İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Risk Değerlendirmesi Nedir?

İngilizce: Security Risk Assessment

Yayın: · Son güncelleme:

Risk Değerlendirmesi Nedir? Kısaca

Risk değerlendirmesi, bir kurumun bilgi varlıklarını, bunlara yönelik tehditleri ve açıkları belirleyip her riskin gerçekleşme olasılığını ve etkisini ölçerek hangi önlemlerin öncelikli olduğuna karar verme sürecidir.

Risk Değerlendirmesi nedir?
İçindekiler
  1. Risk değerlendirmesi nedir?
  2. Hangi adımlardan oluşur?
  3. Nelere dikkat etmeli?

Risk değerlendirmesi nedir?

Risk değerlendirmesi, neyin korunacağını ve önce nereye yatırım yapılacağını belirleyen analizdir. Siber güvenlikte her şeyi aynı düzeyde korumak mümkün değildir. Bu analiz, kısıtlı bütçe ve zamanın en büyük risklere yönlendirilmesini sağlar.

Temel formül basittir: Risk, bir olayın gerçekleşme olasılığı ile gerçekleşirse doğuracağı etkinin birleşimidir. Yüksek olasılıklı ve yüksek etkili riskler listenin başına yerleşir.

Hangi adımlardan oluşur?

Süreç genellikle şu sırayı izler:

  1. Varlıkları belirlemek: müşteri verisi, muhasebe sistemi, web sitesi
  2. Tehditleri belirlemek: fidye yazılımı, oltalama, çalışan hatası
  3. Açıkları belirlemek: eksik yedek, zayıf şifre, güncel olmayan yazılım
  4. Olasılık ve etkiyi puanlamak
  5. Her risk için karar vermek: azaltmak, devretmek, kaçınmak ya da kabul etmek

Örneğin 20 kişilik bir mimarlık ofisinde proje dosyaları tek bir sunucuda duruyor ve ayrı bir yedek yoksa, fidye yazılımı riski hem olası hem yıkıcıdır. Öncelikli önlem, düzenli ve ayrı tutulan bir yedeklemedir. Sigorta yaptırmak ise riskin bir kısmını devretmek anlamına gelir.

Nelere dikkat etmeli?

Değerlendirme bir kez yapılıp rafa kaldırılmamalıdır. Yeni bir sistem, yeni bir tedarikçi ya da yeni bir çalışma biçimi riskleri değiştirir. Yılda en az bir kez ve büyük değişikliklerden sonra güncellemek iyi bir uygulamadır.

Puanlamada iş birimlerinin görüşünü almak da gerekir, çünkü bir sistemin işletme için önemini en iyi onu kullananlar bilir. Kavramın genel çerçevesi için siber risk maddesine bakabilirsiniz.

Sıkça Sorulan Sorular

Risk değerlendirmesi ile tehdit modelleme arasındaki fark nedir?

Risk değerlendirmesi kurum genelindeki riskleri önceliklendirir. Tehdit modelleme ise belirli bir sistem ya da uygulamanın tasarımındaki tehditleri ayrıntılı inceler.

Küçük işletmeler risk değerlendirmesi yapmalı mı?

Evet, basit bir tabloyla bile yapılabilir. En değerli verilerinizi ve onları kaybetmenin sonuçlarını listelemek, hangi önleme öncelik vereceğinizi gösterir.

İlgili terimler

Siber Risk(Cyber Risk)Siber risk, bilgi sistemlerine yönelik bir saldırı, hata veya kesinti sonucunda bir kurumun maddi kayıp, itibar kaybı ya da hukuki yaptırımla karşılaşma ihtimali ve bunun doğuracağı etkidir.Tehdit Modelleme(Threat Modeling)Tehdit modelleme, bir uygulama ya da sistemin tasarım aşamasında olası saldırganları, saldırı yollarını ve zayıf noktaları sistematik olarak belirleyip bunlara karşı önlemleri en baştan planlama yöntemidir.Zafiyet Yönetimi(Vulnerability Management)Zafiyet yönetimi, bir kurumdaki güvenlik açıklarının sürekli olarak tespit edildiği, risk düzeyine göre önceliklendirildiği, giderildiği ve giderildiğinin doğrulandığı döngüsel güvenlik sürecidir.İş Sürekliliği(Business Continuity)İş sürekliliği, bir kurumun siber saldırı, afet, salgın ya da tedarik sorunu gibi bir kriz sırasında kritik faaliyetlerini kabul edilebilir bir düzeyde sürdürmesini ve hızla normale dönmesini sağlayan planlamadır.Fidye Yazılımı(Ransomware)Fidye yazılımı (ransomware), bir cihazdaki ya da ağdaki dosyaları şifreleyerek erişilemez hâle getiren ve şifreyi çözmek karşılığında genellikle kripto para ile fidye isteyen kötü amaçlı yazılımdır.Oltalama(Phishing Scam)Oltalama (phishing), dolandırıcıların banka, kargo şirketi ya da kamu kurumu gibi güvenilir bir kaynak taklidi yaparak sahte mesaj, e-posta veya web sitesiyle kişilerin şifre, kart ve kimlik bilgilerini ele geçirmeye çalıştığı dolandırıcılık yöntemidir.Yazılım(Software)Yazılım, bir bilgisayarın ya da akıllı cihazın ne yapacağını adım adım tarif eden programların, verilerin ve talimatların bütünüdür. Donanım fiziksel parçaları, yazılım ise bu parçaları çalıştıran mantığı ifade eder.