Geçen yıl Avrupa’da ve Türkiye’de kamuoyuna yansıyan büyük veri ihlali vakalarına bakıldığında, ortak bir tablo dikkat çekiyor: Teknik ekipler olayı saatler içinde tespit ediyor, ancak yönetim kurulunun konudan haberdar olması günler, hatta haftalar alıyor. Bir imalat şirketinin müşteri veri tabanı ele geçirildiğinde ya da bir perakende zincirinin ödeme sistemine sızıldığında, hasarın büyük bölümü teknik değil — hukuki ve itibar kaynaklı oluyor. Müşteri güveni sarsılıyor, düzenleyici kurumlar soruşturma başlatıyor ve medyada çıkan her haber şirketin marka değerinden bir parça koparıyor. Bu noktada sorumluluğun nerede durduğu sorusu artık kaçınılmaz biçimde yönetim kurulunun masasına geliyor.
Siber güvenlik, uzun yıllar boyunca yalnızca BT departmanının sorunu olarak görüldü. Güvenlik duvarı kurmak, antivirüs lisansı yenilemek ve şifre politikası belirlemek teknik bir operasyon meselesiydi; yönetim kurulunun buna dahil olması beklenmiyordu. Ancak dijital dönüşümün kurumsal süreçlerin merkezine yerleşmesiyle birlikte bu yaklaşım köklü biçimde değişiyor. Şirketlerin e-Fatura ve e-Defter altyapısı üzerinden işlem yapması, bulut tabanlı ERP sistemlerine kritik verileri taşıması ve mobil erişim kanallarını genişletmesi, siber riski operasyonel bir tehditten stratejik bir tehlikeye dönüştürüyor. Artık bir siber saldırı yalnızca bir sunucuyu değil, şirketin tüm finansal kayıt altyapısını ve ticari itibarını tehdit edebilir.
Hukuki çerçeve de bu gerçeği teyit ediyor. Kişisel Verilerin Korunması Kanunu’nun yürürlüğe girmesiyle birlikte Türkiye’deki şirketler, veri ihlallerinde hem idari para cezasıyla hem de hukuki sorumlulukla karşı karşıya kalıyor. Avrupa’da ise Mayıs 2018’de yürürlüğe girecek GDPR, yıllık küresel cironun yüzde dördüne kadar ulaşabilen cezalarla kurumsal yöneticileri doğrudan hesap verebilir kılıyor. Türkiye’de Avrupa pazarına açık ya da Avrupalı ortaklarla çalışan şirketler bu düzenlemenin dışında değil. Yönetim kurulunun ‘teknik bir konu’ diyerek mesafe koyduğu siber güvenlik, artık hukuki sorumluluk kapsamında değerlendiriliyor.
Peki yönetim kurulu bu riski nasıl yönetmeli? Önce çerçeveyi doğru kurmak gerekiyor. Siber risk, diğer operasyonel risklerden farklı değil; olasılık ve etki boyutlarıyla değerlendirilmeli, risk iştahı tanımlanmalı ve düzenli aralıklarla gözden geçirilmeli. Bunun için kurulun teknik uzmanlığa sahip olması şart değil — ama teknik ekipten gelen bilgiyi stratejik bir dille alabilmesi gerekiyor. Kurulun anlayacağı dil şu soruların yanıtlarını içermeli: Hangi veriler kritik ve nerede tutuluyor? Bir ihlal durumunda operasyonel süreçler ne kadar sürede aksıyor? Sigorta kapsamımız bu riski karşılıyor mu? Kriz iletişim planımız hazır mı? Bu sorular teknik değil; stratejik ve finansal sorulardır.
Uygulamada en etkili yaklaşım, siber güvenliği kurul gündemine düzenli raporlama mekanizmasıyla taşımak. Yılda bir kez yapılan genel değerlendirme yeterli değil; en azından her çeyrekte, kısa ve odaklı bir siber risk özeti kurula sunulmalı. Bu özet; son dönemde tespit edilen tehdit girişimlerini, kritik sistemlerin güvenlik durumunu, çalışan farkındalık eğitimlerinin tamamlanma oranını ve varsa açık kalan güvenlik açıklarını içermeli. Raporun teknik jargondan arındırılmış, iş etkisi odaklı bir dille yazılması, kurulun konuyu gerçek anlamda sahiplenmesini sağlıyor. Bazı şirketler bu süreci kolaylaştırmak için bağımsız bir siber güvenlik danışmanından yılda bir kez dış değerlendirme alıyor; bu yaklaşım hem iç ekibin kör noktalarını görünür kılıyor hem de kurula bağımsız bir perspektif sunuyor.
Kurumsal hazırlık açısından en büyük zorluk, siber güvenlik yatırımlarının getirisini somutlaştırmak. BT ekibi yeni bir güvenlik altyapısı için bütçe talep ettiğinde, yönetim kurulu çoğunlukla ‘bu yatırım bize ne kazandırıyor?’ sorusunu soruyor. Oysa doğru soru şu olmalı: ‘Bu yatırım yapılmazsa ne kaybederiz?’ Toplam sahip olma maliyeti hesabına olası ihlal maliyetleri, hukuki giderler, itibar kaybı ve operasyonel kesinti dahil edildiğinde, önleyici yatırımın ROI’si çoğu durumda açıkça pozitife dönüyor. Ancak bu hesabı kurul masasına taşıyacak köprüyü kurmak, hem BT hem de finans ekibinin ortak sorumluluğu haline geliyor.
Yönetim kurulunun siber güvenlik konusunda yapması gereken ilk somut adım, mevcut durumu net biçimde görmek. Şirketin hangi sistemleri kritik veri tutuyor, bu sistemlere kimlerin erişimi var ve bir ihlal senaryosunda kriz protokolü işletilebilir mi? Bu üç soruya tatmin edici yanıt verilemiyorsa, siber riskin kurul gündemine alınması artık ertelenebilir bir tercih değil, zorunlu bir yönetim kararıdır. Dijital dönüşüm sürecini yönetmek, yalnızca yeni teknolojileri benimsemek değil; bu teknolojilerin getirdiği riskleri de kurumsal yönetim anlayışına entegre etmek demek.