Siber Güvenlik Bütçesi Nasıl Planlanır? Kalem Kalem Rehber
Kısa Cevap
Siber güvenlik bütçesi, önce korunacak varlıklar ve riskler belirlenerek, ardından donanım, abonelik ve lisans, kurulum, yönetim ve izleme, eğitim, test ve isteğe bağlı siber sigorta kalemleri çok yıllı bir takvime yayılarak planlanır. Sağlıklı bir bütçe tek seferlik yatırımları (CapEx) ve yinelenen giderleri (OpEx) ayrı gösterir. Bütçe kısıtlıysa öncelik, en büyük riski en az maliyetle azaltan kalemlere verilir.
Siber güvenlik bütçesi nasıl planlanır?
Siber güvenlik bütçesi; önce korunacak varlıklar ve riskler belirlenerek, ardından bu risklere karşılık gelen kalemler (donanım, abonelik ve lisanslar, kurulum, yönetim ve izleme, eğitim, test ve gerekirse siber sigorta) çok yıllı bir takvime yayılarak planlanır. Sağlıklı bir bütçe, tek seferlik satın almaları ve yıllık yinelenen giderleri ayrı ayrı gösterir ve öncelikleri risk sıralamasına göre belirler.
Bu yazıda tutar veya oran vermiyoruz; çünkü doğru tutar, işletmenin büyüklüğüne, sektörüne, mevcut altyapısına ve risk iştahına göre çok farklılaşır. Bunun yerine, bütçenizi hazırlarken hiçbir kalemi atlamamanızı sağlayacak bir çerçeve sunuyoruz.
Bütçe planlamasına nereden başlamalı?
Bütçe planlaması bir ürün listesiyle değil, "neyi korumamız gerekiyor ve bunu kaybedersek ne olur?" sorusuyla başlar. Bu soruya verilen cevap, harcamanın nereye yönlendirileceğini belirler.
Başlangıç için şu adımlar izlenebilir:
- Varlık listesi: Kritik sistemler (ERP, muhasebe, e-posta, dosya sunucusu, üretim sistemleri, web sitesi) ve kritik veriler (müşteri, personel, finans, tasarım) listelenir.
- Etki değerlendirmesi: Her sistemin bir gün durması veya verinin sızması halinde işe, müşteriye ve yasal yükümlülüklere etkisi nitel olarak (yüksek / orta / düşük) değerlendirilir.
- Mevcut durum: Hangi önlemlerin zaten var olduğu, hangilerinin eksik veya güncelliğini yitirmiş olduğu çıkarılır. Bunun için KOBİ siber güvenlik kontrol listemizi kullanabilirsiniz.
- Zorunluluklar: KVKK teknik tedbirleri, sektör düzenlemeleri, müşteri sözleşmelerindeki güvenlik maddeleri ve denetim gereksinimleri not edilir.
Bu çalışmanın sonunda elinizde, "eksik ve kritik" olarak işaretlenmiş bir öncelik listesi olur. Bütçe, bu listeyi kapatmak için hazırlanır.
Bütçede hangi kalemler yer almalı?
Bir siber güvenlik bütçesi yalnızca cihaz ve yazılım alımından oluşmaz; çoğu zaman gözden kaçan kalemler kurulum, yönetim ve eğitimdir. Aşağıdaki tablo ana kalemleri ve her birinde nelere dikkat edilmesi gerektiğini özetler:
| Kalem | Neleri kapsar? | Gider türü | Dikkat edilecek nokta |
|---|---|---|---|
| Donanım | Firewall, ağ anahtarı, yedekleme cihazı, sunucu | Genellikle tek seferlik (CapEx) | Cihazın üretici destek ömrü ve kapasite payı |
| Abonelik ve lisans | Firewall güvenlik servisleri, EDR, e-posta güvenliği, DLP, MFA, yedekleme yazılımı | Yinelenen (OpEx) | Yenileme tarihleri, kullanıcı/cihaz sayısındaki artış |
| Kurulum ve proje | Keşif, tasarım, yapılandırma, geçiş, belgeleme | Genellikle tek seferlik | Kapsamın yazılı olması, kapsam dışı işlerin ücretlendirmesi |
| Yönetim ve izleme | Kural değişiklikleri, güncellemeler, log izleme, SOC/MDR hizmeti | Yinelenen | İç kaynakla mı, dış hizmetle mi yapılacağı |
| Eğitim ve farkındalık | Çalışan bilgilendirme, oltalama simülasyonu, BT ekibi teknik eğitimi | Yinelenen | Düzenli tekrar gerektirmesi |
| Test ve değerlendirme | Sızma testi, zafiyet taraması, yapılandırma denetimi | Periyodik | Bulguları kapatmak için ayrıca kaynak gerekmesi |
| Uyum ve danışmanlık | KVKK teknik tedbirleri, ISO/IEC 27001 hazırlığı, politika yazımı | Proje bazlı veya yinelenen | İç ekibin ayırabileceği zaman |
| Olay müdahale hazırlığı | Müdahale planı, dış destek anlaşması, yedekten dönüş testleri | Periyodik | Olay anında hızla devreye girebilmesi |
| Siber sigorta (isteğe bağlı) | Olay sonrası maddi zararların bir kısmının karşılanması | Yinelenen | Poliçe koşulları ve sigortacının istediği asgari önlemler |
Siber sigortayı düşünüyorsanız, sigorta şirketlerinin genellikle MFA, yedekleme ve uç nokta koruması gibi asgari önlemlerin varlığını sorduğunu unutmayın; bu önlemler hem sigortalanabilirliği hem de poliçe koşullarını etkileyebilir. Poliçe kapsamını ve şartlarını sigorta şirketinizle ayrıntılı olarak değerlendirin.
