Şirketler güvenlik olaylarından söz ettiğinde akıllarına ilk gelen para cezalarıdır. Genel Veri Koruma Tüzüğü'nün yaptırımları manşetleri belirliyor ve bunlar gerçek. Ancak orta ölçekli bir işletmedeki olayın faturasında çoğu zaman en büyük kalem değiller – hatta çoğu kez ikinci büyük kalem bile değiller.
Pahalı kalemler başka yerde duruyor: olayın aydınlatılmasında, sistemlerin geri getirilmesinde, işin durmasında ve bir daha gelmeyen müşterilerde. Bu yazı maliyet türlerini sıralıyor ve sağlam kaynakların bulunduğu yerlerde rakam veriyor. Kaynak bulunmayan yerlerde bunu açıkça söylüyoruz – çünkü serbestçe tahmin edilmiş euro tutarları hiç kimsenin yatırım kararına yardımcı olmaz.
“Çoğu şirket para cezasını küçümsemiyor. Hiçbir şeyin yürümediği haftaları ve ardından bir daha teklif istemeyen müşterileri küçümsüyor.” – Thomas Werner, Eucerta AG CCO ve Baş Denetçi
Kanıtlanmış olan: Maliyetler artıyor, hedefler küçüldü
Güncel IBM Cost of a Data Breach Report 2026 raporuna göre veri ihlallerinin dünya genelindeki ortalama maliyeti 4,99 milyon ABD doları – bir önceki yıla göre yüzde on iki daha yüksek ve bir rekor. Rapor bu artışı diğerlerinin yanı sıra tespit, eskalasyon ve iş kesintisi maliyetlerinin yükselmesine bağlıyor. Ayrıca yapay zekâ destekli saldırılarda yüzde 56'lık bir artışa işaret ediyor.
Buna iki kısıtlama eşlik ediyor. Birincisi, bu ortalama büyük organizasyonlar tarafından belirleniyor ve 25 çalışanı olan bir işletmeye aktarılamaz. İkincisi, veri ihlallerini tanımlıyor, her iş kesintisini değil. Yine de riskin hangi yöne doğru geliştiği sorusu için elde bulunan en sağlam referans.
Gerçekte kimin vurulduğu ise BSI'nin Almanya'da BT Güvenliğinin Durumu 2025 Raporu nda görülüyor. BSI, 1 Temmuz 2024 – 30 Haziran 2025 raporlama dönemi için büyük ve zahmetli saldırılardan uzaklaşıp çok sayıda küçük ve kolay gerçekleştirilebilir saldırıya doğru bir kaymayı tarif ediyor: Bildirilen saldırıların yaklaşık yüzde 80'i – örneğin fidye yazılımıyla yapılanlar – kendilerini bağımsız olarak korumak için çoğu zaman imkânı ve bilgisi olmayan küçük ve orta ölçekli işletmelere yönelikti. Ayrıca raporlama döneminde günde ortalama 119 yeni güvenlik açığı tespit edildi; bu, önceki döneme kıyasla yaklaşık yüzde 24 daha fazla.
Her iki kaynağın birlikte verdiği mesaj şu: Saldırganlar tercihen kötü korunan hedefleri arıyor ve olay başına maliyetler büyüyor.
Gerçekte ortaya çıkan dört maliyet türü
Tek bir KOBİ için kimsenin ciddiyetle rakamlandıramayacağı bir toplam tutar yerine yapıya bakmak daha yararlı. Neredeyse her zaman dört blok ortaya çıkıyor.
Aydınlatma ve kurtarma
Bir olay fark edilir edilmez iş başlar: sistemleri izole etmek, nedeni bulmak, kapsamı belirlemek, etkilenen verileri tespit etmek. Bu çalışma çoğu KOBİ'de dış destek gerektirir, çünkü içeride uzmanlık bilgisi yoktur. Ardından kurtarma gelir – sistemleri yeniden kurmak, verileri geri yüklemek, erişimleri yeniden tanımlamak, açıkları kapatmak.
Buradaki temel maliyet etkeni hazırlıktır. Güncel ve test edilmiş yedekleri olan, hangi sistemlerin hangi sırayla yeniden çalışması gerektiğini bilen, bu aşamayı belirgin biçimde kısaltır. Her ikisini de ancak olay anında netleştiren, kurtarma için değil arama için saat öder.
İş durması
Çoğu zaman küçümsenen blok. Şifrelenmiş bir ağda duran BT değil, işin kendisidir: sipariş yok, sevkiyat yok, faturalama yok. Bu kalemi her şirket kendisi, üstelik her çalışmadan daha isabetli biçimde hesaplayabilir: Ortalama günlük cironuzu alın ve merkezi sistemleriniz olmadan çalışabileceğiniz gün sayısıyla çarpın. Sonuç sizin kişisel risk rakamınızdır – ve genellikle her uluslararası ortalama değerden daha ikna edicidir.
Bildirim yükümlülükleri ve hukuki sonuçlar
Avrupa Genel Veri Koruma Tüzüğü (GDPR) kişisel verilerin korunmasının ihlali halinde 72 saat içinde denetim makamına bildirim yapılmasını, belirli koşullarda da etkilenen kişilerin bilgilendirilmesini zorunlu kılar. Aynı zamanda riske uygun, elverişli teknik ve organizasyonel önlemler talep eder. Bundan, sonunda bir para cezası verilip verilmediğinden bağımsız olarak hukuki danışmanlık, iletişim ve geri sorular için iş yükü doğar.
