--- title: 'Risk Tanımı' source: 'https://academia.sh/tr/kurslar/siber-guvenlige-giris/risk-tanimi' course: 'Siber Güvenliğe Giriş' language: tr updated: '2026-08-17T18:08:38+00:00' license: 'CC BY-SA 4.0' --- # Risk Tanımı Riskin olasılık ile etkinin bileşimi olarak hesaplanması: 12 kalemlik listede toplam beklenen kaybın 176,05 kurgu birim çıkması, bantlı puanlamanın aynı listede 9 kalemin sırasını değiştirip en büyük kaymayı 6 basamağa taşıması ve ilk beşin yalnız 2'sini ortak bırakması, eşik puanlamasında bu sayıların 7, 4 ve 4 olması, dört kalemlik bütçenin üç puanlamada 77,00, 67,60 ve 71,40 birim kapatması ve aynı 18,00 beklenen kaybı taşıyan iki kalemin on yılda 4,0 ve 0,3 olay üretmesi. Önceki ders on dokuz üçlüyü saydı ve hepsini eşit ağırlıkta yazdı. Kapatma sırası yalnız taşınan üçlü sayısına göre kurulmuştu; oysa bir kalemin ne sıklıkta gerçekleştiği ve gerçekleştiğinde neye mal olduğu o sayının içinde yoktu. Bu ders o iki boyutu ekler ve listeyi sıraya sokar. **Risk**, bir olayın **olasılığı** ile **etkisinin** bileşimidir. En sade biçimiyle risk = olasılık × etki yazılır ve çıkan sayıya **beklenen kayıp** denir. Açık bir listedir, risk bir sayıdır; ikisi karıştırıldığında sıfır olasılıklı bir açık ile sık gerçekleşen bir kalem aynı satıra yazılır. Bu dersin gösterdiği şey, bileşimin **tek bir biçimi olmadığıdır**: aynı iki girdiden üç ayrı sıralama çıkar ve sıralama seçimi bütçenin nereye gideceğini belirler. ## Risk Bir Çarpımdır Kalemler önceki dersin açık listesidir. Aşağıdaki olasılık ve etki değerleri bir **modeldir**: gerçek bir olay kaydı, gerçek bir olasılık kestirimi ya da gerçek bir para birimi yoktur. Etki **kurgu birim** cinsindendir. **GK11:** her kalem bir olasılık ve bir etkiyle anılır; olasılık bir yıllık pencerede gerçekleşme olasılığı, etki kurgu birim cinsinden kayıptır. **GK12:** beklenen kayıp olasılık ile etkinin çarpımıdır. **GK13:** bantlı puanlama olasılığı ve etkiyi 1–5 arası bir banda indirir ve iki bandı çarpar. **GK14:** eşik puanlaması etkisi 100 kurgu birim ve üstü olan kalemleri öne alır, kendi içinde beklenen kayba göre sıralar. **GK15:** bütçe bir turda dört kalem ele alır. Eşitlikte liste sırası bozulmaz. ```js // guvenlik/risk.mjs — kurgu olcum aginin risk kalemleri (model): gercek bir olay kaydi, gercek // bir olasilik kestirimi ya da gercek para birimi yok. Etki "kurgu birim" cinsindendir. // GK11: kalemler onceki dersin acik listesidir; olasilik bir yillik pencerede gerceklesme // olasiligi, etki kurgu birim cinsinden kayiptir. export const KALEM = ` eski-surum-kitapligi 0.40 45 varsayilan-parola 0.60 28 genis-okuma-yetkisi 0.18 110 dogrulanmayan-girdi 0.50 40 acik-yonetim-ucu 0.12 160 imzasiz-guncelleme 0.03 600 paylasilan-hesap 0.45 30 sifresiz-aktarim 0.25 55 tutulmayan-gunluk 0.70 14 eski-surum-etmen 0.55 20 fiziksel-erisim-noktasi 0.06 240 dogrulanmayan-alan 0.02 90` .trim().split("\n").map((r, i) => { const [ad, o, e] = r.trim().split(/\s+/); return { i, ad, o: +o, e: +e, beklenen: +(+o * +e).toFixed(2) }; }); // GK13: bantli puanlama olasiligi ve etkiyi 1..5 bandina