Stratejik Savunma Doktrini
Mükemmel güvenlik bir illüzyondur; asıl ustalık, hangi zayıflıkların korunmaya değer olduğunu ve hangilerinin düşmana bırakılabileceğini hesaplayan o acımasız matematikte gizlidir.
Bilgi güvenliği risklerinin yönetimi, yalnızca teknik bir altyapı meselesi değil, aynı zamanda hayati bir kurumsal bütçe ve hayatta kalma kararıdır. İş dünyasında, şirketler sonsuz kaynaklara sahip değildir ve karşılaştıkları her tekil siber tehdidi veya operasyonel riski sıfıra indirmek matematiksel olarak imkansızdır. Bu noktada devreye Risk İşleme (Risk Treatment) ve Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA) girer. Şirketler, karşılaştıkları riskleri tanımladıktan sonra bu risklere nasıl yanıt vereceklerini belirleyen net, stratejik kararlar almak zorundadır. SoA ise bu kararların neden alındığını, hangi güvenlik duvarlarının örüldüğünü ve hangilerinin bilinçli olarak yıkık bırakıldığını gösteren nihai hesap verme belgesidir.
Bu süreci anlamak için, risk işlemeyi devasa bir kalenin savunma bütçesi olarak düşünebiliriz. Kalenin etrafında farklı tehdit seviyelerine sahip kapılar ve duvarlar vardır. Elinizdeki sınırlı altınla (bütçe) her kapıya yüzlerce asker dikemezsiniz. Bu nedenle, kalenizin güvenliğini sağlarken dört temel savunma manevrasından birini seçmek zorundasınızdır.
Risk Azaltma ve Savunmayı Güçlendirme
Risk Azaltma (Risk Mitigation), bir tehdidin gerçekleşme ihtimalini veya gerçekleştiğinde vereceği hasarı minimuma indirmek için aktif olarak önlem alma sürecidir. Kalenin en önemli kapısına daha kalın demir parmaklıklar taktırmak veya ekstra nöbetçiler yerleştirmek gibi düşünülebilir. İş dünyasında bu, şirketin en kritik veritabanına erişimi sınırlandırmak, çok faktörlü kimlik doğrulama (MFA) sistemleri kurmak veya personeli siber güvenlik eğitimlerinden geçirmek anlamına gelir. Azaltma stratejisi, riskin tamamen yok edilemeyeceğini kabul eder, ancak onu yönetilebilir ve kabul edilebilir bir seviyeye çeker.Risk Transferi ve Finansal Kalkanlar
Risk Transferi (Risk Transfer), riski tamamen ortadan kaldırmak yerine, olası bir hasarın finansal ve operasyonel yükünü üçüncü bir tarafa devretme hamlesidir. Kalenin savunması için dışarıdan paralı askerler kiralamak veya kalenin yıkılması durumunda size yeni bir kale inşa edecek bir sigorta poliçesi satın almak gibidir. Modern şirketler, siber güvenlik sigortaları yaptırarak veya bulut altyapı hizmetlerini (AWS, Azure) kullanarak donanım çökme risklerini dev teknoloji firmalarına transfer ederler. Zarar gerçekleştiğinde hasar şirket tarafından değil, transfer edilen kurum tarafından karşılanır.