Moneyball filminde Oakland A’lar, daha fazla veriye değil, hangi verinin maç kazandırdığını bilmeye ihtiyaç duymuştu. Risk değerlendirme verileri de aynı sorunu yaşıyor. Bir CVSS skoru 9.1, CFO için çok az anlam ifade ederken; bu skorun günlük 2 milyon dolar işlem yapan bir ödeme sistemindeki açığı temsil etmesi büyük önem taşır. Verinin eyleme dönüşebilmesi için, finansal kayba, ürün gecikmelerine veya düzenleyici otoritelerin tepkisine yol açabilecek operasyonel kesintilerle ilişkilendirilmesi gerekir.
Periyodik risk değerlendirmeleri, jeopolitik dalgalanmalar ve yapay zeka ile kuantum bilişim gibi yeni teknolojilerin şekillendirdiği dinamik tehdit ortamına ayak uyduramaz. Bilgi risk yönetimi, riskleri, kontrollerin ne kadar iyi çalıştığını ve kontroller başarısız olursa işletme için olası sonuçları birbirine bağlayan sürekli bir süreç haline gelmelidir. Farklı riskler farklı etki seviyelerine, veri mevcudiyetine ve paydaş ihtiyaçlarına sahiptir; bu nedenle analiz derinliği de değişir. Hızlı karar gerektiğinde nitel analiz, yatırım kararları finansal destek gerektirdiğinde ise nicel analiz kullanılabilir. IRAM3 metodolojisi, her iki yöntemi tek bir çerçevede birleştirerek modüler yapısıyla kuruluşların ihtiyaçlarına göre esneklik sağlar.
Bağlantılı bir risk yaşam döngüsü, kuruluşların iş etkisini anlama, tehditleri yorumlama, kontrolleri değerlendirme, maruziyeti ölçme ve tedavi seçeneklerini karşılaştırma şeklini değiştirir. Bu yaklaşım, her değerlendirmeyi izole bir egzersiz olarak ele almak yerine tüm faaliyetleri birbirine bağlı tutar. İş etkisini belirlemek için ilgili varlıklar destekledikleri iş fonksiyonuna göre gruplanmalıdır (örneğin, işlem katı, müşteri veri ortamı, ödeme ağ geçidi). Bu sayede ekipler, işletmenin gerçek işleyişine bağlı risk değerlendirmeleri yapabilir ve risk iştahını tanımlayabilir. Örneğin, bir hisse senedi ticaret platformunun yoğun işlem saatlerinde belirli özelliklerinin başarısız olması yüksek etkili bir risktir ve ciddi finansal kayıp ile itibar zedelenmesine yol açabilir.
Gelecekte Ne Bekleniyor?
Tedavi, mevcut risk maruziyetini risk iştahıyla karşılaştırarak başlar. Bir perakendeci, daha güçlü dolandırıcılık kontrolleri, ödeme sürecine ek kontroller veya daha fazla sigorta arasında seçim yapmak zorunda kalabilir. Risk modelleme, her kontrolün beklenen kaybı ve müşteri sürtünmesini nasıl etkilediğini belirleyerek işletme için daha anlamlı bir tedavi planı oluşturulmasına yardımcı olur. İş liderleri, ilk kabul edilebilir plana bağlanmak yerine alternatifleri test edip karşılaştırabilir. Sigorta finansal sonuçları azaltabilir ancak operasyonları, müşteri güvenini veya düzenleyici durumu geri getiremez. İyileştirme planı uygulandıktan sonra tamamlanma doğrulanmalı ve kalan risk değerlendirilmelidir. Tüm eylemler sahiplendirilmeli, son tarihler belirlenmeli ve etkinlik kanıtı sağlanmalıdır. İş büyüdükçe bağımlılıklar değişir ve mevcut güvenlik duruşu yeni tehditleri karşılayamayabilir; bu nedenle risk bilgisi sürekli gözden geçirilmeli, iletilmeli ve iyileştirilmelidir.
