Siber güvenlik bütçeleri arttıkça, yapay zekanın benimsenmesi yaygınlaştıkça ve yönetim kurulunun beklentileri arttıkça CISO’ların sorumluluğu da artıyor. Risk yönetimi artık daha hızlı kararlara, daha güçlü koordinasyona ve liderlik ekipleri arasında daha iyi iletişime bağlı. Bu makale, CISO’ların artan baskıya, devam eden tehditlere ve organizasyonel boşluklara nasıl yanıt verdiğini ve artan yatırımı risk azaltma ve dayanıklılığa dönüştürmeye çalıştığını gösteriyor.
CISO’lar büyük harcamalar yapıyor ve hâlâ zemin kaybediyor
Bütçeler artmaya devam ediyor, bulut programları genişlemeye devam ediyor ve yapay zeka hem tehditleri hem de savunmaları yeniden şekillendiriyor. Yine de CISO’lar, risk azaltma temellerinin yeterince hızlı gelişmediğini söylüyor. Kuruluşlar, sektörler genelinde siber güvenlik harcamalarını artırmaya devam ediyor. Bu büyümeye rağmen katılımcılar, programlarının tehdit ortamının şu anki taleplerini karşılamada yetersiz kaldığını söylüyor.
CISO’lar kriz çerçevesinin nasıl olması gerektiğini sorguluyor
CISO’lar giderek bir sonraki ihlalin yaklaştığını varsayıyor. Onları en çok endişelendiren şey, ekiplerinin olayı, sonuçları sınırlandıracak kadar hızlı anlayıp anlayamayacakları. %84’ü başarılı bir ihlalin kaçınılmaz olduğunu söylüyor. Bu inanç, bir olay sırasında bütçeleri, personel planlarını ve beklentileri şekillendirir. Ayrıca tespit ve soruşturma arasındaki boşluğu daraltma baskısını da artırır.
CISO’lar baskı altında çatlıyor
Siber güvenlik liderleri sınırlarına ulaşıyor. Çoğu CISO, aralıksız olaylarla, çok fazla araçla ve yönetim kurullarının artan baskısıyla uğraşarak zayıflıyor. Baskılar o kadar yoğun ki çoğu kişi tükendiğini ve çekip gitmeyi düşündüğünü söylüyor.
Siber güvenlik liderleri siber olayları yöneticilere eksik rapor ediyor
Siber saldırılar daha sık ve şiddetli hale geliyor; ankete katılan güvenlik liderlerinin %71’i saldırıların geçtiğimiz yıl daha yaygın hale geldiğini söylüyor ve %61’i olaylar meydana geldiğinde daha büyük etki bildiriyor. Ankete katılan güvenlik liderlerinin yaklaşık yüzde 80’i önümüzdeki yıl bir ulus devlet saldırısının hedefi olmaktan endişe duyduklarını söyledi.
CISO’lar, güvenlik açıklarını takip etmeyi bırakın ve insan riskini yönetmeye başlayın
Kuruluşların yüzde altmış dördü, son 12 ay içinde şifreli veya resmi olmayan kanallar aracılığıyla kötü niyetli bir sosyal mühendislik girişimini doğruladı. Ankete katılan CISO’ların hiçbiri WhatsApp, Signal veya benzer uygulamalar üzerinden saldırı simülasyonu yaptığını bildirmedi. Çalışanların tehditleri tespit ettiğine olan güven de çok düşük.
CISO’lar risk, baskı ve yönetim kurulu beklentilerini nasıl dengeliyor?
Yapay zeka, CISO gündeminin en üst sıralarına yerleşti. Beş CISO’dan üçü üretken yapay zekayı bir güvenlik riski olarak görüyor ve birçoğu hassas verilerin kamuya açık araçlar aracılığıyla sızmasından endişe ediyor. Aynı zamanda çoğu kuruluş yapay zekayı doğrudan engellemiyor. Bunun yerine, çalışanların verileri ifşa etmeden bu araçları kullanabilmesi için korkuluklar yerleştirmeye çalışıyorlar.
CISO’ların yapay zekaya geçmeden önce riskleri düşünmesi gerekiyor
Kuruluşlar buluta, yapay zekaya ve gelişen teknolojilere yatırımlarını artırıyor ancak altyapıları ve güvenlik stratejileri çoğu zaman geride kalıyor. İş dünyası ve BT liderleri, bir sonraki teknoloji dalgası gelmeden önce nelerin yerine getirilmesi gerektiği konusunda her zaman aynı fikirde olmayabilir. Ankete katılanların yüzde seksen beşi siber güvenlik duruşlarının reaktif olduğunu, yani olayları önlemekten çok onlara müdahale etmeye odaklandıklarını söyledi.
