Kurumsal siber güvenlik yönetişimi; siber risk kararlarının yönetim kurulu, üst yönetim, iş birimleri, BT, güvenlik, hukuk ve tedarikçiler arasında açık sorumluluklarla alınmasını sağlayan sistemdir. Amaç bütün saldırıları engelleme vaadi değil, kritik hizmetlerin dayanıklılığını ve risklerin kanıtla yönetilmesini sağlamaktır.
Siber güvenlik yönetişimi teknik kontrolden daha geniştir
Güvenlik duvarı, kimlik doğrulama, yedekleme ve izleme gibi kontroller gereklidir; fakat bu kontrollerin hangi iş riskini azalttığı bilinmiyorsa yatırım sırası ve kabul ölçütü belirsiz kalır. Yönetişim, güvenliği kurumsal hedefler, risk iştahı, yasal yükümlülükler ve hizmet sürekliliğiyle ilişkilendirir.
NIST Cybersecurity Framework 2.0'ın Govern işlevini çerçevenin merkezine eklemesi bu nedenle önemlidir. Kurum; bağlamını, paydaş beklentilerini, risk yönetimi stratejisini, rol ve sorumlulukları, politikaları ve tedarik zinciri riskini tanımlamadan koruma araçlarının etkinliğini sürdürülebilir biçimde yönetemez.
Olgun bir model, güvenliği yalnız olay çıktığında konuşmaz. Yeni ürün, birleşme, dış kaynak, bulut geçişi, AI kullanımı ve kritik tedarikçi seçimi gibi kararların başlangıcında güvenlik etkisini değerlendirir.
Yönetim hangi kararları sahiplenmelidir?
Yönetim kurulu teknik ayarları seçmez; ancak kritik hizmetlerin kabul edilebilir kesinti süresini, büyük risklerin sahibini, güvenlik yatırım önceliğini ve istisna yetkisini gözetir. Üst yönetim bu çerçeveyi iş hedefleriyle uygular.
| Karar alanı | Yönetim sorusu | Kanıt |
|---|---|---|
| Risk iştahı | Hangi kesinti, veri kaybı veya mali etki kabul edilebilir? | Onaylı eşikler ve istisna kayıtları |
| Kritik hizmetler | Hangi süreçlerin toparlanması önce gelir? | İş etki analizi ve bağımlılık haritası |
| Yatırım | Hangi kontrol hangi kritik riski azaltıyor? | Risk–kontrol–maliyet bağlantısı |
| Tedarikçi | Üçüncü taraf kesintisi veya ihlali nasıl yönetilir? | Sözleşme, test, çıkış ve olay planı |
| Olay | Kim ne zaman karar verir ve kimi bilgilendirir? | Müdahale planı ve tatbikat kanıtı |
En sık görülen yönetişim açıkları
Kuruluşların önemli kısmında güvenlik faaliyeti vardır fakat risk sahibi, karar süresi ve kapanış kanıtı açık değildir. Bu durumda raporlar çok sayıda teknik bulgu üretirken iş etkisi ve öncelik bulanıklaşır.
- Güvenliğin yalnız CISO veya BT yöneticisinin sorumluluğu sayılması.
- Risklerin teknik şiddete göre sıralanıp iş etkisinin dikkate alınmaması.
- Kritik tedarikçiler için sözleşme, görünürlük ve çıkış planı bulunmaması.
- Yedekleme yapılmasına rağmen geri dönüş testlerinin kanıtlanmaması.
- Yönetim raporunun çok sayıda metrik içerip karar gerektiren konuları göstermemesi.
Kurumsal model nasıl kurulur?
Başlangıç noktası araç envanteri değil, kritik hizmet ve karar envanteridir. Hangi hizmetin durması, hangi verinin açığa çıkması veya hangi tedarikçinin kesilmesi kurum için kabul edilemez sonuç doğurur sorusu cevaplanmalıdır.
- Kritik hizmetleri, verileri, sistemleri ve tedarikçileri iş etkisine göre sınıflandırın.
- Yönetim kurulu ve üst yönetim için risk gözetim sorumluluklarını yazılı hale getirin.
- Risk iştahı, istisna yetkisi ve kabul sürelerini belirleyin.
- NIST CSF işlevleriyle mevcut kontrol ve boşluk haritasını çıkarın.
- Olay müdahalesi, kurtarma ve kriz iletişimini masa başı ve teknik tatbikatlarla test edin.
- Tedarikçi güvenliği, yazılım tedarik zinciri ve çıkış planını satın alma sürecine bağlayın.
- Yönetim raporunu karar, sahip, tarih ve kapanış kanıtı odaklı yeniden tasarlayın.
Teknik ekip ile yönetim arasındaki karar hattı
Roller unvanla değil karar hakkıyla tanımlanmalıdır. Her kritik riskin iş sahibi, teknik sahibi, kontrol sahibi ve kabul yetkilisi ayrı ayrı yazılmalıdır.
