Siber Güvenlikte Tek Kişiye Bağımlılık Riski

Tek Kişiye Bağımlılık Nedir?

Tek kişiye bağımlılık, kritik güvenlik süreçlerinin, yapılandırmaların ve kararların bir kişinin bilgi ve kontrolünde olması durumudur. Bu kişi genellikle:

1. 1. İlk güvenlik mimarisini kurmuştur
   2. Sistemleri en iyi tanıyandır
   3. Alarmların “ne anlama geldiğini” bilen tek kişidir

Zamanla bu durum normalleşir. Kimse fark etmez çünkü sistem çalışıyordur. Asıl risk, o kişi yok olduğunda ortaya çıkar.

Neden Bu Kadar Yaygın?

Siber güvenlik karmaşıktır ve nitelikli insan kaynağı sınırlıdır. Birçok kurum bu boşluğu hızlı çözmek ister. Güvenliği kuran kişi zamanla her şeyin merkezine yerleşir. Dokümantasyon ertelenir, bilgi paylaşımı azalır, süreçler kişiselleşir.

Başlangıçta bu durum verimli gibi görünür. Kararlar hızlı alınır, sorunlar çabuk çözülür. Ancak bu hız, kurumsal dayanıklılığın yavaş yavaş erimesine neden olur.

En Büyük Tehlike: Sessiz Bir Single Point of Failure

Siber güvenlikte tek kişiye bağımlılık, teknik bir “single point of failure” değildir; insani bir SPOF’tur.

Firewall kuralını kim yazdı?

SIEM alarmı neden böyle çalışıyor?

Hangi log neden kapalı?

Cevap çoğu zaman aynıdır: “O ayarlamıştı.”

Bir saldırı anında bu kişinin izinde olması, hastalanması ya da kurumu terk etmesi, teknik altyapıyı bir anda anlamsız hale getirir.

O Kişi Gittiğinde Ne Olur?

Bu senaryo birçok kurumda acı şekilde yaşanmıştır. Güvenlikten sorumlu kişi ayrıldığında:

1. 1. Kimse yapılandırmaları tam olarak anlayamaz
   2. SIEM alarmları ya kapatılır ya da görmezden gelinir
   3. Müdahale süreleri uzar
   4. Risk almak zorunlu hale gelir

En kötüsü de şudur: Saldırı yaşandığında kimse neye bakacağını bilmez.

İç Tehdit Boyutu

Tek kişiye bağımlılık sadece süreklilik riski değildir. Aynı zamanda iç tehdit riskini de büyütür. Tüm yetkilerin tek elde toplanması, kötü niyet olmasa bile denetimsizlik yaratır.

Loglara kim erişiyor?

Kurallar neden değiştirildi?

Hangi erişim gerçekten gerekli?

Bu sorular cevapsız kaldığında güvenlik, güvene dayalı bir varsayıma dönüşür.

Kurumlar Bu Riski Neden Görmez?

Çünkü bu risk genellikle kriz çıkarmadan ilerler. Sistem çalışır, sorun yok gibi görünür. Yönetim açısından bakıldığında “güvenliği bilen biri var” algısı rahatlatıcıdır.

Oysa gerçek güvenlik, kişilere değil süreçlere ve paylaşılan bilgiye dayanır.

Sağlıklı Bir Güvenlik Yapısı Nasıl Kurulur?

Güvenliğin kurumsallaşması, tek bir kişinin omzundan alınmasıyla başlar. Kritik sistemlerin nasıl çalıştığı, neden o şekilde yapılandırıldığı yazılı hale getirilmelidir. Bilgi paylaşımı bir lüks değil, zorunluluktur.

Yetkiler ayrılmalı, kimsenin her şeye tek başına erişimi olmamalıdır. En az iki kişinin anlayabildiği, yönetebildiği ve müdahale edebildiği bir yapı hedeflenmelidir. Bu, yavaşlık değil; dayanıklılık getirir.

Olgun Güvenlik Kültürü Ne Demektir?

Olgun bir güvenlik kültüründe şu cümle duyulmaz:

“O yoksa yapamayız.”

Bunun yerine şunu duyarsınız:

“Süreç belli, doküman var, ekip hazır.”

Bu fark, bir saldırının küçük bir olay mı yoksa kurumsal bir krize mi dönüşeceğini belirler.

Sonuç: İnsan Da Bir Sistemdir

Siber güvenlikte sadece sunucular, yazılımlar ve ağlar değil; insanlar da sistemin bir parçasıdır. Ve her sistem gibi insanlar da devre dışı kalabilir.

Tek kişiye bağımlı bir güvenlik yapısı, ne kadar gelişmiş olursa olsun kırılgandır. Gerçek güç, bilgi paylaşıldığında, sorumluluk dağıtıldığında ve süreçler kişilerin önüne geçtiğinde ortaya çıkar.

Unutulmaması gereken gerçek şudur:

Siber güvenlikte en tehlikeli açık, tek başına bilen kişidir.