gerekçesini yazarak taşımak ve onu doğuran işi hiç yapmamak. Sigorta bir aktarım aracıdır; zararın parasını taşır ama olayın olma ihtimalini ve olduğunda doğurduğu zararı azaltmaz.

Nasıl çalışır

Önceki ders riski ölçmeyi ve senaryo olarak yazmayı anlattı. Ölçümün tek amacı karar vermektir; bu ders o kararın seçeneklerine bakıyor.

Bu dört seçeneğin her birinin ne zaman uygun olduğunu, kurumların bilgi güvenliği riskini nasıl yöneteceğini anlatan bir başka NIST yayını açıkça yazar.

Dört yanıtı, Defne Hanım'ın üç riski üzerinden okuyalım.

Azaltmak, riskin olasılığını ya da etkisini düşüren önlemleri almaktır. E-posta hesabına oltalamaya dayanıklı ikinci adım eklemek, sahte ödeme talimatı riskinin olasılığını düşürür; ödeme talimatlarını telefonla doğrulama kuralı, etkisini düşürür.

Kaçınmak, riski doğuran etkinliği ya da düzeni değiştirmektir. Muhasebe arşivinin her gün bütün çalışanların bilgisayarından erişilebilir bir paylaşımda durması fidye yazılımı riskini büyütüyorsa, arşivi yalnız ihtiyacı olanların erişebildiği bir yere taşımak, riskin bir kısmından kaçınmaktır.

Kabul etmek, bir riski bilerek ve yazılı olarak olduğu gibi bırakmaktır. Bir riskin kabul edilip edilemeyeceğini belirleyen şey kurumun toleransıdır.

Paylaşmak ya da aktarmak, riskin sorumluluğunu ya da parasal yükünü başka bir kuruma kaydırmaktır.

Sigorta tam olarak budur. Ama NIST'in vurguladığı gibi, sigorta bir saldırının olmasını engellemez ve olduğunda büronun işini durdurmasını da engellemez; yalnız sonrasında parasal zararın bir kısmını karşılar.

Acentenin "başınıza ne gelse biz öderiz" cümlesi, bu rehberin iki sorusuyla sınanmalıdır: poliçe neyi kapsamıyor, ve ödeme için büronun hangi önlemleri almış olması gerekiyor?

Sahada

Savunma

Risk yanıtı seçmek, bir kurumun güvenlik bütçesini ve dikkatini nereye harcayacağına karar vermektir. Yanlış seçilmiş bir yanıt, en büyük riski açık bırakır.

Önlemenin başı, her riske açıkça bir yanıt yazmaktır. "Bakarız" bir yanıt değildir; yazılmamış bir yanıt, fiilen sessiz bir kabuldür ve kimse onu kabul ettiğini bilmez.

İkinci kural, yanıtı toleransa göre seçmektir. Toleransın içindeki bir risk kabul edilebilir; dışındaki bir risk azaltılır, kaçınılır ya da aktarılır. Toleransı belirlemek ise teknisyenin değil, yönetimin işidir; Defne Hanım'ın bürosunda bu karar Defne Hanım'a aittir.

Üçüncü kural, sigortayı doğru yere koymaktır. Sigorta, azaltılmış ama yine de kalan riskin parasal yükünü taşımak için iyi bir araçtır; azaltmanın yerine geçmez. NCSC'nin rehberinin önerdiği gibi, poliçe almadan önce mevcut işyeri poliçesinin siber zararları kapsayıp kapsamadığına, yeni poliçenin neyi dışarıda bıraktığına ve tazminat için hangi önlemlerin yerinde olması gerektiğine bakılır. Bir poliçe, temel önlemleri almamış bir kuruma ödeme yapmayabilir; bu durumda azaltma, sigortanın da ön koşulu olur.

Dördüncü kural, kaçınmayı unutmamaktır. Riskle başa çıkmanın en ucuz yolu bazen onu doğuran şeyi yapmamaktır: gereksiz bir bağlantıyı açmamak, gereksiz bir veriyi toplamamak, kimsenin kullanmadığı bir hizmeti kapatmak. Bora'nın sürekli açık bağlantıdan vazgeçmesi, bir dizi önlemden daha az maliyetliydi.

Tespit ve müdahale açısından da yanıtın bir payı vardır: azaltma önlemlerinden biri her zaman tespit ve müdahale yeteneğidir. Bir olayı erken fark eden ve hızla müdahale eden bir kurum, aynı olayın etkisini düşürmüş olur.

