Yakın tarihli bir Cybersecurity Ventures anketinde, kuruluşları her 11 saniyede bir vuran korsan yazılım saldırıları ile birlikte, 2021 yılında 5,5 trilyon Amerika Birleşik Devletleri (ABD) doları olan küresel siber suçla ilgili potansiyel kayıpların 2023 yılında 8 trilyon ABD dolarına çıkacağı tahmin ediliyor. Dünya Ekonomik Forumu’nun küresel riskler hakkındaki son raporunda[1], siber güvenlik yine işletmeler için en önemli 10 risk arasında sıralanıyor. Birleşmiş Milletler (BM) Sorumlu Yatırım İlkeleri (United Nations Principles for Responsible Investment; UNPRI) çalışmasında alıntılanan 2017 tarihli bir CGI (Consultants to Government and Industry)-Oxford Economics araştırmasında, ciddi bir siber güvenlik olayının bir şirketin hisse fiyatında ortalama %1,8’lik kalıcı bir düşüşe neden olabileceği bulunmuştur. Bunun gibi rakamlar ve bulgular, siber güvenlik risklerinin, bir şirketin kar hanesine ve itibarına zarar verme gücü göz önüne alındığında, hafife alınmaması gerektiğini göstermektedir.
Bu minvalde, ISS (Institutional Shareholder Services; Kurumsal Yatırımcı/Hissedar Hizmetleri) ESG (Çevresel, Toplumsal ve Yönetişim) & ISS Şirket Çözümleri (Corporate Solutions) iş birimleri tarafından siber güvenlik raporları hazırlanmaktadır.
1. Temel Çıkarımlar
- Siber tehditler, yatırımcılar için risk oluşturabilecek çeşitli biçimler almaktadır.
- ABD, Avrupa Birliği (AB) ve BM, şirketlerin siber güvenlik ile ilgili açıklamalarına rehberlik edecek kurallar geliştirmektedir.
- Yatırımcılar, şirket performansını değerlendirmek için mevcut kuralları kullanarak yönetim kurullarında siber güvenlik risk yönetimi uygulamaları konusunu gündeme getirmek isteyebilmektedirler.
- ISS ESG, bir portföy şirketinin önemli bir siber güvenlik olayına maruz kalma olasılığını işaret eden yeni bir ürün olan ISS ESG Siber Risk Puanını[2] sunmaktadır. Siber Risk Puanı, yatırımcıları portföylerine yönelik potansiyel siber tehditleri yönlendirirken destekleyebilir.
Avrupa Birliği Siber Güvenlik Ajansı (European Union Agency for Cybersecurity; ENISA), 2022 tarihli Tehdit Manzarası Raporunda[3] (Threat Landscape) başlıca siber tehdit çeşitlerini şu şekilde belirlemiştir:
- Siber suçluların bir hedefin varlıklarının kontrolünü ele geçirdiği ve varlıkların iadesi karşılığında fidye talep ettiği korsan yazılım;
- Şirket sistemlerini olumsuz etkileyen virüsler, solucanlar veya truva atları gibi kötü amaçlı yazılımlar;
- Kullanıcıların belgeleri, dosyaları veya e-postaları açmaya veya web sitelerini ziyaret etmeye yönlendirildiği ve böylece siber suçluların sistemlere veya hizmetlere erişim sağladığı Sosyal Mühendislik tehditleri;
- Veri ihlalleri veya veri sızıntıları dahil olmak üzere verilere yönelik tehditler;
- Kullanılabilirliğe yönelik tehditler: Hizmet reddi, verilerin uygun kullanıcılar tarafından kullanılamaz hale getirildiği yer;
- Kullanılabilirliğe yönelik tehditler: İnternete erişimin kesintiye uğradığı İnternet tehditleri;
- Dezenformasyon/yanlış bilgilendirme;
- Hem tedarikçinin hem de müşterinin hedef olduğu tedarik zinciri saldırıları.
