--- title: "Bilgi Güvenliği Sahipliği: Kimsenin Sahiplenmediği Bir Riskin Değerleme Karşılığı" description: "Bilgi güvenliği sahipliği, güvenlik kararlarını verme yetkisinin, bütçesinin ve hesap verebilirliğinin tek bir tanımlı role bağlanmış olmasıdır. Çoğu orta ölçekli şirkette bu rol IT operasyonuna iliştirilmiş durumdadır, dolayısıyla sahibi kendi denetçisi konumundadır. İnceleme sürecinde bu konfigürasyon, temsil ve tekeffül kapsamının genişlemesine ve escrow oranının yükselmesine yol açar." url: https://www.beirek.com/tr/blog/information-security-ownership-diligence canonical: https://www.beirek.com/tr/blog/information-security-ownership-diligence published: 2026-08-14 modified: 2026-08-14 category: "Organizasyon ve Yönetim Yapısı" category_url: https://www.beirek.com/tr/blog/category/organisation-management-structure language: tr-TR reading_time_minutes: 8 publisher: BEIREK LLC publisher_url: https://www.beirek.com license: "© BEIREK LLC — citation with attribution and link permitted" keywords: ["bilgi güvenliği sahipliği","due diligence yönetişim incelemesi","erişim yetkisi kayıt disiplini","temsil ve tekeffül kapsamı","kurucu bağımlılığı ve değerleme iskontosu"] topics: ["Bilgi güvenliği yönetişimi ve rol tanımı","Yatırım hazırlığı ve due diligence bulguları","İşlem yapısı, escrow ve tekeffül müzakeresi"] alternate_language_url: https://www.beirek.com/en/blog/information-security-ownership-diligence --- # Bilgi Güvenliği Sahipliği: Kimsenin Sahiplenmediği Bir Riskin Değerleme Karşılığı > **Kısaca:** Bilgi güvenliği sahipliği, güvenlik kararlarını verme yetkisinin, bütçesinin ve hesap verebilirliğinin tek bir tanımlı role bağlanmış olmasıdır. Çoğu orta ölçekli şirkette bu rol IT operasyonuna iliştirilmiş durumdadır, dolayısıyla sahibi kendi denetçisi konumundadır. İnceleme sürecinde bu konfigürasyon, temsil ve tekeffül kapsamının genişlemesine ve escrow oranının yükselmesine yol açar. *Bilgi güvenliği çoğu şirkette bir yetkinlik alanı değil, artık bir görev olarak taşınır; teknik olarak en yakın duran kişiye iliştirilir, bütçesi başka bir kalemin içinde erir, kararı ise fiilen hiç kimse vermez. İnceleme masasında bu boşluk, teknik bir eksiklik olarak değil, yönetişim eksikliği olarak fiyatlanır.* --- Bir due diligence görüşmesinde bilgi güvenliğinden kimin sorumlu olduğu sorulduğunda, orta ölçekli şirketlerde gözlenen tipik davranış, cevabın bir isimle değil bir tarifle verilmesidir: sistemleri kuran kişi, sunucuları yöneten ekip, ya da dış kaynak alınan bir IT hizmet sağlayıcısı. Aynı toplantıda finansal raporlamadan kimin sorumlu olduğu sorulduğunda cevap tereddütsüz bir unvandır, üstelik o kişinin imza yetkisi, raporlama hattı ve yıllık hedefleri tanımlıdır. İki soru arasındaki bu asimetri, şirketin bilgi güvenliğini önemsememesinden kaynaklanmaz; çoğu zaman şirket güvenliğe ciddi bütçe ayırmış, güvenlik duvarı yenilemiş, yedekleme altyapısı kurmuş, hatta bir sertifikasyon sürecinden geçmiştir. Ayrım, harcamanın yapılıp yapılmadığında değil, harcamayı yönlendiren kararın kime ait olduğunun tanımlı olup olmadığındadır. Bu boşluğun kaynağı, bilgi güvenliğinin kurumsal yapıya girme biçimidir. Neredeyse her şirkette güvenlik, bağımsız bir işlev olarak tasarlanmak yerine, teknik olarak ona en yakın duran birime — IT operasyonuna — iliştirilerek başlar; çünkü ilk günlerde soru gerçekten teknik bir sorudur ve sistemi kuran kişi ona cevap verebilecek tek kişidir. Bu tercih, kuruluş aşamasında rasyoneldir: ayrı bir rol tanımlamanın maliyeti, o aşamada taşınan riskin büyüklüğünü aşar. Sorun kısayolun kendisinde