Siber Güvenlik Bütçesi Hazırlarken Ürün Değil Kontrol Satın Almak

Bütçe döneminde güvenlik ihtiyaçları çoğu kez üretici adları, lisans adetleri ve yenileme tarihleriyle masaya gelir. Böyle bir tablo finans açısından somut görünür; ancak hangi iş riskini ne ölçüde azalttığı sorulduğunda cevap vermek zorlaşır. Bir kurumda endpoint yönetimi, SIEM, e-posta güvenliği, NDR, DAM ve BAS talepleri aynı döneme yığılmış, operasyon kapasitesi ise hiç hesaplanmamıştı.

28 Kasım 2025 ve 22 Temmuz 2026 tarihli değerlendirmelerde bütçeyi “hangi ürünü alalım?” sorusundan çıkarıp “hangi kontrolü hangi hizmet seviyesiyle işleteceğiz?” sorusuna taşıdık. Bu bakış teknoloji seçimini ortadan kaldırmaz; onu doğru sıraya koyar. Yönetim de lisans terminolojisi yerine risk, süreklilik ve sorumluluk üzerinden karar verebilir.

Sorunun ortaya çıkışı

Mevcut araçların bir kısmı düşük kullanımdayken yeni ürün talepleri artıyordu. Bazı kontroller iki farklı platformda örtüşüyor, bazı kritik alanlarda ise teknoloji bulunduğu halde alarmı izleyecek ekip veya süreç bulunmuyordu. Yenileme maliyetleri ayrı, proje kurulum bedelleri ayrı dosyalarda tutulduğu için toplam sahip olma maliyeti görülemiyordu. Sonuç, bütçe kesintisinde hangi kalemin hangi riski taşıdığının açıklanamamasıydı.

İhtiyaçları varlık ve tehdit senaryosuna bağlayınca tartışma değişti. “NDR alalım” ifadesi yerine ağdaki yönetilmeyen varlıklarda görünürlük ve anomali tespiti ihtiyacı; “DAM alalım” yerine kritik veri tabanı faaliyetlerinin izlenmesi ve sorumluluk ayrılığı yazıldı. Aynı kontrolün mevcut SIEM, veri tabanı denetimi veya süreç iyileştirmesiyle ne kadar karşılanabildiği değerlendirilmeden yeni alıma geçilmedi.

İlk belirtiler ve yanlış varsayımlar

En görünür belirti, önceki yıl alınan lisansların kapsam ve kullanım oranının bilinmemesiydi. İlk yanlış varsayım daha fazla ürünün doğrusal biçimde daha fazla güvenlik sağlayacağıydı. Oysa her yeni platform entegrasyon, veri saklama, alarm ayarı, eğitim, vardiya ve tedarikçi yönetimi yükü getirir. İşletme kapasitesi artmıyorsa güvenlik ekibi farklı konsollardaki gürültüyü yönetmeye başlar.

İkinci yanlış varsayım satın alma bedelini toplam maliyet kabul etmekti. Kurulum danışmanlığı, altyapı, veri aktarımı, API entegrasyonu, eğitim, sertifika, bakım, destek ve yenileme hesaba katılmadığında sonraki dönem sürprizleri oluşur. Bulut hizmetlerinde tüketim, günlük hacmi veya kullanıcı artışı; cihaz tabanlı çözümlerde kapasite ve yaşam döngüsü ayrıca modellenmelidir. Ticari fiyat paylaşmadan senaryo bazlı tahmin yapmak mümkündür.

Teknik analiz

Bütçe modelini varlık, risk, kontrol hedefi, mevcut kapsama, hedef kapsama ve başarı göstergesi alanlarıyla kurduk. Her talep önleme, tespit, müdahale veya kurtarma katmanlarından birine bağlandı. Kontrolün tek başına mı, mevcut platform genişlemesiyle mi, yönetilen hizmetle mi karşılanacağı incelendi. Aynı risk için üst üste lisanslanan özellikler ve hiç sahibi olmayan kontroller böyle görünür oldu.