CapEx ve OpEx ayrımı neden önemli?
CapEx (yatırım harcaması) bir kez yapılan ve birkaç yıl boyunca kullanılan donanım gibi alımları, OpEx (işletme gideri) ise abonelik, hizmet ve eğitim gibi düzenli giderleri ifade eder. Bu ayrım, hem finans ekibinin bütçeyi muhasebeleştirme biçimini hem de yönetimin onay süreçlerini etkiler.
Siber güvenlikte giderek daha fazla kalem OpEx'e kaymaktadır: güvenlik servisleri, bulut tabanlı çözümler ve yönetilen hizmetler yinelenen giderlerdir. Bunun pratik sonuçları:
- Donanım bir kez alınır ama tek başına yetmez: Bir firewall'un güvenlik değeri, aboneliği sürdüğü sürece devam eder. Donanım bütçesi onaylanırken abonelik yenilemesi de sonraki yılların bütçesine yazılmalıdır.
- Yinelenen giderler büyüyebilir: Kullanıcı ve cihaz sayısı arttıkça lisans maliyetleri de artar.
- Hizmet modelleri esneklik sağlar: Bazı kalemler satın almak yerine hizmet olarak alınarak yatırım ihtiyacı azaltılabilir; bu da uzun vadede toplam maliyetle birlikte değerlendirilmelidir.
Çok yıllı lisanslama bütçeye nasıl yansır?
Birçok güvenlik ürünü bir, üç veya beş yıllık abonelik seçenekleriyle sunulur. Çok yıllı lisans, yıllık yenileme işinden kurtarır ve bütçeyi belirli bir dönem için sabitler; buna karşılık başlangıçta daha büyük bir ödeme gerektirir ve ihtiyaç değişirse esnekliği azaltır.
Çok yıllı lisans kararı verirken şunları değerlendirin:
- [ ] Cihaz veya yazılımın üretici destek ömrü, lisans süresinden uzun mu?
- [ ] Önümüzdeki dönemde kullanıcı sayısında veya şube sayısında büyük bir değişiklik bekleniyor mu?
- [ ] Nakit akışı, peşin ödemeye mi yoksa yıllık ödemeye mi daha uygun?
- [ ] Kur değişimlerinin bütçe üzerindeki etkisi nasıl yönetilecek?
- [ ] Farklı ürünlerin yenileme tarihleri tek bir döneme toplanabilir mi?
FortiGate özelinde maliyeti etkileyen kalemleri (model, lisans paketi, süre, HA, kurulum kapsamı) FortiGate fiyatları sayfamızda kalem kalem açıkladık.
Öncelikler risk sırasına göre nasıl belirlenir?
Bütçe kısıtlı olduğunda öncelik, "en büyük riski en az maliyetle en çok azaltan" kalemlere verilir. Bunun için basit bir risk matrisi kullanılabilir: her eksik önlem için olasılık ve etki ayrı ayrı yüksek, orta veya düşük olarak işaretlenir.
| Öncelik | Olasılık / etki | Örnek kalemler | Yaklaşım |
|---|---|---|---|
| 1 | Yüksek olasılık, yüksek etki | MFA eksikliği, test edilmemiş yedekler, abonelikleri bitmiş firewall | Bu dönem içinde kapatılır |
| 2 | Yüksek olasılık, orta etki veya orta olasılık, yüksek etki | E-posta güvenliği, uç nokta koruması, güncelleme süreci | Bu yıl planlanır |
| 3 | Orta olasılık, orta etki | DLP, ağ bölümlendirme, log merkezi | Önümüzdeki dönem için bütçelenir |
| 4 | Düşük olasılık veya düşük etki | Gelişmiş ek özellikler | İzlenir, ihtiyaca göre değerlendirilir |
Bu tablo örnek niteliğindedir; sizin için hangi kalemin hangi seviyede olduğu, varlık listenize ve mevcut durumunuza göre değişir.
