Nitel ve Nicel Risk Analizi

Riskler belirlendikten sonra kuruluşlar karşı karşıya oldukları riskin ne kadar olduğuna karar vermelidir. İki temel yaklaşım vardır: Qualitative analiz, uzman görüşüne dayalı açıklayıcı ölçekler (High, Medium, Low) kullanırken Quantitative analiz, riski parasal olarak ifade etmek için sayısal hesaplamalar kullanır. Her iki yaklaşımın da olgun bir Security programında yeri vardır — doğru seçim, eldeki verilere ve alınacak kararlara bağlıdır.

Qualitative analizde analistler, olasılık ve etkiye açıklayıcı derecelendirmeler verir — genellikle 3 seviyeli (Low/Medium/High) veya 5 seviyeli bir ölçek kullanılır. Bu derecelendirmeler, genel bir risk seviyesi oluşturmak için risk matrisiyle birleştirilir. Temel avantajı hız ve erişilebilirliktir: ayrıntılı finansal verilere gerek duyulmaz ve muhasebe altyapısı olmayan paydaşlar da sürece katılabilir. Dezavantajı ise öznelliktir — iki analist aynı riski farklı derecelendirebilir.

Quantitative analiz, formüller kullanarak riske dolar cinsinden değerler atar. Temel terimler: Asset Value (AV), varlığın dolar cinsinden değeridir. Exposure Factor (EF), bir olayda kaybedilen varlık değerinin yüzdesidir (ör. %40). Single Loss Expectancy (SLE) = AV × EF. Annual Rate of Occurrence (ARO), olayın yılda kaç kez gerçekleşmesinin beklendiğini ifade eder. Annual Loss Expectancy (ALE) = SLE × ARO. ALE, kontrollerle ilgili maliyet-fayda kararlarını yönlendirir.

SLE, belirli bir risk olayı her gerçekleştiğinde kaybedilmesi beklenen dolar tutarını ifade eder. Şu şekilde hesaplanır: SLE = Asset Value × Exposure Factor. 300.000 dolar değerindeki bir file server, fidye yazılımı saldırısında %30 oranında yok olacaksa SLE 90.000 dolardır. SLE bir yapı taşıdır — tek başına olayın ne sıklıkta gerçekleştiğini hesaba katmaz; bu nedenle anlamlı bir yıllık değer hesaplamak için ARO da gerekir.

ARO, bir risk olayının 12 aylık bir dönem içinde kaç kez gerçekleşmesinin beklendiğini ifade eder. ARO değerinin 1 olması, olayın yılda bir kez gerçekleşmesinin beklendiği anlamına gelir. 0,1 değeri, 10 yılda bir gerçekleşmesi demektir. 4 değeri ise yılda dört kez anlamına gelir. ARO değerleri genellikle geçmiş olay verilerinden, sektör istatistiklerinden, tehdit istihbaratından veya sigortacıların aktüeryal tahminlerinden elde edilir. Hatalı ARO tahminleri ALE hesaplamalarını doğrudan çarpıtır.

ALE, nicel risk analizinin temelidir: ALE = SLE × ARO. Belirli bir riskten kaynaklanan beklenen yıllık finansal kaybı ifade eder. ALE, risklerle Security harcamalarının doğrudan karşılaştırılmasını sağlar. Bir kontrolün yıllık maliyeti 50.000 dolarsa ve ALE'yi 120.000 dolardan 20.000 dolara düşürüyorsa, 50.000 dolarlık net tasarruf yatırımı haklı çıkarır. Kontrolün maliyeti ALE'deki azalmadan yüksekse maliyet açısından verimli değildir.

Quantitative analiz, Security harcamalarıyla doğrudan karşılaştırılabilen nesnel ve tekrarlanabilir sonuçlar sağlar. ALE değerleri, yöneticilerin anlayabileceği maliyet-fayda analizine ve ROI hesaplamalarına doğal biçimde dahil olur. Sigorta eksperleri, denetçiler ve yönetim kurulları, “fidye yazılımı için ALE değerimiz yılda 500.000 dolar” ifadesine, “fidye yazılımı riski High” ifadesinden daha iyi yanıt verir. Quantitative modeller ayrıca varlık portföyleri genelinde risklerin birleştirilmesini destekler.

Quantitative analizin önemli sınırlamaları vardır. En büyük zorluk veri kalitesidir: ARO değerleri çoğu zaman istatistik kılığına sokulmuş tahminlerden ibarettir. Geçmiş olay verileri yetersizse ALE hesaplamaları, Qualitative yargıdan daha güvenilir değildir. Ayrıca itibar zararı, müşteri güveni ve düzenleyici cezalar gibi bazı etkileri doğru şekilde nicel olarak ifade etmek son derece zordur. Quantitative modeller genellikle zaman alır ve pahalı danışmanlar ya da aktüerya uzmanlığı gerektirebilir.

Qualitative analiz, öznellik ve tutarsızlıktan etkilenir. Aynı riski derecelendiren farklı analistler farklı sonuçlar üretebilir; bu da ekipler veya kuruluşlar arası karşılaştırmayı güvenilmez kılar. Qualitative derecelendirmeleri bütçe kararlarına doğrudan dönüştürmek de zordur — “High” risk, kontrollere ne kadar harcama yapılması gerektiğini belirtmez. Çapa yanlılığı, analistlerin derecelendirmeleri nesnel ölçütler yerine yakın zamanda yaşanan olaylara göre artırması veya azaltmasıyla ortaya çıkabilir.

Olgun kuruluşların çoğu her iki yöntemi tamamlayıcı biçimde kullanır. Qualitative analiz, hangi risklerin daha derinlemesine inceleneceğine öncelik vermek için ilk değerlendirmede kullanılır. Ardından Quantitative analiz, ayrıntılı finansal modellemenin gerektirdiği çabayı haklı çıkardığı yüksek öncelikli risklere uygulanır. Bu hibrit yaklaşım, Qualitative puanlamanın hızını ve en önemli olduğu noktalarda Quantitative modellemenin kesinliğini bir araya getirir.

Security+ sınavı, şu formülleri tanımanızı bekler: SLE = AV × EF ve ALE = SLE × ARO. Sınav soruları genellikle varlık değeri, maruz kalma faktörü ve gerçekleşme oranının verildiği bir senaryo sunar; sizden SLE veya ALE'yi hesaplamanızı ya da bir kontrolün maliyet açısından verimli olup olmadığını belirlemenizi ister. Ayrıca Qualitative ve Quantitative yaklaşımları birbirinden ayırt edebilmeli ve senaryonun kısıtlarına göre uygun yöntemi belirleyebilmelisiniz.

Bu derste şunları öğrendiniz: Qualitative analiz, açıklayıcı ölçekler (High/Medium/Low) kullanır ve hızlıdır ancak özneldir; Quantitative analiz, riski dolar cinsinden ifade etmek için formüller (SLE = AV × EF; ALE = SLE × ARO) kullanır; ALE, Security kontrolleriyle ilgili maliyet-fayda kararlarını yönlendirir. Sırada dört risk işleme seçeneğini inceleyeceğiz: kabul etme, devretme, azaltma ve kaçınma.