değil, koşul değiştiğinde kısayolun sabit kalmasındadır; şirket müşteri verisi taşımaya, kurumsal müşterilere entegre olmaya, birden fazla lokasyonda çalışmaya başladığında bile güvenlik hâlâ sistemleri kuran ekibin altında durmaya devam eder. Bu konfigürasyonun ürettiği yapısal sorun, sorumluluk yükünün ağırlığı değil, denetim hattının kapanmasıdır. Erişim yetkilerini veren ile o yetkilerin doğru verilip verilmediğini gözden geçiren aynı kişi olduğunda, hesap verebilirlik mekanizması teknik olarak mevcut görünse de fiilen çalışmaz; kimse kendi verdiği kararı bulgu olarak raporlamaz, bunu kötü niyetle değil, o kararı zaten doğru bulduğu için yapmaz. Aynı mekanizma istisna yönetiminde daha görünür hâle gelir: acele bir müşteri talebi geldiğinde erişim politikasına istisna yapma kararı, politikayı yazan kişinin kendi takdirine kalır ve istisna hiçbir yerde kayda geçmez. Birkaç yıl içinde şirket, yazılı politikası ile fiilen uygulanan pratiği arasında sessizce genişleyen bir açık biriktirir ve bu açığın büyüklüğünü ölçebilecek konumda olan tek kişi, açığı üreten kişidir. Aynı yapı, dokümantasyon boyutunda kendini farklı bir yüzeyden gösterir. Şirketin bir bilgi güvenliği politikası çoğu zaman vardır; ancak politikanın kim tarafından, hangi tarihte onaylandığı, en son ne zaman gözden geçirildiği ve gözden geçirmenin hangi bulgularla sonuçlandığı belirsizdir. Politika bir kez yazılmış, bir kurumsal müşterinin tedarikçi formunu doldurmak ya da bir sertifikasyon denetimini geçmek için hazırlanmış, sonra da gündelik operasyonun dışında kalmıştır. İnceleme masasında bu ayrım hızla ortaya çıkar: politikanın varlığı değil, politikadan doğan kararların izi aranır — kim hangi sisteme ne zaman erişim aldı, hangi personel ayrılışında hangi hesaplar hangi sürede kapatıldı, hangi tedarikçiye hangi veri kapsamında erişim verildi. Bu kayıtlar yoksa, uygulamanın kendisi de doğrulanamaz kabul edilir, çünkü doğrulanabilirliğin tek zemini kayıttır. Ölçüm boyutu ise, incelemenin en yanıltıcı yüzeyidir. Güvenlik olayı sayısı sorulduğunda pek çok şirket sıfır cevabını verir ve bu cevap iyi bir performans göstergesi gibi sunulur. Oysa bir tespit kapasitesi kurulmamışsa, sıfır olay, olayın yokluğunu değil görünürlüğün yokluğunu bildirir; hiçbir log toplanmıyorsa hiçbir anomali de raporlanmaz. Deneyimli bir inceleme tarafı bu nedenle olay sayısını değil, olay tanımının varlığını, kimin hangi eşikte bildirim yapmakla yükümlü olduğunu ve son on iki ayda kaç bildirimin yapılıp kaçının kapatıldığını sorar. Sıfır bildirim ile sıfır olay arasındaki fark, teknik bir ayrıntı değil, yönetim kalitesine ilişkin doğrudan bir sinyaldir. Süreklilik boyutunda mesele, güvenliğin ne kadar iyi yönetildiği değil, tek bir kişinin ayrılması hâlinde neyin taşınabilir kaldığıdır. Pek çok şirkette kritik sistemlerin yönetici parolaları, bulut hesaplarının kök erişimi, alan adı kayıt hesapları ve yedekleme altyapısının kontrolü tek bir kişide toplanmıştır; bu kişi çoğu zaman kurucudur ya da ilk teknik çalışandır. Bu yoğunlaşma bir güven sorunu olarak değil, bir devredilebilirlik sorunu olarak okunur: satın alan taraf, kapanış sonrası ilk gün itibarıyla şirketin kendi altyapısına erişimini kimin sağlayacağını sorar ve cevabın bir prosedür değil bir kişi olması, kapanış riskini doğrudan yükseltir. Kurucu bağımlılığının en somut ölçüldüğü yer, çoğu zaman gelir tablosu değil, erişim envanteridir. Bunun değerlemeye yansıma kanalı genellikle fiyat üzerinden değil, işlem yapısı üzerinden işler ve bu nedenle satıcı tarafında çoğu zaman geç fark edilir. Bilgi güvenliği