Yönetim kurulu
Risk iştahı, kritik riskler ve dayanıklılık yatırımları üzerinde gözetim sağlar.
Üst yönetim
İş hedefleri ile güvenlik kararlarını ve kaynak tahsisini birleştirir.
İş sahibi
Kritik hizmetin etkisini, önceliğini ve kabul edilebilir kesintisini tanımlar.
Güvenlik/BT
Kontrolleri tasarlar, uygular, ölçer ve teknik kanıt üretir.
Hukuk/uyum
Bildirim, sözleşme, veri ve düzenleyici gereksinimleri değerlendirir.
İç denetim
Yönetişim, kontrol ve raporlama zincirinin bağımsız güvencesini sağlar.
Raporlama faaliyet değil risk göstermelidir
Engellenen saldırı sayısı tek başına yönetim göstergesi değildir. Rapor; kritik açıkların yaşı, kontrol kapsaması, kurtarma kapasitesi, üçüncü taraf riski ve kabul edilmiş risklerin süresini birlikte göstermelidir.
İzlenmesi gereken göstergeler
Kritik varlık kapsaması
Yüksek riskli açıkların yaşı
MFA ve ayrıcalıklı erişim kapsaması
Kurtarma testi başarısı
Tedarikçi risk kapanış süresi
Olay tespit ve müdahale süresi
İyi yönetişimin çıktısı görünür sorumluluktur
Yönetim raporlaması teknik kontrol listesinden ibaret olmamalıdır. Yönetim kuruluna kritik hizmetlerin risk görünümü, önemli olaylar, açık yüksek riskler, tedarikçi bağımlılıkları, tatbikat sonuçları ve iyileştirme kararları birlikte sunulmalıdır. Rapor, yalnız kaç saldırının engellendiğini değil; hangi iş sonucunun korunamadığını, hangi varsayımın değiştiğini ve hangi risk kabulünün yeniden karara ihtiyaç duyduğunu göstermelidir.
Örneğin kritik müşteri hizmeti dış bir SaaS sağlayıcısına bağlıysa, yönetişim yalnız kurum içi kontrolleri ölçemez. Hizmet kesintisi, kimlik ihlali, veri aktarımı, olay bildirimi ve çıkış senaryoları iş sürekliliği planına bağlanmalı; tedarikçi kanıtları belirli aralıklarla yeniden değerlendirilmelidir.
Kurumsal siber güvenlik yönetişimi, güvenliği BT bütçesinden çıkarıp hizmet sürekliliği ve yönetim sorumluluğu alanına taşır. Doğru sistem, teknik uzmanlığı azaltmaz; teknik kararların iş etkisini ve sahipliğini görünür kılar.
Her kuruma aynı kontrol listesi uygulanmamalıdır. Kritik varlık, sektör, veri, tedarik zinciri ve risk iştahı farklı olduğu için çerçeve ortak olsa da önceliklendirme kuruma özgü yapılmalıdır.
Yönetim kuruluna sunulacak asgari siber risk paketi
Siber güvenlik raporu yalnız saldırı sayısı veya teknik açık listesi olmamalıdır. Yönetim kurulu, kritik iş hizmetlerine ve kabul edilen riske bağlanan kısa bir karar paketi görmelidir.
| Rapor alanı | Gösterilecek kanıt | Beklenen karar |
|---|---|---|
| Kritik hizmetler | Hizmet, varlık, veri ve tedarikçi bağımlılığı | Koruma ve dayanıklılık önceliği |
| Risk iştahı | Kabul edilen istisnalar ve son tarihleri | Kabul, azaltma veya durdurma |
| Olay hazırlığı | Son tatbikat, süre, karar ve iletişim açıkları | Kaynak ve sorumluluk düzeltmesi |
| Tedarikçi riski | Kritik üçüncü taraflar ve açık kapanışları | Sözleşme, alternatif veya çıkış kararı |
| Yatırım | Kontrol maliyeti ile risk azaltma ilişkisi | Bütçe ve kapasite önceliği |
Kaynaklar ve gözden geçirme notu
Bu rehberde değişebilir veya teknik iddialar için öncelikle resmî kurum, ürün geliştiricisi ve birincil araştırma kaynakları kullanılmıştır. Bağlantılar 27 Temmuz 2026 tarihinde gözden geçirilmiştir.
- 01NIST Cybersecurity Framework 2.0
Kurumsal siber riskleri Govern, Identify, Protect, Detect, Respond ve Recover işlevleriyle yönetmek için resmî çerçeve.
- 02NIST Software Supply Chain Security Guidance
Yazılım üreticisi ve tedarikçisinin güvenlik uygulamalarını değerlendirmek için resmî kaynak.
- 03CISA Secure by Demand Guide
Yazılım satın alan kurumların tedarikçiye sorması gereken güvenlik soruları ve satın alma yaklaşımı.