Bir para cezasının belirlenmesinde, diğer unsurların yanı sıra, şirketin hangi teknik ve organizasyonel önlemleri almış olduğu da önemlidir. Tam bu noktada belgelenmiş bir yönetim sistemi iki kat karşılığını verir: Hem gerçekleşme olasılığını azaltır hem de ciddi durumda gösterilen özeni kanıtlar.
Güven kaybı
Rakamlandırılması en zor ve etkisi en uzun süren blok. Olaydan haberdar olan müşteriler soru sorar, sonrasında sözleşmeyi uzatır ya da sağlayıcı değiştirir. Kurumsal müşterilerde buna, olayın onların tedarikçi değerlendirmesine girmesi eklenir.
`[KONTROL: Burada kanıta dayalı bir ifade güçlü olurdu. Öneri: ya güvenlik olaylarının ardından müşteri kaybına ilişkin bir kaynak eklensin ya da – varsa – Eucerta denetimlerinden anonimleştirilmiş bir gözlem kullanılsın. Kanıt olmadan paragraf, şu anki hâliyle niteliksel kalıyor.]`
ISO 27001 bu hesapta neyi değiştirir
ISO 27001 iki noktada etkilidir ve ikisini birbirinden ayırmak dürüst olanıdır.
Önleyici olarak: Bir bilgi güvenliği yönetim sistemi, günlük işte askıda kalan adımları yapmaya zorlar. Hangi bilgilerin ve sistemlerin gerçekten korunmaya değer olduğunu belirlersiniz, riskleri izlenebilir biçimde değerlendirirsiniz ve önlemler hakkında gerekçeli karar verirsiniz. Ek A'nın 93 önlemi bu sırada tek tek işlenir – her biri gerekçeli bir kararla, bir önlemin uygulanmamasına dair karar da dahil. Erişim yönetimi, güncellemeler, eğitim ve hizmet sağlayıcılarla ilişki burada tavsiye değil, sistemin bileşenleridir. Bu, BSI'nin belirleyici kaldıraç olarak adlandırdığı şeyle örtüşüyor: kendi saldırı yüzeylerinin tutarlı biçimde yönetilmesi.
Zararı sınırlayıcı olarak: Olay gerçekleştiğinde maliyeti hazırlık belirler. Bir BGYS; güvenlik olayları için düzenlenmiş süreçler, adı belirlenmiş sorumlular, test edilmiş kurtarma ve belgelenmiş iletişim yolları ister. İlk saatlerde doğaçlama yerine bir sıralama vardır. Bu, kesinti sürelerini ve böylece faturanın en pahalı bloğunu kısaltır.
ISO 27001'in sağlamadıkları da aynı şekilde buna dahildir: Saldırılara karşı bir garanti değildir ve yalnızca kâğıt üzerinde var olan bir sertifika hiç kimseyi korumaz. Bu nedenle denetlenen şey klasör değil, etkinliktir – bu konuda daha fazlası için bkz. ISO 27001.
Yatırım tarafı nasıl görünüyor
Karşı hesap Eucerta'da şeffaf: ilk norm için ayda 179 euro, her ek norm için 149 euro, süre 36 ay, 30 çalışana kadar olan şirketler için sabit fiyat. Denetim ve tescil dahildir, sertifika denetim tarihinden itibaren üç yıl geçerlidir ve denetimler arasında sistem platformda güncel kalır. Bunu yeniden hesaplamak için bkz. maliyet hesaplayıcı.
ISO 9001 ile birleştirmek çoğu zaman anlamlıdır, çünkü her iki norm aynı temel yapıyı paylaşır ve bağlam, liderlik, iç denetimler ile yönetimin gözden geçirmesi yalnızca bir kez yapılır – bu ilkeyi entegre yönetim sistemi ne ilişkin sayfamız açıklıyor. BGYS'ini zaten işleten ve yalnızca kanıta ihtiyaç duyanlar koşulları şurada bulur: Ekspres Sertifikasyon.
Sonuç
Başlıktaki sorunun dürüst yanıtı şu: Günlük cironuza, yedeklerinize ve hazırlığınıza bağlı – ve tam da bu yüzden hesabı, herhangi bir çalışmanın sizin için yapacağından daha iyi biçimde kendiniz yapabilirsiniz.
Kanıtlanmış olan şu: Olay başına maliyetler artıyor ve bildirilen saldırıların yaklaşık yüzde 80'i küçük ve orta ölçekli işletmeleri vuruyor. Bundan çıkan sonuç panik değil, bir önceliktir. Bilgi güvenliği için bir yönetim sistemi, her iki bulguya verilen yapılandırılmış yanıttır – ve maliyeti planlanabilirdir, bir olayın maliyeti ise asla değildir.
Bir sonraki adımınız: Kendi rakamınızı hesaplayın – günlük ciro çarpı kesinti günü – ve bunu maliyet hesaplayıcı üzerinden sertifikasyonunuzun fiyatıyla karşılaştırın.
Devamı için:
