Bilgi sistemleri risk yönetimi, finansal ve operasyonel süreçlerin dayandığı uygulamaları, altyapıyı ve yetki hatlarını ayrı bir risk bakışıyla okur. Defter doğru görünse bile erişim dağınık, değişiklik kontrolsüz ve yedekleme sınanmamışsa kanıt zayıftır. Birçok kurumda siber konu ile mali kontrol ayrı koridorlarda yürür. Bu ayrım pahalıya mal olur. Önce hangi sistemin hangi tablo kalemini ürettiği yazılır; sonra o sistemin kontrolü test edilir. Aksi halde rapor, ekran görüntüsünden ibaret kalır.

Hizmet; bağımsız denetime tabi şirketlere, ödeme ve müşteri verisi taşıyan kuruluşlara, ERP veya çekirdek sistem yenileyen gruplara, buluta geçen operasyonlara ve siber olay sonrası toparlanma isteyen yönetimlere hitap eder. Üretimdeki otomasyon, ticaretteki e-fatura, bankadaki çekirdek sistem farklı görünür. Ortak sorun aynıdır: yetki birikir, log tutulmaz, dışarı hizmet alanı izlenmez. Hedef kitle yalnızca bilgi teknolojileri değildir. Finans, iç denetim ve yönetim kurulu aynı risk dilini görmelidir.

Çalışmaya uygulama envanteri, entegrasyon haritası, yetki matrisi, değişiklik kaydı, kesinti ve olay listesi ile başlarız. Kimlik yönetimi, ayrıcalıklı hesap, işletim sistemi, veri tabanı, yedekleme ve felaket kurtarma ayrı ayrı haritalanır. Gölge uygulama, paylaşılan şifre ve üretimde sınırsız yetki baştan işaretlenir. Bu keşif olmadan yazılan “olgunluk notu”, satıcı anketine benzer. Kurumun fiili işletimine benzemez.

Test, evrensel bir siber katalog değildir. Finansal raporlama için kritik genel kontroller, uygulama kontrolleri ve veri bütünlüğü senaryoları seçilir. Kullanıcı sağlama, görevler ayrılığı, değişiklik onayı, iş zamanlı erişim ve yedekleme geri dönüşü kanıtla sınanır. Örnek, politika cümlesi değil, sistem kaydıdır. Yönetim “bizde kural var” diyorsa kuralın fiilen çalıştığı gösterilir. Çalışmıyorsa açık, iş etkisi ile yazılır.

Teslimat bir açık listesi yığını değildir. Risk haritası, öncelikli kapatma planı, yetki sadeleştirme taslağı, değişiklik kontrolü, yedekleme sınama takvimi ve yönetim kuruluna kısa bir teknoloji risk notu bırakılır. Bağımsız denetim ekibine, hesap bazlı riski yükselten kontroller ayrıca bağlanır. Böylece bilişim bulgusu, mali denetimin kenarında durmaz. İstenirse doksan günlük izleme de yapılır. Metin, kurumun kendi sistem adlarını kullanır.

Dışarı hizmet ve bulut, bu başlığın görünmeyen genişlemesidir. Muhasebe, bordro, depo veya müşteri uygulaması üçüncü taraftaysa, kurumun riski kaybolmaz; yer değiştirir. Sözleşmede denetim hakkı, yer seçimi, şifreleme, log ve çıkış planı yoksa kontrol de yoktur. Biz tedarikçi beyanını tek başına kanıt saymayız. Sertifika, rapor ve seçilmiş test aynı dosyada durur. Bağımlılık tek satıcıda ise bu da ayrıca yazılır.

Siber olay ve iş sürekliliği, yalnızca bilgi işlem tatbikatı değildir. Kesinti, fidye, sızma veya kayıt kaybı, finansal kapanışı ve müşteri yükümlülüğünü de vurur. Bu yüzden olay müdahale, yedekleme sınaması ve iletişim zinciri mali takvimle birlikte okunur. “Yedek var” cümlesi, geri dönüşü denenmemişse boştur. Tatbikatın tarihi, sonucu ve eksik adımı dosyaya girer. Yönetim, hangi kesintiyi kaç saat taşıyabileceğini rakamla görür.

