Güvenlik yatırım getirisi (ROSI), bir güvenlik önleminin engellemesi beklenen kaybı, o önlemin maliyetiyle karşılaştıran finansal bir ölçüttür. Klasik yatırım getirisinden farkı, gelir değil önlenen zarar üzerinden hesaplanmasıdır; güvenlik çoğunlukla para kazandırmaz, kaybı azaltır. Bu yüzden ROSI’nin temel girdisi, bir olayın gerçekleşmesi halinde beklenen zarardır.

ROSI, güvenliği bir gider satırı olmaktan çıkarıp önlenen kaybın diliyle konuşan bir yatırım kararına çevirir.

Nasıl Hesaplanır?

ROSI’nin çekirdeği yıllık beklenen kayıp kavramıdır: bir olayın tek seferlik tahmini maliyeti ile yıl içinde gerçekleşme sıklığının çarpımı. Bir kontrol devreye alındığında bu beklenen kayıp belirli bir oranda düşer. ROSI, bu düşüşten kontrolün maliyeti çıkarılıp maliyete bölünerek bulunur. Yani sayı, harcanan her birim paranın ne kadar önlenmiş kayıp ürettiğini gösterir. Formülün değeri, girdilerin dürüstlüğüne bağlıdır; olasılık ve etki tahminleri şişirilirse sonuç anlamsızlaşır.

Etki Tahminini Sağlamlaştırmak

ROSI’nin en zayıf halkası, bir olayın maliyetinin tahminidir. Üretim yapan bir kurumda bu maliyetin büyük kısmı doğrudan fidye veya onarım değil, duran hattın kaybettiği gelirdir. Bu yüzden ciddi bir ROSI hesabı, çoğu zaman bir Üretim duruşu maliyet analizi ile beslenir; saat başına kayıp somutlaştıkça, bir fidye yazılımının önlenmesinin gerçek değeri de netleşir. Tahmin ne kadar gerçek verilere dayanırsa, ROSI o kadar savunulabilir olur.

Bütçe Kararlarında Kullanımı

ROSI, sınırlı bir bütçe içinde hangi kontrolün önce alınacağını sıralamaya yarar. Aynı maliyette iki kontrolden hangisinin beklenen kaybı daha çok düşürdüğü karşılaştırılır ve yatırım oraya yönlendirilir. Bu, Güvenlik bütçesi planlama sürecine niceliksel bir çıpa verir; harcamalar sezgiyle değil, önlenen kaybın büyüklüğüne göre önceliklenir.

• Bir olayın tek seferlik tahmini maliyeti
• Olayın yıllık gerçekleşme sıklığı tahmini
• Değerlendirilen kontrolün beklenen kaybı düşürme oranı
• Kontrolün kurulum ve işletme maliyeti

ROSI her riski sıfıra indiremez; bazı kayıplar kontrolle azaltılsa bile kalıcıdır. Kalan bu artık riski finansal olarak devretmenin yolu ise Siber sigorta‘dır. ROSI ve sigorta birbirini tamamlar: kontrollerle riski düşürürsünüz, geriye kalanı sigortaya aktarırsınız ve sigortacı da çoğu zaman ROSI’yi besleyen kontrollerin varlığını prim için şart koşar.

ROSI hesabının inandırıcı olması, önlenen kaybın gerçekten önlenmesine, yani kontrollerin doğru kurgulanmasına bağlıdır. Yatırım gerekçesini sağlam bir teknik zemine oturtmak isteyen kurumlar, bir altyapı ve mimari gözden geçirme ile hangi kontrollerin gerçekten hangi riski düşürdüğünü ölçer ve ROSI girdilerini tahmine değil bulguya dayandırır.