Güvenlik bütçesi "ne kadar ayırabilirim" sorusuyla belirlenmez. "Kaybetmeyi göze alabileceğim tutar ne" sorusuyla belirlenir — çünkü bu ikinci soru, harcamanın nereye gideceğini de kendiliğinden söyler.
Kısa cevap: siber güvenliğe ne kadar bütçe ayırmalıyım?
Sabit bir oran yerine risk bazlı hesaplama kullanın: her risk için "gerçekleşme ihtimali × gerçekleştiğinde oluşacak kayıp" hesaplanır ve bütçe, en yüksek beklenen kaybı üreten kalemlerden başlayarak dağıtılır. Bu yaklaşımın pratik sonucu şudur: ilk harcamalar genellikle ürün alımına değil, kesinti süresini kısaltan ve en yaygın giriş yolunu kapatan önlemlere gider. Ciroya oranlı hazır formüller yol gösterici olabilir, ancak hangi işletmenin neyi kaybedeceğini bilmedikleri için tek başına kullanılmamalıdır.
Risk × etki matrisi
Hesaplamayı somutlaştırmanın yolu, riskleri iki eksende yazmaktır: gerçekleşme olasılığı ve gerçekleştiğinde oluşacak etki.
| Risk | Olasılık | Etki | Öncelik |
|---|---|---|---|
| Oltalamayla hesap ele geçirilmesi | Yüksek | Yüksek | 1 — hemen |
| Fidye yazılımı / veri erişilemez hâle gelmesi | Orta | Çok yüksek | 1 — hemen |
| Güncellenmemiş bileşen üzerinden sızma | Yüksek | Orta-yüksek | 2 — bu çeyrek |
| Ayrılan çalışan erişiminin kötüye kullanımı | Düşük-orta | Yüksek | 2 — bu çeyrek |
| Hizmet kesintisi (altyapı arızası) | Orta | Orta | 3 — planlı |
| Hedefli, gelişmiş saldırı | Düşük | Çok yüksek | 4 — temel tamamlandıktan sonra |
Matrisin okunma biçimi önemlidir: bütçe, "en korkutucu" riske değil, beklenen kaybı en yüksek olana gider. Hedefli gelişmiş saldırı en ürkütücü senaryodur ama olasılığı düşüktür; buna karşılık oltalama hem yüksek olasılıklı hem yüksek etkilidir ve kapatılması çok daha az maliyetlidir.
Kaybı nasıl rakama çevirirsiniz?
Beklenen kaybı hesaplarken dört kalemi toplayın:
- Kesinti maliyeti. Saatlik gelir × tahmini kesinti süresi. Çoğu işletme için en büyük kalem budur ve genellikle hiç hesaplanmaz.
- Kurtarma maliyeti. Teknik müdahale, dış destek, mesai dışı çalışma, gerekiyorsa adli inceleme.
- Uyum ve hukuki maliyet. Bildirim süreçleri, danışmanlık, olası idari sonuçlar — veri ihlali bildirimi yazımızda bu sürecin işleyişini ele aldık.
- İtibar ve müşteri kaybı. Ölçmesi en zor kalemdir; ancak kurumsal müşteriyle çalışan işletmelerde çoğu zaman en büyüğüdür.
Bu dört kalemin toplamı, o riskin gerçekleştiğinde üreteceği kaybı verir. Olasılıkla çarpıldığında ortaya çıkan sayı, o riski azaltmak için makul biçimde harcayabileceğiniz üst sınırı gösterir. Harcama bu sınırın üzerine çıkıyorsa, önlem riskten pahalı hâle gelmiş demektir.
Bütçenin gitmesi gereken sıra
| Sıra | Kalem | Neden burada? |
|---|---|---|
| 1 | Kimlik doğrulama (2FA, parola yöneticisi) | En yaygın giriş yolunu kapatır, maliyeti en düşük |
| 2 | Yedekleme ve geri yükleme kabiliyeti | Kesinti süresini kısaltır — en büyük kaybı sınırlar |
| 3 | Güncelleme ve bileşen bakımı | Otomatik saldırıların hedef listesinden çıkarır |
| 4 | Erişim yönetimi ve envanter | Olay anında kapsamı hızlı belirlemeyi sağlar |
| 5 | Farkındalık çalışması | Teknik önlemlerin kapatamadığı alanı kapatır |
| 6 | İzleme ve alarm | Erken tespit, müdahale maliyetini düşürür |
| 7 | Gelişmiş koruma katmanları (WAF vb.) | Temel kurulmadan karşılığını vermez |
Bu sıralamanın en çok şaşırtan tarafı, gelişmiş koruma ürünlerinin sonda olmasıdır. Sebebi basittir: bu ürünler, temel önlemlerin kapattığı açıkları değil, onlardan sonra kalan riski hedefler. Temel tamamlanmadan alındıklarında, açık kalan kapıyı korumayan pahalı bir alarm sistemi işlevi görürler.
Küçük bütçeyle en yüksek etki
Bütçe sınırlıysa şu beş adım, harcamanın büyük kısmını gerektirmeden riskin önemli bölümünü kapatır:
- Kritik hesaplarda iki faktörlü doğrulama. Tek ayarla en yüksek risk azaltımı.
