Yönetim Kurullarının Siber Güvenliğe Daha Proaktif Yaklaşımı

Günümüz iş dünyasında, siber güvenlik, kurumların sürdürülebilirliği ve başarısı için merkezi bir rol oynamaktadır. Ancak, yönetim kurulları genellikle şirketlerinin siber güvenlik hazırlığını ve bu alandaki yönetsel rollerini hafife almaktadır. Yakın zamanda yapılan bir anket, yöneticilerin %71'i siber güvenlik bütçelerini yeterli veya yüksek bulurken, sadece %39'unun yönetim kurulu siber güvenlik anlayışını proaktif olarak nitelendirdiğini ortaya koymuştur. Bu durum, yönetim kurullarında büyümeyi önceliklendiren bir strateji danışmanı olmaktan ziyade, uzun vadeli iş istikrarını ve sürdürülebilirliği güvence altına alan birer denetleyici rolüne geçiş ihtiyacını açıkça göstermektedir. Siber güvenlik söz konusu olduğunda, denetleyici yaklaşım, liderlik ekiplerini riskleri öngörmeye, kaynak ihtiyaçlarını belirlemeye ve yanıt planlarını test etmeye teşvik ederek siber dayanıklılık ve iş sürekliliği sağlamak için kritik öneme sahiptir.

Yönetim Kurullarının Siber Güvenlik Konusunda Yaptığı Üç Temel Hata

Siber güvenlikteki eksikliklerin sonuçları ciddi olabilir. Eski sistemler ve yetersiz savunmalar, maliyetli stratejik, itibarî ve operasyonel zararlara yol açabilir. Yönetim kurulları, denetleyici rollerini güçlendirmek için üç temel hatayı ele almalıdır:

1. Eylemsizliğin İş Sonuçlarını Hafife Almak

Birçok yönetici, stratejik vizyon ve büyüme konularını rahatlıkla tartışırken, siber güvenliğin yetersiz finansmanının olası sonuçlarını göz ardı etmektedir. Siber olayların maliyeti, yönetim kurulu üyelerinin, yöneticilerin ve çalışanların bir günlük işin değerini bilmeleri, kısa vadeli operasyonel kesintilere tolerans sınırlarını anlamaları ve potansiyel zafiyet alanlarını belirlemeleri gerektiği sorularını gündeme getirir. Siber güvenliği sadece bir maliyet kalemi olarak görmek, onu operasyonel yöneticilere bırakılan bir uyum yükü olarak algılamaya neden olur. Oysa denetleyici bir bakış açısı, siber güvenliğin stratejik önemini ve iş değerini kabul ederek, finansman ve denetim kararlarının önemli sonuçlar doğurabileceğini vurgular. United Health'in iştiraki Change Healthcare'in çok faktörlü kimlik doğrulamayı uygulamaması sonucu 190 milyon hasta kaydının ifşa olması ve 2,5 milyar doların üzerinde maliyet oluşması, hareketsizliğin somut bir örneğidir.

2. Aşırı Teknik Borç Oluşturmak

Teknik borç, eski altyapı, çözülmemiş bakım, süresi dolmuş yazılımlar ve eksik yamalar gibi unsurları içeren önemli ve genellikle gözden kaçırılan bir siber risktir. Bu zafiyetler, gereksiz güvenlik açıklarına, öngörülemeyen kesintilere ve verimlilik kayıplarına yol açabilir. Yönetim kurulları, bu teknik borcu, birleşme ve satın alma süreçlerindeki durum tespiti yaklaşımlarına benzer şekilde, varlık değer düşüklüğü değerlendirmesi ve şarta bağlı yükümlülük tahmini ile ele alabilir. Tenet Health'in eski altyapı nedeniyle yaşadığı 100 milyon dolarlık gelir kaybı ve Snowflake sunucuları aracılığıyla 150'den fazla şirketin veri ihlaline uğraması, teknik borcun somut maliyetlerini ortaya koymaktadır.

