--- title: 'Güvenlik Ölçütleri' source: 'https://academia.sh/tr/kurslar/yonetisim-risk-uyumluluk/guvenlik-olcutleri' course: 'Yönetişim, Risk ve Uyumluluk' language: tr updated: '2026-08-17T18:08:36+00:00' license: 'CC BY-SA 4.0' --- # Güvenlik Ölçütleri On sekiz program ölçütü dört obeğe ayrılıyor: sekizi karar taşıyor ve yıllık toplama bedelinin yüzde 48'ini alıyor, ikisi eşiği aşıyor ama tanımlı eylemi olmadığı için sinyali düşüyor, beşi eşiğe yaklaşıp hiç aşmıyor ve üçünün eşiği hiç bağlamıyor. En pahalı ölçüt yılda 192 saat tutuyor ve sıfır karar üretiyor; karar taşıyan sekiz ölçütün altısı karar sayısı ile karar başına saat sıralamalarında yer değiştiriyor. Bir önceki dersin rapor gecikmesi sütunu bu dersin başlangıç noktasıdır. O sütun gerçek bir sayıydı, doğru ölçülmüştü ve tatbikat raporunda yazıyordu; buna karşın altı adam-günlük bir bütçeyi sıfır kazançla harcattı. Kusuru yanlış olması değil, bir karara bağlanmamış olmasıydı. Bu ders bir program ölçüt kümesinin tamamını aynı gözle ayırır. Sınama mekaniktir ve dört sorudan oluşur: ölçütün tanımlı bir eşiği var mı, eşik dönem içinde aşıldı mı, aşıldığında yapılacak iş tanımlı mı, ve o işi yapacak adı geçen bir sahip var mı. Dördü birden sağlanıyorsa ölçüt bir davranış değiştirmiştir; biri eksikse ölçüt bir rapor satırıdır. Yanına yazılacak ikinci sayı **toplama bedelidir**: o ölçütü üretmenin dönem başına kaç saat tuttuğu. - **GP25.** On sekiz ölçüt, on iki dönemlik gözlem, eşikler ve toplama saatleri kurgusal bölgesel ölçüm ağına aittir ve **modeldir**. Gerçek bir ölçüm koşulmuyor. - **GP26.** Eşiği aşan bir ölçüt, tanımlı eylemi ve adı geçen sahibi varsa karar üretmiş sayıldı. Gerçekte tanımlı eylem her zaman uygulanmaz; bu, karar sayısını olduğundan yüksek gösterir. - **GP27.** Eşiğe yaklaşma, gözlemlerden en az birinin eşikten yüzde on beşten az uzakta olması sayıldı; sınır değişirse obeklerin sınırı da değişir. - **GP28.** Toplama bedeli dönem başına sabit saattir; kurulum ve otomasyon bedeli modellenmedi. - **GP29.** Ölçütler bağımsız sayıldı; gerçekte biri düşerken öteki yükselir. - **GP30.** Rastgelelik üreteci ders içinde yazılıdır ve tohum görünürdür. ```js // olcut/model.mjs — program olcutlerinin MODELIDIR: kurgu bolgesel olcum aginda on sekiz // olcut, on iki donemlik gozlem, esik, tanimli eylem ve toplama bedeli. export const TOHUM = 20260829, DONEM = 12; const uretec = (t) => { let s = t >>> 0; return () => (s = (s * 1664525 + 1013904223) >>> 0) / 4294967296; }; // ad, taban deger, donemsel salinim, egilim, esik, esik yonu (+: ustu kotu), tanimli eylem, // adi gecen sahip, donem basina toplama saati export const OLCUT = [ ['acik kuyrugu', 175, 30, 4, 200, 1, true, true, 3], ['yetisemeyen kalem', 41, 12, 2, 60, 1, true, true, 2], ['ortalama acik yasi', 9, 3, 0.4, 12, 1, true, true, 2], ['yama penceresi', 9, 2.5, 0, 12, 1, true, true, 1], ['plan disi kesinti', 29, 9, -0.6, 35, 1, true, true, 1], ['sinama kapsami', 43, 8, 1.2, 40, -1, true, true, 4], ['egitim katilim orani', 68, 8, 0.3, 70, -1, false, true, 6], ['bildirim orani', 21, 5, 0.8, 19, -1, true, true, 5], ['tatbikat tutmayan kalem', 9, 2, -0.2, 6, 