Orta Ölçekli Şirketlerde Siber Güvenlik Bütçesi Nasıl Dağıtılmalı?

Orta ölçekli şirketler büyük şirketlerle aynı siber tehditlerle karşılaşıyor, ama aynı bütçeye sahip değil. Bu yüzden en etkili yaklaşım, bütçeyi risklere göre akıllıca dağıtmak. Siber olay verilerine dayanan analizler, şirketlerin bütçelerini çoğu zaman alışkanlıklara göre organize ettiğini gösteriyor. Bu yazıda verilerin neyi önerdiğini ve örnek bir bütçe dağılımını ele alıyoruz.

Şirketler bütçeyi çoğu zaman yanlış yere harcıyor

Şirketler siber güvenliğe az para harcamıyor. Ama genellikle bütçe, en çok konuşulan ürünlere veya en tanıdık çözümlere gidiyor.

Sigorta ve risk danışmanlığı grubu Marsh McLennan, 2025'te yayımladığı Cybersecurity Signals raporunda kurumların güvenlik kontrollerini siber olay verileriyle karşılaştırdı ve 12 yaygın kontrolü ihlal riskini azaltma etkisine göre sıraladı. İlk dört sıra şöyle:

1. Uç nokta tespit ve müdahale (EDR)
2. Log toplama ve izleme
3. Güvenlik farkındalığı eğitimi ve phishing testleri
4. Siber olay müdahale planı

Çok faktörlü kimlik doğrulama (MFA) ilk sıralarda yer almadı. Rapora göre MFA artık neredeyse her kurumda olduğu için fark yaratan bir kontrol olmaktan çıktı. Fark yaratan, kimlik avına dirençli MFA'nın tüm hesaplarda uygulanması.

MFA'nın önemi azaldı mı?

Hayır. MFA hâlâ temel bir kontrol. Ancak artık tek başına yeterli bir sinyal değil. Saldırganlar MFA'yı atlatmanın yollarını buldu: oturum çalan sahte giriş sayfaları, kullanıcıdan kodu telefonda isteyen sahte destek aramaları ve yedek giriş yöntemlerinin istismarı bunlardan bazıları.

Aynı ekibin 2023'teki çalışmasında ise otomatik sistem sıkılaştırma ilk sıradaydı. Bu sıralamaların asıl mesajı şu: Hangi kontrolün öncelik kazandığı, şirketinizin gerçek risk profiline göre belirlenmeli.

Farkındalık eğitimi neden bütçede gölgede kalıyor?

Marsh'ın 2025 verisinde üçüncü sıradaki farkındalık eğitimi ve phishing testleri, birçok teknik kontrolden daha güçlü bir sinyal veriyor. Rapor ayrıca sıklıktan çok kalitenin, yani güncel içerik ve gerçekçi simülasyonların sonuçla ilişkili olduğunu gösteriyor. Yine de bu kalem bütçelerde genellikle teknik araçların gölgesinde kalıyor.

Bunun bir nedeni var: Farkındalık eğitiminin etkisini ölçmek zor. Tamamlama oranı bir şey ifade etmiyor. Ölçemediğiniz bir şeye bütçe ayırmak da zorlaşıyor. Simülasyon verileri ve davranış ölçümleri bu yatırımı görünür kılmanın yoludur.

Örnek bir bütçe dağılımı

Orta ölçekli şirketlerin genel olarak IT bütçelerinin yüzde 10 ile 12'si arasını siber güvenliğe ayırdığı görülüyor. Bu bütçe için dengeli bir dağılım şöyle olabilir:

Bu oranlar bir başlangıç noktasıdır. Sektörünüz, işlediğiniz veri ve mevcut olgunluk seviyeniz dağılımı değiştirir.

Bütçe kararlarından önce temel hijyen

Hiçbir bütçe dağılımı temel hijyeni ihmal eden bir kurumu korumaz. Altı temel alışkanlık şöyle özetlenebilir:

1. Varlık takibi: Bilmediğiniz cihazı koruyamazsınız. Donanım, yazılım ve servis envanteri güvenliğin ilk adımıdır.
2. Kimlik ve erişim yönetimi: İzinleri kişilere değil, rollere ve gruplara atayın.
3. Çalışan farkındalığı: En güçlü güvenlik duvarı bile sahte bir e-posta üzerinden süreci ihlal eden bir çalışanı durduramaz.
4. Süreç disiplini: Para transferi gibi kritik taleplerde telefonla geri arayıp doğrulamak gibi basit prosedürler ciddi zararları önler.
5. Yama önceliklendirme: Her şey acilse hiçbir şey acil değildir. İnternete açık ve kritik sistemlere öncelik verin.
6. Görevler ayrılığı: Kritik işlemlerde aynı kişi hem başlatan hem onaylayan olmamalı.

2026-2027'de neler değişecek?

Yapay zeka destekli saldırıların artması, regülasyon baskısının yükselmesi ve güvenlik uzmanı bulmanın zorlaşması bekleniyor. Bu tablo, orta ölçekli şirketler için güçlü dış kaynak hizmetleri ile düzenli farkındalık programlarını birleştiren dengeli bir modeli öne çıkarıyor.

Sık sorulan sorular

---
InfoLore, farkındalık yatırımınızı simülasyon verileri ve davranış ölçümleriyle görünür kılar. Bütçe planlamanızda bu kalemi birlikte değerlendirmek için bize ulaşabilirsiniz.