- Yedeğin ayrık kopyası ve geri yükleme testi. Kesinti süresini doğrudan kısaltır.
- Bileşen temizliği. Kullanılmayan eklenti ve servislerin kaldırılması, saldırı yüzeyini ücretsiz daraltır.
- Erişim envanteri. Bir tablo ve çeyreklik gözden geçirme; maliyeti yalnızca zaman.
- Ödeme doğrulama kuralı. Yazılı tek bir kural, en pahalı dolandırıcılık senaryosunu kapatır — oltalama yazımızda ele aldık.
Netişlem uzman görüşü: en pahalı kalem her zaman kesinti
İşletmeler güvenlik maliyetini genellikle "veri kaybı" üzerinden düşünüyor. Oysa incelediğimiz olaylarda faturanın büyük kısmı iş duran günlerde oluşuyor: siparişler alınamıyor, ekip çalışamıyor, müşteri iletişimi kesiliyor. Bu yüzden yedekleme ve geri dönüş kabiliyeti, klasik güvenlik ürünlerinden önce gelmeli. Bir olayın maliyetini belirleyen şey çoğu zaman ne kaybettiğiniz değil, ne kadar sürede geri döndüğünüz.
İkinci gözlemimiz, bütçenin ürün odaklı planlanması. "Şu yazılımı alalım" tartışması, "hangi riski azaltıyoruz" sorusundan önce başlıyor. Oysa risk yazılmadan yapılan seçim, ihtiyaç yerine kataloğa göre yapılmış oluyor. Risk listesi hazırsa, ürün seçimi genellikle kendiliğinden sadeleşiyor.
Üçüncüsü, güvenlik harcamasının tek seferlik sanılması. Oysa kalemlerin çoğu süreklilik gerektiriyor: güncelleme, gözden geçirme, tatbikat, eğitim. Yıllık küçük bir bütçe kalemi, üç yılda bir yapılan büyük yatırımdan daha fazla risk azaltıyor.
Planlama kontrol listesi
- Risk listesi yazıldı ve her risk olasılık/etki ile derecelendirildi.
- Saatlik kesinti maliyeti hesaplandı.
- Her risk için beklenen kayıp rakamlandırıldı.
- Bütçe, beklenen kayba göre önceliklendirildi (korkuya göre değil).
- Temel önlemler tamamlanmadan gelişmiş ürün alınmadı.
- Süreklilik gerektiren kalemler yıllık bütçeye yazıldı (bakım, eğitim, tatbikat).
- Yılda bir risk listesi yeniden gözden geçiriliyor.
- Her harcamanın hangi riski azalttığı yazılı.
Sık sorulan sorular
Ciromun yüzde kaçını ayırmalıyım?
Sektöre göre değişen oranlar yol gösterici olabilir, ancak tek başına kullanılmamalıdır. Aynı ciroya sahip iki işletmenin risk profili tamamen farklı olabilir; kişisel veri işleyen ve çevrimiçi satış yapan bir işletme ile yalnızca tanıtım sitesi olan bir işletme aynı bütçeye ihtiyaç duymaz. Oran değil, risk listesi belirleyici olmalıdır.
Hiç olay yaşamadım, bütçeyi nasıl gerekçelendiririm?
Olay yaşanmamış olması riskin olmadığını göstermez. Gerekçeyi kesinti maliyeti üzerinden kurmak en anlaşılır yoldur: "sistem bir gün dursa şu kadar kaybederiz" cümlesi, teknik anlatımdan çok daha etkili olur. Bu hesap ayrıca hangi önlemin öncelikli olduğunu da gösterir.
Güvenlik yatırımının geri dönüşü nasıl ölçülür?
Doğrudan gelir üretmediği için klasik ROI hesabı zorlaşır; ölçüm önlenen beklenen kayıp üzerinden yapılır. Pratikte izlenebilecek göstergeler de vardır: kesinti süresi, geri yükleme süresi, tespit süresi ve olay sayısı. Bunlardaki iyileşme yatırımın karşılığıdır.
Küçük bir ekipte kim sorumlu olmalı?
Tam zamanlı bir rol gerekmez, ancak bir kişinin sorumluluğu üstlenmesi gerekir. Sorumluluk paylaşıldığında hiç kimseye ait olmuyor. Bu kişinin işi tüm işi yapmak değil; kontrol listesinin takvimde kalmasını sağlamaktır.
Sigorta bütçenin bir parçası olmalı mı?
Belirli bir ölçekten sonra değerlendirilebilir, ancak temel önlemlerden sonra gelir. Poliçeler genellikle asgari tedbirlerin alınmış olmasını şart koşar; temel eksikken alınan sigorta, beklenen korumayı sağlamayabilir.
Sonuç
Siber güvenlik bütçesi, korkuyla değil hesapla belirlenir. Risk listesi yazıldığında hem tutar hem de harcamanın sırası kendiliğinden ortaya çıkar — ve bu sıralama neredeyse her zaman aynı yerden başlar: kimlik doğrulama ve geri dönüş kabiliyeti.
Risk listenizi birlikte çıkarmak isterseniz bize ulaşın. Güvenli hosting, kurumsal yedekleme ve SLA garantisi sayfalarımızı inceleyebilirsiniz.