Risk Tanımı

Önceki ders on dokuz üçlüyü saydı ve hepsini eşit ağırlıkta yazdı. Kapatma sırası yalnız taşınan üçlü sayısına göre kurulmuştu; oysa bir kalemin ne sıklıkta gerçekleştiği ve gerçekleştiğinde neye mal olduğu o sayının içinde yoktu. Bu ders o iki boyutu ekler ve listeyi sıraya sokar.

Risk, bir olayın olasılığı ile etkisinin bileşimidir. En sade biçimiyle risk = olasılık × etki yazılır ve çıkan sayıya beklenen kayıp denir. Açık bir listedir, risk bir sayıdır; ikisi karıştırıldığında sıfır olasılıklı bir açık ile sık gerçekleşen bir kalem aynı satıra yazılır. Bu dersin gösterdiği şey, bileşimin tek bir biçimi olmadığıdır: aynı iki girdiden üç ayrı sıralama çıkar ve sıralama seçimi bütçenin nereye gideceğini belirler.

Risk Bir Çarpımdır

Kalemler önceki dersin açık listesidir. Aşağıdaki olasılık ve etki değerleri bir modeldir: gerçek bir olay kaydı, gerçek bir olasılık kestirimi ya da gerçek bir para birimi yoktur. Etki kurgu birim cinsindendir.

GK11: her kalem bir olasılık ve bir etkiyle anılır; olasılık bir yıllık pencerede gerçekleşme olasılığı, etki kurgu birim cinsinden kayıptır. GK12: beklenen kayıp olasılık ile etkinin çarpımıdır. GK13: bantlı puanlama olasılığı ve etkiyi 1–5 arası bir banda indirir ve iki bandı çarpar. GK14: eşik puanlaması etkisi 100 kurgu birim ve üstü olan kalemleri öne alır, kendi içinde beklenen kayba göre sıralar. GK15: bütçe bir turda dört kalem ele alır. Eşitlikte liste sırası bozulmaz.

// guvenlik/risk.mjs — kurgu olcum aginin risk kalemleri (model): gercek bir olay kaydi, gercek
// bir olasilik kestirimi ya da gercek para birimi yok. Etki "kurgu birim" cinsindendir.

// GK11: kalemler onceki dersin acik listesidir; olasilik bir yillik pencerede gerceklesme
// olasiligi, etki kurgu birim cinsinden kayiptir.
export const KALEM = `
  eski-surum-kitapligi     0.40    45
  varsayilan-parola        0.60    28
  genis-okuma-yetkisi      0.18   110
  dogrulanmayan-girdi      0.50    40
  acik-yonetim-ucu         0.12   160
  imzasiz-guncelleme       0.03   600
  paylasilan-hesap         0.45    30
  sifresiz-aktarim         0.25    55
  tutulmayan-gunluk        0.70    14
  eski-surum-etmen         0.55    20
  fiziksel-erisim-noktasi  0.06   240
  dogrulanmayan-alan       0.02    90`
  .trim().split("\n").map((r, i) => {
    const [ad, o, e] = r.trim().split(/\s+/);
    return { i, ad, o: +o, e: +e, beklenen: +(+o * +e).toFixed(2) };
  });

// GK13: bantli puanlama olasiligi ve etkiyi 1..5 bandina indirir ve bantlari carpar.
const bant = (x, sinir) => sinir.findIndex((s) => x < s) + 1 || sinir.length + 1;
export const oBant = (k) => bant(k.o, [0.05, 0.15, 0.30, 0.50]);
export const eBant = (k) => bant(k.e, [20, 50, 100, 200]);
export const bantPuan = (k) => oBant(k) * eBant(k);

// GK14: esik puanlamasi etkisi 100 kurgu birim ve ustu olan kalemleri one alir.
export const ESIK = 100;

