Küçük Ekipler İçin Operasyon ve Güvenlik Temelleri: Tek Sayfalık Risk Kaydı | NexFabric
Operasyon
Küçük Ekipler İçin Operasyon ve Güvenlik Temelleri: Tek Sayfalık Risk Kaydı
Küçük bir ekibin güvenlik çalışması için departman gerekmez. Her riskin bir sahibi ve tarihi olan tek sayfalık liste yeter; bir öğleden sonrada kurulur.
Yazar: NexFabric Ekibi//7 dk okuma
Küçük bir ekip için risk kaydı; ters gidebilecek şeyleri, bunların hangi varlığı etkilediğini, ne kadar olası ve ne kadar zararlı olduklarını, kimin sorumlu olduğunu ve sıradaki adımı tek bir tabloda toplar. Bunu tutmak için güvenlik departmanına ihtiyacınız yok. Bir tablo dosyası, kurmak için bir öğleden sonra ve ayda yarım saatlik bir gözden geçirme, küçük bir işletmedeki yaygın açıkların birçoğunu kapatır.
Kısa cevap: Kaybetmeyi göze alamayacağınız şeyleri yazın, onları tehdit eden riskleri tek sayfada toplayın, her riske tek bir sahip ve tarih verin, sonra ucuz ama etkisi büyük olanları hemen çözün.
Küçük ekipler güvenlik ve operasyon işini neden erteler?
Çünkü konu kulağa olduğundan büyük geliyor. "Risk yönetimi" denince akla denetçiler ve unvanı olan biri geliyor; iş de bir şey bozulana kadar bekliyor. Dizüstü bilgisayar kayboluyor, sitenin yönetici şifresini bilen tek kişi ayrılıyor, yedeğin aylardır alınmadığı ortaya çıkıyor. Oysa üç ile on beş kişilik bir ekip için işe yarayan sürüm çok daha mütevazı: kısa, güncel tutulan ve her satırında bir isim yazan bir liste.
Risk kaydı nedir?
Risk kaydı, işinizi aksatabilecek olayların her biri için kabaca bir olasılık ve etki tahmini, tek bir sorumlu ve tarihli bir sonraki adım içeren, düzenli güncellenen bir listedir. Buradaki kilit kelime "düzenli". Bir kez doldurulup klasörlerde unutulan bir kayıt araç değil, sadece belgedir.
Aslında neyi koruyorsunuz?
Risklerden önce varlıkları yazın. İşinizin kaybetmeyi ya da bir gün bile erişimsiz kalmayı kaldıramayacağı şeylerle başlayın:
Veri: müşteri bilgileri, muhasebe kayıtları, ürün ya da tasarım dosyaları, şifreler ve API anahtarları.
Sistemler: web sitesi, mağaza paneli, e-posta, dosya depolama, ekibin her sabah girdiği araçlar.
İnsanlar ve bilgi: kargo anlaşmasının, maaş ödemelerinin ya da e-fatura sürecinin nasıl yürüdüğünü bilen tek kişi.
İlişkiler: bağımlı olduğunuz tedarikçi, ödeme altyapısı ya da pazaryeri.
Her varlık için şu cümleyi tamamlayın: "Bu kaybolursa, dışarı sızarsa ya da bir gün erişilemezse..." Bazı cevaplar "biraz canımız sıkılır" olacak. Bazıları ise "sipariş alamayız". Hangi konuya ne kadar zaman ayırmanız gerektiğini bu cümle, herhangi bir puanlama tablosundan daha hızlı gösterir.
Tek sayfalık risk kaydı nasıl hazırlanır?
Bir tablo dosyası açın ve şu sütunları ekleyin:
| Risk | Etkilenen varlık | Olasılık (düşük/orta/yüksek) | Etki (düşük/orta/yüksek) | Sahip | Sonraki adım | Gözden geçirme tarihi |
| --- | --- | --- | --- | --- | --- | --- |
Küçük ekiplerde ilk satırlar genellikle şunlara benzer:
WhatsApp grubunda ya da ekip sohbetinde duran ortak bir şifre
Alan adı ya da hosting hesabına yalnızca bir kişinin erişebilmesi
Hiç geri yükleme denemesi yapılmamış yedekler
Ayrılmış bir serbest çalışanın hâlâ açık duran hesabı
Alternatifi olmayan kritik bir tedarikçi
Ekran kilidi ya da disk şifrelemesi olmayan dizüstü bilgisayarlar
Her riski tek satırda anlatın. Bir paragraf gerekiyorsa büyük ihtimalle elinizde iki ayrı risk var.
