Artık risk

Açılış

Büro bütçesini e-posta riskine harcadı. Bir ay içinde her çalışanın hesabına fiziksel güvenlik anahtarıyla çalışan bir ikinci doğrulama adımı eklendi ve ödeme talimatlarının telefonla, bilinen numaradan doğrulanması kural oldu. Teknisyen işi bitirdiğinde Defne Hanım'a bir rapor getirdi. Raporun son cümlesi şuydu: "E-posta ele geçirme riski giderilmiştir."

Defne Hanım cümlenin üstünde durdu. "Giderilmiş mi? Sıfır mı yani?"

Teknisyen biraz düşündü. Hayır, sıfır değildi. Bir müşterinin kendi e-postası ele geçirilirse, büroya o müşterinin gerçek adresinden sahte bir talimat gelebilirdi; büronun ikinci adım doğrulaması bunu durdurmazdı. Telefonla doğrulama kuralı vardı, ama yoğun bir beyanname gününde bir çalışan kuralı atlayabilirdi. Ve ikinci adım için kullanılan güvenlik anahtarlarından biri kaybolursa, kurtarma yolu yeni bir kapı açabilirdi.

"Peki bu kalanı kim kabul ediyor?" dedi Defne Hanım. Kıdemli çalışan "teknisyen kabul etsin, o kurdu" dedi. Teknisyen ise "ben önlemi kurarım, kabul edecek olan siz siniz" diye cevap verdi.

İkisi de Defne Hanım'a baktı. Soru, önlemden sonra kalan şeyin ne olduğu ve onun kimin imzasıyla kabul edileceğiydi.

Tek fikir

Hiçbir önlem bir riski sıfıra indirmez; önlemden sonra kalan riske artık risk denir. Artık risk ölçülür, yazılır ve onu taşıyacak kurumun yetkili kişisi tarafından, kurumun toleransına göre, bilerek kabul edilir; önlemi kuran kişinin değil, riskin sahibinin kararıdır.

Nasıl çalışır

Önceki ders bir riske verilecek dört yanıtı anlattı. Bu ders, o yanıtlardan sonra geriye ne kaldığına bakıyor.

İki risk düzeyini ayırmak gerekir: önlemlerden önceki ve sonraki.

Defne Hanım'ın bürosunda e-posta riskinin doğal hâli, herhangi bir ikinci adım ve doğrulama kuralı yokken ölçülen riskti. Artık risk, bu önlemler kurulduktan sonra kalan üç parçaydı: müşterinin ele geçirilmiş adresi, atlanabilecek bir kural ve kaybolabilecek bir anahtar.

Artık riskin nasıl ele alınacağını, önceki derste risk yanıtları için başvurduğumuz yayın açıkça yazar.

Rehberin iki ayrıntısı özellikle önemlidir. Birincisi: artık riski kabul eden kişi, kendi kişisel rahatlığına göre değil, kurumun toleransına göre karar verir. İkincisi: artık risk sabit değildir. Yeni bir tehdit türü, yeni bir sistem ya da bir önlemin zamanla aşınması, dün kabul edilen bir riski bugün kabul edilemez kılabilir.

Peki kabul, kurumsal dünyada resmî olarak nasıl görünür? En açık örneklerden biri, bir bilgi sisteminin çalışmasına izin veren yönetim kararıdır.

Bu tanımdaki üç kelime dikkat ister: üst düzey, açıkça ve önlemlere dayanarak. Artık riski kabul eden kişi kurumda yetkili biridir; kabul açıkça yapılır, yani yazılır; ve hangi önlemlere güvenilerek kabul edildiği bellidir.

Kurumların bir de günlük bir sorunu vardır: bir kuralın belirli bir yerde uygulanamaması.

NIST'in siber güvenlik çerçevesi de değişikliklerin ve istisnaların risk etkisi açısından değerlendirilip kaydedilmesini ve izlenmesini ayrı bir sonuç olarak sayar. İstisna, yazılmazsa unutulur; unutulan istisna ise kalıcı bir açığa dönüşür.

Sahada

Savunma

Artık risk, savunmanın dürüst muhasebesidir: neyin korunduğunu değil, neyin hâlâ açık olduğunu söyler.

Savunmanın ilk adımı, artık riski adlandırmaktır. "Risk giderilmiştir" cümlesi, Defne Hanım'ın fark ettiği gibi, neredeyse her zaman yanlıştır. Doğru cümle, hangi önlemin hangi kısmı kapattığını ve geriye neyin kaldığını söyler. Kalan parçalar adıyla yazılınca, sıradaki paranın nereye harcanacağı da belirginleşir: Defne Hanım'ın bürosunda kalan üç parçadan biri, müşterilere kendi e-postalarını korumaları için gönderilecek kısa bir notla küçültülebilirdi.

İkinci iş, kabulün kimde olduğunu belirlemektir. Önlemi kuran kişi, riski anlatır; riskin sahibi, onu kabul eder. Bora'nın hastanesinde bu ayrım başhekim yardımcısının imzasıyla görünür oldu. Küçük bir kurumda bu kişi çoğu zaman yöneticinin kendisidir; Defne Hanım'ın bürosunda karar Defne Hanım'ındır.