indirir ve bantlari carpar. const bant = (x, sinir) => sinir.findIndex((s) => x < s) + 1 || sinir.length + 1; export const oBant = (k) => bant(k.o, [0.05, 0.15, 0.30, 0.50]); export const eBant = (k) => bant(k.e, [20, 50, 100, 200]); export const bantPuan = (k) => oBant(k) * eBant(k); // GK14: esik puanlamasi etkisi 100 kurgu birim ve ustu olan kalemleri one alir. export const ESIK = 100; // Siralamalar: esitlikte liste sirasi bozulmaz (kararli siralama). export const SIRA = { A: [...KALEM].sort((x, y) => y.beklenen - x.beklenen || x.i - y.i), B: [...KALEM].sort((x, y) => bantPuan(y) - bantPuan(x) || x.i - y.i), C: [...KALEM].sort((x, y) => (y.e >= ESIK) - (x.e >= ESIK) || y.beklenen - x.beklenen || x.i - y.i), }; export const sira = (ad, k) => SIRA[ad].findIndex((x) => x.ad === k.ad) + 1; export const TOPLAM = +KALEM.reduce((a, k) => a + k.beklenen, 0).toFixed(2); ``` ```js // guvenlik/sirala.mjs — ayni kalem kumesi, uc puanlama: sira nasil degisiyor, butceye ne oluyor. import { KALEM, SIRA, ESIK, TOPLAM, oBant, eBant, bantPuan, sira } from "./risk.mjs"; const yaz = (g, ...s) => console.log(s.map((v, i) => (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join("")); const BUTCE = 4; // GK15: butce bir turda dort kalem ele alir console.log(`${KALEM.length} kalem; risk = olasilik x etki (kurgu birim). ` + `toplam beklenen kayip ${TOPLAM} birim; A beklenen kayip, B bantli carpim (1..5 x 1..5), ` + `C etkisi ${ESIK} ve ustu olani one alan esik`); const A = [-25, 7, 6, 10, 5, 8, 7, 5, 5, 5]; console.log("\n1. ayni kalemler, uc puanlama"); yaz(A, "kalem", "olasi", "etki", "beklenen", "o-b", "e-b", "bant", "A", "B", "C"); for (const k of KALEM) yaz(A, k.ad, k.o.toFixed(2), k.e, k.beklenen.toFixed(2), oBant(k), eBant(k), bantPuan(k), sira("A", k), sira("B", k), sira("C", k)); const B = [-30, 9, 9]; console.log("\n2. A ile karsilastirildiginda"); yaz(B, "olcu", "B", "C"); const kayma = (ad) => KALEM.map((k) => Math.abs(sira("A", k) - sira(ad, k))); const ilkBes = (ad) => SIRA[ad].slice(0, 5).filter((k) => SIRA.A.slice(0, 5).includes(k)).length; for (const [ad, f] of [["sirasi degisen kalem", (s) => kayma(s).filter((x) => x > 0).length], ["en buyuk sira kaymasi", (s) => Math.max(...kayma(s))], ["toplam mutlak kayma", (s) => kayma(s).reduce((a, x) => a + x, 0)], ["ilk besin kaci ortak", (s) => ilkBes(s) + "/5"]]) yaz(B, ad, f("B"), f("C")); const C = [-11, 26, 10, 9, 10]; console.log(`\n3. butce ${BUTCE} kalem: hangi puanlama neyi secer`); yaz(C, "puanlama", "secilenlerin A sirasi", "kapanan", "oran %", "kuyruk"); const enBuyuk = KALEM.reduce((a, k) => (k.e > a.e ? k : a)); for (const ad of ["A", "B", "C"]) { const sec = SIRA[ad].slice(0, BUTCE); const kap = +sec.reduce((a, k) => a + k.beklenen, 0).toFixed(2); yaz(C, ad, sec.map((k) => sira("A", k)).join(" "), kap.toFixed(2), ((kap / TOPLAM) * 100).toFixed(1), sec.includes(enBuyuk) ? "iceride" : "disarida"); } console.log(`kuyruk = en buyuk tek etki (${enBuyuk.ad}, ${enBuyuk.e} birim)`); const D = [-25, 9, 8, 11, 8]; console.log("\n4. ayni beklenen kayip, ayri karar"); yaz(D, "kalem", "olasi", "etki", "beklenen", "bant"); const esit = KALEM.filter((k) => KALEM.some((x) => x !