CFO'lar ve Siber Güvenlik: En Önemli Tehditler ve Bunların Önlenmesi

Siber saldırılar birçok organizasyon için ciddi bir finansal risk oluşturduğundan, finans yöneticileri siber güvenlik konusunda kritik bir rol üstlenir. Finansal risklere dayalı olarak potansiyel tehditleri önceliklendirmek, savunmaları buna uygun şekilde yönetmek ve sonuç olarak bu riskleri azaltmaya yardımcı olmak için baş bilgi güvenliği görevlileriyle (CISO'lar) yakın işbirliği içinde çalışırlar.

CFO'lar Siber Güvenliğe Neden Önem Vermeli?

Siber saldırılar organizasyonlara farklı biçimlerde maliyete yol açabilir. IBM ve Ponemon Institute'un yaptığı bir araştırmaya göre, 2023 yılında dünya çapında bir güvenlik ihlalinin organizasyonlara ortalama maliyeti 4,45 milyon dolar olarak gerçekleşti. Verizon 2023 Veri Güvenliği İhlali Araştırmaları Raporu'na göre, siber saldırıların neredeyse %95'i siyasi, toplumsal veya kişisel sebeplerden ziyade maddi çıkar elde etmek amacıyla gerçekleştiriliyor.

Kredi kartı numaraları ve çalışanların ağ şifreleri gibi hassas bilgiler saldırganların en çok hedef aldığı veriler arasındadır. Eski usul nakit para da sahte satıcı faturaları, maaş bordrosu sahtekarlığı ve fidye yazılımı saldırıları gibi yöntemlerle elde ediliyor. Deloitte Center for Controllership'in 2023 yılında gerçekleştirdiği araştırmaya göre, üst düzey yöneticilerin yaklaşık yarısı muhasebe ve finans alanlarına yönelik saldırıların giderek artacağı görüşünde. Ayrıca, bir güvenlik ihlali sonucunda organizasyonun itibarının zarar görmesinin finansal açıdan da önemli bir gider kalemi oluşturduğunu unutmamak gerekir.

Yeni ABD Güvenlik ve Menkul Kıymetler Komisyonu düzenlemeleri de CFO'ların ilgisini çekiyor. SEC, halka açık şirketlerin yatırımcılara siber güvenlik programlarıyla ilgili düzenli güncellemelerin yanı sıra siber güvenlik olayları hakkında "karar vermeye yardımcı" bilgiler sunmalarını zorunlu kılan kuralları onayladı. Görünüşe göre kurallar, SEC'nin bir şirketin siber güvenlik olayının "önemli" olduğuna karar vermesinden itibaren dört gün içinde bilgilendirilmesini de zorunlu kılıyor. Burada "önemli" olay, çoğu yatırımcının kayda değer bulacağı bir olay anlamına geliyor.

Federal Bilgi Güvenliği Yönetimi Yasası (FISMA), Amerika Birleşik Devletleri'ndeki federal kurumların organizasyon genelinde güvenlik önlemlerini oluşturmasını, belgelemesini ve uygulamasını zorunlu kılan bir başka mevzuat gereği talimattır. Yasaya uyum öncelikle CISO'nun sorumluluğundadır ancak kamu sektöründeki CFO'ların da yasal gereklilikleri göz önünde bulundurması önemlidir.

Ana Fikirler

• Risk yönetiminde uzmanlaşmış CFO'lar, kurumsal finansal riskleri göz önünde bulundurarak siber tehditleri ve savunmaları önceliklendirmek amacıyla CISO'larla iş birliği yapmalıdır.
• CFO'ların siber riski değerlendirmek için siber saldırı yöntemlerinin yanı sıra bunlarla baş etmek için kullanılan stratejiler ve teknolojiler hakkında kapsamlı bir anlayışa sahip olmaları şarttır.
• CFO'lar gün geçtikçe siber güvenlik stratejilerine daha fazla dahil oluyor, güvenlik bütçelerini incelemekte ve güvenlik önlemlerinin verimliliğini takip ediyor.

