Güvenlik Ölçütleri

Bir önceki dersin rapor gecikmesi sütunu bu dersin başlangıç noktasıdır. O sütun gerçek bir sayıydı, doğru ölçülmüştü ve tatbikat raporunda yazıyordu; buna karşın altı adam-günlük bir bütçeyi sıfır kazançla harcattı. Kusuru yanlış olması değil, bir karara bağlanmamış olmasıydı.

Bu ders bir program ölçüt kümesinin tamamını aynı gözle ayırır. Sınama mekaniktir ve dört sorudan oluşur: ölçütün tanımlı bir eşiği var mı, eşik dönem içinde aşıldı mı, aşıldığında yapılacak iş tanımlı mı, ve o işi yapacak adı geçen bir sahip var mı. Dördü birden sağlanıyorsa ölçüt bir davranış değiştirmiştir; biri eksikse ölçüt bir rapor satırıdır. Yanına yazılacak ikinci sayı toplama bedelidir: o ölçütü üretmenin dönem başına kaç saat tuttuğu.

• GP25. On sekiz ölçüt, on iki dönemlik gözlem, eşikler ve toplama saatleri kurgusal bölgesel ölçüm ağına aittir ve modeldir. Gerçek bir ölçüm koşulmuyor.
• GP26. Eşiği aşan bir ölçüt, tanımlı eylemi ve adı geçen sahibi varsa karar üretmiş sayıldı. Gerçekte tanımlı eylem her zaman uygulanmaz; bu, karar sayısını olduğundan yüksek gösterir.
• GP27. Eşiğe yaklaşma, gözlemlerden en az birinin eşikten yüzde on beşten az uzakta olması sayıldı; sınır değişirse obeklerin sınırı da değişir.
• GP28. Toplama bedeli dönem başına sabit saattir; kurulum ve otomasyon bedeli modellenmedi.
• GP29. Ölçütler bağımsız sayıldı; gerçekte biri düşerken öteki yükselir.
• GP30. Rastgelelik üreteci ders içinde yazılıdır ve tohum görünürdür.

// olcut/model.mjs — program olcutlerinin MODELIDIR: kurgu bolgesel olcum aginda on sekiz
// olcut, on iki donemlik gozlem, esik, tanimli eylem ve toplama bedeli.
export const TOHUM = 20260829, DONEM = 12;
const uretec = (t) => { let s = t >>> 0;
  return () => (s = (s * 1664525 + 1013904223) >>> 0) / 4294967296; };
// ad, taban deger, donemsel salinim, egilim, esik, esik yonu (+: ustu kotu), tanimli eylem,
// adi gecen sahip, donem basina toplama saati
export const OLCUT = [
  ['acik kuyrugu', 175, 30, 4, 200, 1, true, true, 3],
  ['yetisemeyen kalem', 41, 12, 2, 60, 1, true, true, 2],
  ['ortalama acik yasi', 9, 3, 0.4, 12, 1, true, true, 2],
  ['yama penceresi', 9, 2.5, 0, 12, 1, true, true, 1],
  ['plan disi kesinti', 29, 9, -0.6, 35, 1, true, true, 1],
  ['sinama kapsami', 43, 8, 1.2, 40, -1, true, true, 4],
  ['egitim katilim orani', 68, 8, 0.3, 70, -1, false, true, 6],
  ['bildirim orani', 21, 5, 0.8, 19, -1, true, true, 5],
  ['tatbikat tutmayan kalem', 9, 2, -0.2, 6, 1, true, true, 8],
  ['kurtarma suresi', 421, 40, -6, 300, 1, true, true, 12],
  ['kontrol kapsami', 76, 5, 1.1, 70, -1, false, true, 9],
  ['kanitsiz gereksinim', 14, 4, -0.5, 8, 1, true, true, 7],
  ['tedarikci dogrulanmamis kontrol', 23, 3, 0.1, 40, 1, false, false, 6],
  ['envanterde olmayan varlik', 31, 9, 1.4, 25, 1, true, true, 14],
  ['risk listesi ilk on degisim', 4, 2, 0, 8, 1, false, false, 5],
  ['denetim bulgusu', 11, 5, -0.4, 10, 1, true, true, 3],
  ['politika okuma orani', 94, 4, 0.2, 60, -1, false, false, 16],
  ['guvenlik olayi sayisi', 11, 5, 0.1, 12, 1, false, true, 2],
].map(([ad, taban, salinim, egilim, esik, yon, eylem, sahip, saat], i) =>
  ({ no: i + 1, ad, taban, salinim, egilim, esik, yon, eylem, sahip, saat }));