== k && x.beklenen === k.beklenen)); for (const k of esit) yaz(D, k.ad, k.o.toFixed(2), k.e, k.beklenen.toFixed(2), bantPuan(k)); console.log(`on yilda beklenen toplam esittir; tek olayda kaybedilen ` + `${esit.map((k) => k.e).join(" ve ")} birimdir, on yilda beklenen olay sayisi ` + `${esit.map((k) => (k.o * 10).toFixed(1)).join(" ve ")}`); const birikim = SIRA.A.map(((s) => (k) => (((s += k.beklenen) / TOPLAM) * 100).toFixed(1))(0)); console.log(`\nA sirasinda birikimli kapsam (%): ${birikim.join(" ")}`); ``` ``` 12 kalem; risk = olasilik x etki (kurgu birim). toplam beklenen kayip 176.05 birim; A beklenen kayip, B bantli carpim (1..5 x 1..5), C etkisi 100 ve ustu olani one alan esik 1. ayni kalemler, uc puanlama kalem olasi etki beklenen o-b e-b bant A B C eski-surum-kitapligi 0.40 45 18.00 4 2 8 4 7 6 varsayilan-parola 0.60 28 16.80 5 2 10 6 2 7 genis-okuma-yetkisi 0.18 110 19.80 3 4 12 2 1 1 dogrulanmayan-girdi 0.50 40 20.00 5 2 10 1 3 5 acik-yonetim-ucu 0.12 160 19.20 2 4 8 3 8 2 imzasiz-guncelleme 0.03 600 18.00 1 5 5 5 10 3 paylasilan-hesap 0.45 30 13.50 4 2 8 9 9 9 sifresiz-aktarim 0.25 55 13.75 3 3 9 8 6 8 tutulmayan-gunluk 0.70 14 9.80 5 1 5 11 11 11 eski-surum-etmen 0.55 20 11.00 5 2 10 10 4 10 fiziksel-erisim-noktasi 0.06 240 14.40 2 5 10 7 5 4 dogrulanmayan-alan 0.02 90 1.80 1 3 3 12 12 12 2. A ile karsilastirildiginda olcu B C sirasi degisen kalem 9 7 en buyuk sira kaymasi 6 4 toplam mutlak kayma 30 14 ilk besin kaci ortak 2/5 4/5 3. butce 4 kalem: hangi puanlama neyi secer puanlama secilenlerin A sirasi kapanan oran % kuyruk A 1 2 3 4 77.00 43.7 disarida B 2 6 1 10 67.60 38.4 disarida C 2 3 5 7 71.40 40.6 iceride kuyruk = en buyuk tek etki (imzasiz-guncelleme, 600 birim) 4. ayni beklenen kayip, ayri karar kalem olasi etki beklenen bant eski-surum-kitapligi 0.40 45 18.00 8 imzasiz-guncelleme 0.03 600 18.00 5 on yilda beklenen toplam esittir; tek olayda kaybedilen 45 ve 600 birimdir, on yilda beklenen olay sayisi 4.0 ve 0.3 A sirasinda birikimli kapsam (%): 11.4 22.6 33.5 43.7 54.0 63.5 71.7 79.5 87.2 93.4 99.0 100.0 ``` Sayılar **ölçüm** sınıfındadır; girdileri GK11–GK15'tir. ## Aynı Liste, Üç Ayrı Sıra İkinci tablo bu dersin ana bulgusudur. Girdi değişmemiştir — aynı on iki kalem, aynı olasılık, aynı etki. Yalnız bileşim biçimi değişmiştir. Bantlı puanlama **dokuz kalemin sırasını değiştirir**, en büyük kayma **altı basamaktır** ve toplam mutlak kayma 30'dur. İlk beşin yalnız **ikisi** ortaktır. Eşik puanlaması daha ılımlıdır: yedi kalem yer değiştirir, en büyük kayma dört, ilk beşin dördü ortaktır. Birinci tablo kaymanın nereden geldiğini kalem kalem gösterir. `eski-surum-etmen` beklenen kayıp sıralamasında **onuncudur** (11,00 birim), bantlı sıralamada **dördüncü**. Nedeni bantların sınırlarıdır: 0,55 olasılık en üst banda (5) düşer, 20 birimlik etki ikinci banda (2) düşer ve çarpım 10 olur. Aynı 10 puanı 240 birim etkili `fiziksel-erisim-noktasi` da alır — beklenen kaybı 14,40 birimdir. **Bantlama iki ucu birbirine yaklaştırır.