CFO'lar ve Siber Güvenlik ile İlgili Açıklamalar

CFO'lar siber güvenlik uzmanı olmayabilir ancak risk yönetimi konusunda deneyimlidirler. Bu da onları, organizasyonun sistemlerini ve verilerini korumaktan sorumlu olan CISO'nun doğal iş ortaklarından biri olmasını sağlıyor. CFO'lara siber güvenlik planları hakkında danışılmalı ve bu politikaların şirketin genel finansal riskini yansıttığından emin olunmalıdır. Organizasyonun en gizli ve değerli verilerini işleyen ve saklayan sistemler yeterince korunuyor mu? Organizasyon genelinde çalışanlara sahte e-postaları, aramaları ve diğer dolandırıcılık girişimlerini tespit etmeleri konusunda yardımcı oluyorlar mı? CFO, organizasyonun en üst düzey risk yönetimi denetçisi olarak, siber risk seviyesinin kabul edilebilir sınırlar içinde olduğundan emin olmalıdır.

CFO'ların ayrıca siber güvenliği kapsayan yasal raporlama sorumlulukları da bulunuyor. ABD Menkul Kıymetler ve Borsa Komisyonu, Avrupa Birliği Genel Veri Koruma Yönetmeliği ve Kaliforniya Tüketici Gizliliği Yasası gibi düzenleyici kurumların belirlediği kurallara uyum sağlamak konusunda oldukça hassastırlar. CFO'lar, uyumluluğu sağlamak amacıyla genel danışmanlar, iç denetçiler, CISO'lar ve diğer ilgili kişilerle birlikte çalışır. Siber risk yönetimi konusunda yönetim kurulu, yıllık strateji ve yönetişim açıklamalarının yanı sıra, herhangi bir siber olay hakkında da bilgi talep edebilir.

CFO'lar uyumluluğu izlerken birçok önemli faktörü dengede tutmalıdır. Örneğin SEC, yatırımcıların önemli olarak değerlendireceği "önemli olayların" kamuoyuna duyurulmasını zorunlu tutmaktadır. CFO'lar önemli konuları belirlemek ve raporlanacak bilgileri seçmek için finansal göstergeleri kullanırlar, ancak müşteri verilerine yönelik küçük bir saldırının bile kurumsal itibar üzerindeki etkisi gibi daha niteliksel faktörleri de dikkate almalıdırlar.

CFO'lar İçin En Önemli Beş Siber Güvenlik Riski

Dijital çağın iş dünyasında, şirketler uygulamalarını daha hızlı ve daha geniş kitlelere ulaştırdıkça, siber saldırganların hedef alabileceği "tehdit alanı" da büyüyor. Şirketler ayrıca uygulamalarını tedarikçilerin, iş ortaklarının ve diğer üçüncü tarafların sistemleriyle gittikçe daha fazla entegre hâle getiriyor.

Saldırganlar, hedefledikleri ortamlar ne olursa olsun, siber savunma önlemlerini aşmanın yeni yollarını sürekli olarak deniyorlar. CFO'ların her teknik ayrıntıyı anlamaları gerekmez ancak saldırganların en etkili yöntemlerini kavramaları önemlidir. Çoğu saldırı, aşağıda belirtilen beş ana kategorinin değiştirilmiş varyasyonlarıdır.

CFO'ların Siber Güvenlikteki Rolü

CFO'lar, siber riskleri öncelikli hâle getirmek için CISO'larla iş birliği yapmanın yanı sıra güvenlik planı oluşturma, güvenlik bütçesi hazırlama ve güvenlik performansı ile hazırlıklarını takip etme konularında giderek daha fazla destek sağlıyor.

Siber güvenlik tehditlerini kavrama

CFO'lar siber güvenlik risklerini daha iyi kavrayabilmek için bu riskleri finansal risklerle karşılaştırarak önceliklendirirler. Bu durum, örneğin, hassas verileri ve ödemeleri yöneten kritik uygulamaların yeterli düzeyde korunmasını sağlamak için CISO'larla iş birliği yapmak anlamına gelir. Farklı roller, en az ayrıcalık ilkesi gereğince, verilere erişim ve işlem yapma konusunda çeşitli yetki seviyelerine ihtiyaç duyar mı? Örneğin, bir tedarik zinciri yöneticisinin bir tedarik sistemine giriş yapması ve işlem gerçekleştirmesi veya onay vermesi için yetki gerekebilir. Bir muhasebe uzmanının bu sistemde çalışmak için izne ihtiyacı olmayabilir ancak muhasebe ve finans sistemlerine erişmek ve bu sistemlerde işlem yapmak için yetki alması gerekir. Benzer şekilde, satıcı ödemelerini sadece yetkili personel düzenlemelidir.