CISO’lar karmaşık bir araç, tehdit ve yapay zeka belirsizliği karmaşasıyla karşı karşıyadır
Çoğu kuruluş çok fazla araçla hokkabazlık yapıyor, güvenlik kör noktalarıyla mücadele ediyor ve yönetişim olmadan yapay zekayı benimsemeye yöneliyor. Birleşik BT mimarisi, sıfır güven güvenliği ve yapay zekanın benimsenmesi artık karmaşıklığı ve riski azaltmak için hayati önem taşıyor. CISO’lar için bu, ekipler arasında daha iyi uyumun sağlanması ve platformlar, araçlar ve ortaklıklar hakkında stratejik kararlar alınması anlamına geliyor.
Sızma testi artık CISO stratejisinin merkezinde yer alıyor
Dijital tedarik zincirleri genişledikçe ve üretken yapay zeka kritik sistemlere yerleştikçe güvenlik liderleri siber güvenliğe yaklaşımlarını yeniden düşünüyor. %68’i üçüncü taraf yazılım ve bileşenlerin oluşturduğu risklerden endişe duyuyor. Çoğu kişi yasal gereklilikleri karşıladıklarını söylese de %60’ı saldırganların dayanıklılığı koruyamayacak kadar hızlı geliştiğini kabul ediyor.
Yapay zeka vCISO oyununu değiştiriyor
Sanal CISO (vCISO) hizmetleri nişten ana akıma geçti; vCISO hizmetlerinin benimsenmesi 2025 verileri yalnızca bir yılda üç kattan fazla artış gösterdi. MSP’lerin ve MSSP’lerin artık %67’si vCISO hizmetleri sunuyor; bu oran 2024’te sadece %21’di. Bu keskin artış, benimsemeyenlerin neredeyse dörtte üçünün bu hizmetleri 2025 sonuna kadar başlatmayı planladıklarını belirttiği önceki yılın tahminleriyle uyumlu.
Üst düzey yöneticiler OT siber güvenliğini artırıyor ve bunun karşılığını alıyor
Siber güvenliği CISO veya diğer yöneticilere entegre etmeyi planlayan şirketlerin küresel eğiliminde önemli bir artış oldu. Sorumluluk üst düzey liderliğe doğru kaymaya devam ettikçe, OT güvenliği yönetim kurulu düzeyinde yüksek profilli bir konu haline geliyor. Kuruluşların %52’si CISO’nun OT’den sorumlu olduğunu bildiriyor; bu oran 2022’de %16’ydı.
CISO’lar GenAI stratejisi, becerileri ve altyapısındaki boşlukları işaretliyor
Üst düzey yöneticilerin %95’i GenAI’nin kuruluşlarında yeni bir inovasyon düzeyine öncülük ettiğini söylüyor. CEO’lar ve iş liderleri GenAI’yi benimsemeye kararlıyken, CISO’lar ve operasyonel liderler dağıtımla ilişkili güvenlik risklerini ve altyapı zorluklarını ele almak için gerekli rehberlik, netlik ve kaynaklardan yoksundur.
CISO’lar alan bazlı siber tehditlerdeki artışa hazırlanıyor
Siber güvenlik tehditleri giderek daha karmaşık hale geliyor ve alan tabanlı saldırılar bu değişimin merkezinde yer alıyor. Ortaya çıkan yeni zorluklara rağmen birçok CISO, ihtiyaç duydukları kaynakları güvence altına almakta zorlanıyor. Tehdit seviyeleri artmaya devam etse de yalnızca yüzde 7’si siber güvenlik bütçelerinin yıldan yıla önemli ölçüde arttığını söyledi.
CISO’ların neden yapay zeka teknoloji yığınını anlaması gerekiyor?
Yapay zeka yayıldıkça riskler de artıyor. Güvenlik liderlerinden henüz tam olarak anlamadıkları sistemleri korumaları isteniyor ve bu bir sorun. Yapay zekayı güvence altına almak, korumaları yığının tamamına yerleştirmek ve bu katmanların birlikte nasıl çalıştığını anlamak anlamına gelir. Yığının çoğu teknik olsa da yönetişim katmanı politikaya, etik değerlere ve gözetime odaklanır ve en az olgun olanıdır. Ancak bu, CISO’ların bunu görmezden gelebileceği anlamına gelmez.
CISO’lar operasyonel tehdit istihbaratı entegrasyonu çağrısında bulunuyor
CISO’ların %98’i tehdit istihbaratını kullanırken zorluklarla karşılaşıyor. En büyük sorunlar değişen tehditlere, entegrasyon zorluklarına ve düzenleyici kurallara ayak uydurabilmektir. Sonuç olarak tehdit istihbaratı, dayanıklılık oluşturmak, müdahaleyi hızlandırmak ve tehditlerin önünde kalmak için yerleşik, proaktif bir strateji yerine varsayılan olarak bir iş akışı içinde reaktif bir işleve geçer.
