Siber Güvenlik Kurumsal Karne: KPI Örnekleriyle Rehber

Siber güvenliğin ortaya çıkan trendlerini ele alan performans göstergelerine sahip bir strateji skor kartı örneği.

Siber güvenlik strateji haritası için rehber ilkeler. Kaynak: Veri Güvenliği Skor Kartı.

Makalede ana konular:

Başlangıç Noktası: Veri Güvenliği Çalışmaları

Veri güvenliği ve veri koruma konularında düzenli yapılan çalışmalar, veri ihlallerinin temel nedenini ve bunları önlemenin yollarını anlamamıza yardımcı olur. Bu makalede, bu bulguların KPI’lar ile ölçülebilir kapsamlı bir siber güvenlik stratejisine nasıl entegre edilebileceğine dair bir örneği ele alacağız.

Referans olarak kullanacağımız raporlar şunlardır:

• IBM tarafından Veri İhlali Maliyeti Raporu¹ Ponemon Enstitüsü tarafından yapılan çalışmalarla IT güvenliği dünyasındaki kıyaslamalardan biridir.
• Verizon’un Veri İhlali Araştırmaları Raporu² siber güvenlik riskleri ve bunların ele alınma yolları hakkında farklı bir bakış açısı sunar.
• EY Küresel Bilgi Güvenliği Anketi³ organizasyonların veri güvenliği risklerini ele almak için uyguladıkları en iyi uygulamaları paylaşır.
• FireEye M-TRENDS Raporu⁴ veri güvenliği tehditleri ve bunların zaman içindeki evrimi hakkında raporlar sunar.

Terminoloji: Siber Güvenlik, Veri Güvenliği, Veri Koruma, Veri Gizliliği

Farklılıkların tartışmasına veri/bilgi güvenliği ve veri koruma (veri gizliliği) terimlerinden başlayalım.

• Veri/bilgi güvenliği , veriyi yönetmek için güvenli bir mimari oluşturmayı içerir. Düzenli yedeklemeleri, güncel güvenlik yazılımlarını, erişim haklarını, DLP yazılımlarını uygulamayı düşünün.
• Veri koruma , verinin etik ve yasal kullanımıyla ilgilidir – onay almak ve yasal yükümlülüklere uymak.

Bu fark önemlidir. Örneğin, Facebook-Cambridge Analytica olayında, veriler güvenli bir şekilde yönetilmişti (şifrelenmiş ve güvenli bir sunucuda saklanmıştı), ancak veri koruma düzenlemelerine göre sorumlu bir şekilde yönetilmemişti.

Veri koruma terimi genellikle Avrupa ve Asya’da kullanılırken, ABD’de aynı kavrama veri gizliliği denir. Françoise Gilbert, blogunda farklılıklar hakkında iyi bir açıklama paylaşmıştır.

Son olarak, siber güvenlik terimi, yalnızca veri güvenliğini değil, diğer güvenlik sistemlerini de kapsayan daha geniş bir fikir yelpazesini içerecek şekilde tasarlanmıştır. Pratikte, genellikle veri güvenliği terimiyle birbirinin yerine kullanılmaktadır.

Siber Güvenlik KPI’larına ve Stratejiye Neden İhtiyacımız Var?

Açık nedenlerin ötesinde, örneğin kuruluşunuzun nasıl bir durumda olduğunu bilmek ve hangi yöne hareket etmesi gerektiğini anlamak gibi, şu nedenleri de belirtmek isterim:

• Yeni güvenlik çözümlerini paydaşlara sunarken bazı verilerle argümanları destekleyebilmek.
• Formüle edilmiş bir iş bağlamı, siber güvenlik girişimlerinin diğer strateji bölümleriyle, örneğin Yetenek skor kartı, BT skor kartı veya kurumsal yönetim skor kartı ile uyumlu hale getirilmesine yardımcı olur.
• “En son BT teknolojilerinden yararlanan yüksek güvenlikli iş ortamı” gibi belirsiz bazı fikirleri, belirli performans göstergeleriyle daha somut hale dönüştürmek.

Henüz Gerçekleşmemiş Bir Şeyi Nasıl Ölçersiniz

Veri güvenliği soyut bir şey ve ölçmek için zor ve ölçülmesi güç görünebilir, çünkü bir kuruluşun ne tür bir veri ihlaliyle karşılaşacağını önceden bilemeyiz. Başlangıçta bahsedilen ampirik çalışmalar (örneğin, IBM Güvenlik raporuna bakın) farklı bir bakış açısı sunar.

Çoğu veri ihlali, bilinen faktörlerden kaynaklanmaktadır, örneğin:

• Ele geçirilmiş kimlik bilgileri (19%)
• Phishing (14%)
• Bulut yanlış yapılandırması (19%)

Bu, siber güvenlik çabalarının odaklanması gereken yer hakkında bize bir fikir verir.

Tüm veri ihlallerini önleyemesek de, veriler, organizasyon üzerindeki etkilerini minimize edebileceğimizi gösteriyor:

• Güvenlik otomasyonunu uygulayarak,
• Hazır bir müdahale ekibi ve müdahale planı bulundurarak,
• Çalışanları eğiterek ve
• İş ortamını kırmızı takım testi gibi yaklaşımlarla test ederek.

En kritik işlevler ve varlıklar için, kurtarma noktası ve kurtarma zamanı hedeflerini tanımlayacağız, bu da afet kurtarma için skor kartına resmileştirilebilir ve siber güvenlik skor kartı ile uyumlu hale getirilebilir.