export const gozlem = (o) => { const r = uretec(TOHUM + o.no * 977);
  return Array.from({ length: DONEM }, (_, d) =>
    +(o.taban + o.egilim * d + (r() - 0.5) * 2 * o.salinim).toFixed(1)); };
export const asan = (o) => gozlem(o).filter((v) => (v - o.esik) * o.yon > 0).length;
// Bir asma karar uretir: esigi asmis olmali, tanimli eylem ve adi gecen sahip bulunmali.
export const karar = (o) => (o.eylem && o.sahip ? asan(o) : 0);
// Esige hic yaklasilmadiysa olcut esik tarafindan hic sinanmamis sayilir.
export const yakin = (o) => { const g = gozlem(o);
  const uzak = g.map((v) => Math.abs(v - o.esik) / Math.max(1, Math.abs(o.esik)));
  return Math.min(...uzak) <= 0.15; };
// Dort obek: karar tasiyan / sinyal verip karara baglanmayan / esige yaklasan / baglamayan esik
export const obek = (o) => (asan(o) > 0
  ? (o.eylem && o.sahip ? 'karar tasiyan' : 'sinyal, karar yok')
  : (yakin(o) ? 'esige yaklasan' : 'baglamayan esik'));
export const OBEK = ['karar tasiyan', 'sinyal, karar yok', 'esige yaklasan', 'baglamayan esik'];
export const yil = (o) => o.saat * DONEM;
export const SAAT = OLCUT.reduce((a, o) => a + yil(o), 0);

Karar Taşıyan Ölçüt ile Rapor Satırı

// olcut/karar.mjs — olcutleri davranisi degistirip degistirmediklerine gore ayirir ve
// karar sayisi ile toplama bedelini yan yana koyar
import { OLCUT, OBEK, DONEM, SAAT, asan, karar, yakin, obek, yil } from './model.mjs';

const y = (g, ...s) => console.log(s.map((v, i) =>
  (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join('').trimEnd());
const sira = (l, f) => { const s = [...l].sort((a, b) => f(b) - f(a));
  return new Map(s.map((o, i) => [o.ad, i + 1])); };

console.log(`${OLCUT.length} olcut, ${DONEM} donem, toplama bedeli ${SAAT} saat/yil`);
const A = [-20, 8, 10, 9, 11];
console.log('\n1. olcutlerin dort obegi');
y(A, 'obek', 'olcut', 'saat/yil', 'saatin %', 'karar/yil');
for (const g of OBEK) {
  const l = OLCUT.filter((o) => obek(o) === g), s = l.reduce((a, o) => a + yil(o), 0);
  y(A, g, l.length, s, (100 * s / SAAT).toFixed(1), l.reduce((a, o) => a + karar(o), 0));
}

const kt = OLCUT.filter((o) => karar(o) > 0);
const sK = sira(kt, (o) => karar(o)), sV = sira(kt, (o) => karar(o) / yil(o));
const B = [-26, 8, 10, 12, 8, 12];
console.log('\n2. karar tasiyan olcutler: iki siralama');
y(B, 'olcut', 'karar', 'saat/yil', 'karar/saat', 'sira', 'sira');
y(B, '', 'yilda', '', '', 'karar', 'karar/saat');
for (const o of [...kt].sort((a, b) => karar(b) - karar(a)))
  y(B, o.ad, karar(o), yil(o), (karar(o) / yil(o)).toFixed(3), sK.get(o.ad), sV.get(o.ad));
console.log(`iki siralamada yeri degisen olcut: ` +
  `${kt.filter((o) => sK.get(o.ad) !== sV.get(o.ad)).length}/${kt.length}`);

