Aynı zafiyet iki farklı kurumda bambaşka sonuçlar doğurur: birinde bir veri ihlali, diğerinde yalnızca bir log kaydı. Farkı yaratan teknoloji değil, riski önceden GÖRÜP işleme alan disiplindir. ISO 27001:2022 Madde 6.1.2 risk değerlendirmesini bilgi güvenliği yönetiminin kalbi sayar.
Merhaba, ben Güvenlik Uzmanı. Bu derste bilgi güvenliği RİSKİNİ nasıl belirlediğimizi, değerlendirdiğimizi ve dört temel seçenekle (azalt / aktar / kaçın / kabul et) nasıl işlediğimizi öğreniyoruz — ISO 27001:2022 Madde 6.1.2-6.1.3 ve Annex A kontrolleri çerçevesinde. Soldaki interaktif sahnede (secMalwareDefense3D) bir tehdidin kurumsal ağa nasıl ilerlediğini ve hangi kontrol katmanının onu nerede durdurduğunu adım adım dene; her durdurma noktası aslında işlenmiş bir riski temsil eder.
RİSK NEDİR? Bilgi güvenliğinde risk, bir tehdidin bir zafiyeti kullanarak bir varlığa zarar verme olasılığı ve bu zararın etkisidir. Kısaca: Risk = Olasılık × Etki. Soyut bir korku değil, ölçülebilir bir büyüklüktür. NEDEN ÖNEMLİ? Risk değerlendirmesi yapılmayan kurumda güvenlik bütçesi gelişigüzel harcanır; en kritik varlık korumasız kalırken önemsiz bir şeye aşırı yatırım yapılır. ISO 27001:2022 Madde 6.1.2, kuruluşun tekrarlanabilir ve tutarlı sonuçlar üreten bir risk değerlendirme süreci tanımlamasını ZORUNLU kılar. KVKK açısından ise Madde 12, kişisel veriyi koruyacak "uygun güvenlik düzeyini" sağlamayı emreder — bu düzeyi ancak riski ölçerek belirleyebilirsiniz. RİSK YÖNETİM ADIMLARI 1) Varlıkları ve bağlamı belirle: Veri tabanları, dizüstü bilgisayarlar, çalışan erişimleri, tedarikçiler, itibar. 2) Tehdit ve zafiyetleri tanımla: Oltalama, fidye yazılımı, içeriden tehdit, yamalanmamış sistem, zayıf parola. 3) Olasılık ve etkiyi puanla: Genellikle 1-5 ölçekli matris (ör. 5×5) ile. 4) Risk seviyesini hesapla ve risk iştahıyla (kabul edilebilir eşik) karşılaştır. 5) İşleme seçeneğini seç ve uygula. 6) Artık (rezidüel) riski kayda al ve risk sahibine onaylat. 7) İzle ve düzenli aralıklarla yeniden değerlendir (Madde 8.2-8.3 ile süreklilik). DÖRT RİSK İŞLEME SEÇENEĞİ (ISO 27001:2022 Madde 6.1.3) • AZALT (Modify/Mitigate): Annex A kontrolleriyle olasılığı veya etkiyi düşür. Örn. çok faktörlü kimlik doğrulama (A.8.5), yedekleme (A.8.13), zafiyet yönetimi (A.8.8). En sık kullanılan seçenektir. • AKTAR (Share/Transfer): Riski üçüncü tarafa devret — siber sigorta, bulut sağlayıcı, dış kaynak sözleşmesi. DİKKAT: Sorumluluk aktarılabilir ama KVKK'da veri sorumlusunun yükümlülüğü devredilmez. • KAÇIN (Avoid): Riski yaratan faaliyeti tamamen bırak — örn. artık gerekmeyen kişisel veriyi toplama/saklama, riskli bir entegrasyonu kapatma. • KABUL ET (Accept/Retain): Risk, iştahın altındaysa ve işleme maliyeti faydadan yüksekse bilinçli olarak kabul et. Kabul, mutlaka yetkili risk sahibinin imzasıyla KAYIT altına alınır — "görmezden gelmek" değildir. İŞ YERİNDE NE DEMEK? Bir İK uzmanı özlük dosyalarını şifresiz bir paylaşılan klasörde tutuyorsa: tehdit = yetkisiz erişim, zafiyet = şifresiz depolama, etki = KVKK ihlali + para cezası. İşleme: klasöre rol bazlı erişim ve şifreleme uygula (AZALT). Bir satış ekibi müşteri listesini kişisel WhatsApp'ta paylaşıyorsa: en doğru işleme bu kanalı yasaklamak (KAÇIN) ve kurumsal CRM'e yönlendirmektir. YAPILMASI GEREKENLER (DO) • Fark ettiğin riski (ör. açıkta unutulmuş gizli belge, şüpheli e-posta) BİLGİ GÜVENLİĞİ ekibine bildir; raporlama riskin görünür olmasını sağlar. • Risk sahibi/yöneticinden onay almadan bir riski "kendi başına kabul edilmiş" sayma. • Risk işleme planında sana düşen kontrolü (yama, eğitim, parola değişimi) zamanında uygula. YAPILMAMASI GEREKENLER (DON'T) • "Bana bir şey olmaz" diyerek riski sessizce kabul etme — bu kayıtsız risk kabulüdür, en tehlikelisidir. • Bir riski sigorta var diye tamamen umursamama (aktarım etkiyi azaltır, olasılığı değil). • Risk değerlendirmesini bir kez yapıp rafa kaldırma; tehdit ortamı sürekli değişir. ARTIK (REZİDÜEL) RİSK Kontroller uygulandıktan sonra geriye kalan risktir. Hiçbir kontrol riski sıfırlamaz; amaç onu kabul edilebilir eşiğin (risk iştahı) ALTINA indirmektir. Kalan risk, risk sahibi tarafından açıkça onaylanır (Madde 6.1.3-f).
• Risk = Olasılık × Etki; soyut korku değil, ölçülebilir büyüklüktür. • ISO 27001:2022 Madde 6.1.2 tekrarlanabilir bir risk değerlendirme süreci ister. • Dört işleme seçeneği: AZALT, AKTAR, KAÇIN, KABUL ET. • Riski kontrollerle iştah eşiğinin altına indir; kalan (rezidüel) risk imzayla onaylanır. • Risk kabulü ancak yetkili risk sahibi onayıyla ve kayıtlı olursa meşrudur. • Sorumluluk aktarılabilir; KVKK'da veri sorumlusunun yükümlülüğü devredilmez. Fark ettiğin riski bildir.