Veri Güvenliği İçin Hangi İş Çerçeveleri Uygulanabilir?

Daha önce, organizasyonların stratejilerini ifade etmelerine ve uygulamalarına yardımcı olan çeşitli iş çerçevelerini tartıştık. Siber güvenlik alanında hangi çerçeveler uygulanabilir?

En iyi sonuçlar için çeşitli çerçeveleri birleştirmemiz gerekiyor:

• Yeni dış çevre faktörlerini tespit etmek ve analiz etmek için PESTEL analizini kullanacağız (Öğrenme ve Gelişim perspektifinden hedeflere bakınız). Bunlar, veri koruma yasaları gibi mevzuattaki değişiklikler veya Covid-19 sonrası gördüğümüz, örneğin uzaktan çalışma trendi gibi yıkıcı değişiklikler olabilir.
• Tepki çabalarına odaklanma konusunda çokça konuşacağız. Bu bağlamda, çeşitli önceliklendirme çerçeveleri yardımcı olacaktır.
• Veri güvenliği stratejisi üzerinde çalışırken, bugün, yakın gelecekte gereken eylemleri ve uzak gelecek için bazı girişimleri dikkate almamız gerekiyor. Bu bağlamda, Üç Ufuk çerçevesi disiplinli tartışmalar yapmamıza yardımcı olacaktır.
• Tüm bu bağlantısız fikirleri tutarlı bir stratejiye dönüştürmek için Kurumsal Karne çerçevesini kullanacağız.

Başlangıçta atıfta bulunulan iş çerçevelerini ve araştırma raporlarını kullanarak bir veri güvenliği stratejisi örneği oluşturalım.

Finansal perspektif. Veri güvenliğinin finansal etkisini tahmin etme

Veri güvenliği için finansal KPI’lar, güvenlik girişimlerini paydaşlara sunarken gereklidir. İlgili sektör karşılaştırmaları sağlanabildiğinde sunum çok daha etkileyici görünür.

Verizon’un raporu ve IBM’in (Ponemon Institute tarafından yürütülen) raporu bu bağlamda bazı içgörüler sunmaktadır. Bazen veriler çelişkili olabilir. Örneğin, bir veri ihlali başına kayıt maliyetlerinin önemli ölçüde değiştiğini göreceksiniz. IBM’in raporu 150-175 dolar arasında bir aralık verirken, Verizon’un raporuna göre (Data Breach Investigations Report, 2015’e bakınız) bu yaklaşık 0.58 dolardır. Ken Spinner, TeachBeacon’da konuya dair bazı açıklamalar paylaştı.

Veri ihlallerinin potansiyel finansal etkisini azaltma hedefi, belirli gecikmeli göstergelere ayrılmıştır. Kaynak: Data Security Scorecard.

Kurumunuz için veri ihlali maliyetlerini nasıl tahmin edebilirsiniz?

Bu, doğrudan ve dolaylı maliyetlere dayanabilir:

• Doğrudan maliyetler, adli analiz maliyeti, cezalar, müşterilere yapılan tazminatları içerir.
• Dolaylı maliyetler, veri ihlali nedeniyle mevcut ve potansiyel müşterilerin, çalışanların, ortakların kaybını ifade eder.

Veri güvenliği skor kartında, Veri ihlali başına kayıt maliyeti metriği için Ponemon veya Verizon çalışmalarından bazı karşılaştırmaları alabilir ve bunu risk altındaki kayıt sayısı ile çarpabiliriz.

Hesaplamaları yapmak için bazı temel iş verilerine ihtiyacımız olacak:

• LTV (müşteri yaşam boyu değeri)
• Veri ihlali nedeniyle müşteri kaybı tahmini
• Müşteri sayısı
• Risk altındaki kayıt sayısı
• Kaybedilen potansiyel müşteriler

Veri ihlali maliyeti göstergesinin değeri, iki diğer göstergenin değerleri kullanılarak hesaplanır. Kaynak: Data Security Scorecard.

Sırasıyla, bir veri ihlalinin doğrudan etkisi şu şekilde hesaplanabilir:

• Veri ihlali maliyetleri (doğrudan maliyetler) = Veri ihlali başına kayıt maliyeti * Risk altındaki kayıt sayısı

Dolaylı maliyetler için ise, bunları nicelendirmek için veri ihlali nedeniyle müşteri kaybı oranı ve LTV kullanmanın bir yolu:

• Müşteri kaybı maliyeti = [Müşteri sayısı]*[LTV]*[Veri ihlali nedeniyle müşteri kaybı]/100

Ek olarak, sözleşme imzalamayan potansiyel müşteri sayısını tahmin edebilirsiniz.

• Kayıp fırsat maliyeti = [Kaybedilen potansiyel müşteriler] * [LTV]

Müşteri perspektifi. Güvenlik risklerini nicelleştirme.

Müşteri perspektifi için ana hedef şu şekilde formüle edilmiştir:

• Veri güvenliği ve veri koruma risklerini azaltın

Genel müşteri hedefi 'Veri güvenliği risklerini azaltın' olarak formüle edilmiştir. Sonuçları 'ağırlıklı risk' dizini ile nicelleştirilir. Kaynak: Veri Güvenliği Skor Kartı.