3. Kötü Haberleri İş Geliştirme Fırsatı Olarak Benimsememek

Yöneticilerin kötü haberleri küçümsemesi veya gizlemesi doğal bir insan eğilimidir. Ancak denetleyici bir zihniyet, "neyin doğru gitmesi gerektiği" ve "neyin yanlış gidebileceği" kültürünü teşvik ederek risk bilgilerinin geniş çapta paylaşımını sağlar. Bu yaklaşım, örgütsel suçlamaları ortadan kaldırır. First American Financial'ın 800 milyon mortgage verisinin ifşa olduğu ve iç BT güvenlik raporlarının yöneticilerin bilgisi dışında kamuoyuna sızdığı dava, açık iletişimin ve proaktif denetimin önemini vurgulamıştır. Denetleyiciler, siber riskin tamamen ortadan kaldırılamayacağını kabul ederek, zafiyetlerin ve ihlallerin daha erken ve etkin bir şekilde ele alınabilmesi için şeffaflığı ve açık diyaloğu teşvik ederler. Bir siber olay, kötü haberleri paylaşmaya başlama zamanı değildir; aksine, denetleyiciler, işi iyileştirmek, süreçleri sıkılaştırmak ve riskleri azaltmak için çözülmemiş zorlukları sürekli olarak araştırır ve benimserler.

Daha İyi Denetleyici Olmak İçin Beş Adım

Yönetim kurulları, siber riskleri azaltmak ve dayanıklılığı artırmak için denetleyici bir zihniyeti benimsemelidir. Bunu başarmak için beş somut adım önerilmektedir:

1. Denetleyiciliği, yönetim kurulu siber tartışmalarının ve kararlarının merkezine yerleştirin. Bu, yöneticilerin proaktif düşünmesini ve stratejik denetim görevlerini yerine getirmesini sağlar.

2. Siber ekiplerini, hareketsizliğin sonuçları hakkında geniş düşünmeye teşvik edin. Siber tehditlerin stratejik, finansal, operasyonel ve itibarî sonuçlarının kapsamlı bir şekilde ele alınması gereklidir.

3. Teknik borcu daha iyi anlamak ve azaltmak için sık sık durum tespiti yapın. Bu, stratejiyi tehlikeye atabilecek, değer zincirini engelleyebilecek ve finansal sonuçları olumsuz etkileyebilecek riskleri belirler.

4. Siber güvenlik yatırımlarının maliyetinin yanı sıra stratejik avantajlarını da göz önünde bulundurun. Siber güvenlik, bir rekabet avantajı kaynağı olarak konumlandırılmalıdır.

5. Yönetim kurulu siber güncellemelerini bir öğrenme fırsatı olarak yeniden düzenleyin. Bu, performans boşluklarını ve iş zorluklarını kişiselleştirmeyen, öğrenmeyi teşvik eden bir kültür oluşturur ve çalışanları potansiyel sorunları dile getirmeye teşvik eder.

Denetleyici bir zihniyet, yönetim kurulları için siber güvenlik riskini azaltmada, dayanıklılığı artırmada ve sürdürülebilir büyüme için gerçekçi bir temel oluşturmada kritik öneme sahiptir. Bu bakış açısı, siber güvenliği bir uyum egzersizinden kalıcı stratejik avantajın bir sütununa yükselten anlamlı düşünce ve eylemleri teşvik eder.

Yönetim kurulunuz siber güvenlik risklerini yönetme konusunda ne kadar proaktif bir yaklaşım sergiliyor?

İlk yayın: LinkedIn, 2025-06-13 16:16. Orijinal makale: https://www.linkedin.com/pulse/y%C3%B6netim-kurullar%C4%B1n%C4%B1n-siber-g%C3%BCvenli%C4%9Fe-daha-proaktif-yakla%C5%9F%C4%B1m%C4%B1-%C3%B6zhan-mix2f