CAPEX ve OPEX ayrımı muhasebe sınıflandırmasının ötesinde ele alındı. İlk yatırım düşük olsa bile veri hacmiyle büyüyen hizmetin üç yıllık maliyeti; cihaz yatırımında ise bakım, yenileme ve uzmanlık ihtiyacı hesaplandı. Ayrıca “yapmama maliyeti” uydurma tek bir parasal değerle değil, kesinti senaryosu, mevzuat etkisi, kurtarma süresi ve risk iştahı üzerinden yönetimin anlayacağı aralıklarla sunuldu.

Uygulanan çözüm veya önerilen mimari

Üç yıllık yol haritasında önce temel hijyen ve görünürlük, ardından gelişmiş tespit ve sürekli doğrulama kabiliyetleri sıralandı. Kimlik, varlık envanteri, uç nokta, e-posta, log, yedekleme ve olay müdahalesi için asgari kontrol düzeyi tanımlandı. NDR, DAM veya BAS gibi ileri kabiliyetler, veri kaynağı ve müdahale süreci hazır olduğunda devreye girecek şekilde bağımlılıklara bağlandı.

Her yatırım için iş sahibi, teknik sahibi, işletme modeli ve hizmet göstergesi yazıldı. İç ekip, yönetilen hizmet ve hibrit seçenekler vardiya ihtiyacı ile uzmanlık sürekliliğine göre karşılaştırıldı. Bütçe kurulu önüne marka sıralaması değil, kontrol seçenekleri ve beklenen sonuç çıktı. Ürün seçimi daha sonra teknik gereksinim, entegrasyon, destek, veri yerleşimi ve çıkış planını içeren değerlendirmeyle yapıldı.

Alternatifler ve karar gerekçesi

En iyi ürünleri ayrı ayrı seçmek belirli alanlarda derinlik sağlar, fakat entegrasyon ve yetkinlik yükünü artırabilir. Tek üretici platformu ortak yönetim ve veri paylaşımını kolaylaştırabilir; buna karşılık işlevsel boşluk, bağımlılık ve pazarlık esnekliği riski taşır. Kararımız “tek platform” veya “best of breed” dogmasına dayanmadı; kritik kontrol kalitesi ile ekibin sürdürülebilir işletme kapasitesini birlikte tarttı.

Tamamen iç kaynakla işletme kurumsal bilgi birikimini güçlendirir ancak kesintisiz izleme ve uzman tutundurma maliyeti yaratır. Yönetilen hizmet hızlı kapasite sağlar fakat sorumluluğu ortadan kaldırmaz; kapsam, veri erişimi ve eskalasyon kalitesi dikkatle yönetilmelidir. Bazı temel kontrolleri içeride, yoğun uzmanlık veya vardiya gerektiren işleri ölçülebilir hizmet seviyesiyle dışarıda tutan hibrit yaklaşım daha gerçekçi bulundu.

Güvenlik ve operasyonel riskler

Bütçe dokümanı güvenlik açıklarını, planlanan yatırımları ve mevcut koruma boşluklarını ortaya çıkarabilir. Dağıtımı sınırlanmalı, yönetim sürümünde gereksiz teknik ayrıntılar çıkarılmalı ve tedarikçiler birbirlerinin ticari veya mimari bilgilerine erişmemelidir. Teklif değerlendirmelerinde gerçek günlük örnekleri, kullanıcı bilgileri ve ağ ayrıntıları yerine anonimleştirilmiş gereksinim ve güvenli test verileri kullanılmalıdır.

Operasyonel olarak en büyük risk rafta kalan üründür. Canlıya geçiş ölçütleri, eğitim, dokümantasyon, alarm sahipliği ve periyodik kontrol bütçenin parçası değilse yatırım yalnızca lisans envanterini büyütür. Ayrıca yenileme döneminde verinin dışarı alınması, entegrasyonların taşınması ve hizmet kesintisi gibi çıkış riskleri değerlendirilmelidir. Kontrol etkinliği yılda en az planlı aralıklarla gözden geçirilmelidir.

Çıkarılan Dersler

Kontrol Listesi