Risk kayıt defteri

Açılış

Teknisyenin sözleşmesi ay sonunda bitti. Son gün Defne Hanım ondan, büronun risk çalışmasıyla ilgili ne varsa bırakmasını istedi. Teknisyen bir klasör açtı ve içindekileri saydı: varlık listesi bir tablo dosyasındaydı; tehdit senaryoları ayrı bir belgedeydi; ısı haritası bir sunum dosyasındaydı; risk yanıtları bir toplantı notunun içindeydi; Defne Hanım'ın imzaladığı artık risk kabulü ise taranmış bir PDF olarak e-posta ekinde duruyordu.

Kıdemli çalışan dosyaları tek tek açtı. "Peki şu an hangi riskimiz açık, hangisi kapandı, hangisine kim bakıyor?" diye sordu. Cevabı bulmak için beş dosyayı yan yana koymak gerekiyordu, ve iki dosya aynı riske farklı adlar vermişti: birinde "e-posta ele geçirme", ötekinde "sahte ödeme talimatı".

Defne Hanım bir şey daha fark etti. Artık risk kabulünde "altı ay sonra yeniden bakılacak" yazıyordu. Altı ay dolmuştu. Kimse bakmamıştı, çünkü o tarih hiçbir takvimde, hiçbir listede yoktu; yalnız bir PDF'in son satırındaydı.

Büro risklerini iyi düşünmüştü. Eksik olan, bu düşüncenin yaşadığı tek bir yerdi.

Tek fikir

Risk kayıt defteri, bir kurumun bütün risklerini tek yerde, her satırda aynı alanlarla tutan canlı bir listedir. Satırlar bir kişiye bağlanır, bir durum taşır ve ne zaman yeniden açılacağını söyler; defter doldurulup kapatılmaz, düzenli açılıp güncellenir.

Nasıl çalışır

Bu modülde risk çalışmasının parçalarını tek tek kurduk: olasılık ve etki, varlıklar, tehdit senaryoları, yanıtlar ve artık risk. Kayıt defteri bu parçaların hepsini aynı satırda buluşturur.

Bir kayıt defterinde hangi alanların bulunacağını, bu konuda en ayrıntılı kamu rehberlerinden biri tarif eder.

Bu şablondan üç ders çıkar.

Birincisi, her satır aynı alanlara sahiptir. Defne Hanım'ın bürosundaki karışıklığın bir kısmı, aynı riske iki dosyada iki farklı ad verilmesinden geliyordu. Aynı alanlar, aynı dil demektir: rapor, risk açıklamalarında her senaryoda tehdidin, varlığın, yöntemin ve etkinin bulunduğu ortak bir ifade biçimi kullanılmasını önerir. Önceki derslerde kurduğumuz tehdit senaryosu tam olarak bu ifade biçimidir.

İkincisi, hiçbir satır sahipsiz kalmaz.

Varlık sahibi ile risk sahibi aynı kişi olabilir, ama olmak zorunda değildir: muhasebe arşivi büronun kıdemli çalışanına emanet olabilir, o arşivi tehdit eden fidye yazılımı riskinin sahibi ise büroyu yöneten Defne Hanım olabilir.

Üçüncüsü, kayıt defteri bir an değil, bir döngüdür. Rapor, şablonun yalnızca tek bir anı gösterdiğini, gözden geçirmede kararlaştırılan yanıt uygulandıktan sonra bunun yeni mevcut durum olduğunu ve döngünün yeniden başladığını yazar. Bu yüzden her satıra, şablondaki alanlara ek olarak bir sonraki gözden geçirme tarihi koymak işe yarar. Defne Hanım'ın kaçırdığı altı aylık bakış, bir PDF'in son satırında değil, kayıt defterinin bir sütununda dursaydı, ay geldiğinde görünürdü.

Peki kabul edilmiş bir risk, defterde sessizce mi durur? Hayır. Aynı rapor, kabul edilen risklerin de ölçülmesi gerektiğini söyler.

Çerçevenin ikinci sürümü, CSF, hedef duruma ulaşıldıkça güncellenen sonuçların risk kayıt defterleri ve ilerleme raporlarıyla paylaşılabileceğini belirtir. Kayıt defteri, yönetimle konuşmanın da dilidir.

Sahada

Savunma

Kayıt defteri bir önlem değildir; önlemlerin unutulmamasını sağlayan bir düzendir. Savunmaya katkısı, risklerin görünür, sahipli ve güncel kalmasıdır.

Önce tek yer. Bir kurumun riskleri beş dosyaya dağıldığında, her biri kendi başına doğru olsa bile, toplamı yanlış bir resim verir. Defne Hanım'ın bürosunda, artık risk kabulünün yeniden bakış tarihi bir ekte kaybolmuştu. Bütün risklerin aynı tabloda, aynı alanlarla durması, bu tür kayıpları önler.

Sonra sahiplik. "Bilgi İşlem" bir sahip değildir; Bora'nın hastanesindeki on dört aylık satır bunu gösterdi. Her satırda bir kişinin adı olmalı, ve o kişi kurumdan ayrıldığında satırlar başka birine devredilmelidir. Kaan'ın şirketinde bu devri işten ayrılma sürecine bağlamak, sahipsiz satırların yeniden birikmesini durdurdu.

Sonra döngü. Her satırın bir sonraki gözden geçirme tarihi olur ve tarihi geçen satırlar toplantının başına çıkar. Kritik riskler daha sık, düşük riskler daha seyrek gözden geçirilebilir; önemli olan, her satırın bir gün yeniden açılacağının belli olmasıdır.

Tespit tarafında göstergeler devreye girer. Bir göstergeye bağlanan satır, takvimi beklemeden kendi kendine alarm verir; Selin'in ekibindeki betik göstergesi bunu yaptı.

Son olarak, defterin kendisi de korunacak bir varlıktır. İçinde kurumun en zayıf noktalarının listesi vardır. Erişimi yalnız işi gereği görmesi gerekenlerle sınırlanmalı ve yedeklenmelidir.

Uygulama

Bu modülde defterine yazdığın parçaları, kendi kişisel kayıt defterinde tek bir tabloda birleştireceksin.

Bir ay sonra takvimin seni uyardığında, defteri aç ve yalnız tarihi gelen satırları gözden geçir. Kayıt defterinin değeri, o gün açılmasındadır.

Defter: Risk bölümüne kişisel kayıt defteri tablosu: on iki sütun, en az üç satır, her satırda sahip ve sonraki gözden geçirme tarihi. En önemli satırın göstergesi ve yeniden açma eşiği. Takvime eklenen ilk gözden geçirme tarihi.

Hata köşesi

Etik ve sınırlar

Kayıt defteri, bir kurumun en hassas belgelerinden biridir: zayıf noktaları, henüz kapatılmamış açıkları ve kabul edilmiş riskleri tek bir yerde toplar. Bu yüzden ona erişim, ancak işi gereği bu bilgiye ihtiyacı olan ve buna yetkisi bulunan kişilere verilir; defterin bir kopyasını kişisel bir hesaba ya da izinsiz bir paylaşım hizmetine koymak, kurumun saldırı yüzeyini dışarıya taşımaktır. Defterin dürüstlüğü de bir etik meseledir: rahatsız edici bir riski satırdan silmek ya da durumunu olduğundan iyi göstermek, kararı verecek yöneticiyi yanıltır. Bir riskin sahibi olarak bir kişinin adını yazmadan önce o kişiye haber vermek ve onayını almak gerekir; habersiz atanmış bir sahip, sorumluluk değil yalnız suçlanacak bir ad taşır. Defterde kişisel veriler varsa, örneğin bir çalışanın adıyla ilişkilendirilmiş bir olay, bu bilgiler de kişisel veri koruma kurallarına tabidir.

Kapanış

1. Risk kayıt defteri, bir kurumun bütün risklerini tek bir yerde, her satırda aynı alanlarla tutar: açıklama, olasılık, etki, öncelik, yanıt, sahip, durum ve gözden geçirme tarihleri.
2. Her satırın bir bölümü değil, bir kişiyi gösteren sahibi olur; sahip kurumdan ayrıldığında satırlar başka birine devredilir.
3. Defter bir rapor değil bir döngüdür: her satırın bir sonraki gözden geçirme tarihi vardır, kabul edilmiş riskler bir göstergeyle izlenir ve gösterge eşiği aşınca satır tarihini beklemeden yeniden açılır.

Üç soru

1. Defne Hanım'ın bürosunda risk çalışması iyi düşünülmüş olduğu hâlde neden altı aylık gözden geçirme kaçırıldı?
2. Bora'nın hastanesindeki satır neden on dört ay karara bağlanmadı ve Bora hangi iki kuralı koydu?
3. Selin'in ekibindeki betik göstergesi, gözden geçirme tarihinden farklı olarak ne işe yaradı?

Yanıtlar

1. Çalışmanın parçaları beş ayrı dosyaya dağılmıştı ve yeniden bakış tarihi yalnız bir PDF'in son satırında duruyordu. Hiçbir listede, hiçbir takvimde olmadığı için tarih geldiğinde kimse görmedi. Tek bir kayıt defterinde, sonraki gözden geçirme tarihi sütununda dursaydı, ay geldiğinde görünürdü.
2. Satırın sahibi bir kişi değil, "Bilgi İşlem" diye bir bölümdü; kimsenin kişisel olarak üstlenmediği satır karara bağlanmadı. Bora her satırda bir kişinin adının ve unvanının olmasını, sonraki gözden geçirme tarihi olmayan hiçbir satırın deftere girmemesini kural yaptı.
3. Gözden geçirme tarihi, satırın belirli bir günde açılmasını sağlar; gösterge ise riskin arada değiştiğini fark ettirir. Gözden geçirilmeden değişen betik sayısı sıfırdan ikiye çıkınca satır tarihini beklemeden yeniden açıldı ve değişikliklerin kaynağı aynı gün bulundu.

Sonraki derse köprü

Kayıt defterinin sütunları artık belli: açıklama, olasılık, etki, yanıt, sahip, tarih. Küçük işletme risk değerlendirmesi dersi bu modülün bütün parçalarını tek bir uygulamada birleştiriyor: bir muhasebe bürosunun ilk risk tablosunu, varlık listesinden ilk gözden geçirme tarihine kadar, tek oturuşta baştan sona kurmak.