Bu, şu göstergelerle nitelendirilmiştir:

• Öncü gösterge Veri risklerinin erken tespiti ve hızlı yanıt Dahili Perspektif hedeflerinden türetilen çıktıdır
• Öncü gösterge Veri Koruma Hazırlığı
• Gecikmeli gösterge Ağırlıklı risk indeksi

Buradaki mantık, kuruluşun iç güvenlik sistemleri üzerinde çalışması (veri risklerinin erken tespiti ve hızlı yanıt ile nicelleştirilen) ve gerekli veri koruma önlemlerini tanıtmasıdır (Veri Koruma Hazırlığı ile nicelleştirilen) ve böylece Ağırlıklı risk indeksi ile nicelleştirilen veri güvenliği risklerini daha iyi azaltmaktır.

• Bir veri güvenliği stratejisi oluştururken, ekibinizin başarı faktörleri için metrikler (öncü metrikler) ile beklenen sonuçlar için metrikler (gecikmeli metrikler) arasındaki farkı anlamasını sağlayın.

Müşteri perspektifinden göstergeleri detaylı olarak tartışalım.

Ağırlıklı Risk İndeksi

Bu göstergenin amacı, organizasyonun karşılaştığı güncel risk seviyesini ölçmektir. Bunu yapmak için, etki seviyelerine göre kategorize edilen veri ihlallerinin sayısını ölçümleyeceğiz:

• Kritik risk olayları, ağırlık %70
• Önemli risk olayları, ağırlık %20
• Orta seviye risk olayları, ağırlık %7
• Düşük seviye risk olayları, ağırlık %3

Görüldüğü gibi, doğrusal olmayan bir ağırlık ölçeği uygulanmıştır. Bu modelde, kritik veri ihlalleri indeks metriği üzerinde en yüksek etkiye sahipken, düşük seviyeli olaylar düşük etkiye sahiptir.

Ağırlıklı risk indeksi, farklı seviyelerdeki risk olaylarını hesaba katar - kritik risk olaylarından (en yüksek ağırlık) düşük seviyeli risk olaylarına (en düşük ağırlık) kadar. Kaynak: Veri Güvenliği Skor Kartı.

Bu yaklaşım, ölçüm sistemini manipüle etme sorununu, daha az önemli sorunları çözerek kontrol göstergesini yeşil bölgeye taşıdığında adresler. Yine de, risk olaylarının doğru bir şekilde kategorize edildiğinden emin olmamız gerekir.

Eğer indeks göstergelerinin hesaplanması ve göstergelerin ağırlıklarının dikkate alınması konusunda daha fazla bilgi edinmek istiyorsanız, web sitemizdeki ilgili makaleye göz atabilirsiniz.

Veri Koruma veya Veri Gizliliğini Ölçme

Daha önce açıklandığı gibi, veri koruma, Kişisel Olarak Tanımlanabilir Bilgilerin (PII) ve benzeri verilerin etik ve yasal kullanımıyla ilgilidir.

Bu durumda koruma önlemleri, uygulanabilir mevzuat tarafından iyi bir şekilde ifade edilmektedir. Avrupa’da GDPR; ABD’de ise iş alanına bağlı olarak CCPA, HIPPA, PCI DSS, GLBA gibi çeşitli yasalar vardır.

İkili göstergenin bir örneği (olası durumlar 'Evet' veya 'Hayır' - değer 'Evet' olduğunda bu göstergenin performansı %100, aksi halde %0. Kaynak: Veri Güvenliği Skor Kartı.

Ölçüm açısından GDPR’yi örnek olarak alırsak, veri koruma bir indeks göstergesi olan Veri Koruma Hazırlığı ile izlenebilir. Bu, genellikle ikili olan şu metrikler kullanılarak hesaplanır:

• Veri koruma görevlisi atanmış
• Açık onay izleme
• Veri ihlali bildirim prosedürü
• Erişim, düzeltme, silme hakkı uygulanmış
• Veri taşınabilirliği hakkı

Bu göstergeler, organizasyona, ürünlerine ve hizmetlerine uygulanabilir en özel durumlara daha ayrıntılı olarak indirgenebilir.

Düzenleyici uyumu sağlamak için, bu göstergeler ve yasal gereklilikler düzenli olarak gözden geçirilmelidir. Bu, ilgili gösterge için güncelleme aralığı fonksiyonu ile otomatikleştirilebilir. Daha spesifik örnekler için aşağıdaki Otomasyon bölümüne bakın.

Dahili Perspektif. Veri Güvenliği Risklerini Nasıl Azaltırız

Dahili perspektif için hedefleri ve performans göstergelerini bulmak için kök neden analizi yapmamız ve bulunan risk/maliyet noktalarına bakmamız gerekiyor.

Bulgular, belirli bir organizasyonun iş alanına ve iş sistemlerine bağlı olacaktır. Yine de, IBM Security ve Verizon tarafından raporlarda vurgulanan bazı ortak eğilimler vardır. Bu bulguları, skor kartının dahili perspektifi için hedefleri ve KPI’ları formüle etmek için kullanacağız.

Siber güvenlik stratejisinin itici güçleri. 'Erken tespit' hedefi, iki alt hedef - 'Risk azaltma planı geliştirme' ve 'BT'nin karmaşıklığını azaltma' - tarafından desteklenmektedir, hepsi kendi performans göstergeleri ve girişimleri ile. Kaynak: Veri Güvenliği Skor Kartı.

