---
title: "Güvenlik benimsenmesi yardım masasında değil, yönetim kurulu odasında başlar | Guardian360"
description: "Gerçek benimsenme, son kullanıcıların doğru düğmelere tıklayıp tıklamadığı değildir; siber riskten sorumlu olan yöneticilerin paneli anlayıp anlamadığıdır."
url: https://guardian360.net/tr/blog/security-adoption-begins-in-the-boardroom/
locale: tr
source: guardian360.net
---
[← Tüm yazılar](https://guardian360.net/tr/blog)

Partners

# Güvenlik benimsenmesi yardım masasında değil, yönetim kurulu odasında başlar

Yazan Jan Martijn Broekhof · 18 Mayıs 2026

MSP sektörü nihayet benimsenme hakkında konuşmaya başladı. Konuşulan konular Copilot lisansları, farkındalık puanları ve Teams yapıları; hepsi son kullanıcılarla ilgili. Daha zor olan ve en çok önem taşıyan konuşma ise henüz ciddi biçimde başlamadı: siber riskten kişisel olarak sorumlu olan kişiler, MSP’lerinin kendilerine gösterdiği panelleri gerçekten anlıyorlar mı?

Bu soru, son zamanlardaki birkaç müşteri görüşmesinde, çeşitli iş ortağı oturumlarında ve benimsenmenin nihayet merkezi konu olduğu MSP Late Night’ın yakın tarihli bir bölümünde yeniden gündeme geldi. Masadaki sesler Copilot, farkındalık eğitimi ve bir lisans satmakla davranışı değiştirmek arasındaki uçurum konusunda keskindi. Ancak tartışma neredeyse tamamen son kullanıcı üzerinde kaldı. NIS2’nin yöneticileri artık kişisel olarak sorumlu kıldığı bilgi güvenliği ve uyumlulukta, daha büyük kör nokta bir kat yukarıda yer alıyor.

## Benimsenme yalnızca bir son kullanıcı sorunu değildir

MSP’ler benimsenmeden bahsettiğinde, genellikle verimlilik tedarikçilerinin kastettiği şeyin aynısını kastederler. İnsanlar aracı kullanıyor mu? Copilot’a komut veriyorlar mı? Farkındalık modülünü tamamlıyorlar mı? Doğru sistemde doğru düğmelere tıklıyorlar mı?

Bu sorular önemlidir. Ancak güvenlik ve uyumlulukta, neredeyse hiç sorulmayan ikinci bir benimsenme sorusu vardır. Sözleşmeyi onaylayan yönetici, aracın kendisine ne söylediğini anlıyor mu? Sonuçtan kişisel olarak sorumlu olan yönetici paneli okuyor mu? İş riskinin sahibi olan yönetim ekibi, ürettiği rakamlara dayanarak kuruluşu yönlendiriyor mu?

Eğer bunu yapmıyorlarsa, panel benimsenmiş değildir. Sadece parası ödenmiştir. Bu farklı bir şeydir.

## Bir yönetici, MSP’sinin kendisini gerçekten koruyup korumadığını nasıl bilir?

Bu, sahiplerin, yöneticilerin ve yönetim kurulu üyelerinin arama çubuklarına yazdığı ve güvendikleri danışmanlara sorduğu sorudur. Aynı zamanda MSP’lerin yönetim kuruluna uygun bir dille yanıtlamak konusunda en az donanımlı oldukları sorudur.

Dünya Ekonomik Forumu’nun Ocak 2026’da Accenture ile yayımladığı ve 92 ülkeden 804 üst düzey liderin yanıtlarına dayanan Global Cybersecurity Outlook 2026 raporu, bu boşluğu iki rakamla ortaya koyuyor. WEF’in yüksek düzeyde dayanıklı olarak sınıflandırdığı kuruluşlar arasında, yüzde doksan dokuzu siber güvenlikte yönetim kurulu katılımı bildiriyor. İlk bakışta cesaret verici. Aynı raporun ilerleyen kısımlarını okuyun ve bu aynı kuruluşların yalnızca yüzde elli ikisi, yönetim kurulu üyelerinin gerçekten düzenli siber güvenlik güncellemeleri aldığını söylüyor. “Bilgi olmadan katılım, gözetimle aynı şey değildir.”

Aynı anket ikinci bir konuda da açık sözlü: CEO’yu endişelendiren şeyle CISO’yu endişelendiren şey artık örtüşmüyor. CEO’lar siber destekli dolandırıcılığı ve kimlik avını (phishing) endişelerinin başına koyuyor; CISO’lar ise hâlâ fidye yazılımını birinci sıraya yerleştiriyor. Aynı tehdit ortamına bakıp farklı sonuçlara varıyorlar, çünkü farklı sözlüklerle farklı panelleri okuyorlar.

