Siber güvenlik riski değerlendirmesi nedir?

Kapsamlı bir siber güvenlik risk değerlendirmesi, teknik altyapıdan insan faktörlerine kadar bir kuruluşun güvenlik duruşunun birden çok katmanını değerlendirir. Bu sayede kuruluşlar riskleri sistematik olarak belirleyebilir ve bunları azaltmak için hedefli stratejiler geliştirebilir.

Siber güvenlik risk değerlendirmesinin temel unsurları

İyi yapılandırılmış bir risk değerlendirmesi birkaç temel adım içerir:

1. Kapsamın tanımlanması

Siber güvenlik risk değerlendirmesi kapsamı tanımlamakla başlar. Bu, belirli bir iş birimi, bir uygulama ya da tüm kurumsal BT ortamı olsun, kuruluşun hangi bölümünün değerlendirileceğini tam olarak belirlemek anlamına gelir. Net bir kapsam, kör noktaları önler ve odağın korunmasına yardımcı olur. Şunları içermelidir:
 

• Sunucular, masaüstü bilgisayarlar, mobil cihazlar ve IoT uç noktaları gibi fiziksel altyapı.
• Dahili araçlar, bulut platformları, üçüncü taraf uygulamalar ve veritabanları gibi yazılım sistemleri.
• Segmentasyon, uzak erişim ve dışa açık hizmetler dahil olmak üzere ağ katmanı.
• Çalışanların, yüklenicilerin ve tedarikçilerin kullanıcı rolleri, erişim düzeyleri ve dijital etkinlikleri dahil kişiler.
   

2. Varlıkların belirlenmesi

Kapsam belirlendikten sonra sonraki adım varlıkları belirlemektir. Bu, tanımlanan kapsam içinde iş operasyonlarını destekleyen ve değeri olan her şeyi envantere eklemeyi içerir. Varlıklar şunları içerir:
 

• Dizüstü bilgisayarlar, sunucular, yönlendiriciler ve depolama cihazları gibi fiziksel donanım.
• İşletim sistemleri, iş uygulamaları, güvenlik araçları ve özel kod gibi yazılım sistemleri.
• Kablosuz erişim noktaları, VPN'ler, güvenlik duvarları ve DNS sistemleri dahil ağ altyapısı.
• Personel, yöneticiler, üçüncü taraf kullanıcılar ve bunlarla ilişkili kimlik ve erişim kimlik bilgileri gibi öğeler.
   

Her varlık, iş için ne kadar kritik olduğuna göre sınıflandırılmalıdır.

3. Tehditleri nokta atışı belirleyin

Tehdit; bir sistem, ağ, uygulama veya süreçteki bir güvenlik açığından yararlanarak zarar verebilecek herhangi bir olası olay, aktör veya durumdur. Risk senaryosunun "neyin ters gidebileceği" kısmıdır.

Tehditler şunlar olabilir:

• Kasıtlıdır. Bir siber suçlunun kimlik avı saldırısı başlatması ya da bir içerideki kişinin erişimini kötüye kullanması gibi.
• Yanlış yapılandırılmış bir güvenlik duvarı veya bir çalışanın hassas verileri yanlış kişiye göndermesi gibi yollardan yanlışlıkla olabilir.
• Faaliyetleri aksatan veya ekipmana zarar veren yangınlar, sel ya da elektrik kesintileri gibi çevresel olabilir.

Donanımı (dizüstü bilgisayar çalmak gibi), yazılımı (bir uygulamadaki güvenlik açığından yararlanmak), ağları (şifrelenmemiş trafiği ele geçirmek) veya insanları (kullanıcıları parolalarını paylaşmaları için kandırmak) hedef alabilirler.

4. Güvenlik Açıklarının Değerlendirilmesi

Güvenlik açığı, bir tehdit unsurunun zarar vermek veya yetkisiz sonuçlara yol açmak için yararlanabileceği bir sistem, uygulama, süreç ya da insan davranışındaki zayıflıktır. Risk senaryosunun "bir şeylerin nasıl ters gidebileceği" kısmıdır.