Bu siber güvenlik tehditleri dizisi göz önüne alındığında, yatırımcılar portföylerindeki şirketlere yönelik riskler konusunda endişe duyabilirler. ABD’deki Menkul Kıymetler ve Borsa Komisyonu (SEC) ve AB’deki Avrupa Parlamentosu şu anda siber güvenlik ihlallerinin kurumsal kamuyu aydınlatmasını teşvik etmek için kurallar geliştirmektedir.
ABD Menkul Kıymetler ve Borsa Komisyonu’nun yeni kamuyu aydınlatma kuralları[4];
- Siber güvenlik ihlallerinin kamuya açıklanmasını hızlandırmaktadır.
- Açıklanacak veri miktarını artırmaktadır.
- Siber güvenlik sistemlerinin kamuya açıklanmasını zorunlu kılmaktadır.
- Siber güvenlik gözetiminin kamuya açıklanmasını gerektirmektedir.
AB cenahındaki en son mevzuat olan Siber Direnç Yasası (Cyber Resilience Act[5]), kablosuz ve kablolu ürünlerdeki ve yazılımlardaki güvensizlikleri ele alarak güvenlik sorumluluğunu üreticilere kaydırmaktadır. Siber Direnç Yasası, “akıllı ve bağlantılı ürünlerdeki büyümeyle birlikte, bir ürünlerdeki siber güvenlik olayının tüm tedarik zincirini etkileyebileceği ve muhtemelen [AB] pazarındaki ekonomik faaliyetlerin ciddi şekilde aksamasına yol açabileceği gerekçesiyle” önerilmiştir.
Bu yasaya ek olarak, kritik ve dijital altyapıya ilişkin iki önemli direktif Ocak ayında resmiyet kazanmış olup, AB üyesi ülkelerin bunları uygulamak için 21 ayı vardır. Bu direktifler, AB’nin siber saldırılardan kaynaklanan çevrimiçi ve çevrimdışı tehditlere karşı dayanıklılığını güçlendirmeyi amaçlamaktadır. Yürürlüğe giren iki Direktif şunlardır:
- AB genelinde yüksek ortak siber güvenlik düzeyi için önlemlere ilişkin Direktif (NIS 2 Direktifi);
- Kritik varlıkların dirençliliğine ilişkin Direktif (Directive on the resilience of critical entities; kısaca ‘CER Direktifi’).
Basında çıkan haberlere göre, Asya-Pasifik’teki (Asia-Pacific; APAC) düzenleyici manzara genellikle ABD veya AB’dekinden daha az gelişmiştir. Saldırılara birleşik bir tepki vermeyi zorlaştıran “Asya-Pasifik genelinde düzenleme ve siber olgunluktaki farklılıklar konusunda uyum eksikliği” vardır.
Örneğin, küresel olarak olgunluk seviyelerini sıralayan Küresel Siber Güvenlik Endeksi’ne göre Kore ve Singapur 4’üncü, Malezya 5’inci ve Japonya 7’nci sırada yer alırken, Filipinler ve Myanmar gibi diğer Asya-Pasifik ülkeleri 61’inci ve 99’uncu sırada yer almakta, yani geniş varyasyonlar bulunmaktadır. Endeksin zirvesinde 1 numarada ABD ve 2 numarada İngiltere yer almaktadır. Avustralya ve Singapur’da düzenleyici gelişmeler yaşanırken, Hindistan gibi büyük ekonomilerin tutarlı bir yaklaşımı yoktur, Hong Kong ise hala mevzuat üzerinde çalışıyor.
BM Sorumlu Yatırım İlkeleri, 2018 ve 2019 yıllarında sağlık, finans, tüketim malları, bilgi teknolojisi ve iletişim sektörlerindeki küresel şirketlerle toplu olarak etkileşimde bulunmak için, yönetim altındaki varlıklarda 12 trilyon dolardan fazla temsil eden 53 kurumsal yatırımcıyı desteklemiştir. Bu uygulama, “şirketlerin potansiyel bir siber güvenlik ihlalini belirlemek, yönetmek ve düzeltmek için nasıl konumlandığını” anlamaya yardımcı olmayı amaçlıyordu ve siber güvenlik yönetişimi üzerine bir katılım belgesi ile sonuçlandı.
