Bir üretim şirketinin risk işleme planı belgelendirme denetiminden iki hafta önce doksan satıra ulaşmıştı, ama satırların büyük bölümünde aynı üç ifade dönüyordu: “farkındalık eğitimi verilecek”, “yetkiler gözden geçirilecek”, “loglar toplanacak”. Denetçi tek bir soru sordu: ERP sunucusundaki ayrıcalıklı hesabın kötüye kullanımını bu üç maddeden hangisi fark eder? Cevap çıkmadı, çünkü kontroller riske göre değil, listeye göre seçilmişti.

Kontrol seçimi, bilgi güvenliği yönetim sisteminin en çok şekilsel doldurulan adımıdır. Oysa bu adım, kurumun bütçesini, denetim sonucunu ve gerçek bir saldırı anında ayakta kalıp kalmayacağını doğrudan belirler. Aşağıda kontrol seçiminin hangi mantıkla yapılacağını, planın hangi alanları içermesi gerektiğini ve seçilen kontrolün gerçekten çalıştığının nasıl kanıtlanacağını adım adım ele alıyoruz.

Ek A neden alışveriş listesi değil

ISO/IEC 27001’in Ek A’sı, seçilebilecek kontrollerin kataloğudur; hepsini uygulama zorunluluğu getirmez. Standart, risk değerlendirmesinden çıkan her risk için bir işleme kararı vermenizi ve bu kararı Uygulanabilirlik Bildirgesi’nde (SoA) gerekçelendirmenizi ister. Kopyalanmış listelerde tekrar eden üç arıza vardır:

• Risk kaydında “yüksek” işaretlenmiş bir senaryonun karşısında yalnızca bir politika maddesi durur; teknik hiçbir önlem yoktur.
• Aynı kontrol on beş riskin karşısına yazılır; o kontrol tökezlediğinde on beş risk aynı anda açığa çıkar.
• Kontrolün sorumlusu, tamamlanma tarihi ve doğrulama yöntemi boştur. Belge bir plan değil, vitrin dosyasıdır.

Bu arızaların ortak nedeni, kontrol seçiminin risk değerlendirmesinden kopuk yürütülmesidir. Risk kaydını hazırlayan ekiple planı yazan ekip farklıysa, ikisi arasındaki izlenebilirlik ilk denetimde kırılır. Pratik çözüm basittir: plandaki her satır, risk kaydındaki bir numarayla başlasın; numarasız satır plana girmesin.

Dört işleme seçeneğini gerçekten kullanıyor musunuz

Uygulamada neredeyse her satıra “azalt” yazılır. Oysa dört seçenek de meşrudur ve doğru kullanıldığında bütçeyi rahatlatır:

• Azaltma: olasılığı veya etkiyi düşüren kontrol eklenir. En yaygın, en pahalı seçenek.
• Aktarma: siber sigorta ya da sözleşmeyle tedarikçiye devir. Etkiyi finansal olarak paylaşır, teknik riski ortadan kaldırmaz.
• Kaçınma: riski doğuran faaliyetin bırakılması. Kullanılmayan bir eski portalın kapatılması, aylarca yamalanmasından daha akıllıcadır.
• Kabul: artık risk (residual risk) kurumun iştahının içindeyse, gerekçesi ve süresi yazılarak kabul edilir.

Bir riski hangi kontrol gerçekten düşürür

Kontrolü seçmeden önce riski üç parçaya ayırın: tehdit kaynağı, istismar edilen zayıflık, etkilenen varlık. Sonra kontrolü üç katmana dağıtın; önleyici, tespit edici ve düzeltici. Somut bir senaryo üzerinden bakalım: “Muhasebe biriminde bir kullanıcının kimlik bilgisi oltalamayla ele geçiriliyor, saldırgan VPN üzerinden iç ağa giriyor.”

• Önleyici katman: oltalamaya dayanıklı çok faktörlü kimlik doğrulama, koşullu erişim, dış kaynaklı e-postalarda etiketleme.
• Tespit edici katman: alışılmadık coğrafya ve cihazdan gelen VPN oturumu için korelasyon kuralı, ayrıcalıklı hesap kullanımında uyarı.
• Düzeltici katman: oturumu sonlandırma, kimlik bilgisini iptal etme ve etkilenen uç noktayı izole etme yordamı.

Ekipler genellikle önleyici sütunu doldurup tespit sütununu boş bırakır; saldırganın içeri girdiği anla fark edildiği an arasındaki mesafe böyle büyür. Dışarıdan alınan kurumsal siber güvenlik danışmanlığının en görünür katkısı da çoğu zaman burada, kontrol setinin katmanlar arasındaki dengesini kurmakta ortaya çıkar.

Planda hangi alanlar bulunmalı

Risk işleme planı, izlenebilir bir proje planı gibi okunmalıdır. Denetçinin ve yönetimin aradığı alanlar şunlardır:

Adım adım plan kurulumu

1. Risk kaydını etkiye göre sıralayın; ilk çeyrekteki risklerle başlayın, tabanı sonraya bırakın.
2. Her risk için önce işleme seçeneğini belirleyin. Kontrol seçimini bu karardan sonra yapın.
3. Seçilen kontrolü önleyici, tespit edici ve düzeltici katmana dağıtın; en az iki katmanı doldurun.
4. Kontrolü uygulayacak ekiple efor ve maliyet tahmini alın; tahmin alınmadan tarih yazmayın.
5. Artık riski yeniden puanlayın. Hedef seviyeye inmiyorsa kontrol yetersizdir, ikinci kontrol ekleyin.
6. Doğrulama yöntemini kontrolle birlikte yazın: yapılandırma denetimi, tablo üstü tatbikat, teknik test.
7. Kalan riski kabul edecek yöneticiyi ve kabul süresini belirtin.
8. Planı çeyrek dönemlerde değil, önemli değişikliklerde de gözden geçirin.

