Siber Güvenlikte 'Yapıldı' Yanılgısı: Denetim Geçmek ile Güvenli Olmak Arasındaki Mesafe

Denetim raporundaki yeşil kutucuklar, güvenliğin fotoğrafı değil; sadece o anki pozdur.

Giriş: Yeşil Kutucuk Sendromu

Bir otomotiv yan sanayi firmasında TISAX denetimi tamamlanmış. Denetçi odadan çıkıyor, el sıkışılıyor, rapor geliyor — yeşil. Dijital sertifikanın basılı kopyası duvarı süsleyecek. Yönetim kurulu toplantısında "bilgi güvenliği konusunda tam uyum sağladık" deniyor. Herkes rahatlıyor.

Sonra bir Pazartesi sabahı, IT müdürü e-posta kutusunda fidye yazılımı mesajı buluyor. Üretim hattı duruyor. Müşteri verileri karanlık bir forumda satılıyor. Ve en acısı: Denetim raporundaki her madde, teknik olarak "doğru" çıkıyor. Firewall var, erişim kontrolü var, eğitim yapılmış, politikalar yazılmış.

Peki nerede hata yapıldı?

Bu yazıda, denetim geçmek ile gerçekten güvenli olmak arasındaki — çoğu zaman göz ardı edilen — mesafeyi inceliyoruz. TISAX, ISO 27001 ve benzeri çerçevelerin ne kadar değerli olduğunu kabul ederek; aynı zamanda bu çerçevelerin neden "güvenliğin kendisi" olamayacağını anlatıyoruz.

Denetim Nedir, Ne Değildir?

Denetim, bir anlık görüntüdür. Denetçi gelir, belgeleri inceler, sistemleri kontrol eder, çalışanlarla konuşur ve bir rapor yazar. Bu rapor, denetim tarihindeki durumu yansıtır. Ama güvenlik, bir durum değil; süreçtir.

Bir fotoğraf, bir insanı tanımlayabilir mi? Tanımlayabilir, ama o anki ifadesini, o anki kıyafetini, o anki ışığı yansıtır. İnsanın karakteri, alışkanlıkları, gelecekteki davranışları hakkında bir şey söylemez. Denetim de öyledir: Bir kurumun bilgi güvenliği "karakteri" hakkında değil; o anki "pozu" hakkında rapor verir.

Bu, denetimleri değersiz kılmaz. Aksine, denetimler çok değerlidir — ama amaçları farklıdır. Denetimin amacı, bir standartla uyumu doğrulamaktır. Güvenliğin amacı ise, riskleri sürekli olarak yönetmektir. Bu iki amaç örtüşür, ama aynı değildir.

Üç Ölümcül Yanılgı

Denetim geçtikten sonra güvenlik algısının bozulmasının ardında üç temel yanılgı yatar:

1. Belgelerin Gerçekliği ile İnanç

"Politikamız var" demek, "çalışanlar politikaya uyuyor" demek değildir. ISO 27001'in A.5.1 politikası yazılmış olabilir; ama bu politikanın çalışanların günlük kararlarına nasıl yansıdığı, ayrı bir sorudur. Denetimde politika incelenir; günlük davranışlar genellikle incelenmez — çünkü denetim süresi sınırlıdır ve davranış, zamana yayılan bir olgudur.

Bir müşterimizde yaşandı: Şifre politikası, karmaşıklık gereksinimleri, değiştirme sıklığı, tümü tanımlanmıştı. Denetimde her şey tamamdı. Ama operasyonel katmanda, üretim operatörlerinin paylaştığı ortak şifre — "12345678" — üç yıldır değişmemişti. Kimse kontrol etmemişti, çünkü denetimde bu kullanıcı grubu örnekleme dışı kalmıştı.

2. Kontrol Var, Etki Yok

TISAX'ta bir kontrol listesi vardır. Her kontrol, "uygulanıyor / uygulanmıyor" şeklinde değerlendirilir. Ama "uygulanıyor", "etkili" anlamına gelmez.

Örnek: Erişim kontrolü var. Ama bu erişim kontrolü, eski çalışanların hesaplarının hâlâ aktif olmasına engel oluyor mu? Denetimde, "hesap kapatma prosedürü var" denir ve yeşil alınır. Ama prosedürün gerçekten çalışıp çalışmadığı, ayrı bir konudur. Bir başka müşterimizde, son altı ayda işten ayrılan 12 çalışanın hesabından 7'si hâlâ aktifti. Prosedür vardı; uygulama yoktu.

3. Uyum, Son Nokta Değil, Başlangıç Noktası

"TISAX'ı geçtik, artık rahatız" düşüncesi, en tehlikelisidir. Çünkü tehditler durmaz. Dün yazılan bir politika, bugün ortaya çıkan yeni bir saldırı vektörüne karşı korumasız olabilir. Dün yapılandırılan bir firewall, bugün keşfedilen bir zafiyeti kapatmamış olabilir.