Açıklar birçok şekilde ortaya çıkabilir:
 

• Donanım. Şifrelenmemiş dizüstü bilgisayarlar, güncel olmayan donanım yazılımı veya korunmayan bağlantı noktaları.
• Yazılım. Yaması uygulanmamış uygulamalar, varsayılan kimlik bilgileri veya güvenli olmayan kod.
• Ağlar. Açık bağlantı noktaları, zayıf şifreleme veya yetersiz segmentasyon.
• İnsan faktörleri. Yeniden kullanılan parolalar, eğitim eksikliği veya aşırı erişim ayrıcalıkları.
   

Bir güvenlik açığı, doğrudan bir olaya yol açmaz. Ancak ilgili bir tehdit ile birleştiğinde risk için kapıyı açar. Örneğin, güncel olmayan yazılımla çalışan bir web sunucusu savunmasızdır. Bir tehdit aktörü bu güvenlik açığını tarayıp bundan yararlanırsa kuruluş bir veri ihlali ile karşı karşıya kalabilir.

5. Var olan kontrollerin değerlendirilmesi

Tehditler ve güvenlik açıkları belirlendikten sonra bunları azaltmak için şu anda kullanılan kontrolleri değerlendirme zamanı gelir. Kontroller üç ana türe ayrılır:
 

• Önleyici. Buna güvenlik duvarları, antivirüs yazılımı ve çok faktörlü kimlik doğrulama örnek verilebilir.
• Algılayıcı. Buna saldırı algılama sistemleri ve güvenlik bilgileri ve olay yönetimi (SIEM) araçları dahildir.
• Düzeltici. Yedekler ve olağanüstü durum kurtarma planları buna örnek verilebilir.
   

Şunlar genelinde kapsama alanını değerlendirmek önemlidir:
 

• Donanım. Rozetli erişim, cihaz şifreleme ya da güvenli imha prosedürleri gibi fiziksel güvenlik önlemleri var mı?
• Yazılım. Yama yönetimi ve güvenli geliştirme uygulamaları uygulanıyor mu?
• Ağlar. Trafiği segmentlere ayırıyor, uygun şekilde günlük kaydı tutuyor ve şifreli iletişimler için TLS kullanıyor musunuz?
• Kişiler. Personel kimlik avı farkındalığı konusunda eğitilmiş mi? Erişim ilkeleri en az ayrıcalık ilkesine uyuyor mu?
   

Bu değerlendirme, mevcut savunmaların ne kadar etkili olduğunu ve nerede boşluklar kaldığını anlamanızı sağlar.

6. Olasılığın ve etkinin belirlenmesi

Belirlenen her risk senaryosu için şunları öngörün:
 

• Olasılık. Mevcut kontroller göz önüne alındığında tehdidin gerçekleşme olasılığı nedir?
• Etki. Başarılı olursa ne olurdu: finansal kayıp, veri sızıntısı, kesinti mi?
   

İş kesintisini, mevzuat cezalarını, itibar zararını ve operasyonel maliyetleri göz önünde bulundurun. Örneğin donanım veya ağ arızaları yaygın kesintilere neden olabilir. Kimlik avı saldırısı ise ele geçirilmiş kimlik bilgileri üzerinden veri kaybına yol açabilir.

7. Riskin hesaplanması

Şimdi her senaryo için bir risk derecesi belirlemek üzere olasılık ve etkiyi bir araya getirin.

Örneğin:

Risk senaryosu	Olasılık	Etki	Risk düzeyi
Eski sunucularda fidye yazılımı	Yüksek	Yüksek	Kritik
Yanlış yapılandırılmış güvenlik duvarı kuralı	Orta	Orta	Orta düzey
Filtreleri aşan kimlik avı e-postası	Yüksek	Düşük	Orta düzey

Bu, hangi sorunların acil dikkat gerektirdiğini ve hangilerinin kabul edilebilir ya da tolere edilebilir olduğunu önceliklendirmenize yardımcı olur.

8. Azaltma önlemleri önerin

Yüksek ya da kritik her risk için onu azaltacak eylemler önerin. Öneriler şunları içerebilir:
 

• Donanım. Şifrelenmiş depolamayı, güvenli önyükleme ayarlarını zorunlu kılın ve kullanılmayan bağlantı noktalarını kilitleyin.
• Yazılım. Düzenli yama uygulamasını hayata geçirin ve geliştirme hattında kod tarama araçları kullanın.
• Ağlar. Ağ segmentasyonu ekleyin ve saldırı önleme sistemleri dağıtın.
• Kişiler. Güvenlik farkındalığı eğitimini genişletin ve daha güçlü erişim denetimleri ile kimlik doğrulama uygulayın.
   