// Siralamalar: esitlikte liste sirasi bozulmaz (kararli siralama).
export const SIRA = {
  A: [...KALEM].sort((x, y) => y.beklenen - x.beklenen || x.i - y.i),
  B: [...KALEM].sort((x, y) => bantPuan(y) - bantPuan(x) || x.i - y.i),
  C: [...KALEM].sort((x, y) => (y.e >= ESIK) - (x.e >= ESIK)
    || y.beklenen - x.beklenen || x.i - y.i),
};
export const sira = (ad, k) => SIRA[ad].findIndex((x) => x.ad === k.ad) + 1;
export const TOPLAM = +KALEM.reduce((a, k) => a + k.beklenen, 0).toFixed(2);

// guvenlik/sirala.mjs — ayni kalem kumesi, uc puanlama: sira nasil degisiyor, butceye ne oluyor.
import { KALEM, SIRA, ESIK, TOPLAM, oBant, eBant, bantPuan, sira } from "./risk.mjs";

const yaz = (g, ...s) => console.log(s.map((v, i) =>
  (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join(""));
const BUTCE = 4; // GK15: butce bir turda dort kalem ele alir

console.log(`${KALEM.length} kalem; risk = olasilik x etki (kurgu birim). ` +
  `toplam beklenen kayip ${TOPLAM} birim; A beklenen kayip, B bantli carpim (1..5 x 1..5), ` +
  `C etkisi ${ESIK} ve ustu olani one alan esik`);

const A = [-25, 7, 6, 10, 5, 8, 7, 5, 5, 5];
console.log("\n1. ayni kalemler, uc puanlama");
yaz(A, "kalem", "olasi", "etki", "beklenen", "o-b", "e-b", "bant", "A", "B", "C");
for (const k of KALEM)
  yaz(A, k.ad, k.o.toFixed(2), k.e, k.beklenen.toFixed(2), oBant(k), eBant(k), bantPuan(k),
    sira("A", k), sira("B", k), sira("C", k));

const B = [-30, 9, 9];
console.log("\n2. A ile karsilastirildiginda");
yaz(B, "olcu", "B", "C");
const kayma = (ad) => KALEM.map((k) => Math.abs(sira("A", k) - sira(ad, k)));
const ilkBes = (ad) => SIRA[ad].slice(0, 5).filter((k) => SIRA.A.slice(0, 5).includes(k)).length;
for (const [ad, f] of [["sirasi degisen kalem", (s) => kayma(s).filter((x) => x > 0).length],
  ["en buyuk sira kaymasi", (s) => Math.max(...kayma(s))],
  ["toplam mutlak kayma", (s) => kayma(s).reduce((a, x) => a + x, 0)],
  ["ilk besin kaci ortak", (s) => ilkBes(s) + "/5"]]) yaz(B, ad, f("B"), f("C"));

const C = [-11, 26, 10, 9, 10];
console.log(`\n3. butce ${BUTCE} kalem: hangi puanlama neyi secer`);
yaz(C, "puanlama", "secilenlerin A sirasi", "kapanan", "oran %", "kuyruk");
const enBuyuk = KALEM.reduce((a, k) => (k.e > a.e ? k : a));
for (const ad of ["A", "B", "C"]) {
  const sec = SIRA[ad].slice(0, BUTCE);
  const kap = +sec.reduce((a, k) => a + k.beklenen, 0).toFixed(2);
  yaz(C, ad, sec.map((k) => sira("A", k)).join(" "), kap.toFixed(2),
    ((kap / TOPLAM) * 100).toFixed(1), sec.includes(enBuyuk) ? "iceride" : "disarida");
}
console.log(`kuyruk = en buyuk tek etki (${enBuyuk.ad}, ${enBuyuk.e} birim)`);

const D = [-25, 9, 8, 11, 8];
console.log("\n4. ayni beklenen kayip, ayri karar");
yaz(D, "kalem", "olasi", "etki", "beklenen", "bant");
const esit = KALEM.filter((k) => KALEM.some((x) => x !== k && x.beklenen === k.beklenen));
for (const k of esit) yaz(D, k.ad, k.o.toFixed(2), k.e, k.beklenen.toFixed(2), bantPuan(k));
console.log(`on yilda beklenen toplam esittir; tek olayda kaybedilen ` +
  `${esit.map((k) => k.e).join(" ve ")} birimdir, on yilda beklenen olay sayisi ` +
  `${esit.map((k) => (k.o * 10).toFixed(1)).join(" ve ")}`);

const birikim = SIRA.A.map(((s) => (k) => (((s += k.beklenen) / TOPLAM) * 100).toFixed(1))(0));
console.log(`\nA sirasinda birikimli kapsam (%): ${birikim.join(" ")}`);

