Artık risk, kurumun aldığı bütün önlemlerden sonra geriye kalan risktir. Hiçbir kontrol riski sıfıra indirmediği için her güvenlik programının sonunda taşınan bir miktar risk bulunur. Önemli olan bu miktarın bilinmesi, yazılması ve doğru kişi tarafından kabul edilmesidir.

Kavram, güvenliğin “tamam mı, değil mi” sorusundan çıkıp “ne kadarını taşıyoruz?” sorusuna geçmesini sağlar. Artık riski ölçmeyen bir kurum, aslında ne kadar korunduğunu değil yalnızca ne kadar harcadığını bilir.

Artık Risk Nedir?

Artık risk, belirlenen kontroller uygulandıktan sonra bir varlık üzerinde kalmaya devam eden risk düzeyidir; kurumun bilerek üstlendiği ve düzenli olarak gözden geçirdiği risktir.

Tanımın kritik noktası “bilerek” kelimesidir. Fark edilmemiş bir risk artık risk değildir; ölçülmemiş, dolayısıyla yönetilmeyen bir açıklıktır. Artık risk, kurumun görüp değerlendirdiği ve azaltmamayı seçtiği risktir.

Doğal Risk ile Artık Risk Arasındaki Fark

Doğal risk (inherent risk), hiçbir kontrol yokmuş gibi düşünüldüğünde varlığın taşıdığı risktir. Artık risk ise kontroller devredeyken kalan risktir. İkisi arasındaki fark, kontrollerin gerçekte ne kadar iş gördüğünü gösterir; bu fark küçükse kontroller ya yanlış seçilmiş ya da etkin çalışmıyordur.

Bu karşılaştırma, güvenlik yatırımının değerini anlatmanın en anlaşılır yoludur. “Şu kontrolü kurduk” demek yerine “bu senaryoda doğal risk yüksekti, kontrollerle orta seviyeye indi, kalan risk kabul edildi” demek yönetim kuruluna somut bir tablo sunar.

Kontrol etkinliği nasıl ölçülür?

Kontrolün varlığı ile etkinliği aynı şey değildir. Kurulmuş ama uyarı üretmeyen bir izleme sistemi, yazılmış ama tatbik edilmemiş bir müdahale planı ya da alınmış ama geri yüklenmemiş bir yedek, kâğıt üzerinde riski düşürür, sahada düşürmez. Etkinlik ancak sınamayla ölçülür.

Artık Risk Nasıl Hesaplanır?

Hesap, doğal riskin belirlenmesiyle başlar: varlık değeri, tehdit olasılığı ve zafiyetin ciddiyeti bir araya getirilir. Ardından uygulanan her kontrolün olasılığı ya da etkiyi ne kadar düşürdüğü değerlendirilir. Kontroller uygulandıktan sonraki değer artık risktir.

Uygulamada bu değerlendirme sayısal kesinlik iddia etmeyen ölçekler üzerinden yapılır; örneğin olasılık ve etki beşli bir ölçekle puanlanır. Önemli olan ölçeğin kurum içinde tutarlı kullanılması ve puanın gerekçesinin yazılmasıdır. Gerekçesiz puan, sonraki dönemde karşılaştırılamaz.

• Varlık ve sahibi belirlenir, kritiklik sınıfı yazılır
• Tehdit senaryosu ve ilgili zafiyet tanımlanır
• Kontrolsüz durumdaki olasılık ve etki puanlanır (doğal risk)
• Mevcut kontroller ve etkinlik kanıtları listelenir
• Kontrol sonrası olasılık ve etki yeniden puanlanır (artık risk)
• Kalan risk, kurumun risk iştahı eşiğiyle karşılaştırılır

Artık Riski Kim Kabul Eder?

Artık riski kabul etme yetkisi teknik ekipte değil, riskin gerçekleşmesi durumunda sonucuna katlanacak yöneticidedir. Bir iş biriminin verisiyle ilgili kalan riski o birimin yöneticisi, kurum genelini ilgilendiren riski ise üst yönetim kabul eder. Kabul, sözlü onayla değil imzalı kayıtla yapılır.

Bu ayrım pratikte önemlidir. Güvenlik ekibi riski ölçer ve seçenekleri sunar; hangi riskin taşınacağına karar vermek ise iş kararıdır. Karar mercii doğru belirlenmediğinde, gerçekleşen bir olay sonrasında sorumluluk tartışması teknik ekibe kayar ve asıl karar süreci sorgulanmaz.

Artık Risk Kaydı Nasıl Tutulur?

Kayıt, risk kütüğünün ayrı bir sütunu olarak tutulur. Her satırda senaryo, mevcut kontroller, kalan risk düzeyi, kabul eden kişi, kabul tarihi ve yeniden gözden geçirme tarihi bulunur. Tarihsiz bir kabul kaydı, zamanla geçerliliğini yitirmiş bir onaya dönüşür.

Kayıt canlı tutulmalıdır. Yeni bir zafiyet duyurusu, altyapı değişikliği, tedarikçi değişimi ya da mevzuat güncellemesi kalan riski değiştirir. Bu nedenle risk kütüğü yılda bir açılan bir dosya değil, değişiklik yönetimiyle bağlantılı çalışan bir kayıt olmalıdır.