Öneriler, risk azaltma ile maliyet, karmaşıklık ve kullanılabilirlik üzerindeki etki arasında denge kurmalıdır.

9. Belgeme ve raporlama

Kapsamlı bir risk değerlendirmesi net biçimde belgelendirilmeli ve birden çok düzeydeki paydaşlarla paylaşılmalıdır. Rapor genellikle yöneticiler için üst düzey bir özet, BT ve güvenlik ekipleri için ayrıntılı teknik bulgular ve önceliklendirilmiş eylem maddeleri içerir. Isı haritaları, mimari diyagramlar ve tablolar gibi görsel öğeler, karmaşık risklerin daha etkili biçimde aktarılmasına yardımcı olur. Belgelendirme, varlık envanterini, belirlenen tehditleri ve güvenlik açıklarını, mevcut kontrolleri, risk derecelerini ve önerilen azaltma önlemlerini içermelidir. Rapor ayrıca her eylemden kimin sorumlu olduğunu ve izleme değerlendirmelerinin ne zaman planlandığını belirtmelidir. Şeffaflık ve açıklık, desteği sağlamaya ve ekipleri uyumlu hale getirmeye yardımcı olur.

10. Gözden geçirme ve tekrarlama

Risk değerlendirmeleri tek seferlik değildir. Sürekli bir döngünün parçasıdırlar. Teknoloji gelişir, iş süreçleri değişir ve yeni tehditler sürekli ortaya çıkar. Dayanıklı kalmanıza ve hazırlıklı olmanıza yardımcı olacak bazı ipuçları burada.
 

• Düzenli değerlendirmeler planlayın. Bunları üç ayda bir, her yıl ya da büyük değişikliklerden sonra yapın.
• Mümkün olan her yerde otomasyon kullanın. Örneğin sürekli güvenlik açığı taraması ve uç nokta izleme.
• Yeni riskler ortaya çıktıkça kontrollerinizi ayarlayın. Özellikle uzaktan çalışma, tedarik zinciri bağımlılıkları veya üretken yapay zeka araçları söz konusu olduğunda bunu yapın.

Bir siber güvenlik risk değerlendirmesi, arkasındaki süreç kadar güçlüdür. En iyi uygulamaları izlemek, değerlendirmelerin etkili, tekrarlanabilir ve iş öncelikleriyle uyumlu olmasını sağlamaya yardımcı olur.

Net hedeflerle başlayın

Başlamadan önce değerlendirmenin neyi başarması gerektiğini tanımlamak önemlidir. Bu, kritik varlıkları ve olası tehditleri belirlemek, uyumluluk gereksinimlerini karşılamak, olayların olasılığını azaltmak veya gelecekteki güvenlik yatırımlarına yön vermek anlamına gelebilir. Başta net hedefler belirlemek, değerlendirmenin süreç boyunca odaklı, ilgili ve uygulanabilir kalmasını sağlamaya yardımcı olur.

Doğru paydaşları sürece dahil edin

Bir risk değerlendirmesi yalnızca bir BT işi değildir. Kuruluşun tamamından girdi gerekir. Güvenlik ve BT ekipleri teknik uzmanlığı getirirken, hukuk ve uyumluluk ekipleri düzenleyici risk konusunda yönlendirme sağlar. Operasyonlar ve insan kaynakları süreç ve personel ile ilgili konuları öne çıkarabilirken, üst yönetim iş hedefleriyle uyumdan sorumlu olur. Birden çok bakış açısının dahil edilmesi, değerlendirmenin yazılım yanlış yapılandırmalarından insan davranışına kadar çok çeşitli riskleri yakalamalarını sağlar.

İç veya dış değerlendirme arasında karar verin

Risk değerlendirmesi yapmanın tek ve en iyi bir yolu yoktur. Dahili değerlendirmeler genelde maliyet açısından daha verimlidir ve kurumsal bilgi birikiminden yararlanır. Ancak kör noktaları kaçırabilir veya uzman araçlardan yoksun kalabilirler. Harici değerlendirmeler yeni ve tarafsız bir bakış açısı ile daha derin uzmanlık sunar. Ancak daha pahalı olabilir ve değerlendirmeyi yapan kişiler genellikle iç sistemlere daha az aşina olur. Birçok kuruluş hibrit bir yaklaşım seçer. Düzenli incelemeler için dahili ekipleri kullanır ve daha derin analizler gerektiğinde veya uyumluluk bunu zorunlu kıldığında harici uzmanlardan destek alır.

