Editörler Prof. Dr. Şeref Sağıroğlu Prof. Dr. Mustafa Alkan Sağıroğlu / Alkan grafik

12.3. İç ve Dış Denetim
Siber güvenlik süreçleri hem iç denetçiler ve hem de dış denetçiler 
tarafından denetimin amaç ve kapsamlarına göre dikkate alınmalı-
dır. Çünkü artık siber risk taşımayan hiçbir iş süreci neredeyse kal-
mamıştır. Endüstri 4.0, akıllı şehirler, yapay zeka ve büyük verinin 
her alanı etkilediği göz önüne alınmalıdır. Finansal, teknik, operas-
yonel veya sistematik her süreçte siber risk bulunmaktadır. 
Tanımlanmış süreçlere sahip olmanın önemi, eğitimli ve yetkin si-
ber güvenlik kaynakları ve üst düzey liderlik tarafından uygun ey-
lemlerin gerçekleştirilmesini sağlamakla anlaşılır. Bunun yanı sıra, 
güncel ortaya çıkan tehditleri ele almak ve günlük olarak etkin bir 
şekilde yönetilmesini sağlamak için bir yönetişim çerçevesinin işler 
halde olması gerekir.
Siber güvenlik denetim sürecinin yapılandırılmış olması, denetle-
nen birim veya kurumda ek olarak hesap verebilirlik oluşturur ve 
kontrol ortamını daha güçlü da kılar. İç denetim departmanı, ba-

---

D R . A H M E T E F E
364
ğımsız bir görüşün işletmenin yönetim kurulu seviyesine iletilmesi-
ni sağlamak için denetim komitesine genellikle belirli bir raporlama 
ilişkisine sahiptir. Tarihsel olarak, bu tartışmalar finansal, operas-
yonel ve bilgi sistemi denetim alanları üzerinde olmuştur. Bununla 
birlikte, siber güvenlik gittikçe artan bir şekilde yönetim kurulları-
nın dikkatini çekmektedir ve iç denetim departmanı da bu süreçte 
hayati bir rol oynayabilmektedir. İç denetim fonksiyonu, iç kontrol 
testleri, siber güvenlik uyumu, resmi risk kabulü, soruşturma ve 
adli yardım için sistematik ve objektif destek sağlar. 
Siber güvenlik denetimleri, iş çevrimlerinin göz önünde bulun-
durulması, iş faaliyetlerinde asgari kesintiye yol açması ve bilişim 
teknolojisinin (BT), yasal, insan kaynaklarının (İK) tam katılım şan-
sının artırılması ve iş çevrelerinin dikkate alınması şeklinde yıllık 
bir döngüde denetim için gerekli iş alanları planlanmalıdır. Depart-
manların kanıtlarının toplaması için uygun planlama ve zaman ile 
(denetimden en az üç ya da dört hafta önce sağlanmalıdır), denetim 
sorun alanlarını keşfetmeye ve riski değerlendirmek için beklemeye 
ve tekrar tekrar bilgi talep etmeye odaklanabilir. Denetimler kapsa-
mında giriş, günlük güncelleme ve çıkış toplantıları ile aktiviteler 
planlanmalı ve her bir aşama için kesin beklentiler açıkça bildiril-
melidir. Test faaliyetleri genellikle hesap kurulumu ve faaliyetlerin 
yürütülmesine erişim gerektirir ve bunları zamanında temin ede-
memek, denetimin uzamasını sağlayabilir.