Veri Risklerine Erken Tespit ve Hızlı Yanıt

Eğer bir veri ihlali meydana geldiyse, tespit ve yanıt açısından hızlı tepki maliyetleri önemli ölçüde azaltacaktır.

Skor kartında, bu iki gecikmeli gösterge ile nicelenir:

• Ortalama Tespit Süresi
• Ortalama Yanıt Süresi

Gecikmeli göstergeler, zaten gerçekleşmiş olanı nicelendirir. Bir organizasyon bu göstergeleri nasıl etkileyebilir? Aynı raporlar, genellikle daha iyi bir veri güvenliği yanıtına yol açan belirli eylemleri önermektedir.

Başarı faktörü örneği - 'Olay müdahale ekibi kuruldu' veri ihlali etkisini en aza indirme başarı faktörüdür. Kaynak: Veri Güvenliği Skor Kartı.

Skor kartı şablonunda, Erken tespit ve hızlı yanıt hedefi ile uyumlu iki kayıt bulacaksınız:

• Olay müdahale ekipleri kuruldu. Bu kayıt bir başarı faktörü olarak işaretlenmiştir. IBM Güvenlik raporuna göre, veri ihlali etkilerini en aza indirmenin temel nedenlerinden biridir.
• Yüksek riskli veri erişiminin tespiti. Bu girişimle, ekibiniz belirli veri erişim türlerinin etkisine göre çabalarını önceliklendirebilir. Önceliklendirme konusunda daha sistematik bir yaklaşım arıyorsanız, önceliklendirme çerçeveleri hakkındaki makaleye göz atın.

Erken tespit ve hızlı yanıt hedefi bağlamında iki öncü gösterge daha vardır. Her ikisi de yukarıda bahsedilen veri güvenliği raporlarının bulgularına dayanmaktadır:

• Risk azaltma planı geliştirin
• BT’nin karmaşıklığını azaltın

Bunları detaylı olarak tartışalım.

Bir risk azaltma planı geliştirin

Bir risk azaltma planına sahip olmak, veri ihlaline daha hızlı yanıt vermenin bir başarı faktörüdür.

Mevcut veri güvenliği planının iyi bir plan olduğundan nasıl emin olabiliriz?

Bu, organizasyonda verilerin yönetilme şeklini yansıtan güncel bir risk modeline dayanmalıdır. Strateji skor kartında, bu, Düzenli veri güvenliği denetimleri öncü göstergesiyle nicelendirilmektedir ve Öğrenme ve Gelişim perspektiflerinde açıklanmaktadır.

Önerilen risk yanıt planının gerçekten etkili olduğunu nasıl anlarız? 

Risk planının düzenli güncellemeleriyle birlikte, geliştirilen planın pratikte uygulanabilirliğini test edebiliriz. Bu, gecikmeli gösterge olan Olay yanıt testi ile nicelendirilmektedir.

BT ve verilerin karmaşıklığını azaltın

Ampirik çalışmalar, veri ihlali maliyetlerini minimize etmeye yardımcı olan birkaç diğer faktörü adlandırmaktadır, örneğin:

• BT altyapısı karmaşıklığı
• Veri şeması karmaşıklığı
• Otomasyon

Strateji haritasında, bu faktörleri BT ve verilerin karmaşıklığını azalt hedefi içinde formüle ettik.

Alt hedefler, genel hedefin nasıl başarılacağını açıklar. Kaynak: Veri Güvenliği Skor Kartı.

Bu durumda:

• Veri ve BT karmaşıklıklarını azalt hedef için bir gerekçedir
• En değerli verilere erişimi sınırlayın gerekli BT çözümlerinin karmaşıklığını azaltmanın başarı faktörlerinden biridir
• Açıklık testi ve uyumluluğu otomatikleştir güvenliğin BT otomasyonu için geniş bir girişimdir

Son olarak, karmaşıklığı minimize etmek daha iyi veri ihlali yanıtının faktörlerinden biri olarak adlandırılırsa, bunu nasıl nicelendiririz?

Cevap bireyseldir ve kuruluşunuzun BT yapısına bağlıdır. Bu skor kartı için, şu göstergelerden derlenmiş bir Veri güvenliği karmaşıklık indeksi örneği vardır:

• En yüksek erişim seviyesine sahip kullanıcı sayısı. Bu gösterge için optimizasyon fonksiyonu ¨Doğrusal olarak küçült¨ olarak ayarlanmıştır, çünkü hassas verilere erişimi olan kullanıcı sayısının azaltılması, indeksin genel performansını artıracaktır.
• Giriş kimlik bilgilerini devre dışı bırakma süresi. Veri ihlallerinin %7’si kötü niyetli bir iç kaynaktan kaynaklanmaktadır. Giriş kimlik bilgilerini hızlı bir şekilde devre dışı bırakmak, bu yüzdesi azaltabilecek BT güvenlik önlemlerinden biridir. Bu durumda kabul edilebilir zaman aralığı çok kısadır. Bu fikri skor kartında yansıtmak için, bu gösterge için optimizasyon fonksiyonu üstel azalmadır.

Bu gösterge için performans fonksiyonu 'Üstel azalma' olarak ayarlanmıştır. Ölçüm göstergesinden görüldüğü gibi, bu metrik için yeşil alan nispeten küçüktür, bu da giriş kimlik bilgilerini devre dışı bırakmak için kabul edilebilir zamanın saatler, günler değil, olduğunu göstermektedir. Kaynak: Veri Güvenliği Skor Kartı.

