Tehdit, zafiyet ve risk, güvenlik raporlarında en sık geçen ama en sık birbirinin yerine kullanılan üç kavramdır. Aralarındaki farkı netleştirmek yalnızca terminoloji meselesi değildir; risk hesabı bu üç kavramın doğru ayrılmasına dayanır ve karıştırıldıklarında bütçe yanlış yere gider.

Basit bir benzetme ilişkiyi görünür kılar. Yağmur bir tehdittir, çatıdaki delik bir zafiyettir, evin su alması ise risktir. Yağmur hiç yağmazsa delik yine vardır ama risk düşüktür; delik kapatılırsa yağmur yağsa bile risk kalmaz. Kurumsal güvenlikte de aynı mantık işler.

Tehdit, Zafiyet ve Risk Farkı Nedir?

Tehdit, bir varlığa zarar verme potansiyeli olan olay ya da aktördür. Zafiyet, bu olayın gerçekleşmesini mümkün kılan eksiklik ya da zayıflıktır. Risk ise tehdidin zafiyeti kullanma olasılığı ile doğacak etkinin birleşimidir.

Üçü arasındaki bağ tek yönlü değildir. Zafiyeti olmayan bir varlığa yönelen tehdit gerçekleşemez; tehdidi olmayan bir zafiyet ise teoride kalır. Risk, ancak ikisi aynı varlık üzerinde buluştuğunda ortaya çıkar ve varlığın kurum için taşıdığı değere göre büyür.

Tehdit Nedir?

Tehdit, dışarıdan gelen kötü niyetli bir aktör olabileceği gibi, insan kaynaklı bir hata ya da doğa olayı da olabilir. Fidye yazılımı çeteleri, devlet destekli gruplar, hoşnutsuz bir çalışan, yanlışlıkla veri silen bir yönetici ve sel baskını aynı listede yer alır.

Tehditler kurumun kontrolü dışındadır. Bir kurum fidye yazılımı gruplarının var olmasını engelleyemez; yalnızca onların işini zorlaştırabilir. Bu nedenle güvenlik programı tehditleri yok etmeye değil, tehditlerin kullanabileceği zafiyetleri azaltmaya odaklanır. Tehdit istihbaratı ise hangi tehdidin kuruma yöneldiğini anlamaya yarar.

Tehdit kaynaklarının sınıflandırılması

• Kasıtlı dış tehdit: siber suç grupları, devlet destekli aktörler, hacktivistler
• Kasıtlı iç tehdit: yetkisini kötüye kullanan çalışan ya da tedarikçi personeli
• Kazara insan hatası: yanlış yapılandırma, yanlış alıcıya gönderilen veri, silinen yedek
• Teknik arıza: donanım bozulması, yazılım hatası, kapasite tükenmesi
• Çevresel: yangın, su baskını, uzun süreli elektrik kesintisi

Zafiyet Nedir?

Zafiyet, bir varlıkta bulunan ve tehdidin sömürebileceği eksikliktir. Yamalanmamış bir yazılım hatası klasik örnektir ama zafiyet her zaman kodda olmaz: yazılı olmayan bir süreç, denetlenmeyen bir yetki, eğitimsiz bir kullanıcı ya da tek noktada toplanmış bir altyapı da zafiyettir.

Zafiyetler kurumun kontrolündedir; asıl müdahale alanı burasıdır. Yama yönetimi, güvenli yapılandırma, erişim gözden geçirme ve farkındalık eğitimi doğrudan zafiyet azaltmaya hizmet eder. Bu nedenle risk düşürme çalışmalarının neredeyse tamamı pratikte zafiyet çalışmasıdır.

Risk Nedir ve Nasıl Hesaplanır?

Risk, bir tehdidin mevcut bir zafiyeti kullanması durumunda ortaya çıkacak kaybın büyüklüğü ve bu olayın gerçekleşme olasılığının birleşimidir. Yaygın kullanılan basit gösterim şudur: risk, olasılık ile etkinin çarpımıdır. Bu formül matematiksel bir kesinlik iddia etmez; farklı riskleri aynı ölçekte karşılaştırmaya yarar.

Olasılık değerlendirilirken tehdidin kuruma yönelme sıklığı, zafiyetin sömürülme kolaylığı ve mevcut kontrollerin caydırıcılığı birlikte ele alınır. Etki tarafında ise mali kayıp, operasyonel kesinti, yasal yükümlülük ve itibar zararı ayrı ayrı düşünülür. ISO/IEC 27005 bu değerlendirme için yapılandırılmış bir çerçeve sunar.

Varlık değeri neden hesaba katılır?

Aynı zafiyet iki farklı sunucuda çok farklı risk üretir. Test ortamındaki bir makinede bulunan açık ile müşteri verisi barındıran üretim veri tabanındaki aynı açık, teknik olarak eşit ama iş açısından kıyaslanamaz. Bu yüzden risk hesabı varlık envanteri ve sınıflandırma olmadan yapılamaz.

Üç Kavram Karıştırıldığında Ne Olur?