sahipliğinin tanımsız olduğu bir hedefte alıcı, çarpanı düşürmek yerine temsil ve tekeffül kapsamını genişletir; veri ihlali, kişisel veri mevzuatına uyum ve müşteri sözleşmelerindeki güvenlik taahhütleri için ayrı ve daha uzun süreli beyanlar talep eder. Bu beyanların arkasına konan escrow oranı yükselir, hak düşürücü süre uzar, ve tazminat tavanı işlem bedelinin daha büyük bir yüzdesine çekilir. Ekonomik olarak bu, iskontonun fiyattan değil, satıcının kapanış sonrası taşımaya devam ettiği kuyruk riskinden alınmasıdır; nominal fiyat korunmuş görünürken, satıcının eline geçen riskten arındırılmış tutar belirgin biçimde küçülür. İkinci kanal takvimdir. Sahipliği tanımsız bir güvenlik alanı, incelemede tek bir bulgu üretmez; birbirini tetikleyen bir bulgu zinciri üretir, çünkü her cevapsız soru bir sonraki soruyu doğurur. Erişim kayıtlarının olmaması penetrasyon testi talebini, testin bulguları düzeltme planı talebini, planın kimin tarafından yürütüleceği sorusu da bir kapanış öncesi koşul talebini getirir. Bu zincir, tek başına bir işlemi bozmayabilir, ancak kapanış takvimini bir bütçe döngüsü kadar uzatabilir; ve uzayan her hafta, hedefin operasyonel performansındaki her sapmayı yeniden pazarlık konusu hâline getirdiği ölçüde, satıcı aleyhine çalışır. Bu eğilimi nötrleyen müdahale, ne bir teknoloji yatırımı ne de daha kalın bir politika dokümanıdır; sahipliğin yapısal olarak yeniden konumlandırılmasıdır. BEIREK'in bu alanda kurduğu yapı üç ayrılmış bileşenden oluşur: birincisi, güvenlik kararlarının sistemi işleten hattan ayrı bir role bağlanması — bu rol tam zamanlı olmak zorunda değildir, ancak IT operasyonuna raporlamaması ve kendi bütçe kalemini taşıması zorunludur; ikincisi, kritik erişimlerin, istisnaların ve tedarikçi veri paylaşımlarının onay anında değil, talep anında kayda geçtiği tek bir karar kaydının işletilmesi; üçüncüsü, üç aylık bir gözden geçirme ritmi içinde erişim envanterinin, açık istisnaların ve bildirilen olayların yönetim kuruluna ya da ortaklar kuruluna yazılı olarak sunulması. Bu üçlü, teknik güvenlik seviyesini tek başına yükseltmez; yükselttiği şey, mevcut seviyenin gösterilebilirliğidir. İkinci müdahale katmanı, yapının kurucudan bağımsızlığını kanıt hâline getirmeye dönüktür. Kritik hesapların erişim envanteri çıkarılır ve her kalem için birincil ile ikincil sorumlu ayrı ayrı tanımlanır; ayrılış ve devir prosedürü, gerçek bir personel değişikliğinde en az bir kez uygulanıp sonucu kayda geçirilir, çünkü bir prosedürün çalıştığının tek kanıtı yazılı hâli değil, uygulanmış hâlidir. Aynı mantıkla, güvenlik olayı tanımı ve bildirim eşiği yazılı olarak sabitlenir, böylece sıfır bildirim rakamı bir görünürlük iddiası değil, tanımlı bir eşiğe göre ölçülmüş bir sonuç hâline gelir. Bu kayıtların on iki ile on sekiz aylık bir geçmişi biriktiğinde, incelemede sorulan sorunun cevabı bir iddia olmaktan çıkıp doğrulanabilir bir dosyaya dönüşür ve tekeffül müzakeresinin zemini buna göre değişir. Bu düzenlemelerin hiçbiri şirketin güvenlik riskini sıfırlamaz; sıfırlamayı hedeflemez de. Hedefledikleri şey, riskin kim tarafından, hangi yetkiyle ve hangi kayıt üzerinden yönetildiğinin dışarıdan görülebilir olmasıdır — çünkü inceleme masasında fiyatlanan şey riskin kendisi değil, riskin yönetildiğine dair kanıtın kalitesidir. Aynı teknik altyapıya sahip iki şirketten biri kararlarını kayda geçirip düzenli olarak raporlarken diğeri aynı işi kayıtsız yürütüyorsa, ikisi arasındaki fark teknik değil kurumsaldır ve işlem yapısına yansıyan da bu farktır. Bir şirketin bilgi güvenliği sahipliğinin gerçekten kurumsallaşıp