Dünya genelindeki kuruluşlar, yönetim kurullarına, yöneticilere ve operasyon ekiplerine etkili bir şekilde hizmet edecek siber güvenlik metrikleri sunmakta başarısız oluyor. Yapay zekanın hızla ortaya çıkışı, bu raporlama açığını önemli ölçüde genişletiyor.
Teknoloji istihbarat firması IDC'ye göre, siber risk tamamen operasyonel bir endişeden tüm şirketleri kapatabilecek varoluşsal bir iş riskine dönüştü.
DORA, NIS2 ve SEC açıklama kuralları gibi düzenleyici çerçeveler artık yönetim kurullarını doğrudan risk ve uyumdan sorumlu tutuyor. Ancak siber güvenlik durumunu iletmek için kullanılan araçlar, bu bilgilere göre hareket etmesi gereken kitlelerle temelde uyumsuz kalmaya devam ediyor.
Yakın zamanda yayınlanan bir raporda IDC, siber güvenliğin bir disiplin olarak ters yönde olgunlaştığını, önce taktiklerin oluşturulduğunu ve stratejinin çoğu zaman göz ardı edildiğini belirtti. Bu durum, güvenlik ekiplerinin ürettikleri ile yönetişim liderlerinin gerçekte ihtiyaç duydukları arasında sürekli bir uyumsuzluğa yol açıyor.
Raporda, “Veri odaklı siber güvenlik metrikleri çerçevesi, bu sorunu, CISO, yöneticiler ve yönetim kurulu üyelerinin her iki tarafın da anlayacağı bir dilde iletişim kurmasını sağlayacak şekilde ele almak için özel olarak yazıldı.” ifadesine yer verildi.
Metrikler uyumsuz olduğunda, yönetim kurulu toplantıları genellikle teknik veri yığınlarına dönüşüyor ve yöneticiler anlamlı bir risk diyaloğu yerine ayrıntıları çözmek zorunda kalıyor.
Yapay zekanın yükselişi bu çözülmemiş soruna iki acil boyut ekledi: yapay zekanın kimlik avı ve deepfake'ler için saldırgan bir silah olarak kullanılması ve kontrolsüz dahili yapay zeka dağıtımlarıyla ilgili riskler.
Veri odaklı metrikler, her paydaşın rolüne, hesap verebilirliğine ve risk maruziyetine göre ayarlanmış tutarlı bir hikaye anlatarak belirli kitlelere hizmet etmelidir.
IDC, yönetim kurulu için yönetişim metrikleri, iş liderleri için yönetsel metrikler ve fonksiyonel güvenlik ekipleri için operasyonel metriklerden oluşan üç katmanlı bir yapı öneriyor.
Etkili metrikler, faaliyet hacminden ziyade sonuç odaklı olmalı, finansal veya operasyonel terimlerle ifade edilmeli ve artık geleneksel verilerin yanı sıra yapay zekaya özgü risk istihbaratını da içermelidir.
Bu metrikleri oluşturmak, iş risklerini anlamakla başlayan ve hukuk, denetim, uyum ve yapay zeka yönetişim görevlilerinin katılımını gerektiren yapılandırılmış bir süreç gerektiriyor.
Siber güvenlik liderleri öneriye sahip çıkmalı, ancak nihai risk kararı iş sahibine aittir. Bu, güvenlik ekibinin rolünün, güvenle karar almayı sağlayacak bir anlatı oluşturmak olduğu anlamına geliyor.
Yapay zeka dağıtımları arttıkça, kuruluşlar sürekli olarak model kaymasını izlemeli ve yönetişimi açıkça yerleştirmelidir. Buna, zorunlu üretim öncesi risk değerlendirmeleri ve yüksek riskli kararlar için insan inceleme standartları da dahildir.