Uygulama

Bir önceki derste yazdığın üç tehdit senaryosu için birer risk yanıtı seçecek ve yazacaksın.

Bir riski kabul ettiğinde gerekçesini yazmak, onu unutmakla kabul etmek arasındaki farktır.

Defter: Risk bölümüne kişisel risk toleransı cümlesi, üç senaryonun her biri için seçilen yanıt, somut eylem, kabaca maliyet ve yeniden bakış tarihi. Sigorta poliçesinin siber kapsamına dair not.

Hata köşesi

Etik ve sınırlar

Bir riski kabul etmek, o riski taşıyacak olanların adına verilen bir karardır; bu yüzden yetkili kişi tarafından, bilerek ve yazılı olarak verilmelidir. Bir çalışanın, bütçe ya da zaman kısıtı yüzünden bir riski sessizce kabul etmesi, yöneticisinin ve riskten etkilenecek müşterilerin bilmediği bir karar vermesi demektir. Kişisel verileri içeren riskler, bir mali müşavirlik bürosundaki müşteri dosyaları gibi, yalnız kurumun değil o verilerin sahiplerinin de riskidir; bir sigorta poliçesi, Kişisel Verilerin Korunması Kanunu'nun veri sorumlusuna yüklediği güvenlik yükümlülüğünü devralmaz. Bir sigorta başvurusunda kurumun güvenlik önlemlerini olduğundan iyi göstermek ise hem dürüst değildir hem de sonradan tazminatın reddine yol açabilir.

Kapanış

1. Ölçülmüş bir riske verilecek dört yanıt vardır: azaltmak, paylaşmak ya da aktarmak, kabul etmek ve kaçınmak; her riske bir yanıt yazılı olarak seçilir.
2. Yanıt, yönetimin belirlediği risk toleransına göre seçilir: toleransın içindeki risk bilerek ve gerekçesiyle kabul edilir, dışındaki risk azaltılır, aktarılır ya da ondan kaçınılır; kaçınma bazen en ucuz yoldur.
3. Sigorta bir aktarım aracıdır: NIST'in vurguladığı gibi zararlı olayların olasılığını ve sonuçlarını azaltmaz; azaltmanın yerine geçmez, çoğu zaman onu şart koşar, ve poliçenin kapsamadığı ve tazminat koşulları önceden anlaşılmalıdır.

Üç soru

1. Sigorta acentesinin "başınıza ne gelse biz öderiz" cümlesi neden Defne Hanım'ın üç riskini çözmüyordu?
2. Bora'nın sürekli açık uzaktan bağlantı kararı hangi risk yanıtına örnektir ve neden?
3. Gülay Hanım'ın eski yazıcının riskini kabul etmesini sessiz bir kabulden ayıran neydi?

Yanıtlar

1. Sigorta bir aktarım aracıdır ve NIST'in vurguladığı gibi zararlı olayların ne olasılığını ne de sonuçlarını azaltır; sahte ödeme talimatı, şifrelenmiş arşiv ya da yangın yine olabilir ve büronun işi yine durur. NCSC'nin rehberi de sigortanın saldırıyı engellemediğini, poliçenin kapsamadıklarının ve tazminat koşullarının anlaşılması gerektiğini söyler; poliçe temel önlemleri şart koşuyorsa azaltma yine gereklidir.
2. Riskten kaçınmaya örnektir. Bora sürekli açık bağlantının riskini toleransın dışında buldu ve onu önlemlerle azaltmaya çalışmak yerine riski doğuran düzeni değiştirdi: bağlantı yalnız bakım gerektiğinde, onayla ve süreli olarak açılacaktı. Kalan küçük risk ise azaltma önlemleriyle yönetildi.
3. Kabul bilerek ve yazılı olarak yapıldı: yazıcının ayrı bir ağ bölümünde, internete çıkmadan yalnız etiket bastığı ve değiştirme maliyetinin riskle orantısız olduğu gerekçesi, kabul eden kişi ve bir yıl sonraki yeniden bakış tarihi bir satıra yazıldı. Sessiz bir kabulde bunların hiçbiri yoktur ve kimse riskin kabul edildiğini bilmez.

Sonraki derse köprü

Bir risk azaltıldığında sıfıra inmez; önlemlerden sonra da bir kısmı kalır. Artık risk dersi bu kalan kısma bakıyor: önlemlerden sonra kalan riskin nasıl ölçüldüğünü ve onu kimin, hangi yetkiyle kabul ettiğini ele alıyor.