Güvenlik Anketlerine Güvenmiyoruz Ama Yine de Onlara Bel Bağlıyoruz

Güvenlik Anketlerine Güvenmiyoruz Ama Yine de Onlara Bel Bağlıyoruz

Günümüzde, güvenlik ve GRC (Yönetişim, Risk ve Uyum) ekiplerindeki profesyoneller, tüm iş günlerini güvenlik anketlerini yanıtlayarak geçiriyor. Bazı şirketlerde bu, tam zamanlı bir rol haline gelmiş durumda: bir GRC analisti veya uyum yöneticisi, işe gelip dizüstü bilgisayarını açıyor ve yıl boyunca iki yüz ila üç yüz kadar bu formları doldurarak mesai bitimine kadar çalışıyor. Bu tür hikayeleri çok duydum: kaçırılan akşam yemekleri, çocukların maçlarının devre arasında terk edilmesi, hafta sonlarının şirketin hala teyp yedeklemesi yapıp yapmadığını soran bir form yüzünden kaybedilmesi. Tüm bunlar, anketin gelir elde etme sürecinde kritik bir engel teşkil etmesi nedeniyle yapılıyor. Eğer form takılırsa, anlaşma da onunla birlikte duruyor.

Bu süreçte yerleşik bir çifte standart bulunuyor. Bu anketlerin altında ezilen aynı ekip, kendi tedarikçilerine de bu anketleri gönderiyor, yanıtları topluyor ve bu tedarikçilerin güvenilir olduğuna dair kanıt olarak dosyalarına koyuyor. Anketleri doldururken yanıtların ne kadar az değerli olduğunu biliyorlar, çünkü son teslim tarihlerinde ‘evet’ yanıtlarının ne kadar az incelendiğini görmüşler. Yine de bir tedarikçi onlara geri gönderdiğinde bu yanıtlara güveniyorlar, çünkü uzun zamandır güvenebilecekleri daha iyi bir şey yoktu. Aynı form, gönderilirken güvenilmeyen ancak geri geldiğinde güvenilen bir araç haline geliyor.

Aynı Form, Çift Standart

Tüm bu alışverişe bir adım geri çekilip bakalım. A Şirketi, B Şirketi’ne satış yapmak istiyor. Anlaşma kapanmadan önce, B Şirketi, A Şirketi’ne bir anket ve imzalanacak bir dizi güvenlik şartı gönderiyor: bir güvenlik ek belgesi, bir veri işleme sözleşmesi ve şimdi de bir yapay zeka ek belgesi. A Şirketi soruları yanıtlıyor, taahhütleri imzalıyor ve anlaşma ilerliyor. Ancak A Şirketi de yazılım satın aldığı için, kendi tedarikçilerini aynı süreçten geçiriyor ve kime güveneceğine karar vermek için onların yanıtlarını değerlendiriyor. A Şirketi’nin yanıtlarken zayıf olduğunu bildiği form, A Şirketi alıcı tarafında oturduğunda, başkasına güvenmesinin temelini oluşturuyor. Zincirdeki her şirket aynı anda her iki rolü de üstleniyor.

İyi programlar, anketin zayıf olduğunu zaten biliyor, bu yüzden bir SOC 2 raporu, bir ISO sertifikası, bir sızma testi ve bazen de harici bir güvenlik derecelendirmesi talep ediyorlar. Ancak ağırlığın hala nerede olduğuna bakın. Anket hala anlaşmayı engelleyen ve durum tespiti kaydı olarak dosyaya giren belge olmaya devam ediyor. Onu eklerle çevreledik ama merkezde bıraktık. İşletmeler arasındaki güven, itiraf etmekten hoşlandığımızdan daha fazla, bir öz bildirime dayanıyor: bir tedarikçinin kendi güvenliğine dair kendi beyanı, büyük ölçüde tedarikçinin sözüne güvenilerek kabul ediliyor.

Öz Bildirimin Kanıt Olmaktan Çıkması

Bir yanıt, bir kontrol değildir. Bir tedarikçinin ‘evet’ yazması, o şeyin doğru olduğu anlamına gelmez ve roller değiştiğinde kendi ekibinizin ‘evet’ yazması da onu doğru yapmamıştır. Bir anket, bir niyeti veya birinin yazdığı gün doğru olan bir ayarı yakalar ve sonra herkes yoluna devam ederken ortam sürekli değişir. Eğer bu model işe yarıyor olsaydı, üçüncü taraf ihlalleri daha nadir hale gelirdi. Ancak durum böyle değil. Verizon’ın 2025 Veri İhlali Araştırmaları Raporu, üçüncü bir tarafı içeren ihlallerin payının tek bir yılda iki katına çıkarak yüzde 15’ten yüzde 30’a yükseldiğini ortaya koydu. Bunlar ucuz da değil. IBM’in 2025 Veri İhlali Maliyeti raporunda, üçüncü taraf ve tedarik zinciri ihlalleri, olay başına yaklaşık 4,9 milyon dolar ile en pahalı vektörlerden biriydi; bu, küresel ortalamanın üzerindeydi ve genel ortalama ihlal maliyetinin beş yıl içinde ilk kez düştüğü bir yıldı. Yani, tedarikçi kaynaklı ihlaller daha yaygın hale geliyor ve genel ihlaller azalırken bile daha maliyetli olmaya devam ediyor.