12 kalem; risk = olasilik x etki (kurgu birim). toplam beklenen kayip 176.05 birim; A beklenen kayip, B bantli carpim (1..5 x 1..5), C etkisi 100 ve ustu olani one alan esik

1. ayni kalemler, uc puanlama
kalem                      olasi  etki  beklenen  o-b     e-b   bant    A    B    C
eski-surum-kitapligi        0.40    45     18.00    4       2      8    4    7    6
varsayilan-parola           0.60    28     16.80    5       2     10    6    2    7
genis-okuma-yetkisi         0.18   110     19.80    3       4     12    2    1    1
dogrulanmayan-girdi         0.50    40     20.00    5       2     10    1    3    5
acik-yonetim-ucu            0.12   160     19.20    2       4      8    3    8    2
imzasiz-guncelleme          0.03   600     18.00    1       5      5    5   10    3
paylasilan-hesap            0.45    30     13.50    4       2      8    9    9    9
sifresiz-aktarim            0.25    55     13.75    3       3      9    8    6    8
tutulmayan-gunluk           0.70    14      9.80    5       1      5   11   11   11
eski-surum-etmen            0.55    20     11.00    5       2     10   10    4   10
fiziksel-erisim-noktasi     0.06   240     14.40    2       5     10    7    5    4
dogrulanmayan-alan          0.02    90      1.80    1       3      3   12   12   12

2. A ile karsilastirildiginda
olcu                                  B        C
sirasi degisen kalem                  9        7
en buyuk sira kaymasi                 6        4
toplam mutlak kayma                  30       14
ilk besin kaci ortak                2/5      4/5

3. butce 4 kalem: hangi puanlama neyi secer
puanlama        secilenlerin A sirasi   kapanan   oran %    kuyruk
A                             1 2 3 4     77.00     43.7  disarida
B                            2 6 1 10     67.60     38.4  disarida
C                             2 3 5 7     71.40     40.6   iceride
kuyruk = en buyuk tek etki (imzasiz-guncelleme, 600 birim)

4. ayni beklenen kayip, ayri karar
kalem                        olasi    etki   beklenen    bant
eski-surum-kitapligi          0.40      45      18.00       8
imzasiz-guncelleme            0.03     600      18.00       5
on yilda beklenen toplam esittir; tek olayda kaybedilen 45 ve 600 birimdir, on yilda beklenen olay sayisi 4.0 ve 0.3

A sirasinda birikimli kapsam (%): 11.4 22.6 33.5 43.7 54.0 63.5 71.7 79.5 87.2 93.4 99.0 100.0

Sayılar ölçüm sınıfındadır; girdileri GK11–GK15’tir.

Aynı Liste, Üç Ayrı Sıra

İkinci tablo bu dersin ana bulgusudur. Girdi değişmemiştir — aynı on iki kalem, aynı olasılık, aynı etki. Yalnız bileşim biçimi değişmiştir. Bantlı puanlama dokuz kalemin sırasını değiştirir, en büyük kayma altı basamaktır ve toplam mutlak kayma 30’dur. İlk beşin yalnız ikisi ortaktır. Eşik puanlaması daha ılımlıdır: yedi kalem yer değiştirir, en büyük kayma dört, ilk beşin dördü ortaktır.

Birinci tablo kaymanın nereden geldiğini kalem kalem gösterir. eski-surum-etmen beklenen kayıp sıralamasında onuncudur (11,00 birim), bantlı sıralamada dördüncü. Nedeni bantların sınırlarıdır: 0,55 olasılık en üst banda (5) düşer, 20 birimlik etki ikinci banda (2) düşer ve çarpım 10 olur. Aynı 10 puanı 240 birim etkili fiziksel-erisim-noktasi da alır — beklenen kaybı 14,40 birimdir. Bantlama iki ucu birbirine yaklaştırır.