En sık görülen hata, zafiyet listesinin risk raporu yerine sunulmasıdır. Tarayıcı çıktısındaki yüzlerce bulgu, kritiklik sırasına göre dizilse bile risk değildir; hangi varlıkta olduğu ve hangi tehdit tarafından ulaşılabildiği bilinmeden önceliklendirilemez. Bu tür raporlar yöneticide “her şey kırmızı” hissi yaratır ve karar üretmez.

İkinci hata, tehdit haberlerine göre yatırım yapmaktır. Basında öne çıkan bir saldırı grubu nedeniyle bütçe kaydırmak, o grubun kuruma yönelme olasılığı ve kurumdaki ilgili zafiyet ölçülmeden yapıldığında kaynak israfına dönüşür.

Üçüncü hata, riski tek bir sayıya indirip arkasındaki varsayımları saklamaktır. Bir riskin “yüksek” olarak işaretlenmesi, hangi tehdit senaryosunun hangi zafiyet üzerinden hangi varlığı etkilediği yazılmadığı sürece tartışılamaz ve doğrulanamaz.

Risk Ele Alma Seçenekleri

Risk belirlendikten sonra dört yoldan biri seçilir: azaltmak, aktarmak, kaçınmak ya da kabul etmek. Azaltma kontrol eklemeyi, aktarma sigorta ya da sözleşmeyle sorumluluğu paylaşmayı, kaçınma ilgili faaliyeti hiç yapmamayı, kabul ise riski bilerek üstlenmeyi ifade eder.

Hangi seçeneğin uygun olduğu, kurumun risk iştahına ve azaltmanın maliyetine bağlıdır. Kontrolün maliyeti önlediği kaybı aşıyorsa azaltma mantıklı değildir. Seçim yapıldıktan sonra geriye kalan artık risk yazılı olarak kabul edilir ve dönemsel olarak yeniden gözden geçirilir.

Zafiyet Türleri ve Kaynakları

Zafiyetler kaynaklarına göre gruplandığında hangi ekibin sorumlu olduğu da netleşir. Teknik zafiyetler yazılım ve yapılandırma kaynaklıdır; süreç zafiyetleri tanımsız ya da uygulanmayan prosedürlerden doğar; insan kaynaklı zafiyetler ise eğitim ve farkındalık eksikliğiyle ilgilidir.

Fiziksel ve organizasyonel zafiyetler de aynı tabloya girer. Denetimsiz bir sunucu odası, tek kişiye bağlı kritik bir bilgi ya da sözleşmeye bağlanmamış bir tedarikçi ilişkisi, hiçbir tarayıcı çıktısında görünmez ama gerçek risk üretir.

Bu gruplama, azaltma çalışmalarının doğru yere yönlendirilmesini sağlar. Teknik zafiyetlerin tamamı kapatılsa bile süreç ve insan tarafı zayıf kalan bir kurumda toplam risk beklendiği kadar düşmez; olayların önemli bir bölümü bu iki alandan başlar.

Risk Değerlendirmesi Nasıl Yürütülür?

Değerlendirme kapsam belirlemeyle başlar: hangi sistemler, hangi süreçler ve hangi veri türleri ele alınacaktır? Kapsam yazılmadan yapılan çalışmalar ya çok geniş kalıp derinleşemez ya da kritik alanları dışarıda bırakır.

Kapsam belirlendikten sonra varlıklar listelenir, her varlık için tehdit senaryoları çıkarılır ve mevcut kontroller kaydedilir. Senaryolar mümkün olduğunca somut yazılır: “kötü niyetli yazılım” yerine “tedarikçi VPN hesabı ele geçirilerek üretim ağına fidye yazılımı yerleştirilmesi” gibi.

Puanlama aşamasında olasılık ve etki ayrı ayrı değerlendirilir. Değerlendirmeye teknik ekip kadar süreç sahipleri de katılmalıdır; bir kesintinin iş üzerindeki gerçek etkisini yalnızca o süreci işleten birim doğru tahmin edebilir.

Sonuçlar bir risk kütüğüne işlenir. Kütükte her satır için senaryo, ilgili varlık, mevcut kontroller, puanlar, seçilen ele alma yöntemi, sorumlu kişi ve tarih bulunur. Sorumlusu ve tarihi olmayan satırlar, izlenmeyen satırlara dönüşür.

Tehdit Ortamı Neden Sürekli İzlenir?

Zafiyetler görece yavaş değişirken tehdit ortamı hızlı değişir. Yeni yayımlanan bir sömürü kodu, dün düşük olasılıklı görünen bir zafiyeti bir gecede yüksek olasılıklı hâle getirebilir. Bu nedenle risk değerlendirmesi yıllık bir tören değil, tetiklenebilir bir süreç olmalıdır.

Yeniden değerlendirmeyi tetikleyecek olaylar önceden yazılır: kritik bir zafiyet duyurusu, sektöre yönelik yaygın bir saldırı dalgası, önemli bir altyapı değişikliği, yeni bir tedarikçi ya da mevzuat değişikliği. Tetikleyici listesi olmayan kurumlarda güncelleme çoğunlukla olaydan sonra yapılır.

Privia Security olarak kurumların tehdit, zafiyet ve risk kavramlarını aynı tabloda buluşturan bir siber risk analizi çalışması yürütüyoruz; çıktı, bulgu listesi değil önceliklendirilmiş bir karar tablosudur.