Risk İşleme: Kabul Etme, Devretme, Azaltma, Kaçınma

Riskler belirlendikten ve analiz edildikten sonra kuruluşlar bunlarla ilgili ne yapacaklarına karar vermelidir. Risk işleme, olasılığına, etkisine ve düzeltme maliyetine göre her bir riske verilecek yanıtın seçilmesi ve uygulanması sürecidir. Evrensel olarak kabul edilen dört işleme seçeneği vardır: kabul etme, devretme, azaltma ve kaçınma. Hiçbir seçenek her zaman doğru değildir — doğru tercih iş bağlamına, risk iştahına ve mevcut kaynaklara bağlıdır.

Risk azaltma, Security kontrolleri uygulayarak riskin olasılığını veya etkisini düşürür. Bu, en yaygın işleme seçeneğidir. Örnekler arasında ağ saldırısı olasılığını azaltmak için güvenlik duvarı dağıtmak, bilinen güvenlik açıklarını kapatmak için yazılımlara yama uygulamak veya kimlik bilgilerinin çalınmasının etkisini azaltmak için MFA uygulamak yer alır. Azaltma riski tamamen ortadan kaldırmaz — kontroller uygulandıktan sonra yeniden değerlendirilmesi gereken artık riski ortaya çıkarır.

Risk devri, bir riskin finansal sonuçlarını üçüncü bir tarafa aktarır. En yaygın örnek siber sigortadır — kuruluş prim öder ve sigortacı, teminat kapsamındaki olaylardan kaynaklanan kayıpları karşılar. Risk sözleşmeyle de devredilebilir: bulut sağlayıcılarıyla yapılan hizmet düzeyi anlaşmaları (SLA'lar), veri ihlallerine ilişkin sorumluluğu satıcıya yükleyebilir; sözleşmelerdeki tazminat hükümleri de sorumluluğu iş ortaklarına aktarabilir. Önemli nokta şudur: Devir, riskin kendisini değil, yalnızca finansal yükü ortadan kaldırır.

Risk kabulü, azaltma maliyeti beklenen kaybı aştığı veya risk kuruluşun risk eşiğinin altında kaldığı için ek kontroller uygulamadan bir riski bilerek tolere etmek anlamına gelir. Kabul, uygun yetkiye sahip bir makam (genellikle risk sorumlusu veya yönetici) tarafından alınmış belgelenmiş ve bilinçli bir karar olmalıdır. Belgelenmemiş, örtük kabul — kimse düzeltmeye zaman ayırmadığı için bir riski görmezden gelmek — resmi kabulle aynı değildir ve denetim bulgularına yol açar.

Riskten kaçınma, riski oluşturan faaliyete hiç girişmeyerek riski tamamen ortadan kaldırır. Örneğin bir kuruluş, ödeme kartı verilerini doğrudan saklamamaya karar verebilir — tüm kart işlemlerini üçüncü taraf bir tokenleştirme hizmetine devrederek PCI-DSS kapsamından tamamen kaçınabilir. Risk kabul edilemeyecek kadar yüksek olduğunda ve maliyet açısından verimli bir azaltma veya devir seçeneği bulunmadığında kaçınma uygundur; ancak bu, bir iş fırsatından vazgeçmek anlamına da gelebilir.

Bir işleme seçeneği belirlemek, risk maruziyetini yanıt maliyetleriyle karşılaştırmayı gerektirir. ALE 50.000 dolarsa ve azaltma yıllık 10.000 dolara mal oluyorsa azaltma açıkça maliyet açısından verimlidir. ALE 5.000 dolarsa ve azaltma yıllık 30.000 dolara mal oluyorsa kabul veya devir daha mantıklı olabilir. Kuruluşlar ayrıca yönetimin tolere etmeye istekli olduğu risk miktarı olan risk iştahını ve belirli risk kategorileri için risk iştahından kabul edilebilir sapma olan risk toleransını da dikkate alır.

Risk iştahı, bir kuruluşun hedeflerine ulaşma yolunda kabul etmeye istekli olduğu geniş ve stratejik risk düzeyidir — genellikle yönetim kurulu tarafından belirlenir. Risk toleransı, belirli risk kategorileri çevresindeki kabul edilebilir değişim aralığıdır. Bir kuruluşun genel risk iştahı düşükken belirli bir ürün grubundaki itibar risklerine yönelik toleransı daha yüksek olabilir. Bu eşikler, risk kabulünün ne zaman uygun olduğunu ve ne zaman üst kademeye bildirim gerektiğini belirler.

İdeal azaltma kontrolü maliyet, teknik kısıtlar veya Legacy sistemler nedeniyle uygulanamadığında, telafi edici kontrol riski alternatif bir yolla azaltır. Örneğin eski bir sistem MFA'yı destekleyemiyorsa artırılmış izleme, ağ yalıtımı ve ek günlük kaydı telafi sağlayabilir. Telafi edici kontroller, gerekçeleriyle belgelenip uygun makam tarafından onaylandığında PCI-DSS ve diğer çerçevelerde geçerli bir risk işleme yöntemi olarak resmen tanınır.

Herhangi bir risk işleme uygulandıktan sonra neredeyse her zaman bir miktar risk kalır. Artık risk, kontroller devreye alındıktan sonra geriye kalandır. Risk sorumlusu tarafından resmen kabul edilmeli ve tanınmalıdır. Artık risk kabul edilebilir eşiğin hâlâ üzerindeyse ek kontrollere ihtiyaç vardır. Risk işleme kararları ve artık risk düzeyleri risk kaydına kaydedilmeli ve özellikle tehdit ortamı değiştiğinde belirlenen aralıklarla gözden geçirilmelidir.

Uyumluluk çerçeveleri, hangi risk işleme seçeneklerinin kabul edilebilir olduğunu sınırlar. HIPAA, korunan sağlık bilgilerinin işlenmesinden kaçınılmasına izin vermez — kuruluşlar bu riski azaltmalı veya devretmelidir. PCI-DSS, maliyet-fayda analizinden bağımsız olarak belirli kontrolleri zorunlu kılar. Bu kısıtlamaları anlamak, bir kuruluşun tercih ettiği işleme seçeneğinin (örneğin bir kontrol açığını kabul etmenin), para cezalarına veya kart işleme ayrıcalıklarının kaybedilmesine yol açabilecek bir düzenleyici gerekliliği ihlal ettiği durumları önler.

Risk işleme, üçüncü taraf ve tedarik zinciri riski için de geçerlidir. Tedarikçilerin veya iş ortaklarının sistemlerinize ya da verilerinize erişimi olduğunda, onların güvenlik duruşu sizin risk profilinizin bir parçası hâline gelir. İşleme seçenekleri arasında şunlar bulunur: sözleşmeye dayalı kontroller (devretme), tedarikçi güvenlik değerlendirmeleri (azaltma), alternatif tedarikçileri seçme (kaçınma) veya düzenli incelemelerle riski resmî olarak kabul etme. Tedarik zinciri ihlalleri (SolarWinds, XZ Utils), üçüncü taraf risk yönetiminin neden Security+ sınavında öncelikli bir konu olduğunu gösterir.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: risk azaltma, kontroller aracılığıyla olasılığı veya etkiyi düşürür; risk devri, finansal sonuçları sigortacılar gibi üçüncü taraflara aktarır; risk kabulü, bir riske katlanma yönünde belgelenmiş bir karardır; riskten kaçınma ise faaliyeti gerçekleştirmeyerek riski ortadan kaldırır. Sırada başlıca güvenlik çerçevelerini inceliyoruz: NIST RMF, ISO 27001 ve CIS Controls.