Risk Değerlendirmesi

Kurumsal Risk Analizi, kurumun hedeflerini olumsuz etkileyebilecek olayları belirler ve bu olayların önemini ölçer.

Ancak kurumun amacı bütün riskleri yok etmek değildir; çünkü bu çoğu zaman mümkün olmaz. Bunun yerine ekip, kabul edilebilir risk seviyesini belirler ve sınırlı bütçeyi en kritik alanlara yönlendirir.

İlk olarak ekip kapsamı belirler

İlk olarak ekip, tüm kurumu mu, belirli bir departmanı mı yoksa tek bir uygulamayı mı inceleyeceğini belirler. Kapsam net değilse çalışma büyür ve sonuçlar dağılır. Ardından ekip; finansal kayıp, hizmet kesintisi, yasal yaptırım ve itibar zararı gibi değerlendirme ölçütlerini tanımlar.

Risk Tespiti

Kurumsal Risk Analizi üç parçayı birlikte ele alır: varlık, tehdit ve zafiyet. İlk olarak ekip, kurum için değer taşıyan varlıkları belirler. Müşteri verileri, çalışanlar, sunucular, üretim hattı, marka itibarı ve iş süreçleri bu varlıklara örnektir.

Ardından ekip tehditleri ve zafiyetleri inceler. Tehdit, varlığa zarar verme ihtimali bulunan olaydır. Zafiyet ise bu olayın etkili olmasını kolaylaştıran eksikliktir. Örneğin kimlik avı bir tehdit, çalışan farkındalığının düşük olması bir zafiyet ve ele geçirilen e-posta hesabı ortaya çıkabilecek bir sonuçtur.

Bunun yanında ekip; görüşmeleri, geçmiş olayları, log kayıtlarını, zafiyet taramalarını ve sızma testlerini birlikte kullanır. Ekip yalnızca otomatik araçlara güvenirse süreç ve insan kaynaklı riskleri gözden kaçırabilir.

Olasılık ve Etki Puanlaması

Sonrasında ekip, gerçekleşme olasılığı ile oluşacak etkiyi birlikte değerlendirerek risk seviyesini hesaplar. Yaygın yöntemde ekip iki değeri 1 ile 5 arasında puanlar ve birbiriyle çarpar.

Risk puanı = Olasılık × Etki

Olasılığı belirlerken ekip; geçmiş olayları, sektördeki saldırıları, sistemin internete açıklığını ve mevcut kontrolleri dikkate alır. Etkiyi değerlendirirken ise yalnızca maddi zararı değil; kesinti süresini, müşteri güvenini, yasal sorumluluğu ve itibar kaybını da hesaba katar.

Ayrıca ekip, verdiği puanın gerekçesini açıkça yazar. Aksi hâlde farklı kişiler aynı riski farklı sonuçlarla değerlendirebilir.

Kurumsal Risk Analizi ve Risk Sınıflandırması

Ardından ekip riskleri düşük, orta, yüksek ve kritik olarak sınıflandırır. Bu seviyeler, aksiyon hızını belirler.

Ancak her kurum aynı aralıkları kullanmak zorunda değildir. Örneğin bir sağlık kuruluşu, kişisel veri ve hizmet kesintisi konusunda daha düşük risk toleransına sahip olabilir. Bir üretim şirketinde ise birkaç saatlik duruş ciddi maliyet yaratabilir.

Aynı puanı alan iki risk farklı iş sonuçları doğurabilir. Bu nedenle matris karar vermeyi kolaylaştırır; ancak yönetim değerlendirmesinin yerini tutmaz.

Risk Yönetimi

Son olarak kurum, her risk için bir sorumlu, hedef tarih ve uygulanacak yöntem belirler.

• Azaltma: Kurum, yeni kontrollerle olasılığı veya etkiyi düşürür.
• Kabul: Kurum, sınırlar içinde kalan riski kayıt altına alır ve izler.
• Transfer: Kurum, sigorta veya sözleşme yoluyla riskin bir bölümünü başka bir tarafa aktarır.
• Kaçınma: Kurum, riskli faaliyeti sonlandırır ya da başka bir yöntem seçer.

Örneğin çok faktörlü kimlik doğrulama, ağ segmentasyonu, yedekleme testleri, çalışan eğitimi ve log izleme risk azaltmaya yardımcı olur. Ancak kurum yalnızca kontrol eklemekle yetinmez; kontrolün gerçekten çalışıp çalışmadığını da düzenli olarak ölçer.

Bunun yanında kurum; yeni sistem, çalışan, lokasyon, tedarikçi veya mevzuat değişikliklerinde risk kayıtlarını günceller. Kurum tabloyu yılda yalnızca bir kez hazırlayıp sonra unutursa tablo kısa sürede güncelliğini kaybeder.