Yüksek öncelikli uygulamalar arasında muhasebe ve finans (alacak ve borç hesapları), tedarik zinciri operasyonları (satın alma) ve İK (bordro) gibi alanlar yer almaktadır. Finansal hizmetler ve sağlık hizmetleri gibi alanlarda, müşteri veya hasta bilgilerini yöneten uygulamaların güvenliği özellikle kritik önem taşıyor.

Oracle'ın kıdemli ürün direktörü Aman Desouza, daha önce küresel fintech şirketi Broadridge Financial Solutions'da yönetişim, risk ve uyum stratejilerini yönetti. Desouza, "Siber güvenlik her organizasyona aynı şekilde uygulanamaz." şeklinde görüş bildiriyor. "Bazı uygulamalar diğerlerine kıyasla çok daha kritik öneme sahiptir. CISO'lar, şirket risklerini önceliklendirebilmek ve en değerli varlıkları koruyabilmek için CFO'larla ve zaman zaman diğer yöneticilerle iş birliği yapmalıdır. Bazen CFO'nun CISO'nun fikirlerine karşı çıkmaya hazır olması gerekebilir."

CFO'lar saldırıların olası etkilerini değerlendirirken, anlık finansal kayıpların ötesini göz önünde bulundurmalıdır. Ayrıca üretkenlik, marka itibarı, müşteri ilişkileri ve yasal uyumluluk konularındaki uzun vadeli etkilerini de dikkate almaları gerekiyor.

Siber güvenlik planı geliştirme

Şirketlerin yapıları birbirinden farklı olsa da siber güvenlik planlaması genellikle öncelikle CISO'nun sorumluluğunda olan, departmanlar arası bir çalışmadır. Ancak siber saldırılar kârlılık üzerinde ciddi riskler oluşturduğu için CISO'ların planlarını oluştururken CFO'lara danışması gerekir. Yeni SEC kurallarıyla birlikte, ABD'deki halka açık şirketlerin CFO'ları artık yıllık raporlarında belirli siber güvenlik risk yönetimi, stratejisi ve yönetişimi hakkında bilgi vermek zorunda. Bu nedenle, CFO'ların bu konularda CISO'larla sıkı bir işbirliği içinde çalışmaları gerekiyor.

Tüm planlar siber güvenlik risklerinin kapsamlı bir analizini içermelidir. CFO'lar siber riski, farklı veri türlerinin değerini ve güvenlik olaylarının olası yasal ve itibar giderlerini göz önünde bulundurarak değerlendirir. CFO'lar ayrıca hassas verilerin üçüncü taraflara dış kaynak kullanımının risklerini değerlendirirler. Özellikle siber güvenlik sigortası kapsamı üzerindeki etkileri ve SEC veya diğer düzenleyici kurumların kurallarına uyum sağlama konusundaki riskleri dikkate alırlar.

Planlamanın bir diğer kritik unsuru: mevcut güvenlik araçlarının ve prosedürlerinin gözden geçirilmesi. CISO'lar araçları teknik özelliklerine göre değerlendirir. CFO'lar, özellikle finans ve ödeme uygulamaları gibi yüksek değerli varlıkları korumada araçların ve ilgili süreçlerin etkili olabileceğinden emin olmak istiyor. Maliyet-fayda analizi, CFO'ların güvenlik teknolojisi yatırımlarını değerlendirmesine olanak tanır. Bu yaklaşım, CISO'lara güvenlik bütçesini CEO'lara ve yönetim kurullarına sunarken yardımcı olan bir içgörü sağlar.

En iyi planlar esnektir ve organizasyonların, üst düzey yöneticilerin son derece gerçekçi taklitlerini oluşturabilen yapay zeka destekli deepfake'ler gibi yeni ortaya çıkan tehditlere uyum sağlamasına imkan verir. CNN'in bildirdiğine göre, bir siber saldırıda bir video konferans sırasında deepfake teknolojisiyle oluşturulmuş bir video kullanılarak bir finans çalışanı saldırganın banka hesaplarına 25,6 milyon dolar transfer etmeye ikna edildi. Uyarlanabilir planlar, ağ anormalliklerini ve kötü niyetli etkinlikleri daha hızlı tespit etmek için bazıları doğru, üretken yapay zeka kullanan en son güvenlik araçlarına da imkan tanır.

Siber güvenlik için bir harcama planı hazırlama

Siber güvenlik bütçesinin önerilmesinde de, tıpkı siber güvenlik planında olduğu gibi, CISO öncülük eder. Birçok organizasyonda CFO'lar sürece rehberlik eder, bütçeyi inceler, sorular yöneltir ve önerilerde bulunur. CFO'lar güvenlik giderlerini değerlendirirken, uzman personele, saldırıları tespit edip bunlarla başa çıkacak teknolojilere ve siber risk ile güvenlik uyumluluğunu takip edecek araçlara yapılan yatırımları gözden geçirir.

IANS Research güvenlik danışmanlığı firmasının yaptığı bir araştırmaya göre, 2022-2023 bütçe döneminde siber güvenlik bütçelerinde ılımlı artışlar gözlemlendi. Örneğin, teknoloji şirketleri güvenlik giderlerini ortalama olarak sadece %5 artırırken, 2021-2022 döneminde bu oran %30'u aştı. Fakat diğer sektörlerle kıyaslandığında, teknoloji şirketleri toplam BT giderlerine oranla %19,4 ile en yüksek güvenlik bütçesine sahip durumdadır. Buna rağmen, perakende sektörü BT bütçelerinin ortalama %7,2'sini güvenlik harcamalarına ayırıyor.

Nakit sıkıntısı olduğunda CFO'lar zorlu sorular yöneltir. Önerilen bütçe organizasyonun hedefleriyle uyumlu mu? Organizasyonu korumak ve riskleri azaltmak için gereken çabaları yeterince finanse ediyor mu?

Siber güvenliğe kaynak ayırma

Siber güvenlik bütçesi belirlendikten sonra, CISO'lar kaynakların riski azaltmak için en çok gerekli olan alanlara yönlendirilip yönlendirilmediğini değerlendirir. Bu, yetenekli uzmanları işe almak, çalışanların güvenlik eğitimlerini geliştirmek, yeni güvenlik yazılımları edinmek veya organizasyonu daha güvenli bir bulut tabanlı işletme modeline geçirmek gibi adımları içerebilir. CFO'lar yine bir danışman rolü üstlenerek, tahsisatların finansal risk önceliklerini yansıtmasını sağlarlar. Örnek: Organizasyon, çok faktörlü kimlik doğrulama araçlarına yatırım yaparak yetkisiz erişim riskini azaltacak ve verileri, benzer miktardaki parayı personele veya süreç iyileştirmelerine harcamaktan daha etkili bir şekilde koruyabilecek mi?

Siber güvenlik performansınızı takip etme

Siber güvenlik planı, mevcut risk seviyelerinin kabul edilebilir olup olmadığını gösteren performans izleme metriklerini kapsar. CISO, saldırıları tespit etme ve bunlara yanıt verme konusundaki ortalama süre gibi metrikleri inceler. CFO, teknoloji ve süreç performansını göz önünde bulundururken, güvenlik hazırlığına daha fazla önem verir. Desouza, "CFO'lar genellikle gelişmiş güvenlik programlarının varlığına dair kanıt talep ediyor." diyor. "Organizasyonlar, otomatik izleme araçları veya çalışanlara BEC ve kimlik avı saldırılarını tespit etmeyi öğreten güvenlik farkındalığı eğitimi gibi çözümler arıyor. CFO için bu, her şeyden önce hazırlıklı olmak demektir."

Siber Güvenliği İhmal Etmenin Bedeli

Şirketler siber güvenliğe gereken önemi vermediklerinde veya bu konuyu göz ardı ettiklerinde, sonuçları ciddi olabilir. Bu durum veri kaybı, maddi kayıplar ve fikri mülkiyet hırsızlığı gibi ağır bedeller ödenmesine neden olabilir. Giderler arasında müşteri güveninin sarsılması, iptal edilen siparişler, hisse senedi değerlerinde düşüş, olumsuz haber başlıkları ve yasal yaptırımlar da bulunabilir. Dark Reading'in bildirdiğine göre, 2017'de meydana gelen ve geniş yankı uyandıran bir güvenlik ihlali, şirketin hisse senedi değerinin bir hafta içinde %31 oranında düşmesine neden olmuş ve şirketin tam anlamıyla toparlanması iki yıl almıştır. Bununla birlikte, daha sık görüleni, hisse senedi fiyatlarında düşük tek haneli yüzdelerde ani düşüşlerdir.

