Bir due diligence görüşmesinde bilgi güvenliğinden kimin sorumlu olduğu sorulduğunda, orta ölçekli şirketlerde gözlenen tipik davranış, cevabın bir isimle değil bir tarifle verilmesidir: sistemleri kuran kişi, sunucuları yöneten ekip, ya da dış kaynak alınan bir IT hizmet sağlayıcısı. Aynı toplantıda finansal raporlamadan kimin sorumlu olduğu sorulduğunda cevap tereddütsüz bir unvandır, üstelik o kişinin imza yetkisi, raporlama hattı ve yıllık hedefleri tanımlıdır. İki soru arasındaki bu asimetri, şirketin bilgi güvenliğini önemsememesinden kaynaklanmaz; çoğu zaman şirket güvenliğe ciddi bütçe ayırmış, güvenlik duvarı yenilemiş, yedekleme altyapısı kurmuş, hatta bir sertifikasyon sürecinden geçmiştir. Ayrım, harcamanın yapılıp yapılmadığında değil, harcamayı yönlendiren kararın kime ait olduğunun tanımlı olup olmadığındadır.
Bu boşluğun kaynağı, bilgi güvenliğinin kurumsal yapıya girme biçimidir. Neredeyse her şirkette güvenlik, bağımsız bir işlev olarak tasarlanmak yerine, teknik olarak ona en yakın duran birime — IT operasyonuna — iliştirilerek başlar; çünkü ilk günlerde soru gerçekten teknik bir sorudur ve sistemi kuran kişi ona cevap verebilecek tek kişidir. Bu tercih, kuruluş aşamasında rasyoneldir: ayrı bir rol tanımlamanın maliyeti, o aşamada taşınan riskin büyüklüğünü aşar. Sorun kısayolun kendisinde değil, koşul değiştiğinde kısayolun sabit kalmasındadır; şirket müşteri verisi taşımaya, kurumsal müşterilere entegre olmaya, birden fazla lokasyonda çalışmaya başladığında bile güvenlik hâlâ sistemleri kuran ekibin altında durmaya devam eder.
Bu konfigürasyonun ürettiği yapısal sorun, sorumluluk yükünün ağırlığı değil, denetim hattının kapanmasıdır. Erişim yetkilerini veren ile o yetkilerin doğru verilip verilmediğini gözden geçiren aynı kişi olduğunda, hesap verebilirlik mekanizması teknik olarak mevcut görünse de fiilen çalışmaz; kimse kendi verdiği kararı bulgu olarak raporlamaz, bunu kötü niyetle değil, o kararı zaten doğru bulduğu için yapmaz. Aynı mekanizma istisna yönetiminde daha görünür hâle gelir: acele bir müşteri talebi geldiğinde erişim politikasına istisna yapma kararı, politikayı yazan kişinin kendi takdirine kalır ve istisna hiçbir yerde kayda geçmez. Birkaç yıl içinde şirket, yazılı politikası ile fiilen uygulanan pratiği arasında sessizce genişleyen bir açık biriktirir ve bu açığın büyüklüğünü ölçebilecek konumda olan tek kişi, açığı üreten kişidir.
Aynı yapı, dokümantasyon boyutunda kendini farklı bir yüzeyden gösterir. Şirketin bir bilgi güvenliği politikası çoğu zaman vardır; ancak politikanın kim tarafından, hangi tarihte onaylandığı, en son ne zaman gözden geçirildiği ve gözden geçirmenin hangi bulgularla sonuçlandığı belirsizdir. Politika bir kez yazılmış, bir kurumsal müşterinin tedarikçi formunu doldurmak ya da bir sertifikasyon denetimini geçmek için hazırlanmış, sonra da gündelik operasyonun dışında kalmıştır. İnceleme masasında bu ayrım hızla ortaya çıkar: politikanın varlığı değil, politikadan doğan kararların izi aranır — kim hangi sisteme ne zaman erişim aldı, hangi personel ayrılışında hangi hesaplar hangi sürede kapatıldı, hangi tedarikçiye hangi veri kapsamında erişim verildi. Bu kayıtlar yoksa, uygulamanın kendisi de doğrulanamaz kabul edilir, çünkü doğrulanabilirliğin tek zemini kayıttır.