const pahali = [...OLCUT].sort((a, b) => yil(b) - yil(a))[0];
console.log(`\nen pahali olcut: ${pahali.ad}, ${yil(pahali)} saat/yil, ` +
  `esigi ${asan(pahali)} donem asildi, tanimli eylem ${pahali.eylem ? 'var' : 'yok'}, ` +
  `sahip ${pahali.sahip ? 'var' : 'yok'}, esige yaklasti mi: ${yakin(pahali) ? 'evet' : 'hayir'}`);
const at = OLCUT.filter((o) => obek(o) === 'baglamayan esik');
console.log(`esigi baglamayan ${at.length} olcut cikarilirsa ` +
  `${at.reduce((a, o) => a + yil(o), 0)} saat/yil (toplamin yuzde ` +
  `${(100 * at.reduce((a, o) => a + yil(o), 0) / SAAT).toFixed(0)}'i) duser, kaybedilen karar ` +
  `${at.reduce((a, o) => a + karar(o), 0)}`);
const sin = OLCUT.filter((o) => obek(o) === 'sinyal, karar yok');
console.log(`sinyal veren ${sin.length} olcute tanimli eylem ve sahip eklenirse ` +
  `yilda ${sin.reduce((a, o) => a + asan(o), 0)} karar eklenir; toplama bedeli ` +
  `${sin.reduce((a, o) => a + yil(o), 0)} saat/yil olarak kalir`);

18 olcut, 12 donem, toplama bedeli 1272 saat/yil

1. olcutlerin dort obegi
obek                   olcut  saat/yil saatin %  karar/yil
karar tasiyan              8       612     48.1         56
sinyal, karar yok          2        96      7.5          0
esige yaklasan             5       240     18.9          0
baglamayan esik            3       324     25.5          0

2. karar tasiyan olcutler: iki siralama
olcut                        karar  saat/yil  karar/saat    sira        sira
                             yilda                         karar  karar/saat
kurtarma suresi                 12       144       0.083       1           7
envanterde olmayan varlik       12       168       0.071       2           8
tatbikat tutmayan kalem         10        96       0.104       3           3
kanitsiz gereksinim              8        84       0.095       4           4
denetim bulgusu                  6        36       0.167       5           1
acik kuyrugu                     3        36       0.083       6           5
ortalama acik yasi               3        24       0.125       7           2
yetisemeyen kalem                2        24       0.083       8           6
iki siralamada yeri degisen olcut: 6/8

en pahali olcut: politika okuma orani, 192 saat/yil, esigi 0 donem asildi, tanimli eylem yok, sahip yok, esige yaklasti mi: hayir
esigi baglamayan 3 olcut cikarilirsa 324 saat/yil (toplamin yuzde 25'i) duser, kaybedilen karar 0
sinyal veren 2 olcute tanimli eylem ve sahip eklenirse yilda 12 karar eklenir; toplama bedeli 96 saat/yil olarak kalir

İlk tablo on sekiz ölçütü dörde ayırıyor ve ilk okunacak sayı toplama bedelinin dağılımıdır. Karar taşıyan sekiz ölçüt yılda 612 saat tutuyor; kalan on ölçüt 660 saat tutuyor ve sıfır karar üretiyor. Yıllık ölçüm çabasının yarısından fazlası davranışı hiç değiştirmemiş bir sayı kümesine gidiyor.

Buradan çıkan sonuç “karar üretmeyen ölçütü at” değildir, çünkü sıfırın üç ayrı nedeni var. İkinci obek — eşiği aşan ama tanımlı eylemi olmayan iki ölçüt — en kötü durumdur: sinyal geldi ve düştü. Düzeltmesi ölçümde değil tanımdadır; son satır bunu sayıyor: tanımlı eylem ve sahip eklendiğinde yılda on iki karar ekleniyor, toplama bedeli değişmiyor. Sıfırdan on ikiye çıkan bir sayının bedeli, bir belgeye iki satır yazmaktır.

Üçüncü obek tam tersi yöndedir. Eşiğe yaklaşan beş ölçüt hiç aşım üretmedi, ama en az bir gözlemi eşiğin yüzde on beşinden yakın geçti. Bunlar eşiğin bağlayıcı olduğunu ve denetimin tuttuğunu gösteren tek kanıttır; çıkarılırsa geriye kanıt değil iyimserlik kalır. Yılda 240 saat tutuyorlar ve bu saat karar başına değil, güvence başına harcanmıştır.