Ters yönde acik-yonetim-ucu durur: beklenen kaybı 19,20 birimle üçüncü sıradadır, bantlı sıralamada sekizinciye iner. Olasılığı 0,12’dir ve ikinci banda düşer; oysa 0,12 ile 0,18 arasında gerçek bir uçurum yoktur, yalnız 0,15 sınırı vardır. genis-okuma-yetkisi 0,18 ile üçüncü banda girer ve bantlı sıralamada birinci olur. İki kalemin sırasını belirleyen şey, aralarındaki fark değil, sınırın nereye konduğudur.

Bandın kendisi bir kusur değildir; olasılığı iki hanelik kesinlikle kestirmek çoğu kalemde mümkün değildir ve bant o sahte kesinliği kaldırır. Ölçülen şey şudur: bandın kaldırdığı sahte kesinliğin yerine başka bir sahte kesinlik gelir, ve bu ikincisi sıralamayı dokuz kalemde değiştirecek kadar güçlüdür.

Bütçe Sıralamayı Karara Çevirir

Sıra farkı tek başına bir tartışmadır; üçüncü tablo onu bir karara bağlar. Bir turda dört kalem ele alınabiliyorsa, beklenen kayıp sıralaması ilk dördü seçer ve 176,05 birimlik toplamın 77,00 birimini, yani %43,7’sini kapatır. Bantlı sıralama aynı bütçeyle beklenen kayıp sırasının 2., 6., 1. ve 10. kalemlerini seçer ve 67,60 birim (%38,4) kapatır. Aradaki 9,40 birim, puanlama biçiminin bedelidir.

Eşik puanlaması ortada durur: 71,40 birim (%40,6) kapatır. Buna karşılık üç puanlamadan yalnız o en büyük tek etkiyi — 600 kurgu birimlik imzasiz-guncelleme kalemini — bütçenin içine alır. Beklenen kayıp sıralaması onu beşinci sıraya koyar ve dört kalemlik bütçe onu dışarıda bırakır; bantlı sıralama onuncu sıraya koyar.

Bu satır, beklenen kaybın kendi içinde bir kör noktası olduğunu gösterir. Beklenen kayıp ortalamayı ölçer; ortalama, uzun bir zaman diliminde tekrarlanan olaylar için doğru sayıdır. Tek seferde 600 birim kaybettiren bir olay için ortalama, kurumun o kaybı taşıyıp taşıyamayacağını söylemez. Eşik puanlaması bunu kaba bir kuralla düzeltir ve karşılığında beklenen kayıp kapsamından 5,60 birim verir.

Listede Kuyruk Yok

Son satır sıralamanın bir varsayımını sınar. Öncelik listeleri çoğu zaman şu beklentiyle kurulur: birkaç kalem toplamın büyük kısmını taşır, o birkaçı düzeltmek işin çoğunu bitirir. Birikimli kapsam dizisi bu listede o beklentinin karşılanmadığını yazar. İlk kalem toplamın %11,4’ünü, ilk üç kalem %33,5’ini, ilk altı kalem %63,5’ini taşır. Kapsamın %90’ını geçmek için on kalem gerekir.

Dağılım bu kadar düzken öncelik listesinin anlamı değişir. Yoğun bir kuyruğu olan listede sıralama biçimi tartışılmaz, çünkü hangi biçimle bakılırsa bakılsın aynı iki üç kalem tepede kalır. Düz bir listede ise sıralama biçiminin kendisi karardır — nitekim bu dersin ikinci tablosu dokuz kalemin yer değiştirdiğini yazar ve üçüncü tablo aradaki farkın 9,40 birim olduğunu.

Aynı diziden ikinci bir sonuç çıkar: listenin sonundaki kalemler ihmal edilebilir değildir. Son üç kalem toplamın %12,8’ini taşır; en alttaki dogrulanmayan-alan bile 1,80 birim yazar ve önceki derste sıfır üçlü taşıyan kalem tam olarak budur. Sıfır erişim yolu sıfır risk demek değildir, çünkü olasılık yalnız bugünkü erişim durumundan gelmez. Düz bir dağılımda kesme noktası nereye konursa konsun, dışarıda bırakılan kalemler toplamın azımsanmayacak bir payını taşır ve bu pay kabul edilmiş sayılır — sayılıp yazılmadığında kabul edildiği bile fark edilmez.