CISO’ların riski eyleme dönüştürmek için daha iyi araçlara ihtiyacı var
Birçok kuruluş, BT sistemlerinin karmaşıklığı nedeniyle bunalmakta ve bu da siber güvenlik risklerini yönetmeyi zorlaştırmaktadır. Güvenlik profesyonellerinin yalnızca %40’ı liderlerinin riskleri yöneticilere iletmede etkili olduğunu söylüyor. Maruz kalma yönetimi burada da yardımcı olabilir. Güvenlik geçmişi olmayan yöneticiler için bile güvenlik ekiplerine riskleri açıklamak ve bu riskleri iş sonuçlarıyla ilişkilendirmek için kullanabilecekleri bir çerçeve sağlar.
CISO’lar yapay zeka dolandırıcılık savaşında nasıl zemin kazanabilir?
Suçlular yapay zekayı çoğu kuruluştan daha iyi kullanıyor. Ankete katılan dört kişiden üçü, dolandırıcıların şu anda derin sahte dolandırıcılık, sentetik kimlikler ve koordineli kimlik avı için üretken yapay zeka konusunda avantaja sahip olduğunu söyledi. Katılımcıların yalnızca %12,5’i şu anda meşru kuruluşların kötü aktörlerden daha fazla fayda sağladığına inanıyor.
CISO’lar siber güvenlik harcamalarını optimize etmek için yapay zeka odaklı otomasyona öncelik veriyor
Yapay zekanın siber güvenliğe entegrasyonu, kuruluşların siber tehditleri tespit etme, önleme ve bunlara yanıt verme biçimini önemli ölçüde değiştirme ve güvenlik duruşlarını geliştirme potansiyeline sahiptir. Birçok CISO, tehdit algılama ve yanıt sürelerini (%31) iyileştirmek ve gelişmiş olay müdahale yetenekleri (%24) oluşturmak için yapay zekadan yararlanıyor.
Şirketinizi riske sokan üst düzey yönetici açığı
CISO’ların kıdemli liderlerin siber tehditlerin ne kadar ciddi olduğunu tam olarak anlamadıklarını düşünme olasılıkları daha yüksektir. CISO’ların yaklaşık %68’i üst düzey yöneticilerin tehlikeyi hafife aldığını söyledi. Diğer üst düzey yöneticilerin yalnızca %57’si bu görüşe katılıyor. İki grup aynı zamanda geçmiş siber olayların arkasında kimin olduğu konusunda da aynı fikirde değil. Diğer yöneticilerin %47’sine kıyasla daha fazla CISO (%57) siber suçluların sorumlu olduğunu söyledi. CISO’ların ayrıca içeriden gelen tehditlere işaret etme olasılığı daha yüksekti; %47’si bir çalışanın neden olduğu bir olay yaşadıklarını söylerken, üst düzey yöneticilerin yalnızca %31’i aynı şeyi söyledi. Bu farklılıklar gelecekteki saldırılara hazırlanmayı zorlaştırabilir.
Bulut sağlayıcıları güvenlik vaatlerini yerine getirmiyor
Bulut ortamlarıyla ilgili güvenlik endişeleri, CISO’ların %44’ünün bulut hizmet sağlayıcısını değiştirmesine neden oldu. Bunun nedeni, %24’ünün bulut ortamlarının güvenli olduğuna inanmaması ve %43’ü, bulut hizmet sağlayıcılarının alacakları güvenlik koruması konusunda gereğinden fazla söz verdiklerini düşünmeleridir.
Çoğu kuruluş, CISO sorumluluk riskini azaltmak için politikalarını değiştirir
Kuruluşların %93’ü, CISO’ların kişisel sorumluluklarının artmasıyla ilgili endişeleri gidermek için önceki 12 ay içinde politika değişiklikleri yaptı. Bu, beş kuruluştan ikisinin (%41) yönetim kurulu düzeyinde stratejik kararlara CISO katılımını artırmasını içeriyor.
CISO’ların %74’ü kriz simülasyon bütçelerini artırıyor
Birleşik Krallık ve ABD’deki birçok CISO, kuruluşlarının bir siber krizle başa çıkma becerisinden endişe duyuyor. Bunun birkaç nedeni var: Siber olayların artan hacmi (%31), olay müdahale planlamasının eksikliği (%20) ve gerçekçi, stres testi yapılmış kriz simülasyonlarının eksikliği (%19). Bu, CISO’ları güvenlik duruşunu korumaya çalışırken bütçelerini krize hazırlık için yeniden tahsis etmeye itiyor.
CISO’ların neredeyse yarısı artık CEO’lara rapor veriyor ve bu da artan nüfuzlarını gösteriyor
CISO’nun üst düzey yöneticilere yükselişi, yönetim kurulu odasıyla daha fazla etkileşim, CEO’yla daha fazla etkileşim ve iş için stratejik kararlar alma gücüyle birlikte geliyor. Ankete katılan CISO’ların %82’si artık doğrudan CEO’ya rapor veriyor; bu oran 2023’teki %47’ye göre önemli bir artış. Ayrıca, CISO’ların %83’ü yönetim kurulu toplantılarına biraz sık veya çoğu zaman katılıyor.
Daha fazlasını okuyun / izleyin:
En son siber güvenlik haberleriyle güncel kalın. Buradan abone olun!