Dördüncü obek çıkarılabilecek olandır: eşiği hiç aşılmamış, eşiğine hiç yaklaşılmamış, tanımlı eylemi ve sahibi olmayan üç ölçüt. Yılda 324 saat, toplamın yüzde yirmi beşi, kaybedilen karar sıfır. En pahalı ölçüt de bu obektedir: tek başına 192 saat/yıl ve sıfır aşım. Bir ölçütün pahalı olması onu önemli yapmaz, çünkü kimsenin karar bağlamadığı bir sayı sorulmadığı için sadeleştirilmemiştir.

İkinci tablo bu kursun ana kanıtını son kez tekrarlıyor. Karar sayısına göre sıralandığında kurtarma süresi ile envanterde olmayan varlık başa çıkıyor; karar başına saate göre sıralandığında ikisi yedinci ve sekizinci sıraya düşüyor, denetim bulgusu beşincilikten birinciliğe çıkıyor. Sekiz ölçütün altısı yer değiştiriyor: en çok kararı tetikleyen ölçüt, karar başına en pahalı olandır.

Özet

• Bir ölçüt dört koşulu birden sağladığında davranış değiştirir: tanımlı eşik, dönem içinde aşım, tanımlı eylem ve adı geçen sahip. Biri eksikse ölçüt bir rapor satırıdır.
• On sekiz ölçütün sekizi karar taşıyor (yılda 56 karar, 612 saat); kalan on ölçüt 660 saat tutuyor ve sıfır karar üretiyor — yıllık ölçüm çabasının yüzde 52’si.
• Sinyal verip karara bağlanmayan iki ölçüte tanımlı eylem ve sahip eklemek, toplama bedelini değiştirmeden yılda on iki karar ekliyor.
• Eşiğe yaklaşıp hiç aşmayan beş ölçüt (240 saat/yıl) çıkarılmaz: eşiğin bağlayıcı olduğunu ve denetimin tuttuğunu gösteren tek kanıt onlardır.
• Çıkarılabilecek obek, eşiğine hiç yaklaşılmayan üçüdür: 324 saat/yıl, toplamın yüzde 25’i, kaybedilen karar sıfır. En pahalı ölçüt (192 saat/yıl) bu obektedir.
• Karar taşıyan sekiz ölçütün altısı, karar sayısı ile karar başına saat sıralamalarında yer değiştiriyor; en çok kararı tetikleyen ölçüt karar başına en pahalı olandır.

Kurs Kapanışı

Bu on yedi ders tek bir biçimi tekrarladı: bir kalem kümesi tanımlandı, bir ölçüyle sıralandı, her seçeneğin düşürdüğü risk ile harcadığı birim yan yana yazıldı, sonra ölçü değiştirilip sıranın nerede bozulduğu sayıldı. Son sütun her derste aynı şeyi söyledi — aynı veriden iki farklı öncelik çıkabiliyor; sıralamayı üreten ölçü yazılı değilse liste bir karar değil, gerekçesi görünmeyen bir tercihtir.