Bir yönetici için “korunuyor muyum” sorusu, bir Secure Score’a, bir uyumluluk yüzdesine veya renk kodlu bir ısı haritasına işaret ederek yanıtlanamaz. Yalnızca puanı işletme açısından sonuçlara çevirmeye istekli biri tarafından yanıtlanabilir: risk altındaki gelir, risk altındaki sözleşmeler, risk altındaki kişisel sorumluluk.

## Bir panel bir strateji değildir

Güvenlik ve uyumluluk için bir MSP kullanan ortalama bir orta ölçekli kuruluşa girin, panellerle karşılaşırsınız. Microsoft Secure Score. Bir tarayıcıdan gelen güvenlik açığı sayısı. Bir ISO 27001 hazırlık yüzdesi. Bir NIS2 öz değerlendirmesi. Bir Defender veya EDR konsolu. Bazen MSP’nin kendisinden özel bir görünüm.

Genellikle bulamayacağınız şey ise şu soruya kısa bir yanıttır: “Tüm bunlar bu çeyrekte işimiz için ne anlama geliyor?”

Trend Micro’nun üç binden fazla siber güvenlik uzmanıyla yapılan 2025 Defenders Survey’i bu noktayı net biçimde ortaya koydu. Katılımcıların yalnızca yüzde otuz kadarı, kuruluşlarının “paydaşlarla güvenlik olayları hakkında iletişim kurmak için yapılandırılmış, sürekli bir modele” sahip olduğunu söyledi. Rapor, yönetici düzeyinde siber riski yönetmenin “çeviri gerektirdiği” sonucuna vardı: “riskleri teknik terimler yerine iş terimleriyle ifade etmek.”

Paneller var, veriler var, araçlar çalışıyor. Darboğaz çeviri katmanıdır. Ve çeviri katmanı, neredeyse tanımı gereği, teknoloji ile yönetim kurulu odası arasında oturan kişinin rolüdür. Çoğu orta ölçekli kuruluş için bu, MSP’dir.

MSP Late Night masasının düzenli konuğu Hans ten Hove, Hollandaca bir LinkedIn gönderisinde bunu açıkça ifade etti: “benimsenmemiş bir çözüm, diye yazdı, üzerine bir panel iliştirilmiş pahalı bir faturadan başka bir şey değildir.” Bu, her yeni uyumluluk paneli devreye alındığında akılda tutulması gereken bir söz.

## NIS2, yönetim kurulu sorumluluğu konusunda sessizce neyi değiştirdi?

Artık kesin olarak yerleşmiş olan hukuki değişim olmasaydı, bu tartışma teorik olurdu.

NIS2 Direktifi’nin 20. Maddesi uyarınca, temel veya önemli bir kuruluşun yönetim organı, kuruluşun siber güvenlik risk yönetimi önlemlerini onaylamalı, uygulanmalarını denetlemeli ve siber riskleri değerlendirebilmek için zorunlu eğitim almalıdır. DLA Piper’ın direktife ilişkin Kasım 2025 tarihli bir analizinde ortaya koyduğu gibi, bu sorumluluk BT departmanına devredilemez veya harici bir sağlayıcıya dış kaynak olarak verilemez. Üye devletlere, bireysel yöneticilere kişisel sorumluluk yükleme ve ciddi durumlarda bir CEO’yu veya yasal temsilciyi görevlerinden uzaklaştırma yetkisi verilmiştir.

Almanya’nın 6 Aralık 2025’te yürürlüğe giren revize edilmiş BSI-Gesetz’i bir adım daha ileri gidiyor. Yönetim organlarını, siber risk önlemlerini yalnızca onaylamaktan değil, gerçekten uygulamaktan kişisel olarak sorumlu kılıyor. Alman düzenleyicisi, 6 Mart 2026 kayıt son tarihinin artık geçmesiyle birlikte aktif uygulamaya geçtiğini teyit etti.

Bir MSP için, sonuç ilk göründüğünden daha keskindir. Siber riskten kişisel olarak sorumlu olan ve uyumluluk panelinin ne anlama geldiğini sade bir dille açıklayamayan bir yönetici risk altındadır. MSP teknik olarak başarısız olduğu için değil; araç ile sonuçtan yasal olarak sorumlu kişi arasındaki benimsenme boşluğu hiçbir zaman kapatılmadığı için.

NIS2, MSP’lerin iş yorumcusu olması gerektiğini söylemez. Ancak ciddi hiçbir yönetim kurulu üyesinin, okumadığı bir Secure Score’un pasif alıcısı olarak kalmasını imkânsız kılar.