Yönetime bütçe nasıl sunulmalı?
Yönetim, teknik ürün listesinden çok iş riskini ve bu riskin nasıl azaltılacağını görmek ister. Bütçe sunumunu şu sırayla yapılandırmak kararı kolaylaştırır:
- Mevcut durum: Kontrol listesine göre güçlü ve zayıf alanlar.
- Riskler: Zayıf alanların işe olası etkisi, sade dille ve somut senaryolarla (ör. "muhasebe sunucusu şifrelenirse fatura kesilemez").
- Öneri: Her risk için önerilen önlem, tek seferlik ve yinelenen maliyet kalemleri.
- Takvim: Hangi önlemin hangi dönemde hayata geçeceği.
- Ölçüm: Başarının nasıl takip edileceği (ör. MFA kapsamındaki hesap oranı yerine "MFA'sız kritik hesap kalmadı" gibi net hedefler).
Bütçede en sık yapılan hatalar nelerdir?
- Donanımı bütçeleyip sonraki yılların abonelik yenilemesini unutmak
- Kurulum ve belgelemeyi "ürünle birlikte gelir" sanmak
- Yönetim ve izleme için iç kaynak veya dış hizmet ayırmamak
- Sızma testi yaptırıp bulguları kapatacak kaynağı planlamamak
- Eğitimi tek seferlik bir etkinlik olarak görmek
- Önceliği riske göre değil, en çok konuşulan ürüne göre belirlemek
Sonuç
Siber güvenlik bütçesi, risklerden başlayıp kalemlere inen, tek seferlik ve yinelenen giderleri ayıran ve çok yıllı düşünülen bir plandır. Doğru tutar her işletme için farklıdır; önemli olan hiçbir kalemin gözden kaçmaması ve harcamanın en büyük riskleri azaltacak şekilde sıralanmasıdır.
Mevcut durumunuzu değerlendirip önceliklendirilmiş bir yol haritası ve bütçe çerçevesi oluşturmak için siber güvenlik danışmanlığı sayfamıza göz atabilir veya doğrudan danışmanlık teklifi isteyebilirsiniz. Sürekli izleme ihtiyacı bütçenizde yer alacaksa yönetilen güvenlik hizmetleri (SOC) sayfamız da fikir verebilir.
Bu konuda kurumunuz için bir değerlendirme mi gerekiyor?
Mevcut yapınızı ve kullanıcı sayınızı yazın; uygulanabilir seçenekleri kalem kalem anlatalım.
Sıkça Sorulan Sorular
Siber güvenliğe ne kadar bütçe ayrılmalı?
Doğru tutar işletmenin büyüklüğüne, sektörüne, mevcut altyapısına ve risk seviyesine göre çok farklılaştığı için genel bir rakam vermek yanıltıcı olur. Daha sağlıklı yöntem, varlıkları ve riskleri belirleyip bu riskleri azaltacak kalemleri öncelik sırasına göre fiyatlandırmaktır.
Bütçede en sık unutulan kalem hangisi?
En sık unutulan kalemler, donanım alındıktan sonraki yılların abonelik yenilemeleri ile yönetim ve izleme giderleridir. Bir güvenlik cihazının değeri, servisleri güncel tutulduğu ve düzenli yönetildiği sürece devam eder.
Çok yıllı lisans almak mantıklı mı?
Çok yıllı lisans, bütçeyi belirli bir dönem için sabitler ve yıllık yenileme iş yükünü azaltır. Ancak başlangıçta daha büyük ödeme gerektirir ve ihtiyaç değişirse esnekliği azaltır. Cihazın destek ömrü ve büyüme planları dikkate alınarak karar verilmelidir.
Siber sigorta bütçeye dahil edilmeli mi?
Siber sigorta isteğe bağlı bir kalemdir ve olay sonrası bazı maddi zararları karşılamaya yöneliktir; teknik önlemlerin yerini tutmaz. Sigorta şirketleri genellikle MFA ve yedekleme gibi asgari önlemleri sorduğu için önce bu temellerin tamamlanması önerilir.
Yönetimi siber güvenlik bütçesine nasıl ikna edebilirim?
Teknik ürün listesi yerine iş riskini öne çıkarın: hangi sistem durursa işin nasıl etkileneceğini somut senaryolarla anlatın. Ardından her risk için önerilen önlemi, maliyet türünü ve takvimi sade bir tabloyla sunun.