Üçüncü iş, istisnaları bitiş tarihiyle yazmaktır. Gülay Hanım'ın depo istisnası altı ay sonra kendiliğinden yeniden değerlendirmeye düştü; bitiş tarihi olmayan bir istisna ise yıllarca kalır ve sonunda kimse neden orada olduğunu hatırlamaz.

Tespit açısından artık risk, izlemenin nereye odaklanacağını söyler. Kabul edilmiş bir risk, görmezden gelinmiş bir risk değildir; Selin'in ekibi kalan riski kabul ettikten sonra onu izleyen bir düzen kurdu. Ve her değişiklik, bir sistem, bir betik ya da bir tehdit, artık riskin yeniden değerlendirilmesi için bir tetikleyicidir.

Uygulama

Kendi üç tehdit senaryon için doğal ve artık riski ayırıp, artık riski kendi imzanla kabul edeceksin.

Kendi imzanla bir riski kabul etmek, onu görmezden gelmenin tam tersidir.

Defter: Risk bölümüne her senaryo için doğal risk, önlemler, artık risk ve kalan şeyin cümlesi, tarihli kabul cümlesi ve yeniden değerlendirme tetikleyicisi. Kişisel istisnalar ve bitiş tarihleri.

Hata köşesi

Etik ve sınırlar

Bir artık riski kabul etmek, onun sonuçlarını taşıyacak kişiler adına verilen bir karardır; bu yüzden onu ancak yetkisi olan biri, ne kabul ettiğini bilerek ve kâğıda dökerek verebilir. Bir çalışanın, işini kolaylaştırmak için bir önlemi sessizce kapatması, kurum adına bir artık riski yetkisiz olarak kabul etmesidir; Gülay Hanım'ın depo istisnasını yazılı ve onaylı yapması bu yüzden önemliydi. Artık riski anlatan kişinin dürüstlük yükümlülüğü de vardır: önlemin gücünü abartmak ya da kalan riski küçük göstermek, onu kabul edecek yöneticiyi yanıltır. Kalan risk kişisel verilere dokunuyorsa, imzalı bir kabul KVKK'nın on ikinci maddesinin veri sorumlusundan beklediği uygun güvenlik düzeyini sağlama görevini askıya almaz; kâğıttaki kabul, yasal görevin yerine geçmez.

Kapanış

1. Doğal risk önlemlerden önceki, artık risk önlemlerden sonraki risktir; hiçbir yanıt riski sıfıra indirmez ve "risk giderildi" cümlesi yerine geriye neyin kaldığı yazılır.
2. Artık risk, önlemi kuran kişi tarafından değil, kurumun yetkili yöneticisi tarafından, kişisel rahatlığına değil kurumun toleransına göre, açıkça ve yazılı olarak kabul edilir.
3. Artık risk sabit değildir: her kabulün bir yeniden bakış tarihi ve tetikleyicisi olur, her istisna bir bitiş tarihiyle yazılır ve kabul edilmiş risk izlenmeye devam eder.

Üç soru

1. Teknisyenin "risk giderilmiştir" cümlesi neden yanlıştı ve geriye ne kalmıştı?
2. Bora'nın hastanesinde artık riski neden Bora değil başhekim yardımcısı imzaladı?
3. Gülay Hanım'ın depo istisnasındaki bitiş tarihi ne işe yaradı?

Yanıtlar

1. İkinci adım doğrulama ve telefonla doğrulama kuralı riski azaltmıştı ama sıfırlamamıştı. Bir müşterinin kendi e-postası ele geçirilirse büroya gerçek adresten sahte talimat gelebilirdi, yoğun bir günde kural atlanabilirdi ve kaybolan bir güvenlik anahtarının kurtarma yolu yeni bir kapı açabilirdi. Doğru cümle, bu üç artık parçayı adlandırırdı.
2. Bora önlemi kuran ve riski anlatan kişiydi; riskin sahibi ise hastanenin işleyişinden sorumlu yöneticiydi. NIST'in tanımında çalıştırma yetkisi, üst düzey bir yöneticinin riski açıkça kabul ettiği resmî bir karardır ve rehber kabul edilen artık riskin kurumun toleransı içinde olmasını ister. Kabul, kurum adına karar verme yetkisi olan kişiye aittir.
3. Bitiş tarihi, istisnanın altı ay sonra kendiliğinden yeniden değerlendirmeye düşmesini sağladı; o zaman sorun eldivenle kullanılabilen bir kart okuyucuyla çözüldü ve ikinci adım yeniden açılabildi. Bitiş tarihi olmayan bir istisna yıllarca kalır ve sonunda kimse onun neden orada olduğunu hatırlamaz.

Sonraki derse köprü

Senaryolar, yanıtlar, artık riskler, kabuller ve istisnalar artık defterin farklı sayfalarına dağıldı. Risk kayıt defteri dersi bunları tek bir canlı listede topluyor: her satırın bir sahibi, bir tarihi ve bir gözden geçirme döngüsü olan, kurumun risklerini yaşadığı sürece takip eden bir liste.