Ölçüm boyutu ise, incelemenin en yanıltıcı yüzeyidir. Güvenlik olayı sayısı sorulduğunda pek çok şirket sıfır cevabını verir ve bu cevap iyi bir performans göstergesi gibi sunulur. Oysa bir tespit kapasitesi kurulmamışsa, sıfır olay, olayın yokluğunu değil görünürlüğün yokluğunu bildirir; hiçbir log toplanmıyorsa hiçbir anomali de raporlanmaz. Deneyimli bir inceleme tarafı bu nedenle olay sayısını değil, olay tanımının varlığını, kimin hangi eşikte bildirim yapmakla yükümlü olduğunu ve son on iki ayda kaç bildirimin yapılıp kaçının kapatıldığını sorar. Sıfır bildirim ile sıfır olay arasındaki fark, teknik bir ayrıntı değil, yönetim kalitesine ilişkin doğrudan bir sinyaldir.
Süreklilik boyutunda mesele, güvenliğin ne kadar iyi yönetildiği değil, tek bir kişinin ayrılması hâlinde neyin taşınabilir kaldığıdır. Pek çok şirkette kritik sistemlerin yönetici parolaları, bulut hesaplarının kök erişimi, alan adı kayıt hesapları ve yedekleme altyapısının kontrolü tek bir kişide toplanmıştır; bu kişi çoğu zaman kurucudur ya da ilk teknik çalışandır. Bu yoğunlaşma bir güven sorunu olarak değil, bir devredilebilirlik sorunu olarak okunur: satın alan taraf, kapanış sonrası ilk gün itibarıyla şirketin kendi altyapısına erişimini kimin sağlayacağını sorar ve cevabın bir prosedür değil bir kişi olması, kapanış riskini doğrudan yükseltir. Kurucu bağımlılığının en somut ölçüldüğü yer, çoğu zaman gelir tablosu değil, erişim envanteridir.
Bunun değerlemeye yansıma kanalı genellikle fiyat üzerinden değil, işlem yapısı üzerinden işler ve bu nedenle satıcı tarafında çoğu zaman geç fark edilir. Bilgi güvenliği sahipliğinin tanımsız olduğu bir hedefte alıcı, çarpanı düşürmek yerine temsil ve tekeffül kapsamını genişletir; veri ihlali, kişisel veri mevzuatına uyum ve müşteri sözleşmelerindeki güvenlik taahhütleri için ayrı ve daha uzun süreli beyanlar talep eder. Bu beyanların arkasına konan escrow oranı yükselir, hak düşürücü süre uzar, ve tazminat tavanı işlem bedelinin daha büyük bir yüzdesine çekilir. Ekonomik olarak bu, iskontonun fiyattan değil, satıcının kapanış sonrası taşımaya devam ettiği kuyruk riskinden alınmasıdır; nominal fiyat korunmuş görünürken, satıcının eline geçen riskten arındırılmış tutar belirgin biçimde küçülür.
İkinci kanal takvimdir. Sahipliği tanımsız bir güvenlik alanı, incelemede tek bir bulgu üretmez; birbirini tetikleyen bir bulgu zinciri üretir, çünkü her cevapsız soru bir sonraki soruyu doğurur. Erişim kayıtlarının olmaması penetrasyon testi talebini, testin bulguları düzeltme planı talebini, planın kimin tarafından yürütüleceği sorusu da bir kapanış öncesi koşul talebini getirir. Bu zincir, tek başına bir işlemi bozmayabilir, ancak kapanış takvimini bir bütçe döngüsü kadar uzatabilir; ve uzayan her hafta, hedefin operasyonel performansındaki her sapmayı yeniden pazarlık konusu hâline getirdiği ölçüde, satıcı aleyhine çalışır.
