BT Kör Noktalar: Raporlarda Görünmeyen Kritik Riskler

Bilgi Teknolojileri departmanlarında her şey yolundaymış gibi görünen tablolar çoğu zaman yanıltıcıdır. Aylık raporlar yeşil yanar, SLA’ler tutuyordur, sistemler “çalışıyor” görünür. Ancak birçok kurumda asıl riskler bu raporların hiç değinmediği alanlarda sessizce birikir. İşte BT’de “kör nokta” dediğimiz kavram tam olarak burada başlar.

Kör Nokta Nedir?

BT’de kör nokta; ölçülmeyen, raporlanmayan ya da “şimdilik sorun değil” denilerek ötelenen ama kriz anında büyük etki yaratan risklerdir. Bu riskler genellikle teknik değil, yönetsel ve operasyonel kaynaklıdır.

1. Gölge BT (Shadow IT)

En yaygın kör noktalardan biri, kullanıcıların BT bilgisi dışında kullandığı uygulama ve servislerdir.

Kişisel bulut depoları
Lisanssız yazılımlar
Ücretsiz SaaS araçları

Bu sistemler raporlarda yer almaz ama veri sızıntılarının büyük bölümü tam olarak burada başlar. ISO 27001’e göre envanterde olmayan varlık, kontrol edilemeyen varlıktır.

2. Güncel Olmayan Yetkilendirmeler

Kullanıcı hesapları genellikle işe girişte titizlikle açılır, ancak:

Görev değişiklikleri
Proje bazlı yetkiler
İşten ayrılan kullanıcılar

zamanla unutulur. Raporlarda “aktif kullanıcı sayısı” yer alır ama “gereğinden fazla yetkisi olan kullanıcı” raporu çoğu kurumda yoktur. Bu da iç tehdit riskini sessizce büyütür.

3. Yedek Var Ama Geri Dönüş Yok

“Yedek alıyoruz” cümlesi BT’nin en tehlikeli konfor alanıdır.
Asıl soru şudur:

Bu yedekten gerçekten geri dönebiliyor muyuz?

Test edilmeyen yedekler, kriz anında hiç yokmuş gibidir. Raporlarda yedekleme başarı oranı %99 görünür ama geri dönüş süresi (RTO) ve veri kaybı toleransı (RPO) çoğu zaman ölçülmez.

4. Tek Kişiye Bağımlı Sistemler

Bazı kritik sistemler vardır ki:

Kurulumu bir kişi yapmıştır
Dokümantasyonu yoktur
Şifreler sadece onun kafasındadır

Bu durum raporlarda asla “risk” olarak görünmez. Ta ki o kişi izne çıkana, işi bırakana ya da erişilemez olana kadar.

5. Güncel Olmayan Envanter

BT envanteri çoğu kurumda bir kez yapılır ve unutulur.
Oysa:

Kullanılmayan cihazlar
Pasif ama açık portlar
Süresi dolmuş sertifikalar

günlük operasyonel risklerdir. Raporlar genellikle “kaç cihaz var?” sorusunu yanıtlar, “hangisi riskli?” sorusunu değil.

6. Log Var, İzleme Yok

Log toplamak güvenlik değildir.
Anlamlandırılmayan, korelasyon yapılmayan, alarm üretmeyen loglar sadece disk doldurur.
Birçok siber olay haftalar sonra fark edilir çünkü:

Loglara kimse bakmaz
SIEM kurulu ama kurallar eksiktir
Alarmlar gürültüye boğulmuştur

Kör Noktalar Nasıl Görünür Hale Getirilir?

Bu riskleri azaltmanın yolu daha fazla rapor değil, doğru soruları sormaktır:

“Bu sistem kimin sorumluluğunda?”
“Bu yetki neden hâlâ duruyor?”
“Bu yedeği en son ne zaman geri döndük?”
“BT bilgisi dışında kullanılan bir uygulama var mı?”

ISO 27001, ITIL ve COBIT gibi çerçeveler tam da bu soruların sistematik hale gelmesini sağlar.

Sonuç

BT’de en büyük riskler genellikle en sessiz olanlardır.
Raporlarda görünmeyen bu kör noktalar; siber saldırıdan çok önce, küçük ihlallerle, unutulmuş hesaplarla ve kontrolsüz alışkanlıklarla oluşur.

Gerçek BT olgunluğu, sadece sistemleri çalıştırmak değil; görünmeyeni fark edebilmekle başlar.