** Ters yönde `acik-yonetim-ucu` durur: beklenen kaybı 19,20 birimle üçüncü sıradadır, bantlı sıralamada sekizinciye iner. Olasılığı 0,12'dir ve ikinci banda düşer; oysa 0,12 ile 0,18 arasında gerçek bir uçurum yoktur, yalnız 0,15 sınırı vardır. `genis-okuma-yetkisi` 0,18 ile üçüncü banda girer ve bantlı sıralamada birinci olur. **İki kalemin sırasını belirleyen şey, aralarındaki fark değil, sınırın nereye konduğudur.** Bandın kendisi bir kusur değildir; olasılığı iki hanelik kesinlikle kestirmek çoğu kalemde mümkün değildir ve bant o sahte kesinliği kaldırır. Ölçülen şey şudur: bandın kaldırdığı sahte kesinliğin yerine **başka bir sahte kesinlik** gelir, ve bu ikincisi sıralamayı dokuz kalemde değiştirecek kadar güçlüdür. ## Bütçe Sıralamayı Karara Çevirir Sıra farkı tek başına bir tartışmadır; üçüncü tablo onu bir karara bağlar. Bir turda dört kalem ele alınabiliyorsa, beklenen kayıp sıralaması ilk dördü seçer ve 176,05 birimlik toplamın **77,00 birimini**, yani **%43,7'sini** kapatır. Bantlı sıralama aynı bütçeyle beklenen kayıp sırasının 2., 6., 1. ve 10. kalemlerini seçer ve **67,60 birim** (%38,4) kapatır. Aradaki 9,40 birim, puanlama biçiminin bedelidir. Eşik puanlaması ortada durur: 71,40 birim (%40,6) kapatır. Buna karşılık üç puanlamadan **yalnız o** en büyük tek etkiyi — 600 kurgu birimlik `imzasiz-guncelleme` kalemini — bütçenin içine alır. Beklenen kayıp sıralaması onu beşinci sıraya koyar ve dört kalemlik bütçe onu dışarıda bırakır; bantlı sıralama onuncu sıraya koyar. Bu satır, beklenen kaybın kendi içinde bir kör noktası olduğunu gösterir. Beklenen kayıp **ortalamayı** ölçer; ortalama, uzun bir zaman diliminde tekrarlanan olaylar için doğru sayıdır. Tek seferde 600 birim kaybettiren bir olay için ortalama, kurumun o kaybı taşıyıp taşıyamayacağını söylemez. Eşik puanlaması bunu kaba bir kuralla düzeltir ve karşılığında beklenen kayıp kapsamından 5,60 birim verir. ## Listede Kuyruk Yok Son satır sıralamanın bir varsayımını sınar. Öncelik listeleri çoğu zaman şu beklentiyle kurulur: birkaç kalem toplamın büyük kısmını taşır, o birkaçı düzeltmek işin çoğunu bitirir. Birikimli kapsam dizisi bu listede o beklentinin karşılanmadığını yazar. İlk kalem toplamın **%11,4'ünü**, ilk üç kalem **%33,5'ini**, ilk altı kalem **%63,5'ini** taşır. Kapsamın %90'ını geçmek için on kalem gerekir. Dağılım bu kadar düzken öncelik listesinin anlamı değişir. Yoğun bir kuyruğu olan listede sıralama biçimi tartışılmaz, çünkü hangi biçimle bakılırsa bakılsın aynı iki üç kalem tepede kalır. Düz bir listede ise sıralama biçiminin kendisi karardır — nitekim bu dersin ikinci tablosu dokuz kalemin yer değiştirdiğini yazar ve üçüncü tablo aradaki farkın 9,40 birim olduğunu. Aynı diziden ikinci bir sonuç çıkar: listenin sonundaki kalemler ihmal edilebilir değildir. Son üç kalem toplamın %12,8'ini taşır; en alttaki `dogrulanmayan-alan` bile 1,80 birim yazar ve önceki derste sıfır üçlü taşıyan kalem tam olarak budur. **Sıfır erişim yolu sıfır risk demek değildir**, çünkü olasılık yalnız bugünkü erişim durumundan gelmez. Düz bir dağılımda