Yönetim Kurulu ve Üst Yönetim İçin Siber Risk
Siber güvenlik bir BT konusu değil, bir iş riskidir. Üst yönetimin sahiplenmesi, doğru soruları sorması ve riski iş diliyle yönetmesi gerekir.
Büyük kuruluşlarda siber güvenlik↗ yalnızca teknik bir konu değil; finansal, hukuki ve itibarsal sonuçları olan bir iş riskidir. Bu yüzden riskin sahibi yalnızca BT departmanı olamaz; üst yönetimin ve yönetim kurulunun konuyu sahiplenmesi gerekir. Bu rehber, yönetimin hangi kararları vermesi, hangi soruları sorması ve nasıl rapor alması gerektiğini anlatır.
Yönetişim, çerçevenin merkezinde
NIST Siber Güvenlik Çerçevesi 2.0 (26 Şubat 2024), önceki sürümdeki beş işleve altıncı olarak Yönet (Govern) işlevini ekledi. Yönetişimi, siber güvenlik risk stratejisinin, beklentilerinin ve politikasının belirlendiği, iletildiği ve izlendiği işlev olarak ele alır ve diğer beş işlevin (Belirle, Koru, Tespit Et, Müdahale Et, Kurtar) çevresine yerleştirir.
| Kategori | Yönetim için anlamı |
|---|---|
| Kurumsal bağlam | Misyon, paydaş beklentileri, yasal ve sözleşmesel yükümlülükler anlaşılmış mı? |
| Risk yönetimi↗ stratejisi | Risk iştahı ve toleransı yazılı olarak belirlenmiş mi? |
| Roller, sorumluluklar, yetkiler | Her düzeyde kim neyden sorumlu; kaynak ayrılmış mı? |
| Politika | Politika onaylanmış, iletilmiş ve güncelleniyor mu? |
| Gözetim | Sonuçlar yönetimce gözden geçirilip strateji ayarlanıyor mu? |
| Siber tedarik zinciri risk yönetimi | Tedarikçi riski kurumsal risk sürecine dahil mi? |
Siber riski iş riski olarak görmek
Yönetim kurulu siber riski finansal ve operasyonel riskler gibi ele almalıdır: en kritik varlıklar hangileri, kaybetmenin maliyeti nedir, kabul edilebilir risk düzeyi nedir? Amaç “sıfır risk” değil, riski bilinçli yönetmektir. Riskin ele alınış biçimini dört seçenekle netleştirin: azaltmak, aktarmak (ör. sigorta), kaçınmak veya kabul etmek; kabul kararını yetkili kişi yazılı olarak versin.
Yönetimin sorması gereken sorular
- En değerli bilgi varlıklarımız neler ve onları en çok ne tehdit ediyor?
- Bir saldırıda kritik hizmetimizi ne kadar sürede sürdürebiliriz; bunu denedik mi?
- Temel önlemlerimiz (kimlik doğrulama↗, yama↗, yedek, izleme) hangi düzeyde ve nasıl ölçüyoruz?
- Olayı kim yönetir; müşterilere, düzenleyicilere ve Siber Güvenlik Başkanlığı’na bildirim yükümlülüklerimiz neler?
- Tedarikçilerimizden gelen risk nasıl yönetiliyor?
- Bağımsız denetim ve tatbikat bulguları kapatılıyor mu?
Yönetime raporlama: ne gösterilmeli?
- Az sayıda, trend gösteren ve eşiği olan göstergeler: kritik zafiyetlerin kapanma süresi, MFA↗ kapsamı, tespit ve müdahale süreleri, yedekten geri dönüş testi sonucu.
- Açık riskler, sahipleri, hedef tarihleri ve kabul edilen riskler.
- Önemli olaylar ve çıkarılan dersler; mevzuat ve sözleşme uyum durumu.
Mevzuat boyutu
7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleriyle hizmet sunan kurumlara zafiyet ve siber olayları gecikmeksizin Başkanlığa bildirme yükümlülüğü getirir (m.7/1-b). Kişisel veri↗ ihlallerinde 6698 sayılı KVKK↗ kapsamındaki bildirim yükümlülükleri ayrıca değerlendirilir. Bildirim sürecinin sahibi ve vekili önceden belirlenmelidir.
Kültür ve sahiplik
Güvenliğin tonu yukarıdan belirlenir. Yönetim konuyu ciddiye alır ve kaynak ayırırsa kurum genelinde güvenlik kültürü güçlenir. Net roller, bir sorumlu yönetici (ör. CISO) ve düzenli raporlama bu sahipliği kurumsallaştırır.
Siber güvenlik bir maliyet kalemi değil, iş sürekliliğinin ve güvenin teminatıdır; yönetim masasında konuşulması gereken stratejik bir başlıktır.
Kaynaklar ve son gözden geçirme
- NIST, Cybersecurity Framework 2.0 (26 Şubat 2024).
- 7545 sayılı Siber Güvenlik Kanunu (Resmî Gazete 32846): m.7/1-b.
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; yükümlülükler için yürürlükteki mevzuata bakın.