En son olarak, ISS ESG, Ocak ayında ABD’de ISS ESG Siber Risk Skorunun başlatıldığını duyurmuştur. Siber Risk Puanı, bir portföy şirketinin dış güvenlik duruşuna bağlı olarak önümüzdeki 12 ay içinde maddi bir siber güvenlik olayına maruz kalma olasılığının göreceli olarak sinyalini vererek yatırımcıları desteklemektedir. Bu ürün ayrıca bir şirketin kendi puanını görmesine ve emsallerinin puanlarıyla karşılaştırmasına da olanak tanımaktadır.
Yeni Siber Risk Puanı, kurumsal güvenlik duruşları, yazılım hizmetleri ve üçüncü taraf hizmet sağlayıcıların kullanımı gibi bir şirketin siber güvenlik risk davranışlarını yansıtan küresel risk göstergelerinin düzenli olarak toplanmasına dayanmaktadır. Bunlar, geçmiş verilerle birleştirilir, böylece modelleme, olası ihlal olaylarını gösteren kalıpları belirlemek için makine öğrenimini kullanabilir.
Skor zaten S&P 400, S&P 500 ve S&P 600’deki şirketleri kapsarken, Russell 3000’in tamamı bu yılın (2023) ilk çeyreğinde tamamlanacaktır. Yatırımcılar için, tüm veri setine ISS’nin tescilli platformu DataDesk aracılığıyla erişilebilir. Siber Risk Skoru, ISS’nin S&P 500 şirketleri için Kıyaslama Yönetişim Araştırması ve Oy Kullanma raporlarına, yaklaşan 2023 vekalet sezonu için zamanında eklenecek olsa da, ISS’nin politika uygulamasını veya oy kullanma önerilerini etkilemeyecektir.
2. Sonuç
Portföylerine yönelik siber tehditlerden endişe duyan yatırımcılar, değer zinciri genelinde yönetim kurulu gözetimi, yönetim kurulu uzmanlığı ve siber güvenlik izlemesi sağlamak için şirketlerle çalışmak isteyebilirler. Ayrıca şirketlerin en son direktiflere ve düzenlemelere uyup uymadığını değerlendirebilir ve açıklama beklentilerini buna göre belirleyebilirler. Böyle bir yaklaşımı benimseyen yatırımcılar, yeni ISS Siber Risk Puanını, portföy şirketlerini emsalleriyle kıyaslamak ve siber güvenlik konusunda daha iyi kamuyu aydınlatma sağlamak için bir katılım aracı olarak kullanabilirler.
[1] “Dünya Ekonomik Forumu küresel riskler raporu” için bkz. < https://www3.weforum.org/docs/WEF_Global_Risks_Report_2023.pdf >
[2] “ISS ESG Siber Risk Puanlaması” için bkz. < https://www.issgovernance.com/esg/cyber-risk/ >
[3] “Avrupa Birliği Siber Güvenlik Ajansı 2022 tarihli Tehdit Manzarası Raporu” için bkz. < https://www.enisa.europa.eu/publications/enisa-threat-landscape-2022 >
[4] “Özet” SEC siber güvenlik kamuyu aydınlatma kuralları için bkz. < https://insights.issgovernance.com/posts/sec-cybersecurity-disclosure-rules-whats-coming-and-whos-reacting/ >
[5] Avrupa Birliği “Siber Direnç Yasası” için bkz. < https://ec.europa.eu/commission/presscorner/detail/en/IP_22_5374 >
Yavuz Akbulak
1966 yılında, Gence-Borçalı yöresinden göç etmiş bir ailenin çocuğu olarak Ardahan/Çıldır’da doğdu. 1984 yılında yapılan sınavda Gazi Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü kazandı. 1985 yılında Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümüne yatay geçiş yaptı ve 1988’de Marmara Üniversitesi İktisadi ve İdari Bilimler Fakültesi Maliye bölümünü birincilikle, Fakülteyi ise 11’inci olarak bitirdi.
