Kurumlar dijitalleşirken, BT yatırımları da her geçen yıl artıyor. Yeni firewall’lar, lisanslar, altyapı modernizasyonları, bulut projeleri, siber güvenlik çözümleri… Liste uzadıkça uzuyor. Ancak sahada sıkça karşılaşılan bir gerçek var:

Yanlış önceliklendirilmiş BT yatırımları, bütçeyi büyütürken güvenliği ve operasyonel olgunluğu artırmıyor.

Birçok kurumda aynı tabloya rastlıyoruz:

Firewall var ama yedekleme yok.

SOC konuşuluyor ama olaylara müdahale (IR) yapacak bir yapı yok.

Araçlar var ama bütüncül bir güvenlik yaklaşımı yok.

Bu durum, BT yatırımlarında yapılan en pahalı hatayı işaret ediyor:

“Doğru şeyi almak yerine, ilk akla geleni almak.”

“Firewall Var, Yedek Yok” Paradoksu

Firewall, kurumsal BT dünyasında neredeyse tartışmasız bir gereklilik. Çoğu kurum için ilk güvenlik yatırımı da genellikle firewall oluyor. Ancak burada kritik bir soru ortaya çıkıyor:

Bir saldırı gerçekleştiğinde geri dönebilecek misiniz?

Birçok kurumda cevap maalesef net değil.

Neden Bu Kadar Kritik?

• Firewall, saldırıyı önlemeye çalışır

• Yedekleme ise saldırı sonrası iş sürekliliğini garanti altına alır

Yani:

• Firewall = Önleyici katman

• Yedekleme = Kurtarıcı katman

Ancak sahada sıkça şu tabloyu görüyoruz:

• Güncel firewall yatırımı yapılmış

• Ancak:

     ○ Yedekler test edilmiyor

     ○ Yedekler izole değil

     ○ Geri dönüş süreleri (RTO/RPO) belirsiz

Bu durumda kurum, güvenlik yatırımı yaptığını düşünse bile aslında operasyonel olarak savunmasız kalıyor.

SOC Var, IR Yok: Güvenlik Sadece İzlemek Değildir

Bir diğer yaygın durum ise SOC yatırımları.

Log toplama, alarm üretme, dashboard’lar… Hepsi var.

Ama kritik soru şu:

Bir alarm çaldığında kim, ne yapacak?

SOC ≠ Müdahale

SOC (Security Operations Center):

• Olayları izler

• Anomaliyi tespit eder

• Alarm üretir

Ancak IR (Incident Response):

• Olayı analiz eder

• Etki alanını sınırlar

• Müdahale eder

• Sistemleri güvenli hale getirir

Birçok kurumda:

• SOC var

• Ancak:

     ○ Müdahale prosedürü yok

     ○ Yetki matrisi net değil

     ○ Kriz anında karar alacak yapı tanımlı değil

Bu da şu anlama geliyor:

Kurum tehditleri görüyor ama durduramıyor.

Yanlış Önceliklendirme Nasıl Ortaya Çıkıyor?

Yanlış önceliklendirme genellikle teknik eksiklikten değil, yaklaşım hatasından kaynaklanıyor.

En sık karşılaşılan nedenler:

• Sadece regülasyonlara odaklanmak

• “Herkeste var, bizde de olsun” yaklaşımı

• Ürün odaklı düşünmek, risk odaklı düşünmemek

• Kısa vadeli çözümlerle uzun vadeli sorunları çözmeye çalışmak

• Güvenliği bir proje değil, bir satın alma olarak görmek

Sonuç olarak:

• Parça parça yatırımlar yapılır

• Ancak bütünsel bir güvenlik resmi oluşmaz

BT Güvenliği Bir Zincirdir – En Zayıf Halka Kadar Güçlüdür

Siber güvenlik dünyasında sık kullanılan ama çoğu zaman göz ardı edilen bir gerçek vardır:

Bir kurumun güvenliği, en zayıf halkası kadar güçlüdür.

Firewall ne kadar güçlü olursa olsun:

• Yedekler yoksa

• Müdahale süreci yoksa

• Yetki ve sorumluluklar net değilse

Güvenlik zinciri kopar.

Bu yüzden BT yatırımları şu sorular etrafında şekillenmelidir:

• Ne koruyoruz?

• Ne kadar sürede geri dönmemiz gerekiyor?

• Bir olay olduğunda kim ne yapacak?

• İş sürekliliği nasıl sağlanacak?

Doğru Önceliklendirme Nasıl Olmalı?

Doğru önceliklendirme, “hangi ürünü alalım?” sorusuyla değil,

“hangi riski yönetiyoruz?” sorusuyla başlar.

Sağlıklı Bir Yaklaşım Şu Katmanları İçermelidir:

1. Temel Koruma

• Ağ ve uç nokta güvenliği

• Yetkilendirme ve erişim kontrolü

• Güncel ve doğru konfigürasyonlar

2. Dayanıklılık ve Kurtarma

• Yedekleme stratejisi

• Geri dönüş senaryoları

• Felaket anında iş sürekliliği

3. Görünürlük ve İzleme

• Loglama

• Olay takibi

• Tehdit görünürlüğü

4. Müdahale ve Operasyon

• Olay müdahale planları

• Yetki ve sorumluluklar

• Test edilmiş senaryolar

Bu yapı kurulduğunda:

• Yatırımlar anlam kazanır

• Güvenlik harcamaları maliyet değil, sigorta haline gelir.

Yönetim Seviyesinde Farkındalık Neden Şart?

BT yatırımlarında yanlış önceliklendirme sadece teknik bir sorun değildir.

Bu aynı zamanda yönetimsel bir risktir.

Yönetim seviyesinde şu soruların sorulması gerekir:

• Bir siber olayda operasyon ne kadar durur?

• Bu duruşun finansal karşılığı nedir?

• Müşteri güveni nasıl etkilenir?

• Hukuki ve regülasyon riskleri nelerdir?

Bu sorular cevaplandığında, BT yatırımları:

• Teknik ekiplerin talebi olmaktan çıkar

• Kurumsal risk yönetiminin bir parçası haline gelir

Daha Çok Harcamak Değil, Doğru Yere Harcamak

Siber güvenlikte başarı:

• En pahalı ürünü almakla değil

• En doğru önceliklerle ilerlemekle sağlanır

Firewall’ın yanında yedekleme yoksa,

SOC’un yanında IR yoksa,

Araçların yanında süreç yoksa,

Yatırım yapılmış olur ama güvenlik sağlanmış olmaz.

LTS Bilişim olarak yaklaşımımız net:

Önce resmi doğru görmek, sonra yatırımı doğru yapmak.

Çünkü BT yatırımlarında en pahalı hata,

yanlış yere yapılan yatırımdır.