Uydurma puanlar yerine düşük, orta, yüksek kullanın
"Olasılık 3,5 çarpı etki 4" gibi sayılar ciddi görünür ama çoğu zaman virgüllü tahminden ibarettir. Kaydın amacı listeyi sıralayıp ne yapacağınıza karar vermek, sahte bir kesinlik üretmek değil. İki kişi bir riskin orta mı yüksek mi olduğunda anlaşamıyorsa, o konuşma etiketin kendisinden daha değerlidir.
Önce hangi riskleri çözmelisiniz?
İşin büyük kısmını iki soru görür.
Bu, kimse fark etmeden olabilir mi? Sessiz riskler listenin başına. Çalışmayan bir yedek ya da unutulmuş bir hesap sessizce zarar verir ve genellikle en kötü anda ortaya çıkar.
Çözümü ucuz mu? Etkisi orta ya da yüksek olup çözümü ucuz olan maddeleri bu hafta halledin. İki adımlı doğrulamayı açmak, eski hesapları kapatmak, tek bir geri yüklemeyi denemek ya da kurtarma adımlarını yazmak genellikle bir saat ya da daha kısa sürer.
Olasılığı düşük ama çözümü pahalı riskler bekleyebilir. Ertelemeyi unutmaktan ayıran şey, kararı yazılı olarak vermiş olmanızdır.
Her riskin sahibi kim olmalı?
Her satıra tek bir kişi. Sahip, işi bizzat yapmak zorunda değil; işin gözden geçirme tarihine kadar yapılmasını ya da bilinçli olarak ertelenmesini sağlar. Sahibi olmayan satır temenniden öteye geçmez. Bir satıra "ekip" yazmaktan ya da yılda iki kez haberleştiğiniz bir serbest çalışanı "bilgi işlem" diye atamaktan kaçının. Sorumluluk başka işlerde de bulanıksa burada da bulanık kalacaktır; bu konuyu iş yönetimi açısından net görevler, sahipler ve iş devirleri yazısında ayrıca ele aldık.
Örnek: hayali bir küçük mağaza
Çevrim içi çay satan dört kişilik küçük bir mağaza düşünün. Siteyi iki yıl önce küçük bir ajans kurmuş, muhasebeyi dışarıdan bir mali müşavir yürütüyor. Varlık listesi on dakikada çıkıyor: site, sanal POS hesabı, siparişlerin düştüğü e-posta kutusu, e-fatura portalı.
"Bir gün erişilemezse" cümleleri iki sorunu ortaya çıkarıyor. Alan adı ajansın hesabına kayıtlı ve mağaza sahiplerinin girişi yok. E-fatura portalının şifresini de yalnızca mali müşavir biliyor; o tatildeyken fatura kesilemiyor.
İkisi de sessiz, ikisi de yüksek etkili ve hiçbiri yeni bir araç gerektirmiyor. Ajansa alan adının devri için bir e-posta yazılıyor. Kurucu, portal için kendi giriş bilgilerini alıp bir kez deniyor. İki madde de kurucunun adıyla ve bir hafta sonrasına tarih atılarak kayda giriyor.
Bu hafta için kontrol listesi
[ ] Varlıklarınızı veri, sistemler, insanlar ve ilişkiler başlıkları altında yazın.
[ ] Her varlık için bir "kaybolursa ya da bir gün erişilemezse" cümlesi yazın.
[ ] Yedi sütunlu tabloyu kurun ve en az altı risk ekleyin.
[ ] Her riske olasılık ve etki için düşük, orta ya da yüksek verin.
[ ] Her satıra tek bir sahip ve gözden geçirme tarihi atayın.
[ ] E-postada iki adımlı doğrulamayı açın, kullanılmayan bir hesabı kapatın.
[ ] Yedekten tek bir dosyayı geri yükleyip açılıyor mu bakın.
[ ] Takvime her ay tekrarlanan 30 dakikalık bir gözden geçirme koyun.
O toplantıda her satırın hâlâ geçerli olup olmadığına bakın, biteni kapatın, bu ay yaşanan ya da kıl payı atlatılan olayları ekleyin ve gelecek ay için en fazla üç adım seçin.
Tablo dosyası ne zaman yetersiz kalır?
Pek çok küçük ekip için hiçbir zaman. Riskler tek kişinin takip edebileceğinden fazlaysa, müşteriler ya da iş ortakları denetim izi istiyorsa, tarihler sürekli kayıyorsa ya da hassas kayıtları farklı kişilerin farklı görmesi gerekiyorsa ayrı bir risk veya güvenlik aracı düşünülebilir.