• DLP yazılımı tarafından kontrol edilen hassas verilerin %’si. Veri kaybını önleme çözümleri, BT güvenliğini otomatikleştirmenin yollarından biridir. Kuruluşlar yeni verilerle uğraştığı sürece, hassas verilerin DLP (Veri Kaybını Önleme) araçları tarafından erişilebilir olmasını sağlamak için veri modellerini düzenli olarak gözden geçirmek önemlidir.
• Veri şifreleme ve yedekleme otomatikleştirildi. Önceki göstergeye benzer şekilde, güncel bir veri modeline sahip olmaya ve hassas verilerin düzgün bir şekilde yönetildiğinden emin olmaya ilgimiz var.
• Güncel güvenlik yazılımı %. Bu metrik basit bir metrik gibi görünebilir, ancak çalışmalar farklı bir hikaye anlatmaktadır. Veri ihlallerinin %16’sının kök nedeni üçüncü taraf yazılımındaki açıklıklardır. Yazılım satıcıları düzenli olarak açıklıkları gideren güncellemeler yayınlamaktadır. En son güncellemelerin yüklenmiş olması, güvenlik risklerini minimize etmenin başarı faktörlerinden biridir.
• Otomasyon kapsamı, % göstergesi, mevcut otomasyon seviyesi ile mümkün olan otomasyon seviyesini karşılaştırır. Daha yüksek otomasyon, insan faktörlerinin etkisini azaltır ve paydaşlar için karmaşıklığı azaltır.

Alt göstergelerin farklı ağırlıklarla indekse katkıda bulunduğu, indeks tarzı gösterge ile karmaşıklığı nasıl nicelendireceğinize dair bir örnek. Kaynak: Veri Güvenliği Skor Kartı.

Bunlar, veri güvenliği durumunda karmaşıklığı nicelendirebilecek bazı metriklerin sadece örnekleridir. Karmaşıklığa daha sağlam bir yaklaşım, paydaşların daha derin bir analizini, kötü karmaşıklık noktalarının bulunmasını ve karmaşıklık azaltma stratejisinin geliştirilmesini içermelidir. Önceki makalede, karmaşıklık metriklerini ve bunları pratikte uygulama yollarını tartıştık.

Öğrenme ve Gelişim Perspektifi

Bu perspektifte iki büyük hedefimiz var:

• Düzenli veri güvenliği denetimleri hedefi, veri güvenliği için uygun altyapıya odaklanmaya yardımcı olur.
• Çalışanları veri güvenliği konusunda eğitmek hedefi, ekibinize veri ihlallerini önlemek veya etkilerini azaltmak için gerekli en güncel bilgi ve becerileri kazandırmaya odaklanır.

Siber güvenlik stratejisinin öğrenme ve altyapı etkenleri - 'Düzenli veri güvenliği denetimleri' ve 'Çalışanların veri güvenliği eğitimi'. İki önemli hedef, girişimler, öncü ve gecikmeli göstergelerle birlikte. Kaynak: Veri Güvenliği Skor Kartı.

Bu hedeflerin strateji haritasında nasıl formüle edildiğine bir göz atalım.

Düzenli veri güvenliği denetimleri

Bir gerekçemiz var Siber güvenlik risklerini analiz et hedefle uyumlu. Peki, bu tipik siber güvenlik riskleri nelerdir? Gerekçe açıklamasında birkaç örneğimiz var:

• Siber saldırılar
• Fidye yazılımı
• Kötü amaçlı yazılım
• İç tehditler
• Kaybolan/çalınan kimlik bilgileri
• Yetkisiz erişim
• Veri kaybı
• Veri bozulması

Siber güvenlik risklerinin düzenli analizi ihtiyacı bir girişim olarak formüle edilmiştir. Hizalanmış gösterge 'düzenli risk analizi' bu girişim için gerçek ilerlemeyi gösterir. Kaynak: Veri Güvenliği Skor Kartı.

Bir hipotez var, Uzaktan çalışma veri güvenliğini etkiliyor hedefle uyumlu. Birçok organizasyon için uzaktan çalışma, Covid-19’a yanıt olarak kriz önleme stratejilerinin bir parçasıydı.

İki öncü gösterge vardır:

• Düzenli risk analizi – yeni risklerin genel bir analizi
• Hassas verilerin riskini düzenli değerlendir – hassas veriler bağlamında daha spesifik bir analiz

Her iki gösterge de çeyrek dönemde güncellenmek üzere yapılandırılmıştır.

'Hassas verilerin riskini düzenli değerlendir' için güncelleme aralığı çeyrek dönem olarak yapılandırılmıştır. Yazılım, göstergenin düzenli olarak güncellenmesini ve yeni verilerin güncelleme aralığına izin verilen tarihlere (bu yapılandırmada çeyrek dönemin ilk günü) kaydedilmesini kontrol edecektir. Kaynak: Veri Güvenliği Skor Kartı.