Risk İştahı ve Tolerans Eşiği

Risk iştahı, kurumun hedeflerine ulaşmak için almaya istekli olduğu risk miktarıdır; tolerans ise tek tek senaryolarda kabul edilebilir sapma aralığıdır. İkisi de yazılı olmadığında “kabul edilebilir” ifadesi kişiden kişiye değişir ve risk kararları tutarsızlaşır.

İştah eşiği belirlendiğinde artık risk otomatik bir anlam kazanır: eşiğin altındaki riskler kabul edilir, üstündekiler için ek kontrol ya da aktarma seçeneği aranır. Bu, güvenlik ekibinin her bulguyu aynı aciliyetle sunmasını da engeller.

Sık Yapılan Hatalar

İlk hata, artık riski hiç yazmamaktır. Kontroller kurulur, proje kapatılır ve kalan riskin ne olduğu kimseye sorulmaz. Böyle bir kurumda olay yaşandığında “bunu biliyor muyduk?” sorusunun yanıtı bulunamaz.

İkinci hata, kalan riski teknik ekibin kendi başına kabul etmesidir. Bir sistem yöneticisinin “şimdilik böyle kalsın” kararı, kurum adına verilmiş bir risk kabulüne dönüşür ama hiçbir yerde görünmez. Üçüncü hata ise kabul edilen riski bir daha gözden geçirmemektir; bugün makul olan bir kabul, tehdit ortamı değiştiğinde savunulamaz hâle gelir.

Dördüncü hata, kontrollerin etkinliğini varsaymaktır. Sızma testi ya da mor takım çalışması ile sınanmamış kontroller, risk hesabında olduğundan güçlü görünür ve artık risk gerçekte olduğundan düşük yazılır.

Artık Risk ve Sigorta İlişkisi

Siber sigorta, artık riskin bir bölümünü aktarmanın yollarından biridir. Ancak sigorta riski ortadan kaldırmaz; yalnızca mali sonucun bir kısmını paylaşır. Operasyonel kesinti, itibar kaybı ve müşteri güveni gibi sonuçlar poliçeyle geri alınamaz.

Sigorta şirketleri de artık artık riski kendileri değerlendirmektedir. Poliçe öncesi sorulan sorular çoğunlukla temel kontrollerin varlığına odaklanır: çok faktörlü doğrulama, ayrılmış yedekler, uç nokta koruması, olay müdahale planı. Bu kontrollerin eksikliği ya primi yükseltir ya da belirli senaryoları kapsam dışına çıkarır.

Bu nedenle sigorta, kontrol yatırımının alternatifi değil tamamlayıcısıdır. Aktarılan kısım net biçimde yazıldığında, kurumun gerçekte taşımaya devam ettiği risk de daha görünür hâle gelir.

Tedarikçi Kaynaklı Artık Risk

Bir hizmet dışarıdan alındığında ilgili riskin tamamı devredilmiş sayılmaz. Bulut sağlayıcısı altyapıyı korur ama yapılandırma, erişim yönetimi ve veri sınıflandırma çoğu modelde müşteride kalır. Paylaşılan sorumluluk sınırı yazılı olarak anlaşılmadığında, iki taraf da aynı kontrolün diğerinde olduğunu varsayabilir.

Bu nedenle üçüncü taraf risk yönetimi çalışmasında her kritik tedarikçi için kalan riskin ayrı bir satırı bulunur. Sözleşmedeki hizmet seviyesi taahhütleri, olay bildirim süreleri ve denetim hakları bu satırın dayanağını oluşturur.

Tedarikçi kaynaklı artık risk, tedarikçinin kendi tedarikçilerini de kapsar. Zincirin ikinci ve üçüncü halkası görünmediğinde, kurumun taşıdığı gerçek risk olduğundan düşük hesaplanır.

Artık Riskin Yönetime Anlatılması

Yönetime sunulan tablo teknik dilden arındırılmalıdır. Her satır, gerçekleşmesi hâlinde iş üzerinde ne olacağını anlatan bir cümleyle başlar; ardından mevcut kontroller, kalan risk düzeyi ve azaltmak için gereken kaynak yazılır.

Karşılaştırma yapılabilmesi için tablonun dönemden döneme aynı biçimde sunulması gerekir. Değişen tek şeyin puanlar olması, ilerlemenin ya da kötüleşmenin izlenebilmesini sağlar; her dönem yeniden tasarlanan raporlar eğilim üretmez.

Görselleştirme de anlaşılırlığı artırır. Riskleri olasılık ve etki eksenlerine yerleştiren basit bir dağılım grafiği, aynı bilgiyi tablodan çok daha hızlı aktarır ve hangi bölgede yoğunlaşma olduğunu tek bakışta gösterir.

Grafiğin altında mutlaka risk iştahı eşiği çizilir. Eşiğin üzerinde kalan noktalar karar bekleyen risklerdir; altında kalanlar ise izlemeye devam edilen risklerdir. Bu ayrım olmadan grafik yalnızca bir dağılım resmi olarak kalır.

Sunumun sonunda karar istenen noktalar açıkça belirtilir. Hangi risklerin kabul edilmesi, hangilerinin azaltılması ve hangileri için ek bütçe gerektiği ayrı ayrı yazıldığında toplantı bilgilendirmeden karara dönüşür.

Privia Security olarak kurumların doğal ve artık risk tablosunu birlikte kurmasına destek oluyoruz; siber risk analizi çıktısı, kabul edilen riskleri sahibiyle ve gözden geçirme takvimiyle birlikte kayıt altına alır.