Risk Belirleme ve Risk Kaydı

Risk, bir tehdidin bir güvenlik açığından yararlanması sonucunda kayıp veya zarar oluşma olasılığıdır. Bilgi güvenliğinde risk, olasılık (olayın gerçekleşme ihtimali) ile etki (zararın ne kadar ciddi olacağı) bileşimi olarak ifade edilir. Riski anlamak, kuruluşların olası her tehdidi ortadan kaldırmaya çalışmak yerine bilinçli ve maliyet açısından verimli güvenlik kararları almasını sağlar.

Risk tanımlama üç temel unsurla başlar. Varlık, sunucular, veritabanları, fikrî mülkiyet veya itibar gibi değer taşıyan her şeydir. Tehdit, fidye yazılımı saldırısı veya hoşnutsuz bir çalışan gibi bir varlığa zarar verebilecek her türlü olası olaydır. Güvenlik açığı, bir tehdidin yararlanabileceği zayıflıktır; örneğin güncellenmemiş bir sistem veya zayıf parola ilkesi. Tehditler korunmasız varlıklarla buluştuğunda risk ortaya çıkar.

Sistematik risk tanımlama yapılandırılmış bir süreç izler: önce varlık envanteri değer taşıyan her şeyi kataloglar; ardından tehdit modelleme kimin, nasıl saldırabileceğini belirler; sonra güvenlik açığı değerlendirmesi sistemlerdeki ve süreçlerdeki zayıflıkları bulur. Son olarak analistler, hangi varlıkların gerçek bir maruziyetle karşı karşıya olduğunu belirlemek için tehditleri güvenlik açıklarıyla eşleştirir. Bu süreç genellikle yıllık olarak veya büyük değişikliklerden sonra tekrarlanır.

Varlıklara değer biçmek önceliklendirmeyi yönlendirir. Maddi varlıkların (donanım, yazılım lisansları) net piyasa değerleri vardır. Maddi olmayan varlıklar (marka itibarı, müşteri verileri) değerlendirme gerektirir; düzenleyici kurumlar PII için kayıt başına bir değer belirleyebilir. Yenileme maliyeti yöntemi, varlığı yeniden oluşturmanın ne kadara mal olacağını sorar; iş etkisi ise varlık 1 saat, 1 gün veya 1 hafta kullanılamazsa ne kadar gelir kaybı oluşacağını sorar.

Risk kaydı, tanımlanan tüm riskleri yapılandırılmış ve aranabilir bir biçimde içeren, sürekli güncellenen bir belgedir. Her girişte genellikle şunlar bulunur: risk açıklaması, etkilenen varlıklar, tehdit kaynağı, yararlanılan güvenlik açığı, olasılık derecesi, etki derecesi, risk puanı, mevcut kontroller ve atanan risk sahibi. Risk kayıtları yönetişim, denetim ve iyileştirme takibi faaliyetleri için merkezi başvuru kaynağı görevi görür.

Olasılık sütunu, yararlanmanın ne kadar muhtemel olduğunu derecelendirir (1=Nadir ile 5=Neredeyse Kesin). Etki sütunu, sonuçları finansal kayıp, düzenleyici ceza veya operasyonel kesinti açısından derecelendirir (1=İhmal Edilebilir ile 5=Felaket Düzeyinde). Bu değerlerin çarpılması, önceliklendirme için kullanılan bir risk puanı üretir. Artık risk alanı, kontroller uygulandıktan sonra kalan riski kaydeder ve hiçbir riskin sıfıra ineceğinin varsayılmamasını sağlar.

Kayıttaki her riskin adı belirtilmiş bir risk sahibi olmalıdır; bu kişi genellikle güvenlik ekibi değil, bir iş birimi yöneticisi veya sistem sahibidir. Risk sahibi, kontrollerin uygulanmasını ve artık riskin kabul edilebilir eşikler içinde kalmasını sağlamaktan sorumludur. Güvenlik ekibi öneride bulunur ve izler; ancak tüm risklerin sahibi olamaz, çünkü bu durum kuruluş genelinde ölçeklenemeyen tek noktaya bağlı bir hesap verebilirlik oluşturur.

Çeşitli çerçeveler tehdit tanımlamayı yapılandırmaya yardımcı olur. STRIDE (Kimliğe Bürünme, Değiştirme, Reddetme, Bilgi İfşası, Hizmet Engelleme, Yetki Yükseltme), her sistem bileşenine yönelik tehditleri kategorilere ayırır. PASTA (Saldırı Simülasyonu ve Tehdit Analizi Süreci), saldırgan hedeflerini eşleştiren risk merkezli bir yöntemdir. DREAD, tehditleri Hasar, Tekrarlanabilirlik, İstismar Edilebilirlik, Etkilenen kullanıcılar ve Keşfedilebilirlik ölçütlerine göre puanlar; ancak DREAD günümüzde daha az kullanılır.

Önce güvenlik açıkları bulunmadan riskler tanımlanamaz. Temel kaynaklar arasında sistemleri bilinen CVE'lere karşı test eden güvenlik açığı tarayıcıları (Nessus, OpenVAS), istismar edilebilirliği doğrulayan sızma testi raporları, ayarları CIS kıyaslamalarıyla karşılaştıran yapılandırma denetimleri ve etkin biçimde istismar edilen zayıflıkları vurgulayan tehdit istihbaratı akışları bulunur. İç denetim raporları ve öz değerlendirmeler de teknik taramalarda gözden kaçan süreç düzeyindeki güvenlik açıklarını ortaya çıkarır.

Risk kayıtları hem iç tehditleri (çalışanlar, yükleniciler, yanlış yapılandırılmış sistemler) hem de dış tehditleri (bilgisayar korsanları, ulus-devlet aktörleri, tedarik zinciri güvenliğinin ihlal edilmesi) dikkate almalıdır. İç tehditler çoğu zaman daha büyük etkiye sahiptir; çünkü içeriden kişiler zaten erişime sahiptir. Hoşnutsuz bir çalışan, çevre kontrollerini tetiklemeden verileri dışarı çıkarabilir. Davranış anormalliklerini izleyen iç tehdit programları, yalnızca teknik kontrollerin azaltamayacağı bir risk kategorisini ele alır.

Bir risk kaydı tek seferlik bir çıktı değildir — önemli değişiklikler meydana geldiğinde gözden geçirilmeli ve güncellenmelidir: yeni sistem dağıtımları, kuruluşun yeniden yapılandırılması, yeni açıklanan CVE'ler veya olay sonrası bulgular. Çoğu kuruluş, resmi risk kaydı incelemelerini yıllık Security incelemelerine, değişiklik yönetimi süreçlerine ve uyumluluk denetimlerine bağlar. Güncelliğini yitirmiş risk kayıtları yanlış bir güven duygusu yaratır ve hızlı altyapı değişiklikleri sırasında kaynak ayrılmamış risklere yol açabilir.

Bu dersteki CompTIA Security+ (SY0-701) kavramlarını ne kadar anladığınızı test edin.

Bu derste şunları öğrendiniz: risk, güvenlik kararlarına öncelik vermek için olasılığı ve etkiyi birleştirir; risk kayıtları varlıkları, threats'leri, güvenlik açıklarını, puanları, sorumluları ve artık riski belgeler; STRIDE gibi threat modeling teknikleri ise nelerin ters gidebileceğini sistematik olarak belirlemeye yardımcı olur. Sırada nitel ve nicel risk analizi yöntemlerini inceleyeceğiz.