Zamanlama, sistem geçişi, denetim takvimi ve yoğun sezonla hizalanmalıdır. Canlıya alma haftasında yetki testi yapmak veya kapanış gününde yedekleme tatbikatı kurmak pahalı hatalardır. Erken başlayan bir görev, hem proje riskini hem de denetim dosyasını rahatlatır. Geç başlayan görev ise çoğu zaman mevcut açığı belgeler. İletişim modelimiz kısa durum notu ve kritik açıkta yazılı uyarıdır. Sürpriz, siber olayın işi olabilir; sürecin olmamalıdır.

İnsan boyutu, güvenlik ürününden daha sık kırılır. Ayrıcalıklı yetki birikir, ayrılan personelin erişimi kapanmaz, geliştirici üretimde çalışır. Eğitim tek başına yetmez. İş yükü ve acil durum gerekçesi yazılmazsa kural bypass edilir. Biz bu direnci “farkındalık eksiği” diye bırakmayız. Yetki gözden geçirme ritmi, onay ve izleme planın içine konur. Sponsor görünmezse en iyi araç bile gölge erişimi durduramaz.

Sonuç olarak bilgi sistemleri risk yönetimi; teknolojinin mali ve operasyonel gerçeğe bağlanması içindir. Kurumun daha çok araç almasını değil, hangi kontrolün gerçekten çalıştığını görmesini hedefleriz. Bağımsız bakış, siber pazarlama dilinden daha az parlak olabilir; fakat kesinti veya denetim gününde daha az sürpriz üretir. Bıraktığımız şey bir ürün adı değil, yönetimin izleyebileceği bir sistem risk dosyasıdır. Dosya, sonraki yılda da aynı dille güncellenebilecek kadar sade tutulur.

Bilgi Sistemleri Risk Yönetimi Hizmetleri çalışmasında kapsam dışı kalan iş, sözlü olarak “sonra bakarız” diye bırakılmaz. Sınır yazılıdır; sınırın gerekçesi de yazılıdır. Böylece ekip, her yeni talebi aynı kapıdan geçirir. Kapı yoksa iş, sessizce büyür ve hem takvim hem kanıt kalitesi bozulur. Biz büyümeyi yasaklamayız. Büyümeyi görünür kılarız. Görünür büyüme, yönetimin bütçe ve bağımsızlık kararını zamanında almasını sağlar. Bu disiplin, teslimatı küçültmez; teslimatın taşınabilir kalmasını sağlar.

Bilgi aktarımı, Bilgi Sistemleri Risk Yönetimi Hizmetleri dosyasının bir parçasıdır. Çalışma tek kişide veya dış ekipten bir isimde kalırsa, sonraki dönemde aynı keşif yeniden yapılır. Bu yüzden sözlük, kontrol listesi ve karar gerekçesi kurumun kendi dilinde bırakılır. Eğitim, slayt değil, bir sonraki kapanışta kullanılan kısa bir rutindir. Rutin işlemezse bunu da yazarız. Yazılmazsa iyileşme, toplantı hatırası olur. Amacımız, kurumun bize bağımlı kalması değil, aynı dili yalnız da konuşabilmesidir.

İzleme, Bilgi Sistemleri Risk Yönetimi Hizmetleri teslimatından sonra da kısa tutulur. İlk dönem, varsayımın sahada durup durmadığını gösterir. Durmuyorsa düzeltme, yeni bir proje gibi şişirilmeden yapılır. Duruyorsa dosya, bir sonraki dönemin açılışı olur. Bu izleme, pazarlama amaçlı bir “devam sözleşmesi” değildir. Teslimatın yaşayıp yaşamadığını görmek içindir. Yaşamıyorsa nedeni gizlenmez. Yaşıyorsa övünme metni yazılmaz; yalnızca bir sonraki eşiğin tarihi konur.