Karşılaştırırken sade sorular sorun. Bir risk ve sahibi ne kadar hızlı eklenebiliyor? Hatırlatma gönderiyor mu? Verilerin tamamını dışa aktarabiliyor musunuz? Hassas satırları kimler görebiliyor? Satın almadan önce uyumu sınamayı alana özel yazılım değerlendirme kontrol listesi yazısında daha ayrıntılı anlattık.
Bu yaklaşım ne zaman işe yaramaz?
Tek sayfalık bir kayıt başlangıç noktasıdır, uyum programı değil. Sağlık verisi işliyorsanız, kart ödemelerini doğrudan alıyorsanız ya da düzenlemeye tabi bir sektördeyseniz yükümlülükleriniz ülkeye ve sektöre göre değişir. Türkiye'de KVKK, kişisel veri işleyen herkesten uygun teknik ve idari tedbirleri almasını bekler; VERBİS kaydı ya da irtibat kişisi gibi diğer yükümlülükler ve sektöre özgü düzenlemeler ise işletmenizin durumuna göre değişir ve uzman desteği gerektirebilir. Risk kaydı bu işi düzenlemenize yardım eder ama yasanın gerektirdiği yerde profesyonel danışmanlığın yerini tutmaz. Takvimde yeri olmayan bir kayıt da çabucak eskir.
NexFabric'in bu işteki yeri
NexFabric tek bir platform değil, birbirinden ayrı yapay zekâ destekli ürünlerden oluşan bir ailedir ve ürünler birbirine entegre değildir. Bunlardan SecureNex, kurumsal ölçekte çok kiracılı güvenlik, API ağ geçidi ve tehdit kalkanı ürünüdür. Bu yazının ele aldığından daha ağır ihtiyaçları hedefler; küçük bir ekibin önce yukarıda anlatılan risk kaydını kurup kullanması gerekir. Güvenlik ya da risk işi için NexFabric ürünlerinden birine bakarsanız, onu da yukarıdaki ölçütlerle karşılaştırın; tablo dosyası işinizi görüyorsa onunla devam edin. Tüm ürünlere göz atabilir, ürünlerin nasıl gruplandığını NexFabric haritasında görebilir ya da kendi durumunuzu konuşmak için bize yazabilirsiniz.
Sık sorulan sorular
Küçük bir ekip için risk kaydı hazırlamak ne kadar sürer?
On beş kişiye kadar bir ekipte risk kaydının ilk sürümü genellikle bir öğleden sonra alır: varlıkları yazmak için bir saat, riskleri ve sahiplerini belirlemek için bir saat, kalan zamanda da bir iki hızlı düzeltme. Risk kaydını canlı tutmak ayda yaklaşık yarım saat ister. İlk sürümün eksiksiz olması gerekmez; var olması ve her satırın bir sahibi olması yeterlidir.
Küçük bir işletmenin risk kaydında neler olmalı?
Küçük bir işletmenin risk kaydında her satırda riskin adı, etkilediği varlık, olasılık ve etki için düşük, orta ya da yüksek değerlendirmesi, tek bir sahip, sonraki adım ve gözden geçirme tarihi bulunmalı. Tipik maddeler arasında sohbet gruplarında paylaşılan şifreler, alan adına yalnızca bir kişinin erişebilmesi, hiç denenmemiş yedekler, ayrılan çalışanların açık kalan hesapları ve şifrelenmemiş dizüstü bilgisayarlar var.
Sayısal risk puanı kullanmalı mıyız?
Küçük bir ekibin sayısal risk puanlarına genellikle ihtiyacı yoktur. Sayısal puanlar kesin görünür ama çoğunlukla tahmindir ve ekibi harekete geçmek yerine ondalıklar üzerine tartışmaya iter. Kısa bir listeyi sıralamak için düşük, orta ve yüksek yeterlidir. Asıl önemli olan, sessiz risklerin ve ucuz düzeltmelerin öne çıkması, her satırın da bir sahibi ve tarihi olmasıdır.
Risk kaydı tutmak bizi KVKK'ya uyumlu hale getirir mi?
Risk kaydı tutmak tek başına bir işletmeyi KVKK'ya uyumlu hale getirmez. Risk kaydı bir düzenleme aracıdır, uyumun kanıtı değildir. KVKK, kişisel veri işleyen herkesten uygun teknik ve idari tedbirleri almasını bekler; VERBİS kaydı ya da irtibat kişisi gibi diğer yükümlülükler ise işletmenizin durumuna göre değişir. Kayıt ne yaptığınızı ve nerede açık kaldığını gösterir, bu da bir uzmanla konuşurken işinizi kolaylaştırır. Ama uzman görüşünün yerini tutmaz.