Güvenlik ekibinin mevcut risk durumunu analiz etme ve ondan öğrenme çabalarını ölçmeye yardımcı olan birkaç metrik vardır:

• Zafiyet taraması – tipik olarak, BT ekibi tarafından yapılan otomatik tarama
• Sızma testi (pen test) – bir siber saldırı simülasyonu
• Kırmızı takım testi – daha fazla katılımcının yer aldığı daha geniş çaplı bir güvenlik testi

İlgili KPI’lar farklı güncelleme aralıkları için yapılandırılmıştır:

• Otomatik zafiyet taraması haftalık veya aylık yapılabilir.
• Risk modeline bağlı olarak, bir sızma testi üç ayda bir yapılabilir.
• Son olarak, en fazla kaynak gerektiren kırmızı takım testi için gösterge altı aylık veya yıllık güncelleme aralığına yapılandırılmıştır.

Risk analizi ve test prosedürleri, güvenlik sistemindeki zayıf noktaları bulmak için tasarlanmıştır. Bu simülasyonların ve testlerin sonuçlarının etkili bir şekilde uygulandığını nasıl anlarız? Bu sorunun cevabını bulmak için şunları izleyebiliriz:

• Yineleyen veri ihlalleri sayısı göstergesi.

Aynı türdeki veri ihlali tekrarlandığında, güvenlik ekibi tarafından önerilen risk azaltma planının beklenildiği kadar etkili olmadığının bir işaretidir.

Çalışanları Veri Güvenliği Konusunda Eğitin

İnsan faktörü, herhangi bir veri güvenliği sisteminin en yüksek risklerinden biri olmaya devam etmektedir. IBM Güvenlik raporuna göre, kötü niyetli veri ihlallerinin yaklaşık %36’sı insan davranışıyla (oltalama, sosyal mühendislik, ele geçirilmiş kimlik bilgileri) ilişkilidir.

Veri güvenliği stratejisi bu riskleri etkili bir şekilde azaltacak şekilde nasıl tasarlanabilir?

Çözümlerden biri, belirli operasyonları otomatikleştirmek ve insan operatörün rolünü azaltmaktır. Bu, iç perspektifte tartıştığımız Kompleksite azaltma hedefiyle çok uyumlu.

Girişimlerin ve durumlarının listesi. Kaynak: Veri Güvenliği Skor Kartı.

Otomasyonun mümkün olmadığı veya uygun maliyetli olmadığı diğer durumlar için eğitim bir cevaptır. Veri güvenliği bağlamında eğitim çabalarına nasıl odaklanılır? Bunun için bir çift öncü ve gecikmeli gösterge kullanabiliriz!

• Öncü gösterge: Veri güvenliği eğitim nüfuz oranı, veri güvenliği farkındalık eğitimlerinin kapsamını izlemek için kullanılabilir, katılımcılar burada örneğin oltalama uygulamaları ve bunlardan nasıl kaçınılacağı hakkında bilgi edinebilirler.
• Bu durumda en iyi gecikmeli gösterge, farkındalık eğitiminin somut etkisine odaklanmalıdır. Oltalama uygulamalarını anlamak eğitim konularından biri ise, bir Oltalama Testi yapın ve çalışanların gerçekten eğitimin kazanımlarını kullanıp kullanmadığını görün. Bu, skor kartında Oltalama Testi Başarı Oranı göstergesi ile ölçülebilir.

Veri güvenliği konusunda çalışanları eğitmek şu an önceliğiniz ise, güvenlik ekibiniz Kirkpatrick’in seviyeler modeli kullanarak bir eğitim değerlendirme skor kartı tasarlayabilir, bu makalede tartışıldığı gibi.

Veri Güvenliği Skor kartı için otomasyon

Kuruluşunuzda veri güvenliği stratejisini tanımlamaya, uygulamaya ve yürütmeye yardımcı olan bir strateji skor kartı örneğini ele aldık.

Bu skor kartı, BSC Designer’daki ücretsiz şablonlardan biri olarak mevcuttur; böylece ücretsiz plan hesabıyla kaydolabilir ve ihtiyaçlarınıza göre özelleştirmeye başlayabilirsiniz.

Stratejinin Toplam Maliyetini Bilin

Veri güvenliği için strateji skor kartına sahip olmanın nedenlerinden birinin, yeni girişimleri paydaşlara sunmayı kolaylaştırması olduğunu belirtmiştik.

Önerilen stratejinin maliyeti masaya gelecek ilk sorulardan biri olacaktır. Stratejiyi uygulama maliyeti, tüm iş hedeflerinin ve bunlara ilişkin girişimlerin maliyetlerinin toplamı olarak tahmin edilebilir.

Siber güvenlik skor kartı için 'Strateji Maliyeti' raporu, tüm girişimlerin bütçelerini (ayrılan ve fiilen kullanılan) özetler. Kaynak: Veri Güvenliği Skor Kartı.

BSC Designer’ı bir otomasyon aracı olarak kullanırsanız, girişimlere bütçeler atayabilir ve bunların kullanımını kontrol edebilirsiniz. Yazılım, stratejiyi uygulamanın toplam beklenen maliyetini sunmak için bir strateji maliyeti raporu oluşturabilecektir.

Panelde önemli verileri görselleştir

Paydaşların tipik bir diğer isteği, doğru kararlar almak için verilere sahip olmaktır (önceden, veri tabanlı kararlar hakkında konuşmuştuk). Strateji haritası, kendi başına çok sayıda veri içerir. Başka bir yaklaşım, en önemli göstergeleri ve verilerini gösterecek şekilde yapılandırılabilen bir BI paneli oluşturmaktır.

Bu makale için hazırlanan strateji şablonunda iki panelimiz var (aralarında geçiş yapabilirsiniz).