1997 yılında Amerika Birleşik Devletleri’nin Denver şehrinde yer alan ‘Spring International Language Center’da; 65’inci dönem müdavimi olarak 2008-2009 döneminde Milli Güvenlik Akademisi’nde (MGA) eğitim gördü ve MGA’dan dereceyle mezun oldu. MGA eğitimi esnasında ‘Sınır Aşan Sular Meselesi’, ‘Petrol Sorunu’ gibi önemli başlıklarda bilimsel çalışmalar yaptı.
• Türkiye’de Yatırımların ve İstihdamın Durumu ve Mevcut Ortamın İyileştirilmesine İlişkin Öneriler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü);
• Türk Sosyal Güvenlik Sisteminde Yaşanan Sorunlar ve Alınması Gereken Önlemler (Maliye Hesap Uzmanları Vakfı Araştırma Yarışması İkincilik Ödülü, Sevinç Akbulak ile birlikte);
• Kayıp Yıllar: Türkiye’de 1980’li Yıllardan Bu Yana Kamu Borçlanma Politikaları ve Bankacılık Sektörüne Etkileri (Bankalar Yeminli Murakıpları Vakfı Eser Yarışması, Övgüye Değer Ödülü, Emre Kavaklı ve Ayça Tokmak ile birlikte),
• Türkiye’de Sermaye Piyasası Araçları ve Halka Açık Anonim Şirketler (Sevinç Akbulak ile birlikte) ve
• Türkiye’de Reel ve Mali Sektör: Genel Durum, Sorunlar ve Öneriler (Sevinç Akbulak ile birlikte)
başlıklı kitapları yayımlanmıştır.
• Anonim Şirketlerde Kâr Dağıtımı Esasları ve Yedek Akçeler (Bilgi Toplumunda Hukuk, Ünal TEKİNALP’e Armağan, Cilt I; 2003),
• Anonim Şirketlerin Halka Açılması (Muğla Üniversitesi İktisadi ve İdari Bilimler Fakültesi Tartışma Tebliğleri Serisi II; 2004)
ile
• Prof. Dr. Saim ÜSTÜNDAĞ’a Vefa Andacı (2020), Cilt II;
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler (2021);
• Prof. Dr. Saim Üstündağ’a İthafen İlmi Makaleler II (2021);
• Sosyal Bilimlerde Güncel Gelişmeler (2021);
• Ticari İşletme Hukuku Fasikülü (2022);
• Ticari Mevzuat Notları (2022);
• Bilimsel Araştırmalar (2022);
• Hukuki İncelemeler (2023);
• Prof. Dr. Saim Üstündağ Adına Seçme Yazılar (2024);
• Hukuka Giriş (2024);
• İşletme, Pazarlama ve Hukuk Yazıları (2024),
• İnterdisipliner Çalışmalar (e-Kitap, 2025)
başlıklı kitapların bazı bölümlerinin de yazarıdır.
1992 yılından beri Türkiye’de yayımlanan otuza yakın Dergi, Gazete ve Blog’da 3 bini aşkın Telif Makale ve Telif Yazı ile tamamı İngilizceden olmak üzere Türkçe Derleme ve Türkçe Çevirisi yayımlanmıştır.
1988 yılında intisap ettiği Sermaye Piyasası Kurulu’nda (SPK) uzman yardımcısı, uzman (yeterlik sınavı üçüncüsü), başuzman, daire başkanı ve başkanlık danışmanı; Özelleştirme İdaresi Başkanlığı GSM 1800 Lisansları Değerleme Komisyonunda üye olarak görev yapmış, ayrıca Vergi Konseyi’nin bazı alt çalışma gruplarında (Menkul Sermaye İratları ve Değer Artış Kazançları; Kayıt Dışı Ekonomi; Özkaynakların Güçlendirilmesi) yer almış olup; halen başuzman unvanıyla SPK’da çalışmaktadır.
Hayatı dosdoğru yaşamak ve çalışkanlık vazgeçilmez ilkeleridir. Ülkesi ‘Türkiye Cumhuriyeti’ her şeyin üstündedir.