Sık Sorulan Sorular

Risk Değerlendirmesi

Kurumsal Risk Analizi, kurumun hedeflerini tehdit eden olayları ortaya çıkarır ve bu olayların önemini ölçer.

Ancak kurum bütün riskleri yok etmeyi hedeflemez; çünkü ekip bunu çoğu zaman başaramaz. Bunun yerine ekip, kurumun kabul ettiği risk seviyesini belirler ve sınırlı bütçeyi en kritik alanlara yönlendirir.

İlk olarak ekip kapsamı belirler

İlk olarak ekip, tüm kurumu mu, belirli bir departmanı mı yoksa tek bir uygulamayı mı inceleyeceğini belirler. Kapsam net değilse çalışma büyür ve sonuçlar dağılır. Ardından ekip; finansal kayıp, hizmet kesintisi, yasal yaptırım ve itibar zararı gibi değerlendirme ölçütlerini tanımlar.

Risk Tespiti

Kurumsal Risk Analizi, varlık, tehdit ve zafiyet olmak üzere üç parçayı birlikte ele alır. İlk olarak ekip, kurum için değer taşıyan varlıkları belirler. Müşteri verileri, çalışanlar, sunucular, üretim hattı, marka itibarı ve iş süreçleri bu gruba girer.

Ardından ekip tehditleri ve zafiyetleri inceler. Tehdit, varlığa zarar verme ihtimali taşıyan bir olayı ifade eder. Zafiyet ise bu olayın etkisini artıran bir eksikliği ifade eder. Örneğin kimlik avı bir tehdit oluşturur, düşük çalışan farkındalığı bir zafiyet yaratır ve saldırganın e-posta hesabını ele geçirmesi olası sonucu gösterir.

Bunun yanında ekip; görüşmeleri, geçmiş olayları, log kayıtlarını, zafiyet taramalarını ve sızma testlerini birlikte kullanır. Ekip yalnızca otomatik araçlara güvenirse süreç ve insan kaynaklı riskleri gözden kaçırır.

Olasılık ve Etki Puanlaması

Sonrasında ekip, olayın gerçekleşme olasılığını ve kuruma vereceği etkiyi birlikte değerlendirerek risk seviyesini hesaplar. Yaygın yöntemde ekip, iki değere 1 ile 5 arasında puan verir ve bu puanları birbiriyle çarpar.

Risk puanı = Olasılık × Etki

Olasılığı belirlerken ekip; geçmiş olayları, sektördeki saldırıları, sistemin internete açıklığını ve mevcut kontrolleri dikkate alır. Etkiyi değerlendirirken ise yalnızca maddi zararı değil; kesinti süresini, müşteri güvenini, yasal sorumluluğu ve itibar kaybını da hesaba katar.

Ayrıca ekip, verdiği puanın gerekçesini açıkça yazar. Aksi hâlde farklı kişiler aynı risk için farklı sonuçlara ulaşır.

Kurumsal Risk Analizi ve Risk Sınıflandırması

Ardından ekip riskleri düşük, orta, yüksek ve kritik olarak sınıflandırır. Bu seviyeler, ekibin ne kadar hızlı aksiyon alacağını gösterir.

Ancak her kurum aynı aralıkları kullanmak zorunda değildir. Örneğin bir sağlık kuruluşu, kişisel veri ve hizmet kesintisi konusunda daha düşük risk toleransına sahip olabilir. Bir üretim şirketinde ise birkaç saatlik duruş ciddi maliyet yaratır.

Aynı puanı alan iki risk, kurumda farklı sonuçlar doğurur. Bu nedenle matris karar vermeyi kolaylaştırır; ancak yönetim değerlendirmesinin yerini tutmaz.

Risk Yönetimi

Son olarak kurum, her risk için bir sorumlu ve hedef tarih seçer; ardından ekibin kullanacağı yöntemi belirler.

• Azaltma: Kurum, yeni kontrollerle olasılığı veya etkiyi düşürür.
• Kabul: Kurum, sınırlar içinde kalan riski kayıt altına alır ve izler.
• Transfer: Kurum, sigorta veya sözleşme yoluyla riskin bir bölümünü başka bir tarafa aktarır.
• Kaçınma: Kurum, riskli faaliyeti durdurur ya da daha güvenli bir yöntem seçer.

Örneğin çok faktörlü kimlik doğrulama, ağ segmentasyonu, yedekleme testleri, çalışan eğitimi ve log izleme risk azaltmaya yardımcı olur. Ancak kurum yalnızca kontrol eklemekle yetinmez; kontrolün gerçekten çalışıp çalışmadığını da düzenli olarak ölçer.

Bunun yanında kurum; yeni sistem, çalışan, lokasyon, tedarikçi veya mevzuat değişikliklerinde risk kayıtlarını günceller. Kurum tabloyu yılda yalnızca bir kez hazırlayıp sonra unutursa tablo kısa sürede güncelliğini kaybeder.

Sık Sorulan Sorular