Yönetişim neden yasak listesinden farklıdır?
Yasak listesi tek yönlü çalışır: ne yapılamayacağını söyler, ne yapılabileceğini söylemez. Sonuç genellikle iki uçtan biridir — ya kimse riske girmez ve kurum geri kalır, ya da kural görmezden gelinir ve kullanım tamamen görünmez hâle gelir.
İyi kurulmuş bir yönetişim, güvenli deney alanı tanımlar. Ekip hangi sınırlar içinde hızlı hareket edebileceğini bilir; sınır dışına çıkan iş için nereye başvuracağını da bilir.
Risk sınıflandırmasının dört ölçütü
Bu dört ölçüt, aynı aracın bir departmanda serbest, başka bir departmanda onaya bağlı olmasını açıklar. Yönetişim aracı değil, kullanımı sınıflandırır.
- Veri hassasiyeti: kişisel veri, ticari sır, müşteri verisi veya kamuya açık bilgi.
- Karar etkisi: çıktı bir insanı, bir müşteriyi veya bir yatırımı doğrudan etkiliyor mu?
- Dış görünürlük: sonuç kurum dışına çıkıyor mu, kurumu bağlar mı?
- Geri döndürülebilirlik: hata fark edildiğinde işlem geri alınabiliyor mu?
Bu dört ölçüt, aynı aracın bir departmanda serbest, başka bir departmanda onaya bağlı olmasını açıklar. Yönetişim aracı değil, kullanımı sınıflandırır.
Kurulum adımları
- Mevcut kullanımı görünür kıl. Yasaklamadan önce ölçün. Hangi ekip hangi işte ne kullanıyor? Anket ve görüşme, tek başına araç envanterinden daha doğru sonuç verir.
- Kullanım senaryolarını sınıflandır. Her senaryoyu dört ölçütle puanlayın ve serbest, onaylı, kısıtlı olarak üç kovaya ayırın.
- Rol ve sorumluluk matrisini yaz. Kim kullanır, kim onaylar, kim denetler, kim olaya müdahale eder? Sorumluluk bir role atanmadıysa yazılmamış sayılır.
- Araç değerlendirme kontrol listesi kur. Yeni bir araç talebi geldiğinde veri işleme, saklama, alt yükleniciler ve eğitim kullanımı aynı sorularla değerlendirilir.
- Eğitim ve olay yönetimini bağla. Politika, çalışan eğitimi ve bir olay olduğunda kime haber verileceği ile birlikte yaşar. Yılda bir gözden geçirme takvime alınır.
Yönetişimin sık yapılan üç hatası
- Politikayı yalnız hukuk veya bilgi güvenliğinin yazması: kullanılabilirliği düşer, uygulanmaz.
- Aracı yasaklayıp ihtiyacı karşılamamak: kullanım kişisel hesaplara kayar ve tamamen görünmez olur.
- Tek seferlik doküman üretmek: model, araç ve mevzuat değişir; gözden geçirme ritmi olmayan politika altı ayda eskir.