Siber güvenlik risklerini yönetim kuruluna anlatmak, birçok CISO ve güvenlik liderinin en büyük zorluklarından biri. Infosecurity Europe 2026’da bir araya gelen güvenlik liderleri, yönetim kurullarını ikna etmenin en iyi yolunun, siber riskleri finansal bir perspektiften ele almak olduğunu vurguladı. Özellikle Cyber Risk Quantification (CRQ) yöntemiyle siber tehditlerin potansiyel maliyetini somut verilerle göstermek, yönetim kurulunun dikkatini çekmek ve bütçe onayı almak için kritik bir araç olarak öne çıkıyor.
BP’nin dijital risk yönetimi lideri James Russell, şirketlerin onlarca yıldır risk yönetimini iş süreçlerine entegre ettiğini ancak siber güvenlikte bu pratiğin yeni yeni yaygınlaştığını belirtti. Russell’a göre, CRQ’nun başarısı, üretilen verilerin ve anlamlarının yöneticiler tarafından kolayca anlaşılabilmesine bağlı. “Siber riski iş liderlerine anlamlı kılmak için, bunu riskin yönetilmemesinin maliyeti etrafında ölçümlemeliyiz” diyen Russell, parasal değerle ölçümlemenin büyük organizasyonlarda herkesin anlayabileceği ortak bir dil oluşturduğunu ifade etti.
NatWest Group’un siber güvenlik genel müdürü Silas Bartlett ise, yönetim kurulu onayının CRQ sürecinin en başında hedeflenmesi gerektiğini söyledi. Bartlett, “Kurul raporlamasını iyileştirmek için iç tartışmalar yaptık. Yeterli veri ve modelleme ile riskin neye benzediğini ölçümleyebileceğimizi gördük. Bu nedenle en baştan kurul raporlaması hedefi koyduk ve geriye doğru çalıştık” dedi. Ancak bu sürecin zorlukları da yok: Veri kalitesi ve miktarının doğruluğu, bankaların kredi riskini ölçmek için onlarca yıllık veriye sahip olmasına karşın siber güvenlik alanında bu kadar uzun süreli veri bulunmaması, en büyük engellerden biri.
Bartlett, “Bir siber saldırının karmaşıklığı nedeniyle, modelimizde hata olmadığından nasıl emin olabiliriz sorusuyla karşılaşıyoruz. Bu nedenle modele ‘Bu varsayımda %10 yanılıyorsak ne olur?’ veya ‘Yeni bir güvenlik açığı saldırganın çevremizi aşmasına izin verirse?’ gibi senaryolar ekledik” diyerek, zamanla daha fazla veri eklendikçe modelin doğruluğunun artacağını belirtti. CRQ’nun en önemli çıktılarından biri, “dolar atıfı” (dollar attribution) olarak adlandırılan, siber risk yönetiminin potansiyel bir ihlali önleyerek veya kesintiye uğratarak şirkete ne kadar tasarruf sağladığını göstermek.
Teknik Analiz
Russell, CRQ’nun gerçek veri istatistiklerine dayanması nedeniyle, karar alma sürecinde içgüdüsel veya subjektif görüşlerin etkisini azalttığını vurguladı. Ancak riski sunan kişilerin, paylaştıkları verilerin yönetim kurulunun ihtiyaçlarına göre şekillendirilmesi gerektiğini unutmamalı. “En büyük zorluk, paydaşlara sunulan bilgi miktarı; CRQ dilini ortak bir sözlüğe çevirerek risk yönetimini kolaylaştırmak, bu bir etkinleştirici olmalı” diyen Russell, verilerin çok karmaşık olması durumunda yönetim kurulunun bunları kullanamayacağını belirtti.
Sonuç olarak, siber risk yönetiminde başarılı olmak isteyen şirketlerin, CRQ’yu sadece teknik bir araç olarak değil, aynı zamanda yönetim kurulu ile iletişim kurmanın bir yolu olarak görmesi gerekiyor. Finansal etkiyi net bir şekilde ortaya koyan veriler, siber güvenlik yatırımlarının onaylanmasını ve stratejik bir öncelik haline gelmesini sağlayabilir. Bu yaklaşım, hem BP hem de NatWest gibi büyük ölçekli şirketlerde başarıyla uygulanıyor ve siber güvenliğin iş hedefleriyle uyumlu hale getirilmesine yardımcı oluyor.
Kaynak: infosecurity-magazine.com