kesme noktası nereye konursa konsun, dışarıda bırakılan kalemler toplamın azımsanmayacak bir payını taşır ve bu pay **kabul edilmiş** sayılır — sayılıp yazılmadığında kabul edildiği bile fark edilmez. ## Aynı Çarpım, Ayrı Karar Dördüncü tablo iki kalemi yan yana koyar: `eski-surum-kitapligi` ve `imzasiz-guncelleme`. Beklenen kayıpları **tam olarak eşittir** — 18,00 kurgu birim. Bantlı puanları 8'e karşı 5'tir. On yıllık bir pencerede ikisinden beklenen toplam kayıp da eşittir. Eşit olmayan tek şey dağılımdır. Birincisi on yılda ortalama **4,0 kez** gerçekleşir ve her seferinde 45 birim yazar; ikincisi **0,3 kez** gerçekleşir ve gerçekleşirse 600 birim yazar. Birinci kalem bir işletme gideridir: öngörülebilir, bütçelenebilir, tek seferde taşınabilir. İkincisi bir kesintidir: çoğu on yılda hiç olmaz, olduğu on yılda tek kalemde bütün yıllık beklenen kaybın üç katından fazlasını yazar. Aynı sayıya indirilmiş iki kalem böylece iki ayrı karar gerektirir. Birincisi için doğru soru "kaç kez olacak ve toplamı ne kadar tutacak"; ikincisi için "olduğunda ayakta kalınabilir mi". İki soru iki ayrı savunma biçimine bakar: sık ve küçük olan kalemde ölçülecek şey birim başına azaltmadır — her olayın maliyetini 45'ten 30'a indirmek yılda 4,0 olayda gerçek bir kazançtır. Seyrek ve büyük olan kalemde aynı azaltma neredeyse hiçbir şey ifade etmez; orada ölçülecek şey olayın **hiç gerçekleşmemesi** ya da gerçekleştiğinde 600 birimin bölünebilmesidir. **Beklenen kayıp bir sıralama aracıdır, bir eşik aracı değildir.** Risk sayısı bu yüzden hiçbir zaman tek başına yeterli olmaz; yanında hangi bileşimle üretildiği ve hangi dağılımı sakladığı yazılmadıkça, aynı 18,00 iki farklı kararı gizler. ## Özet - Risk olasılık ile etkinin bileşimidir; en sade biçimi beklenen kayıptır ve on iki kalemlik listede toplam 176,05 kurgu birimdir. - Aynı girdiden üç sıralama çıkar: bantlı puanlama dokuz kalemin sırasını değiştirir, en büyük kayma altı basamaktır, ilk beşin yalnız ikisi ortaktır; eşik puanlamasında bu sayılar 7, 4 ve 4. - Bantlama iki ucu yaklaştırır: 11,00 birimlik kalem ile 14,40 birimlik kalem aynı 10 puanı alır; sırayı belirleyen fark değil, sınırın nereye konduğudur. - Dört kalemlik bütçe üç puanlamada 77,00 (%43,7), 67,60 (%38,4) ve 71,40 (%40,6) birim kapatır; aradaki 9,40 birim puanlama biçiminin bedelidir. - En büyük tek etkiyi yalnız eşik puanlaması bütçeye alır ve karşılığında beklenen kayıp kapsamından 5,60 birim verir. - Aynı 18,00 beklenen kaybı taşıyan iki kalem on yılda 4,0 ve 0,3 olay üretir; biri işletme gideri, öteki taşıma sorusudur. ## Sonraki Adım Bu ders her kalemi tek bir olay gibi saydı: olasılık verildi, etki verildi, çarpıldı. Oysa `imzasiz-guncelleme` kaleminin 600 birimlik etkisi tek bir anda doğmaz. Önce bir yere erişilir, sonra bir zayıflık tetiklenir, sonra bir şey çalıştırılır, sonra yetki genişler ve etki ancak bunların hepsi tamamlandığında yazılır. Olasılık dediğimiz sayı, aslında bu zincirin **baştan sona tamamlanma** olasılığıdır. Sonraki ders zinciri adımlarına ayırır ve hangi adımı kırmanın kaç yolu kapattığını sayar.