TPRM – Third-Party Risk Management: Üçüncü Taraf Risk Yönetimi Soru-Cevap Rehberi

Günümüzde kurumların güvenliği yalnızca kendi sistemlerinden ibaret değildir. Tedarikçiler, iş ortakları, hizmet sağlayıcılar ve dış kaynak kullanılan yapılar, kurumların verilerine ve sistemlerine doğrudan ya da dolaylı olarak erişebilir. Bu nedenle üçüncü taraflardan kaynaklanan risklerin yönetilmesi, siber güvenlik stratejisinin önemli bir parçası haline gelmiştir.

Soru 1: Üçüncü Taraf Risk Yönetimi (TPRM) nedir?

TPRM (Third-Party Risk Management), bir kurumun birlikte çalıştığı üçüncü taraflardan kaynaklanabilecek güvenlik, operasyon, uyumluluk, veri ve benzeri riskleri belirlemeye, değerlendirmeye ve azaltmaya yönelik bir risk yönetimi yaklaşımıdır.

Günümüzde tedarikçiler, iş ortakları ve hizmet sağlayıcılar çoğu zaman kurumun işlediği kritik verilere, sistemlere ve süreçlere doğrudan erişim sahibi olur. Bu nedenle temel amaç, kurumun yalnızca kendi sistemlerinin güvenliğini sağlamak değil, aynı zamanda üçüncü tarafların oluşturduğu riskleri de yönetilebilir hale getirmektir.

Soru 2: Üçüncü taraf riskleri son yıllarda neden daha kritik hale geldi?

Kurumlar üçüncü taraflara daha bağımlı hale geldikçe, yetkisiz kişilerin erişim sağlayabileceği potansiyel noktalar artar ve saldırı yüzeyi önemli ölçüde genişler. Tedarikçilerin sayıca fazla olması da bu tabloda belirleyici bir faktördür.

Her bir üçüncü taraf, veri ihlalleri, siber saldırılar ve operasyonel kesintiler açısından potansiyel bir güvenlik açığı ve saldırı noktası oluşturabilir. Saldırganlar da bu gerçeğin farkındadır. Doğrudan iyi korunan bir kuruma saldırmak yerine, o kuruma hizmet veren daha zayıf bir halkayı hedef almak çoğu zaman daha düşük maliyetli ve daha kolay bir yöntemdir. Bu bağlamda üçüncü taraf risk yönetimi, veri sızıntılarını önlemek, itibarı korumak ve operasyonların kesintiye uğramasını engellemek açısından kritik bir role sahiptir.

Soru 3: Kimler üçüncü taraf sayılır?

Kurumun verisine, sistemine ya da süreçlerine erişebilen her dış kuruluş üçüncü taraf olarak değerlendirilebilir. Bulut ve SaaS sağlayıcıları, yazılım tedarikçileri, danışmanlık firmaları, çağrı merkezleri, bordro ve muhasebe hizmeti veren şirketler bu kapsama girer.

Kurumlar çoğu zaman yalnızca BT tedarikçilerini üçüncü taraf olarak değerlendirir. Ancak riskin kaynağı, bazı durumlarda tedarikçi listelerinde görünmeyen ya da yeterince takip edilmeyen taraflar olabilir.

Soru 4: Tedarikçi kaynaklı bir veri ihlalinde sorumlu kimdir?

Veri ihlali tedarikçi tarafında yaşansa bile, etkilenen veri kurumunuzun müşterilerine aitse sorumluluk tamamen tedarikçiye devredilmiş sayılmaz. KVKK kapsamında veri sorumlusu, kişisel verilerin neden ve nasıl işleneceğine karar veren taraftır. Tedarikçi ise çoğu durumda bu verileri kurum adına işleyen taraf konumundadır. Bu nedenle “ihlal tedarikçiden kaynaklandı” demek, hukuki ve itibari açıdan tek başına yeterli bir koruma sağlamaz.

Soru 5: Tedarikçileri yılda bir kez değerlendirmek yeterli midir?

Hayır, yeterli değildir. Anket bir fotoğraftır, film değil. Tedarikçinin yalnızca belirli bir tarihte kendisi hakkında verdiği beyanı gösterir. Anket doldurulduktan bir hafta sonra tedarikçinin bir sunucusu yamasız kalabilir, kimlik bilgileri sızabilir ya da güvenlik duruşunda önemli bir değişiklik meydana gelebilir. Bu nedenle değerlendirme yalnızca bir başlangıç noktası olarak görülmeli ve üzerine sürekli izleme katmanı eklenmelidir.

Soru 6: TPRM’e başlamak isteyen bir kurum ilk ne yapmalı?

Envanterinizde olmayan bir tedarikçiyi yönetemezsiniz. İlk adım, çalıştığınız tüm üçüncü tarafların listesini çıkarmaktır. Ardından her bir üçüncü taraf için şu sorular yanıtlanmalıdır: Hangi veriye erişiyor? Sistemlerimize ne düzeyde bağlantısı var? Hizmeti durursa hangi iş süreci etkilenir? Bu yanıtlar, hangi tedarikçinin ne kadar derinlikte inceleneceğini ve hangi risk seviyesinde ele alınacağını belirler.

Sonuç olarak, kurumların güvenlik duruşu artık yalnızca kendi ağlarının sınırlarıyla ölçülmüyor. Saldırganlar, doğrudan iyi korunan bir kurumu hedef almak yerine, güvenlik seviyesi daha düşük olan bir tedarikçi üzerinden kuruma erişmeye çalışabiliyor. Bu nedenle Üçüncü Taraf Risk Yönetimi, tek seferlik bir değerlendirme çalışması değildir. Envanter, risk sınıflandırması, değerlendirme ve sürekli izleme adımlarının birlikte işlediği yaşayan bir süreç olarak ele alınmalıdır.

Natica, Üçüncü Taraf Risk Yönetimi çözümleri ve TPRM yönetilen hizmeti kapsamında tedarikçi envanterinin oluşturulmasından risk değerlendirme süreçlerine ve sürekli izleme faaliyetlerine kadar kurumlara uçtan uca destek sunar.