## BT tedarikçisinden iş yorumcusuna

İşte MSP’nin rolünün evrilmesi gereken ve birçok MSP’nin açıkçası en rahatsız edici bulduğu nokta burasıdır. Uygulama, iyi bilinen bir alandır. Yama döngüleri, temel yapılandırmalar, izleme, olay müdahalesi, bilet SLA’ları. Bir BT ortamını yürütmenin teknik zanaati gerçekten zordur ve bunu iyi yapan insanlar hak ettiklerinden daha fazla takdiri hak ederler.

Teknik zanaatın otomatik olarak üretmediği şey ise, bir yöneticinin beş dakika içinde neye karşı korunduğunu, neye karşı korunmadığını, boşluğu kapatmanın ne kadara mal olacağını ve boşluk istismar edilirse işletmeye ne olacağını anladığı bir konuşmadır.

Bu konuşma farklı bir beceridir. Bir Microsoft Defender konsolu ile bir kâr-zarar tablosu arasında oturabilecek ve birinin diğerini neden etkilediğini açıklayabilecek birine ihtiyaç duyar. “Uyumluluk puanınız yüzde yetmiş sekiz, eksik olan üç önlem şunlar ve bir müşteri denetimi bunları yakalarsa kaybedebileceğiniz sözleşme bu” demekten çekinmeyen birine ihtiyaç duyar. MSP’nin araç satmayı bırakıp netlik satmaya başlamasını gerektirir.

Hollanda, Belçika ve Almanya pazarlarında birkaç MSP, bu yeteneği kendi ekipleri içinde sessizce inşa ediyor. Çoğu ise henüz değil. Bunu yapanlar, yenileme konuşmalarının kısaldığını ve kâr marjlarının iyileştiğini görecek, çünkü sundukları değer çeki imzalayan kişi için görünür hale geliyor. Yapmayanlar ise panellerini kimsenin okumadığı tedarikçi olarak hatırlanacak.

## Guardian360 nerede devreye giriyor

Bu panellerden birini yapan bir ISV yönetiyorum, dolayısıyla ne yapıp ne yapmadığımızı ele almadan bunu yazmak dürüst olmazdı.

Lighthouse platformu, ciddi herhangi bir güvenlik aracının ürettiği olağan teknik çıktıları üretir: ağlar, IP’ler ve web uygulamaları genelinde tarama sonuçları, Graph API üzerinden Microsoft 365 güvenlik içgörüleri, güvenlik açığı bulguları ve kırktan fazla norm ve yasaya karşı uyumluluk önerileri. Bunların hiçbiri benzersiz değil. Son birkaç yıldır inşa ettiğimiz ve bu blogdaki konuşma için en önemli olduğuna inandığımız şey ise, teknik risk puanlarının yanında yer alan bir iş riski puanıdır. Amaç basit: yönetim kuruluna yalnızca varlıkla değil, işletmeyle bağlantılı bir rakam vermek.

Bir platform çeviri konuşmasını destekleyebilir. Konuşmayı yapamaz. Bu, iş ortağının işidir ve her gün bizimle çalışan MSP’lere, entegratörlere ve danışmanlara bağlı olduğumuz nokta budur. Araçlar benimsenme boşluğunun bir kısmını kapatır. İlişki geri kalanını kapatır.

## Bir sonraki MSP incelemenizde sorulacak farklı bir soru

Bir yönetici, sahip veya yönetim kurulu üyesiyseniz, ima ettikleri şeye göre hareket etmek için NIS2 maddelerini okumanıza gerek yok. BT iş ortağınızla bir sonraki incelemenizde, bu çeyrekte neyi uyguladıklarını sormayın. Sizin, yönetim ekibinizin ve ideal olarak yönetim kurulunuzun bu uygulamaların işletme için ne anlama geldiğini anlayıp anlamadığını sorun.

Yanıt, uygulama özetinden daha uzun sürüyorsa, bulgunuzu bulmuşsunuz demektir.

Güvenlik benimsenmesi yardım masasında değil, yönetim kurulu odasında başlar. MSP sektörü, daha geniş BT sektörü ve düzenleyiciler, her biri kendi yöntemiyle, aynı yönde ilerlemeye başladı. Son kullanıcı benimsenmesiyle ilgili bloglar ve podcast’ler sağlıklı bir başlangıç. Bir sonraki, daha zor olan konuşma ise, adları kuruluş şemasının en üstünde yer alan ve imzaları düzenleyicinin mektubunda son bulan kişilerle ilgili.

O konuşma kuruluşunuzda henüz gerçekleşmediyse, planlanacak en yararlı konuşma odur.