Denetim, bir maratonun bitiş çizgisidir — ama güvenlik maratonu, hiç bitmez.

Danışmanın Aynası

Danışmanlık firmaları olarak biz de bu döngünün bir parçasıyız. Müşteriye denetim hazırlığı yaparız, kontrol listelerini doldururuz, belgeleri düzenleriz. Ve müşteri, denetimi geçtiğinde başarı hisseder. Ama gerçek başarı, denetim raporunun duvara asılması değil; bir sonraki saldırı girişiminin başarısız olmasıdır.

Danışmanlığın değeri, denetimi geçirmekte değil; kurumun "denetimsiz de güvenli" olabileceği bir kültür inşa etmektir. "Bu kontrol neden var?" sorusunu sormak, "bu kontrol var mı?" sorusundan daha değerlidir. Çünkü ilk soru, düşünmeyi; ikinci soru, sadece kutucukları doldurmayı gerektirir.

Ve unutmayın: Müşteri, denetim satın almaz; güvenlik satın alır. Denetim, güvenliğin kanıtı değil; güvenliğin bir aracıdır.

BGYS ve Sürekli İyileştirme: Aynı Kaderi Paylaşan İkizler

Bilgi güvenliği yönetim sistemi (BGYS) ve denetim, aslında aynı kaderi paylaşır. ISO 27001'in temel felsefesi "Planla-Uygula-Kontrol Et-İyileştir" (PDCA) döngüsüdür. Denetim, "Kontrol Et" aşamasıdır. Ama döngü orada durmaz; "İyileştir" aşamasıyla devam eder.

Birçok kurumda ise döngü "Kontrol Et" ile biter. Denetim geçildi, rapor alındı, kutlama yapıldı. "İyileştir" aşaması, bir sonraki denetim öncesine ertelenir. Bu, PDCA değil; PDC'dir. Ve PDC, sürekli iyileştirme değil; sürekli tekrardır.

Stratejik yönetimde olduğu gibi, bilgi güvenliğinde de başarı, belgelerin kalitesinde değil; süreçlerin canlılığında kendini gösterir. Bir BGYS politikası, bir denetim raporu kadar işe yarar: Yani, ancak yaşatıldığı kadar.

Gerçek Güvenlik Nasıl İnşa Edilir?

Güvenliğin yaşaması için üç koşul gerekir:

Sürekli Farkındalık: Eğitim, yılda bir slayt gösterisi değil; günlük iş akışının bir parçası olmalıdır. Bir phishing e-postası geldiğinde çalışanın ilk refleksi "IT'ye ileteyim" olmalı; "açayım bakayım" değil. Bu refleks, yılda bir eğitimle kazanılmaz; sürekli hatırlatma ve somut örneklerle pekiştirilir.

Davranışsal Ölçüm: Güvenlik, teknik göstergelerle değil; davranışsal göstergelerle ölçülmelidir. Kaç çalışan phishing simülasyonuna düştü? Kaç eski hesap aktif kaldı? Kaç cihaz güncelleme almadı? Bu sorular, "firewall kurulu mu?" sorusundan daha çok şey söyler.

Kültürel Sahiplenme: Bilgi güvenliği, IT departmanının sorumluluğu değil; herkesin sorumluluğudur. Ama "herkesin sorumluluğu, hiç kimsenin sorumluluğudur" ilkesi burada da geçerlidir. Her bölümün bir güvenlik temsilcisi olmalı; bu kişi, bölümün günlük kararlarında güvenliği temsil etmelidir.

Sonuç

Bilgi güvenliği, bir denetim raporu değil; bir yaşam biçimidir. En iyi güvenlik, en kalın politika değil; en canlı süreçtir. Kurumlar, denetim geçmeyi değil, güvenlik yaşatmayı öğrenmelidir. Çünkü duvarlarda asılı duran sertifikalar, sadece kağıt değil; aynı zamanda kurumun en değerli varlığı olan "dikkat"in, başka yerlere kaymasına neden olan bir yanılsamadır.

Ve son bir not: Eğer bir denetim raporunu okuduğunuzda "her şey tamam" diyorsanız, o rapor size doğruyu söylemiyor olabilir. Çünkü gerçek güvenlik, "tamam" demek yerine "daha ne yapabiliriz" sorusunu sormakla gelir. Aradaki farkı ayırt edebilmek, güvenlik kültürünün ilk adımıdır.

Bu yazı, Tutulemma'nın haftalık "Düşünce Deneyleri" serisinin bir parçasıdır. Farklı bir açıdan bakmak, farklı sorular sormak ister misiniz?