Ders	Kalem sayısı	Sıralama ölçüsü	Sıralamanın değiştiği yer
Risk Değerlendirme Süreci	47 risk kalemi	yıllık risk	orana geçince 45 kalem kayar
Nitel ve Nicel Yaklaşımlar	47 kalem, 1.081 çift	parasal değer / nitel düzey	479 çift beraberlik, 52 çift ters
Risk Ele Alma Seçenekleri	47 kalem, 4 seçenek	yıllık birim azalma	kaçınma 1.200 birimde bile girmez
Varlık ve Envanter Yönetimi	69 kalem, 30’u gölge	tam listedeki yıllık risk	41 kayıtlı kalem kayar, en çok 22
Üçüncü Taraf Riski	62 kalem, 16 kontrol	beyan / kanıt	51 kalem kayar, en çok 21
Güvenlik Çerçeveleri	31 kontrol, 5 işlev	olgunluk / birim çabaya kazanç	beş işlevin hiçbiri aynı sırada değil
Yönetim Sistemi Standartları	100 madde, 3 kapsam	mutlak / birim risk maliyeti	üç kapsamın sırası tam ters
Denetim Kontrol Kümeleri	28 kontrol, 25 gereksinim	kontrol sayısı / kanıt yükü	ilk beşte üç ortak üye
Sektörel Uyumluluk Gereksinimleri	16 sistem, 20 kontrol	kalkan kontrol / birim güne kazanç	en çok düşüren eylem sonuncu
Kişisel Verinin Korunması	15 sistem, 7 hak türü	eksik yanıt / kişi-saat yükü	iki çözüm iki ölçüde ters sıralanır
Politika, Standart ve Yordam	26 belge, 15 zincir	belge sayısı / kanıt üretimi	14 adam-gün tam gösterir, kanıt katmaz
Denetçi ve Uyum Rollerinin İşlevi	24 kontrol, 17 bulgu	gören bulgu / bulgu başına gün	dört düzenlemenin sırası tam ters
Açık Yönetimi Programı	884 bulgu	puan / puan-çaba oranı	109 saat/haftada iki kural yer değiştirir
Yama ve Değişiklik Yönetimi	40 duyuru, 12 aday	maruziyet + kesinti bedeli	bedel değişince pencere 1’den 17 güne
Güvenlik Farkındalık Eğitimi	5 grup, 252 kişi	kalem / risk birimi / saat başına	son geçişte beş grubun beşi kayar
İş Sürekliliği ve Felaket Kurtarma	12 kalem, 12 aday	rapor gecikmesi / kritik yol kazancı	20 adam-günde iki ölçü yer değiştirir
Güvenlik Ölçütleri	18 ölçüt	karar sayısı / karar başına saat	sekiz ölçütün altısı yer değiştirir

Bu kurs müfredatın da sonudur. On kurs on ayrı ölçü ekseni kurdu ve her biri kendi birimini tanımladı:

Kurs	Ölçü ekseni	Birim
K01 Siber Güvenliğe Giriş	savunmanın kapattığı yol	yol
K02 Bilgi Teknolojileri ve Sistem Temelleri	sınır nerede ve düşerse ne açılır	sınırı geçmek için gereken kalem
K03 Ağ Güvenliği	doğrulanmayan iddia	iddia
K04 Kimlik, Erişim ve Kriptografi	güven kökü ve kırılma noktası	zincirde tutması gereken kalem
K05 Uç Nokta ve Sistem Sertleştirme	tutunma noktası	otomatik çalıştırılan kalem
K06 Saldırı Teknikleri ve Tehdit Ortamı	zincirin kırılabilen halkası	halka ve erken kırma kazancı
K07 Güvenlik Araçları ve Sızma Testi	aday ile kanıt arasındaki fark	kanıtlanmış bulgu
K08 Güvenlik Operasyonları ve Olay Müdahalesi	fark etme ile durdurma arasındaki süre	dakika ve kanıt kalemi
K09 Bulut ve Sanallaştırma Güvenliği	tek yanlıştan sonra ulaşılan kalem	yayılma yarıçapı
K10 Yönetişim, Risk ve Uyumluluk	birim çabaya düşen risk azalması	sıra

On kurs boyunca sorulan tek soru vardı: bir savunma neyi kapatıyor ve karşılığında neyi durduruyor. Birim kurstan kursa değişti — yol, kalem, iddia, halka, dakika, yarıçap, sıra — ama soru değişmedi. Hiçbir kurs “güvenli” sözcüğünü bir sonuç olarak kullanmadı, çünkü ölçülen şey her zaman kalan yoldu: kapatılamayan tutunma noktası, doğrulanamayan iddia, kırılmayan halka, kanıtsız gereksinim, yetişilemeyen kalem.

Kapanış bu yüzden tek bir kuralla yazılır: bedeli yazılmayan savunma ölçülmemiş sayılır. Kaç meşru istek reddedildi, kaç kesinti üretildi, kaç saat harcandı, kaç kalem elle yönetildi — bu sütun boşsa geriye kalan sayı bir ölçüm değil, bir iddiadır. Bu müfredatın bıraktığı şey savunmaların listesi değil, o sütunu doldurma alışkanlığıdır.