En net örnek, sektördeki en çok incelenen ihlallerden biridir. Target, Eylül 2013’te Ödeme Kartı Endüstrisi Veri Güvenliği Standardı’na (PCI DSS) uyumlu olarak sertifikalandırılmıştı. Aynı yılın Aralık ayında, 40 milyon ödeme kartının ihlal edildiğini açıkladı. Sertifika gerçekti. Ancak konunun dışındaydı. Geçerli bir değerlendirme, bir tedarikçinin bir gün içinde belirli bir barı geçtiğini gösterir. Bu, tedarikçinin güvenli olduğunu söylemez ve bu karıştırma, tamamen sertifikalı şirketlerin hala ihlal bildirimleri yazmasına neden olur.

Vaatleri Değil, Kanıtları Takas Edin

Piyasa bu konuda harekete geçmeye başladı ve düzenleyiciler de öyle. Ekim 2025 tarihli bir sektör mektubunda, New York Finansal Hizmetler Departmanı (NYDFS), denetlediği firmalardan ne beklediğini açıkladı: tedarikçileri önceden incelemek, zaman içinde risk bazında yeniden değerlendirmek, tedarikçinin kendi beyanına güvenmek yerine bağımsız denetim raporları almak ve uyumun tedarikçiye devredilemeyeceğini kabul etmek. İddiaları takas etmeyi bırakın ve diğer tarafın yazamayacağı şeyleri takas etmeye başlayın.

Bu, hangi sandalyede oturduğunuza bağlı olarak farklılık gösterir. Bir tedarikçiyi değerlendirirken, sizin için yazamayacakları şeylerle başlayın. Anket gönderilmeden önce, dışarıdan gözlemlenebilen, hiçbiri öz bildirime dayanmayan şeylere bakın:

• Maruz kalan altyapı ve halka açık sistemlerinin durumu
• İhlal ve olay geçmişi
• Sızdırılmış veya ifşa edilmiş kimlik bilgileri

Bu mükemmel değil. Güvenlik derecelendirmelerini kullanan herkes gürültüyü, eski IP adresini, asla kendilerine ait olmayan alt alanı bilir. Ancak öz derecelendirilmiş bir formdan daha zor süslenir ve tedarikçinin kendi beyanından daha iyi bir başlangıç noktasıdır. Buradan, verilerinizin veya erişiminizin anlamlı hasara neden olabilecek kadarını elinde tutan birkaç tedarikçiye gerçek çabanızı yoğunlaştırın ve geri kalanından düzyazı yerine kanıt isteyin: bir rapor, bir test sonucu veya satış ekibinden olmayan biri tarafından imzalanmış bir tasdik.

Değerlendirilen taraf siz olduğunuzda da aynı ilke geçerlidir. Sözleşmelerinizdeki güvenlik ve veri işleme şartları, anketin aksine belirli ve bağlayıcıdır ve bir müşteri, bunları karşıladığınızı iddia etmek yerine göstermenizi isteme hakkına sahiptir. Pratikte bu, şunları yapabilmek anlamına gelir:

• “Bu madde ne gerektiriyorsa onu yaptığınızı gösterin” sorusuna güncel kanıtlarla yanıt vermek
• Aynı üç yüz yanıtı her müşterinin formuna yeniden yazmak yerine, bu kanıtı talep üzerine sunmak
• Sözlerin, birileri onları en son yazdığında doğru olanı değil, gerçekten çalışan şeyi doğru bir şekilde tanımladığını savunmak

Vaatleri yazılı hale getirdiniz. Aynı şekilde onları destekleyebilmelisiniz.

İki Şirket Arasındaki Güven Neye Dayanmalı?

İçini göremediğiniz bir tedarikçiyi değerlendirmenin başka bir yolu olmadığında anket mantıklıydı. Herkese bir form göndermek, körü körüne ilerlemekten daha iyiydi. Bu kısıtlama artık yok. Bir şirketi dışarıdan gözlemleyebilir ve kendi taahhütlerinizin arkasında gerçek kanıtlar sunabilirsiniz; bunların ikisi de on yıl önce bu ölçekte mevcut değildi. Bu yüzden, bir öz bildirimin karar olmasına izin vermeyi bırakın. Bir sohbet başlatmanıza yardımcı oluyorsa anketi saklayın, ancak güvenin gerçekten olup olmadığını belirleyen şeyin, sizin ve onların kanıtları olmasını sağlayın. İşletmeler birbirlerinin sözüne güvenerek asla güvende değildi. Uzun süre bu tek seçenekti. Artık değil.

Kaynak: Orijinal haber