Aynı Çarpım, Ayrı Karar

Dördüncü tablo iki kalemi yan yana koyar: eski-surum-kitapligi ve imzasiz-guncelleme. Beklenen kayıpları tam olarak eşittir — 18,00 kurgu birim. Bantlı puanları 8’e karşı 5’tir. On yıllık bir pencerede ikisinden beklenen toplam kayıp da eşittir.

Eşit olmayan tek şey dağılımdır. Birincisi on yılda ortalama 4,0 kez gerçekleşir ve her seferinde 45 birim yazar; ikincisi 0,3 kez gerçekleşir ve gerçekleşirse 600 birim yazar. Birinci kalem bir işletme gideridir: öngörülebilir, bütçelenebilir, tek seferde taşınabilir. İkincisi bir kesintidir: çoğu on yılda hiç olmaz, olduğu on yılda tek kalemde bütün yıllık beklenen kaybın üç katından fazlasını yazar.

Aynı sayıya indirilmiş iki kalem böylece iki ayrı karar gerektirir. Birincisi için doğru soru “kaç kez olacak ve toplamı ne kadar tutacak”; ikincisi için “olduğunda ayakta kalınabilir mi”. İki soru iki ayrı savunma biçimine bakar: sık ve küçük olan kalemde ölçülecek şey birim başına azaltmadır — her olayın maliyetini 45’ten 30’a indirmek yılda 4,0 olayda gerçek bir kazançtır. Seyrek ve büyük olan kalemde aynı azaltma neredeyse hiçbir şey ifade etmez; orada ölçülecek şey olayın hiç gerçekleşmemesi ya da gerçekleştiğinde 600 birimin bölünebilmesidir. Beklenen kayıp bir sıralama aracıdır, bir eşik aracı değildir. Risk sayısı bu yüzden hiçbir zaman tek başına yeterli olmaz; yanında hangi bileşimle üretildiği ve hangi dağılımı sakladığı yazılmadıkça, aynı 18,00 iki farklı kararı gizler.

Özet

• Risk olasılık ile etkinin bileşimidir; en sade biçimi beklenen kayıptır ve on iki kalemlik listede toplam 176,05 kurgu birimdir.
• Aynı girdiden üç sıralama çıkar: bantlı puanlama dokuz kalemin sırasını değiştirir, en büyük kayma altı basamaktır, ilk beşin yalnız ikisi ortaktır; eşik puanlamasında bu sayılar 7, 4 ve 4.
• Bantlama iki ucu yaklaştırır: 11,00 birimlik kalem ile 14,40 birimlik kalem aynı 10 puanı alır; sırayı belirleyen fark değil, sınırın nereye konduğudur.
• Dört kalemlik bütçe üç puanlamada 77,00 (%43,7), 67,60 (%38,4) ve 71,40 (%40,6) birim kapatır; aradaki 9,40 birim puanlama biçiminin bedelidir.
• En büyük tek etkiyi yalnız eşik puanlaması bütçeye alır ve karşılığında beklenen kayıp kapsamından 5,60 birim verir.
• Aynı 18,00 beklenen kaybı taşıyan iki kalem on yılda 4,0 ve 0,3 olay üretir; biri işletme gideri, öteki taşıma sorusudur.

Sonraki Adım

Bu ders her kalemi tek bir olay gibi saydı: olasılık verildi, etki verildi, çarpıldı. Oysa imzasiz-guncelleme kaleminin 600 birimlik etkisi tek bir anda doğmaz. Önce bir yere erişilir, sonra bir zayıflık tetiklenir, sonra bir şey çalıştırılır, sonra yetki genişler ve etki ancak bunların hepsi tamamlandığında yazılır. Olasılık dediğimiz sayı, aslında bu zincirin baştan sona tamamlanma olasılığıdır. Sonraki ders zinciri adımlarına ayırır ve hangi adımı kırmanın kaç yolu kapattığını sayar.