Siber güvenlik için BI paneli örneği: kritik risk olayları için zaman grafiği, ağırlıklı risk dizininin evrimi, bazı belirli göstergeler için grafikler, yanıt girişimleri için Gantt grafiği, risklerin listesi ve durumları. Kaynak: Veri Güvenliği Skor Kartı.

Risk Dizin Paneli sadece mevcut risk durumunu ölçmek için kullandığımız risk dizini göstergelerine odaklanır. Panelin diyagramları ile:

• Gösterge grafiklerinde güncel riskler görselleştirilir
• Risk dizini zaman içinde nasıl değişiyordu
• Her göstergenin risk dizinine katkısı ağırlık grafiğinde gösterilir

Siber güvenlik skor kartındaki ikinci panel yalnızca karmaşıklık dizinine, zaman içindeki evrimine ve göstergesinin durumuna odaklanır. Kaynak: Veri Güvenliği Skor Kartı.

Diğer panel Veri güvenliği karmaşıklık dizinidir. Daha önce tartıştığımız gibi, güvenlik sistemlerinin kötü karmaşıklıkları, daha yüksek veri ihlali risklerinin bir faktörüdür. Bu panel, seçilen göstergelerle nicelendirilen karmaşıklığın mevcut durumunu görselleştirir.

Performans Verilerini Analiz Etme

Performans verilerini KPI’lar şeklinde toplamak, çoğu kuruluşun düzenli olarak yaptığı bir şeydir. Hangi otomasyon aracının kullanıldığı önemli değildir, çok fazla veri mevcuttur.

Soru her zaman bu verilerin nasıl kullanılacağı ve eyleme geçirilebilir bilgilere nasıl dönüştürüleceğidir. Bazı içgörüler, ekip bir strateji haritasını veya paneli tartıştığında ortaya çıkar; diğer içgörüleri bulmak otomatikleştirilebilir.

Bu anlamda, BSC Designer içindeki Analiz fonksiyonu çok yardımcı olur. İşte bazı örnekler:

• Tartıştığımız göstergelerin çoğunun düzenli olarak güncellenmesi gerekir. Güncelleme zamanı analizi ile yakında güncellenmesi gereken veya zamanında güncellenmeyen göstergeleri bulabilirsiniz. Bu, Uyarılar fonksiyonu ile de otomatikleştirilebilir.
• Skor kartındaki her bir göstergenin, göstergenin önemini yansıtan bir ağırlığı vardır. Mutlak ağırlık analizi ile en yüksek ağırlığa sahip göstergeleri bulabilirsiniz. Örneğin, örneğimizde Ortalama Tespit Süresi göstergesi en yüksek ağırlıklardan birine sahiptir. Ekibiniz birkaç girişim üzerinde çalışmayı düşünüyorsa ve bunlardan biri veri ihlallerini daha hızlı tespit etme sözü veriyorsa, önceliği ona verin.
• Bazen ilginç bulgular, performans verilerinin nasıl değiştiğine bakarak bulunabilir. Hızlı kazanç veya kayıp, analiz edilmesi gereken bazı yeni faktörlerin bir işaretidir. Orta düzey risk olayları göstergesi neden %30 kayıptı – bunun nedeni bazı dahili sistem güncellemeleri mi yoksa raporlama sorunu mu?

'Mutlak ağırlık' analizi, skor kartı üzerindeki en yüksek etkiye (en yüksek mutlak ağırlığa) sahip göstergeleri bulmaya yardımcı olur. Bu durumda 'Kritik risk olayları' ve 'Ortalama Tespit Süresi' en yüksek etkiye sahiptir. Kaynak: Veri Güvenliği Skor Kartı.

Gerekçeler, başarı faktörleri ve beklenen sonuçları haritalandır

Ücretsiz stratejik planlama kursunda, bir hedefin iş bağlamını anlamanın önemini tartıştık. İyi tanımlanmış bir hedefe sahip olmak yeterli değildir, hedefin arkasındaki gerekçeyi, başarı faktörlerini ve organizasyon için değerli olan beklenen sonuçları anlamak önemlidir.

Girişimlerin listesi, durumları ve onlarla hizalanmış göstergelerin ilerlemesi. Kaynak: Veri Güvenliği Skor Kartı.

Skor kartı şablonundan BT ve veri karmaşıklığını azaltma hedefine bir göz atın:

• Bu hedefin neden önemli olduğunu açıklayan bir gerekçe kaydı bulunmaktadır: Veri ve BT karmaşıklıklarını azalt – “Yazılım sistemlerinin ve veri altyapısının yüksek karmaşıklığı, veri ihlali için bir risk faktörüdür.”
• Ayrıca karmaşıklıkları azaltmanın bir başarı faktörü vardır – En değerli verilere erişimi sınırlayın. Bu, hedef bağlamında mükemmel bir anlam ifade eder – hassas verilere daha az erişim, veri şemasının karmaşıklığını azaltır ve sonuç olarak veri ihlali risklerini azaltır.

Bazı durumlarda, bir şeyi başarmak için sabit bir planımız yoktur, bunun yerine eğitimli bir hipotezle ilgileniyoruz. BSC Designer kullanıcıları, hedeflerine bir hipotez ekleyebilir. Örneğimizde, Uzaktan çalışma veri güvenliğini etkiliyor hipotezi Düzenli veri güvenliği denetimleri ile hizalanmıştır.