Bu eğilimi nötrleyen müdahale, ne bir teknoloji yatırımı ne de daha kalın bir politika dokümanıdır; sahipliğin yapısal olarak yeniden konumlandırılmasıdır. BEIREK'in bu alanda kurduğu yapı üç ayrılmış bileşenden oluşur: birincisi, güvenlik kararlarının sistemi işleten hattan ayrı bir role bağlanması — bu rol tam zamanlı olmak zorunda değildir, ancak IT operasyonuna raporlamaması ve kendi bütçe kalemini taşıması zorunludur; ikincisi, kritik erişimlerin, istisnaların ve tedarikçi veri paylaşımlarının onay anında değil, talep anında kayda geçtiği tek bir karar kaydının işletilmesi; üçüncüsü, üç aylık bir gözden geçirme ritmi içinde erişim envanterinin, açık istisnaların ve bildirilen olayların yönetim kuruluna ya da ortaklar kuruluna yazılı olarak sunulması. Bu üçlü, teknik güvenlik seviyesini tek başına yükseltmez; yükselttiği şey, mevcut seviyenin gösterilebilirliğidir.
İkinci müdahale katmanı, yapının kurucudan bağımsızlığını kanıt hâline getirmeye dönüktür. Kritik hesapların erişim envanteri çıkarılır ve her kalem için birincil ile ikincil sorumlu ayrı ayrı tanımlanır; ayrılış ve devir prosedürü, gerçek bir personel değişikliğinde en az bir kez uygulanıp sonucu kayda geçirilir, çünkü bir prosedürün çalıştığının tek kanıtı yazılı hâli değil, uygulanmış hâlidir. Aynı mantıkla, güvenlik olayı tanımı ve bildirim eşiği yazılı olarak sabitlenir, böylece sıfır bildirim rakamı bir görünürlük iddiası değil, tanımlı bir eşiğe göre ölçülmüş bir sonuç hâline gelir. Bu kayıtların on iki ile on sekiz aylık bir geçmişi biriktiğinde, incelemede sorulan sorunun cevabı bir iddia olmaktan çıkıp doğrulanabilir bir dosyaya dönüşür ve tekeffül müzakeresinin zemini buna göre değişir.
Bu düzenlemelerin hiçbiri şirketin güvenlik riskini sıfırlamaz; sıfırlamayı hedeflemez de. Hedefledikleri şey, riskin kim tarafından, hangi yetkiyle ve hangi kayıt üzerinden yönetildiğinin dışarıdan görülebilir olmasıdır — çünkü inceleme masasında fiyatlanan şey riskin kendisi değil, riskin yönetildiğine dair kanıtın kalitesidir. Aynı teknik altyapıya sahip iki şirketten biri kararlarını kayda geçirip düzenli olarak raporlarken diğeri aynı işi kayıtsız yürütüyorsa, ikisi arasındaki fark teknik değil kurumsaldır ve işlem yapısına yansıyan da bu farktır.
Bir şirketin bilgi güvenliği sahipliğinin gerçekten kurumsallaşıp kurumsallaşmadığını anlamanın tek soruluk bir sınaması vardır: son on iki ayda güvenlik politikasına yapılmış bir istisnayı, o istisnayı isteyen kişiden bağımsız olarak kimin onayladığı belgede görülebiliyor mu? Cevap görülebiliyorsa, sahiplik bir unvanın değil bir mekanizmanın üzerinde duruyor demektir; görülemiyorsa, şirketin güvenlik yapısı ne kadar iyi finanse edilmiş olursa olsun, incelemede taşınabilir bir kurumsal kapasite olarak değil, tek bir kişinin sürdürdüğü geçici bir düzen olarak fiyatlanacaktır.