Cybersecurity Ventures'ın 2022'de gerçekleştirdiği araştırma, küresel siber suçların neden olduğu zararın 2025'e kadar 10,5 trilyon dolara ulaşacağını öngörüyor. Güvenlik tedarikçisi Deep Instinct'in raporuna göre, güvenlik uzmanlarının %75'i 2022-2023 arasındaki saldırılarda artış gözlemledi.

SEC'nin yeni siber ifşa kuralları kapsamında, SEC'nin şirket finansmanı bölümü direktörü Erik Gerding bir açıklamada, şirketlerin "siber güvenlik risk yönetimi, stratejisi ve yönetişimiyle ilgili bilgileri her yıl kamuoyuyla paylaşmaları" gerektiğini belirtti. Bu, önemli bir siber güvenlik olayının açıklanması gerekliliğine ek olarak uygulanır. Bu gereksinimler dikkate alındığında, halka açık şirketlerin CFO'ları, şirketlerinin mevcut siber güvenlik stratejisini ve uygulamalarını kavradıklarından emin olmalıdır. İlgili siber güvenlik olaylarından hızlıca haberdar olmak ve bu saldırıların önemini değerlendirebilmek için gerekli bilgi ve bağlantılara sahip olmaları gerekir. Bu gereklilikleri göz ardı eden CFO'lar, organizasyonlarını mevzuat yaptırımlarına karşı savunmasız bırakır.

Oracle ile Siber Güvenlik Risklerini Baştan Önleyin

Oracle Fusion Cloud Enterprise Resource Planning (ERP) finans, satın alma, proje yönetimi ve diğer uygulamalardan oluşan paket, güvenliği ön planda tutacak şekilde tasarlanmıştır. Merkezi erişim kontrolleri, ağ yetkilendirme sürecini kolaylaştırabilir ve Oracle Cloud ERP'nin sunduğu güvenlik özellikleriyle birlikte organizasyonların uyumluluk ve yasal yükümlülüklerini yönetmelerine destek olabilir.

Oracle Cloud ERP paketinin bir parçası olan Oracle Risk Management and Compliance, finansal verilere erişimi denetleyen, şüpheli işlemleri tespit eden ve organizasyonlara güvenlik düzenlemelerine uyum sağlamalarında yardımcı olacak içgörüler sunan yapay zeka tabanlı bir güvenlik ve denetim çözümüdür.

CFO'ların Siber Güvenlikteki Rolü ile İlgili SSS

CFO'ların siber güvenlik alanındaki rolü nedir?
CFO, organizasyonun risk yönetimi sorumlusu olarak, siber güvenlik çalışmalarının finansal risk yönetimi stratejileriyle uyumlu olduğunu garanti eder. CFO, CISO'nun şirket genelindeki risk önceliklerini kavramasına ve buna uygun olarak güvenlik stratejileri ve bütçeleri geliştirmesine destek sağlar.

CFO'ların hangi siber güvenlik sertifikalarına sahip olması gerekir?
CFO'ların göz önünde bulundurması gereken bir sertifika, Amerikan Yeminli Mali Müşavirler Enstitüsü ve Yeminli Yönetim Muhasebecileri Enstitüsü tarafından verilen Dijital Operasyonel Mükemmelliği En Üst Düzeye Çıkarma Sertifikası'dır. Finans yöneticilerinin finansal yönetimi, güvenliği ve kontrolü geliştirmek için en son yöntemleri takip ettiklerinden emin olur.

CFO'ların yerine getirmesi gereken temel siber güvenlik sorumlulukları nelerdir?
CFO'lar, siber güvenliğin finansal riskle uyumlu olmasını sağlamanın yanı sıra CISO'lara güvenlik planlarını ve bütçelerini geliştirmelerinde destek olmalı ve hassas verileri ve ödemeleri yöneten sistemlerin korunmasına öncelik vermelidir. CFO'ların, şirketin bulunduğu yere göre düzenleyici kurumların talep ettiği açıklamaları yapma yükümlülükleri olabilir.