1, true, true, 8], ['kurtarma suresi', 421, 40, -6, 300, 1, true, true, 12], ['kontrol kapsami', 76, 5, 1.1, 70, -1, false, true, 9], ['kanitsiz gereksinim', 14, 4, -0.5, 8, 1, true, true, 7], ['tedarikci dogrulanmamis kontrol', 23, 3, 0.1, 40, 1, false, false, 6], ['envanterde olmayan varlik', 31, 9, 1.4, 25, 1, true, true, 14], ['risk listesi ilk on degisim', 4, 2, 0, 8, 1, false, false, 5], ['denetim bulgusu', 11, 5, -0.4, 10, 1, true, true, 3], ['politika okuma orani', 94, 4, 0.2, 60, -1, false, false, 16], ['guvenlik olayi sayisi', 11, 5, 0.1, 12, 1, false, true, 2], ].map(([ad, taban, salinim, egilim, esik, yon, eylem, sahip, saat], i) => ({ no: i + 1, ad, taban, salinim, egilim, esik, yon, eylem, sahip, saat })); export const gozlem = (o) => { const r = uretec(TOHUM + o.no * 977); return Array.from({ length: DONEM }, (_, d) => +(o.taban + o.egilim * d + (r() - 0.5) * 2 * o.salinim).toFixed(1)); }; export const asan = (o) => gozlem(o).filter((v) => (v - o.esik) * o.yon > 0).length; // Bir asma karar uretir: esigi asmis olmali, tanimli eylem ve adi gecen sahip bulunmali. export const karar = (o) => (o.eylem && o.sahip ? asan(o) : 0); // Esige hic yaklasilmadiysa olcut esik tarafindan hic sinanmamis sayilir. export const yakin = (o) => { const g = gozlem(o); const uzak = g.map((v) => Math.abs(v - o.esik) / Math.max(1, Math.abs(o.esik))); return Math.min(...uzak) <= 0.15; }; // Dort obek: karar tasiyan / sinyal verip karara baglanmayan / esige yaklasan / baglamayan esik export const obek = (o) => (asan(o) > 0 ? (o.eylem && o.sahip ? 'karar tasiyan' : 'sinyal, karar yok') : (yakin(o) ? 'esige yaklasan' : 'baglamayan esik')); export const OBEK = ['karar tasiyan', 'sinyal, karar yok', 'esige yaklasan', 'baglamayan esik']; export const yil = (o) => o.saat * DONEM; export const SAAT = OLCUT.reduce((a, o) => a + yil(o), 0); ``` ## Karar Taşıyan Ölçüt ile Rapor Satırı ```js // olcut/karar.mjs — olcutleri davranisi degistirip degistirmediklerine gore ayirir ve // karar sayisi ile toplama bedelini yan yana koyar import { OLCUT, OBEK, DONEM, SAAT, asan, karar, yakin, obek, yil } from './model.mjs'; const y = (g, ...s) => console.log(s.map((v, i) => (g[i] < 0 ? String(v).padEnd(-g[i]) : String(v).padStart(g[i]))).join('').trimEnd()); const sira = (l, f) => { const s = [...l].sort((a, b) => f(b) - f(a)); return new Map(s.map((o, i) => [o.ad, i + 1])); }; console.log(`${OLCUT.length} olcut, ${DONEM} donem, toplama bedeli ${SAAT} saat/yil`); const A = [-20, 8, 10, 9, 11]; console.log('\n1. olcutlerin dort obegi'); y(A, 'obek', 'olcut', 'saat/yil', 'saatin %', 'karar/yil'); for (const g of OBEK) { const l = OLCUT.filter((o) => obek(o) === g), s = l.reduce((a, o) => a + yil(o), 0); y(A, g, l.length, s, (100 * s / SAAT).toFixed(1), l.reduce((a, o) => a + karar(o), 0)); } const kt = OLCUT.filter((o) => karar(o) > 0); const sK = sira(kt, (o) => karar(o)), sV = sira(kt, (o) => karar(o) / yil(o)); const B = [-26, 8, 10, 12, 8, 12]; console.log('\n2. karar tasiyan olcutler: iki siralama'); y(B, 'olcut', 'karar', 'saat/yil', 'karar/saat', 'sira', 'sira'); y(B, '', 'yilda', '', '', 'karar', 'karar/saat'); for (const o of [...kt].sort((a, b) => karar(b) - karar(a))) y(B, o.ad, karar(o), yil(o), (karar(o) / yil(o)).toFixed(3), sK.get(o.ad), sV.get(o.ad)); console.log(`iki siralamada yeri degisen olcut: ` + `${kt.filter((o) => sK.get(o.ad) !