Doğru risk yönetimi stratejisini seçin

Riskler belirlendikten sonra kuruluşların nasıl yanıt vereceğine karar vermesi gerekir. Bazı riskler şirketin toleransı içinde kalıyorsa kabul edilebilir. Bazıları, onları ortaya çıkaran sistem veya etkinlik ortadan kaldırılarak tamamen önlenebilir. Riskler sigorta veya sözleşmesel anlaşmalar yoluyla üçüncü bir tarafa da aktarılabilir. Çoğu zaman kuruluşlar, olasılığı veya etkiyi kabul edilebilir bir düzeye indiren kontroller uygulayarak riskleri azaltmayı seçer. Doğru strateji iş hedeflerine, risk iştahına ve kullanılabilir kaynaklara bağlıdır.

Her şeyi belgeleyin

Doğru belgeler tutmak, hem kısa hem de uzun vadeli başarı için kritik öneme sahiptir. Bu, kuruluşların sektör düzenlemelerine uyumlu kalmasına, değişiklikleri ve eğilimleri zaman içinde izlemesine ve daha hızlı, daha bilinçli kararlar almasına yardımcı olur. İyi belgeleme yapmak ayrıca denetimleri kolaylaştırır, güvenlik incelemelerini basitleştirir ve ekipler ya da sistemler değişse bile sürekliliği korur.

Bulgulara göre harekete geçin

Bir risk değerlendirmenin değeri, sonuçların nasıl kullanıldığında yatar. Yüksek riskli güvenlik açıkları önce ele alınmalı ve düzeltme adımları daha geniş güvenlik hedefleriyle uyumlu olmalıdır. Her bir eylem için sorumluluk atayın, ilerlemeyi izleyin ve iyileştirmelerin kalıcı olduğundan emin olmak için düzenli olarak yeniden değerlendirin. Bulguları tek seferlik bir çalışma olarak değil, sürekli bir sürecin parçası olarak ele alın. Takibi güvenlik kültürünüzün bir parçası haline getirin.

Doğru sıklıkta değerlendirin

Teknoloji hızla gelişir, tehdit faaliyetleri de öyle. Bu da risk değerlendirmelerinin yılda bir kereden daha sık yapılması gerektiği anlamına gelir. Özellikle yüksek riskli ortamlarda bu önemlidir. Finans ve sağlık hizmetleri gibi sektörlerde bu çalışma genellikle üç ayda bir ya da altı ayda bir yeniden değerlendirilir. Daha küçük işletmeler bunu yılda bir kez ya da büyük altyapı değişikliklerinden sonra yapabilir. Bulut öncelikli ya da hızlı büyüyen şirketler, değişen saldırı yüzeylerine ayak uydurmak için daha sık değerlendirmelere ihtiyaç duyabilir. Birleşmeler, ihlaller ya da düzenleyici güncellemeler gibi büyük olaylardan sonra yeniden değerlendirme yapmak da akıllıca olur.

Ortaya çıkan tehditlere hazırlıklı olmak ve siber güvenliği genel iş kararlarına dahil etmek için, güvenlik operasyonlarınıza düzenli bir siber güvenlik risk değerlendirmesi ekleyin. Etkili bir süreç oluşturmanıza yardımcı olabilecek çeşitli çözümler vardır. Güvenlik bilgileri ve olay yönetimi (SIEM) çözümleri, Microsoft Sentinel gibi, olayları ilişkilendirmeye, anormallikleri belirlemeye ve yerleşik analizler ile tehdit istihbaratı kullanarak uyarılara öncelik vermeye yardımcı olur. Genişletilmiş algılama ve yanıt (XDR) çözümleri, uç noktalar, kimlikler, e-posta ve bulut uygulamaları genelindeki olası saldırı yollarına derin görünürlük sağlar. SIEM ve XDR'yi tek bir birleşik SecOps çözümünde bir araya getirmek, savunmacıların tüm dijital varlıkları genelindeki riskleri görmesini ve koordineli biçimde daha hızlı harekete geçmesini sağlar. Siber güvenlik için yapay zeka çözümleri, Microsoft Security Copilot gibi, sinyalleri anlamlandırarak içgörüleri ortaya çıkarır ve sonraki adımları önerir.