Artık riski kim kabul eder

Artık risk kabulü, güvenlik ekibinin değil risk sahibinin işidir. Uygulamada en sık görülen hata, kabul imzasının bilgi güvenliği yöneticisine attırılmasıdır. Riski taşıyan iş biriminin yöneticisi imzalamıyorsa, o kabul kararı denetimde de olay anında da savunulamaz. Kabul kayıtlarına mutlaka bir bitiş tarihi koyun; süresiz kabul, unutulmuş risk demektir.

Kabul metnini de somut yazın. “Risk kabul edilmiştir” cümlesi yerine kabulün neye dayandığını belirtin: telafi edici bir kontrol mü devrede, riskin gerçekleşme penceresi mi dar, yoksa ilgili sistem altı ay içinde emekliye mi ayrılacak? Bu bilgi, bir sonraki gözden geçirmede kararı yeniden tartışmak zorunda kalmadan doğrulamanızı sağlar.

Kontrolün çalıştığı nasıl kanıtlanır

Kontrolün kurulmuş olması, işlediği anlamına gelmez. Yapılandırmanın doğru olduğunu doğrulamak birinci adımdır; ikinci adım, kontrolün saldırgan davranışı karşısında ne yaptığını görmektir. Bunun için MITRE ATT&CK matrisinden ilgili teknikleri seçip kontrolü teknik olarak sınamak gerekir.

• Zafiyet taraması, kontrolün var olup olmadığını gösterir.
• Sızma testi, belirli bir sistemdeki teknik zafiyetlerin istismar edilebilirliğini gösterir ve tipik olarak bir-iki hafta sürer.
• Senaryo temelli saldırı simülasyonu, tespit ve yanıt kabiliyetini ölçer. İki-altı haftaya yayılan bir red team hizmeti; keşif, ilk erişim, yanal hareket (lateral movement) ve yetki yükseltme, hedef tamamlama ve raporlama aşamalarıyla planın hangi satırının kağıt üstünde kaldığını ortaya çıkarır.
• Sonuçları MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi) olarak kaydedin; bir sonraki çeyrekte aynı senaryoyu tekrarlayıp farkı ölçün.

Planı canlı tutan tetikleyiciler

Yıllık gözden geçirme tek başına yetmez. Şu olaylardan biri gerçekleştiğinde planı açın: yeni bir bulut hizmetinin devreye alınması, kritik bir tedarikçinin değişmesi, ciddi bir güvenlik olayı, mevzuat değişikliği, iş süreçlerinde yapısal değişim. Bu tetikleyicileri planın kapağına yazın; herkesin görebileceği bir kural, takvimden daha güvenilirdir.

Sık sorulan sorular

Risk işleme planı ile Uygulanabilirlik Bildirgesi aynı belge mi?

Hayır. Uygulanabilirlik Bildirgesi hangi kontrollerin uygulandığını ve neden dışarıda bırakıldığını gösteren durum belgesidir. Risk işleme planı ise bu kararların kim tarafından, hangi tarihte ve hangi kaynakla hayata geçirileceğini gösteren eylem belgesidir. İkisi birbirine referans vermelidir.

Kaç kontrol seçmek doğru sayıdır?

Doğru sayı diye bir şey yok; doğru kapsama var. Ölçüt şudur: her yüksek riskin karşısında en az bir önleyici ve bir tespit edici kontrol bulunmalı, hiçbir kontrol tek başına çok sayıda kritik riski taşımamalıdır. Kontrol sayısını artırmak yerine kontrolün riske uygunluğunu sorgulayın.

Bir riski kabul etmek denetimde bulgu yaratır mı?

Gerekçeli ve yetkili biri tarafından imzalanmış kabul, bulgu yaratmaz. Bulgu, kabul kararının gerekçesiz olması, risk iştahı eşiğinin üzerinde kalması veya kabul edenin risk sahibi olmamasından doğar. Kabulü tarih ve gözden geçirme koşuluyla birlikte kaydedin.

Ek A dışından kontrol yazabilir miyim?

Evet. Ek A asgari bir referanstır, sınır değildir. Kurumun teknoloji yığınına özgü bir önlem gerekiyorsa bunu plana ekleyip Uygulanabilirlik Bildirgesi’nde ilave kontrol olarak belirtebilirsiniz. Önemli olan kontrolün riske izlenebilir biçimde bağlanmasıdır.

Küçük ekipler bu planı nasıl yönetebilir?

Elektronik tablo yeterlidir, ancak üç sütun mutlaka doldurulmalıdır: sorumlu kişi, termin ve doğrulama yöntemi. Aylık kısa bir gözden geçirme toplantısında yalnızca gecikmiş satırları konuşmak, kapsamlı ama seyrek yapılan gözden geçirmelerden daha etkilidir.

Sonuç

Risk işleme planı, denetim için hazırlanan bir tablo değil, kurumun savunma önceliklerini gösteren karar belgesidir. Kontrolü listeden değil riskten türetin, her satıra sorumlu ve doğrulama yöntemi yazın, artık riski risk sahibine imzalatın ve seçtiğiniz kontrolleri gerçek saldırgan davranışıyla sınayın; planınızın değeri denetim gününde değil, ilk gerçek olayda ölçülecektir.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.