Beklenen sonuçları bilmek de kritiktir. Örneğin, Çalışanları veri güvenliği konusunda eğitme için Sorumlu veri yönetimi adlı bir beklenen sonuç vardır. Bu pratikte ne anlama gelir? Bunu nasıl ölçebiliriz? Bu sorular, ilginç tartışmalara kapı açar.

Bütçeler, Sahipleri ve Durumlar ile girişimler oluşturun

Strateji planlama ile uygulama arasındaki boşluğu doldurmak için hedefler için girişimleri kullanın. BT ve veri karmaşıklığını azaltın. ile hizalanmış Güvenlik açığı testini ve uyumluluğu otomatikleştirin girişimini ele alalım.

Bütçe ve zaman çizelgesi atanmış stratejik girişim örneği. Girişimin etkisi, 'Otomasyon kapsamı' göstergesi ile nicelleştirilir ('Hizalanmış KPI' alanına bakın). Kaynak: Veri Güvenliği Skor kartı.

• Ekibiniz bu girişim üzerinde tam olarak nasıl çalışacak? Ayrıntılı bir eylem planı eklemek için açıklama alanını kullanın.
• Diğer risk azaltma planlarıyla nasıl hizalanır? İlgili kaynaklara bağlantı vermek için belgeler bölümünü kullanın. Örneğimizde, BT skor kartı örneğine bağlantı verdik.
• Bu girişimden kim sorumlu? İlgili bir şey olduğunda bildirim almaları için sahipleri atayın.
• Girişimin mevcut durumu nedir? Girişim üzerinde çalışan ekibinizin ilerlemesiyle birlikte durumu güncelleyin.
• Bu girişim bağlamında ilerlemeyi nasıl takip edebilirsiniz? Örneğimizde, Veri güvenliği karmaşıklık dizini oluşturan otomasyon kapsamı, % göstergesine bağladık.

Pilot siber güvenlik KPI takibi ve raporlamasını başlatın

Mevcut siber güvenlik planınızı veya Excel skor kartınızı paylaşın; güvenlik ve strateji ekiplerinin riskleri, yanıt KPI’larını, girişimleri, sahipleri ve paydaş raporlamasını izlemek için bağlantılı bir sisteme nasıl geçebileceğini görüşelim.

Siber güvenlik pilotunu görüşün

Daha geniş kapsamlı bir yaygınlaştırmadan önce yaklaşımı tek bir güvenlik alanı veya risk alanı ile test edin.

Sonuçlar

Bu makalede, bir veri güvenliği stratejisi örneğini tartışıyoruz. İşte tartıştığımız en önemli fikirler:

• Veri ihlaliyle ilgili bilinen risk faktörleri ve güvenlik olaylarının etkisini en aza indirmek için kanıtlanmış yollar vardır.
• Paydaşlarınıza veri ihlallerinin doğrudan ve dolaylı maliyetlerini anlamaları için yardım edin.
• Stratejinizi problemleri erken tespit etmeye ve hızlı yanıt vermeye odaklayın.
• Veri ihlallerinin etkisini azaltmak için bir risk azaltma planı ve müdahale ekibine sahip olun.
• BT sistemlerinin ve veri şemalarının kötü karmaşıklıklarını azaltın.
• Risk modellerini düzenli olarak güncelleyin, güvenlik ortamınızı test edin.
• İnsan faktörü risk noktalarından biridir – ekibinizi eğitin, sadece resmi sınav skorlarına değil, davranış değişikliklerine de bakın.

Sırada ne var? İyi bir siber strateji, kuruluşunuzun ihtiyaçlarına göre özel olarak hazırlanır. Bu makalede tartışılan güvenlik stratejisi şablonunu, kendi veri güvenliği stratejinizi oluşturmaya başlamak için bir başlangıç noktası olarak kullanın. Zorluklarınızı ve bulgularınızı yorumlarda paylaşmaktan çekinmeyin.

Siber Güvenlik Sektöründe Uygulama Örnekleri

İşletme profesyonellerinin siber güvenlik stratejisiyle ilgili zorlukları ele almak ve otomatikleştirmek için BSC Designer platformunu nasıl kullandıklarını öğrenin.

Veri Güvenliği ve Koruma Skor kartı Şablonunu kullan

BSC Designer, organizasyonların karmaşık stratejilerini uygulamalarına yardımcı olur:

1. Platformda ücretsiz bir plan için kaydolun.
2. Başlangıç noktası olarak Veri Güvenliği ve Koruma Skor kartı şablonunu kullanın. Bunu Yeni > Yeni Skor kartı > Daha Fazla Şablonlar altında bulabilirsiniz.
3. Paydaşları ve stratejik hedefleri kapsamlı bir stratejiye uyumlu hale getirmek için Strateji Uygulama Sistemimizi takip edin.

Bugün başlayın ve BSC Designer'ın strateji uygulamanızı nasıl basitleştirebileceğini görün!

Alexis Savkín

Alexis Savkin, Kurumsal Karne’yi temel alan bir strateji uygulama yazılım platformu olan BSC Designer’ın Strateji Mimarı ve kurucusudur. Kuruluşların stratejiyi ölçülebilir hedeflere, KPI’lara ve girişimlere dönüştürmesine yardımcı olur. Alexis, Strateji Uygulama Kanvası’nın yaratıcısı, strateji ve performans ölçümü üzerine 100’den fazla makalenin yazarı ve düzenli bir konuşmacıdır.