kurumsallaşmadığını anlamanın tek soruluk bir sınaması vardır: son on iki ayda güvenlik politikasına yapılmış bir istisnayı, o istisnayı isteyen kişiden bağımsız olarak kimin onayladığı belgede görülebiliyor mu? Cevap görülebiliyorsa, sahiplik bir unvanın değil bir mekanizmanın üzerinde duruyor demektir; görülemiyorsa, şirketin güvenlik yapısı ne kadar iyi finanse edilmiş olursa olsun, incelemede taşınabilir bir kurumsal kapasite olarak değil, tek bir kişinin sürdürdüğü geçici bir düzen olarak fiyatlanacaktır. ## Ana Noktalar - Bilgi güvenliğini IT operasyonunun altına yerleştiren yapı, sistemi kuran ile onu denetleyeni aynı kişi hâline getirdiği için hesap verebilirliği yapısal olarak ortadan kaldırır. - Belgelenmemiş güvenlik pratiği inceleme masasında var kabul edilmez; erişim yetkisi kararlarının kaydı yoksa uygulamanın kendisi doğrulanamaz sayılır. - Ölçüm eksikliği, güvenlik olayı sayısının sıfır görünmesine yol açar; tespit kapasitesi olmayan bir yapıda sıfır olay, olay yokluğunun değil görünürlük yokluğunun göstergesidir. - Sahipsiz güvenlik alanı, kapanış öncesi koşul ve daha geniş tekeffül talebi yoluyla değerlemeye doğrudan yansır; iskonto çoğu zaman fiyattan değil, yapıdan alınır. - Güvenlik sahipliğinin kurumsal olduğunu gösteren tek kanıt, kritik erişim ve istisna kararlarının kurucudan bağımsız biçimde alınmış olduğunu belgeleyen karar kaydıdır. ## Sorular ### Bilgi güvenliği sorumluluğu IT müdürüne verilebilir mi? Verilebilir, ancak bu yapı hesap verebilirlik hattını kapatır; sistemleri kuran ve erişim yetkilerini dağıtan kişi, aynı zamanda bu kararların doğruluğunu gözden geçiren kişi hâline gelir. İnceleme tarafı bu konfigürasyonda politika ihlallerinin ve istisnaların bağımsız biçimde raporlanamayacağını varsayar. Rolün tam zamanlı olması gerekmez; IT operasyonundan ayrı bir hatta raporlaması ve kendi bütçe kalemini taşıması yeterlidir. ### Due diligence sürecinde bilgi güvenliği için tam olarak hangi belgeler istenir? Politika metninin kendisi ilk sırada gelmez. Aranan şey politikadan doğan kararların izidir: kritik sistemler için erişim envanteri, erişim verme ve kaldırma kayıtları, personel ayrılışlarında hesap kapatma süreleri, tedarikçilere verilen veri erişiminin kapsamı, politikaya yapılmış istisnalar ve bunların onay zinciri, son on iki ayda bildirilen güvenlik olayları ile kapanış durumları, ve varsa bağımsız test raporlarının bulgu takip listesi. ### Hiç güvenlik olayı yaşamamış olmak inceleme açısından olumlu mudur? Tek başına olumlu okunmaz. Bir olay tanımı, bildirim eşiği ve log toplama kapasitesi kurulmamışsa sıfır rakamı, olay yokluğunu değil tespit kapasitesinin yokluğunu bildirir. İnceleme tarafı bu nedenle olay sayısından önce tanımın ve eşiğin yazılı olup olmadığını, bildirim yükümlülüğünün kime ait olduğunu ve gelen bildirimlerin nasıl kapatıldığını sorgular. Tanımlı bir eşiğe göre ölçülmüş düşük sayı, tanımsız bir sıfırdan daha güçlü bir sinyaldir. ### Bilgi güvenliği eksikliği işlem fiyatını doğrudan düşürür mü? Çoğunlukla çarpandan değil, işlem yapısından alınır. Alıcı taraf tipik olarak veri ihlali, kişisel veri uyumu ve müşteri sözleşmelerindeki güvenlik taahhütleri için ayrı ve daha uzun süreli beyanlar talep eder; bunun arkasındaki escrow oranı yükselir, hak düşürücü süre uzar, tazminat tavanı genişler. Nominal fiyat korunmuş görünse de satıcının kapanış sonrası taşıdığı kuyruk riski büyür ve riskten arındırılmış net tutar küçülür. --- Kaynak: https://www.beirek.com/tr/blog/information-security-ownership-diligence Yayımlayan: BEIREK LLC — https://www.beirek.com