== sV.get(o.ad)).length}/${kt.length}`); const pahali = [...OLCUT].sort((a, b) => yil(b) - yil(a))[0]; console.log(`\nen pahali olcut: ${pahali.ad}, ${yil(pahali)} saat/yil, ` + `esigi ${asan(pahali)} donem asildi, tanimli eylem ${pahali.eylem ? 'var' : 'yok'}, ` + `sahip ${pahali.sahip ? 'var' : 'yok'}, esige yaklasti mi: ${yakin(pahali) ? 'evet' : 'hayir'}`); const at = OLCUT.filter((o) => obek(o) === 'baglamayan esik'); console.log(`esigi baglamayan ${at.length} olcut cikarilirsa ` + `${at.reduce((a, o) => a + yil(o), 0)} saat/yil (toplamin yuzde ` + `${(100 * at.reduce((a, o) => a + yil(o), 0) / SAAT).toFixed(0)}'i) duser, kaybedilen karar ` + `${at.reduce((a, o) => a + karar(o), 0)}`); const sin = OLCUT.filter((o) => obek(o) === 'sinyal, karar yok'); console.log(`sinyal veren ${sin.length} olcute tanimli eylem ve sahip eklenirse ` + `yilda ${sin.reduce((a, o) => a + asan(o), 0)} karar eklenir; toplama bedeli ` + `${sin.reduce((a, o) => a + yil(o), 0)} saat/yil olarak kalir`); ``` ``` 18 olcut, 12 donem, toplama bedeli 1272 saat/yil 1. olcutlerin dort obegi obek olcut saat/yil saatin % karar/yil karar tasiyan 8 612 48.1 56 sinyal, karar yok 2 96 7.5 0 esige yaklasan 5 240 18.9 0 baglamayan esik 3 324 25.5 0 2. karar tasiyan olcutler: iki siralama olcut karar saat/yil karar/saat sira sira yilda karar karar/saat kurtarma suresi 12 144 0.083 1 7 envanterde olmayan varlik 12 168 0.071 2 8 tatbikat tutmayan kalem 10 96 0.104 3 3 kanitsiz gereksinim 8 84 0.095 4 4 denetim bulgusu 6 36 0.167 5 1 acik kuyrugu 3 36 0.083 6 5 ortalama acik yasi 3 24 0.125 7 2 yetisemeyen kalem 2 24 0.083 8 6 iki siralamada yeri degisen olcut: 6/8 en pahali olcut: politika okuma orani, 192 saat/yil, esigi 0 donem asildi, tanimli eylem yok, sahip yok, esige yaklasti mi: hayir esigi baglamayan 3 olcut cikarilirsa 324 saat/yil (toplamin yuzde 25'i) duser, kaybedilen karar 0 sinyal veren 2 olcute tanimli eylem ve sahip eklenirse yilda 12 karar eklenir; toplama bedeli 96 saat/yil olarak kalir ``` İlk tablo on sekiz ölçütü dörde ayırıyor ve ilk okunacak sayı toplama bedelinin dağılımıdır. Karar taşıyan sekiz ölçüt yılda 612 saat tutuyor; kalan on ölçüt 660 saat tutuyor ve **sıfır karar üretiyor**. Yıllık ölçüm çabasının yarısından fazlası davranışı hiç değiştirmemiş bir sayı kümesine gidiyor. Buradan çıkan sonuç "karar üretmeyen ölçütü at" değildir, çünkü sıfırın üç ayrı nedeni var. İkinci obek — eşiği aşan ama tanımlı eylemi olmayan iki ölçüt — en kötü durumdur: sinyal geldi ve düştü. Düzeltmesi ölçümde değil tanımdadır; son satır bunu sayıyor: tanımlı eylem ve sahip eklendiğinde yılda on iki karar ekleniyor, toplama bedeli değişmiyor. Sıfırdan on ikiye çıkan bir sayının bedeli, bir belgeye iki satır yazmaktır. Üçüncü obek tam tersi yöndedir. Eşiğe yaklaşan beş ölçüt hiç aşım üretmedi, ama en az bir gözlemi eşiğin yüzde on beşinden yakın geçti. Bunlar eşiğin **bağlayıcı** olduğunu ve denetimin tuttuğunu gösteren tek kanıttır; çıkarılırsa geriye kanıt değil iyimserlik kalır. Yılda 240 saat tutuyorlar ve bu saat karar başına değil, güvence başına harcanmıştır. Dördüncü obek çıkarılabilecek olandır: eşiği hiç aşılmamış, eşiğine hiç yaklaşılmamış, tanımlı eylemi ve sahibi olmayan üç ölçüt. Yılda 324 saat, toplamın yüzde yirmi beşi, kaybedilen karar sıfır. En pahalı ölçüt de bu obektedir: tek başına 192 saat/yıl ve sıfır aşım. **Bir ölçütün pahalı olması onu önemli yapmaz**, çünkü kimsenin karar bağlamadığı bir sayı sorulmadığı için sadeleştirilmemiştir. İkinci tablo bu kursun ana kanıtını son kez tekrarlıyor. Karar sayısına göre sıralandığında kurtarma süresi ile envanterde olmayan varlık başa çıkıyor; karar başına saate göre sıralandığında ikisi yedinci ve **sekizinci** sıraya düşüyor, denetim bulgusu beşincilikten birinciliğe çıkıyor. Sekiz ölçütün altısı yer değiştiriyor: en çok kararı tetikleyen ölçüt, karar başına en pahalı olandır. ## Özet - Bir ölçüt dört koşulu birden sağladığında davranış değiştirir: tanımlı eşik, dönem içinde aşım, tanımlı eylem ve adı geçen sahip. Biri eksikse ölçüt bir rapor satırıdır. - On sekiz ölçütün sekizi karar taşıyor (yılda 56 karar, 612 saat); kalan on ölçüt 660 saat tutuyor ve sıfır karar üretiyor — yıllık ölçüm çabasının yüzde 52'si. - Sinyal verip karara bağlanmayan iki ölçüte tanımlı eylem ve sahip eklemek, toplama bedelini değiştirmeden yılda on iki karar ekliyor. - Eşiğe yaklaşıp hiç aşmayan beş ölçüt (240 saat/yıl) çıkarılmaz: eşiğin bağlayıcı olduğunu ve denetimin tuttuğunu gösteren tek kanıt onlardır. - Çıkarılabilecek obek, eşiğine hiç yaklaşılmayan üçüdür: 324 saat/yıl, toplamın yüzde 25'i, kaybedilen karar sıfır. En pahalı ölçüt (192 saat/yıl) bu obektedir. - Karar taşıyan sekiz ölçütün altısı, karar sayısı ile karar başına saat sıralamalarında yer değiştiriyor; en çok kararı tetikleyen ölçüt karar başına en pahalı olandır. ## Kurs Kapanışı Bu on yedi ders tek bir biçimi tekrarladı: bir kalem kümesi tanımlandı, bir ölçüyle sıralandı, her seçeneğin düşürdüğü risk ile harcadığı birim yan yana yazıldı, sonra ölçü değiştirilip sıranın nerede bozulduğu sayıldı. Son sütun her derste aynı şeyi söyledi — **aynı veriden iki farklı öncelik çıkabiliyor**; sıralamayı üreten ölçü yazılı değilse liste bir karar değil, gerekçesi görünmeyen bir tercihtir. | Ders | Kalem sayısı | Sıralama ölçüsü | Sıralamanın değiştiği yer | |---|---|---|---| | Risk Değerlendirme Süreci | 47 risk kalemi | yıllık risk | orana geçince 45 kalem kayar | | Nitel ve Nicel Yaklaşımlar | 47 kalem, 1.081 çift | parasal değer / nitel düzey | 479 çift beraberlik, 52 çift ters | | Risk Ele Alma Seçenekleri | 47 kalem, 4 seçenek | yıllık birim azalma | kaçınma 1.200 birimde bile girmez | | Varlık ve Envanter Yönetimi | 69 kalem, 30'u gölge | tam listedeki yıllık risk | 41 kayıtlı kalem kayar, en çok 22 | | Üçüncü Taraf Riski | 62 kalem, 16 kontrol | beyan / kanıt | 51 kalem kayar, en çok 21 | | Güvenlik Çerçeveleri | 31 kontrol, 5 işlev | olgunluk / birim çabaya kazanç | beş işlevin hiçbiri aynı sırada değil | | Yönetim Sistemi Standartları | 100 madde, 3 kapsam | mutlak / birim risk maliyeti | üç kapsamın sırası tam ters | | Denetim Kontrol Kümeleri | 28 kontrol, 25 gereksinim | kontrol sayısı / kanıt yükü | ilk beşte üç ortak üye | | Sektörel Uyumluluk Gereksinimleri | 16 sistem, 20 kontrol | kalkan kontrol / birim güne kazanç | en çok düşüren eylem sonuncu | | Kişisel Verinin Korunması | 15 sistem, 7 hak türü | eksik yanıt / kişi-saat yükü | iki çözüm iki ölçüde ters sıralanır | | Politika, Standart ve Yordam | 26 belge, 15 zincir | belge sayısı / kanıt üretimi | 14 adam-gün tam gösterir, kanıt katmaz | | Denetçi ve Uyum Rollerinin İşlevi | 24 kontrol, 17 bulgu | gören bulgu / bulgu başına gün | dört düzenlemenin sırası tam ters | | Açık Yönetimi Programı | 884 bulgu | puan / puan-çaba oranı | 109 saat/haftada iki kural yer değiştirir | | Yama ve Değişiklik Yönetimi | 40 duyuru, 12 aday | maruziyet + kesinti bedeli | bedel değişince pencere 1'den 17 güne | | Güvenlik Farkındalık Eğitimi | 5 grup, 252 kişi | kalem / risk birimi / saat başına | son geçişte beş grubun beşi kayar | | İş Sürekliliği ve Felaket Kurtarma | 12 kalem, 12 aday | rapor gecikmesi / kritik yol kazancı | 20 adam-günde iki ölçü yer değiştirir | | Güvenlik Ölçütleri | 18 ölçüt | karar sayısı / karar başına saat | sekiz ölçütün altısı yer değiştirir | Bu kurs müfredatın da sonudur. On kurs on ayrı ölçü ekseni kurdu ve her biri kendi birimini tanımladı: | Kurs | Ölçü ekseni | Birim | |---|---|---| | K01 Siber Güvenliğe Giriş | savunmanın kapattığı yol | yol | | K02 Bilgi Teknolojileri ve Sistem Temelleri | sınır nerede ve düşerse ne açılır | sınırı geçmek için gereken kalem | | K03 Ağ Güvenliği | doğrulanmayan iddia | iddia | | K04 Kimlik, Erişim ve Kriptografi | güven kökü ve kırılma noktası | zincirde tutması gereken kalem | | K05 Uç Nokta ve Sistem Sertleştirme | tutunma noktası | otomatik çalıştırılan kalem | | K06 Saldırı Teknikleri ve Tehdit Ortamı | zincirin kırılabilen halkası | halka ve erken kırma kazancı | | K07 Güvenlik Araçları ve Sızma Testi | aday ile kanıt arasındaki fark | kanıtlanmış bulgu | | K08 Güvenlik Operasyonları ve Olay Müdahalesi | fark etme ile durdurma arasındaki süre | dakika ve kanıt kalemi | | K09 Bulut ve Sanallaştırma Güvenliği | tek yanlıştan sonra ulaşılan kalem | yayılma yarıçapı | | K10 Yönetişim, Risk ve Uyumluluk | birim çabaya düşen risk azalması | sıra | On kurs boyunca sorulan tek soru vardı: **bir savunma neyi kapatıyor ve karşılığında neyi durduruyor.** Birim kurstan kursa değişti — yol, kalem, iddia, halka, dakika, yarıçap, sıra — ama soru değişmedi. Hiçbir kurs "güvenli" sözcüğünü bir sonuç olarak kullanmadı, çünkü ölçülen şey her zaman **kalan yoldu**: kapatılamayan tutunma noktası, doğrulanamayan iddia, kırılmayan halka, kanıtsız gereksinim, yetişilemeyen kalem. Kapanış bu yüzden tek bir kuralla yazılır: **bedeli yazılmayan savunma ölçülmemiş sayılır.** Kaç meşru istek reddedildi, kaç kesinti üretildi, kaç saat harcandı, kaç kalem elle yönetildi — bu sütun boşsa geriye kalan sayı bir ölçüm değil, bir iddiadır. Bu müfredatın bıraktığı şey savunmaların listesi değil, o sütunu doldurma alışkanlığıdır.