CYGNVS Dayanıklılık Karşılaştırma Raporu, Yapay Zekâ Olaylarına Hazırlıkta Açıklar Olduğunu Ortaya Koyuyor

CYGNVS Dayanıklılık Kıyaslama Raporu, CYGNVS tarafından Marsh Risk ile iş birliği içinde hazırlanan rapor, kuruluşların yapay zekâ kullanımı ile yapay zekâyla ilgili olayları yönetme becerileri arasındaki farkın giderek açıldığını ortaya koyuyor. 9.500’den fazla öz bildirime dayalı anket yanıtından yararlanan rapora göre, ankete katılan kuruluşların %89’u bir tür yapay zekâ olayı yaşamışken, %46’sı böyle bir olaya vereceği yanıtı doğaçlama belirleyecekti.

13 Ekim 2026’da yayımlanan rapor, yapay zekânın içerik üretmekten iş süreçlerini yürütmeye doğru ilerlemesiyle daha önemli hâle gelen bir sorunu inceliyor. Bir ajana belgelere, e-postalara ve iş sistemlerine erişim vermek, onu kullanışlı hâle getirebilir. Ancak bu durum, hatalı bir talimatın, açığa çıkan bir kimlik bilgisinin ya da denetimsiz bir eylemler dizisinin kontrol altına alınmasını da zorlaştırır.

Bulgular, yapay zekânın benimsenmesi ile yapay zekâ kaynaklı aksaklıklardan sonra toparlanmaya hazırlanmanın farklı hızlarda ilerlediğine işaret ediyor. Veri kümesindeki kuruluşların yaklaşık %80’i üretken yapay zekâ kullanıyor; ancak yalnızca üçte biri yapay zekâ sistemlerini saldırılara karşı test ediyor. Yapay zekâ kullanan kuruluşların dörtte üçünün bildirdiği bir uygulama olan yapay zekâ yönetişim komitesine sahip olmak, operasyonel savunmaların test edildiği anlamına gelmiyor.

Raporda Yapay Zekâ Olayı Sayılan Durumlar

Öne çıkan bu rakamı bağlamı içinde değerlendirmek gerekiyor. Raporda yapay zekâ olayları geniş bir tanımla ele alınıyor; zararlı halüsinasyonlar, önyargı, model kayması, veri sızıntısı, amaçlanmayan hedeflerin peşinden giden ajanlar, etkileşim hâlindeki ajanlar arasındaki arızalar ve yetersiz güvenlik önlemleri bu kapsama giriyor. Bu olayların nedenleri ve sonuçları birbirinden çok farklı olabilir.

Müşterilere verilen hatalı bir yanıt da gizli bilgileri açığa çıkaran bir ajan da bu geniş kapsamda değerlendirilir; ancak bunlar eşdeğer güvenlik olayları değildir. Bu nedenle %89’luk oran, kuruluşların neredeyse onda dokuzunun yapay zekâ kaynaklı bir veri ihlali yaşadığının kanıtı olarak değil, bir tür yapay zekâ olayı yaşandığına ilişkin bildirim olarak okunmalıdır. Rapora göre kuruluşların %16’sı en az haftada bir yapay zekâ olayıyla karşılaşıyor; ancak bu olayların hepsinin aynı şiddette olduğu belirtilmiyor.

Bu ayrım, müdahale planlaması açısından önem taşıyor. Zararlı bir model çıktısı, içeriğin yayından kaldırılmasını ve bu çıktıdan etkilenen kararların gözden geçirilmesini gerektirebilir. Bağlantılı araçlar üzerinden işlem yapan bir ajan söz konusu olduğunda ise izinlerin iptal edilmesi, etkinlik kayıtlarının korunması ve birden fazla sistemde yapılan değişikliklerin belirlenmesi gerekebilir. Geleneksel bir izinsiz giriş müdahale planı bu adımların bazılarını kapsayabilir; ancak ekiplerin yapay zekâya özgü hangi adımları atabileceklerini ve bu adımları atma yetkisinin kimde olduğunu bilmesi gerekir.

Planlar Yaygın, Uygulanabilir Planlarsa Daha Az Yaygın

Rapor, hazırlık düzeyini dört aşamada ele alıyor: hazırlık, tatbikat, müdahale ve raporlama. Bu aşamaların tümünde tekrar eden temel zayıflık, belgelere sahip olmakla baskı altında bu belgeleri uygulayabilmek arasındaki fark.

• Hazırlık: %92’sinin belgelenmiş olay müdahale süreçleri var; ancak yalnızca %37’sinin fidye yazılımlarına özel müdahale planları, %29’unun ise üçüncü taraf olaylarına yönelik müdahale planları bulunuyor.
• Tatbikat: %17’si masa başı tatbikatı yapmıyor. Diğer %66’sı ise bu tatbikatları yılda bir veya iki yılda bir gerçekleştiriyor.
• Müdahale: %67’si, en kritik süreçleri ve bağımlılıkları için net sorumlular belirlememiş.
• Raporlama: %69’u, kimin neyi ne zaman yaptığına ilişkin kayıtlarda önemli açıklar bulunduğunu kabul ediyor.

Bu arada, kuruluşların onda altısından fazlası olay sayısının önceki 12 ayda arttığını, %84’ü ise müdahale planlarını yılda bir veya daha seyrek gözden geçirdiğini söylüyor. Bu rakamlar hazırlık düzeyinin farklı yönlerini tanımlıyor; ancak birlikte ele alındıklarında pratik bir soruyu gündeme getiriyor: Tanımladıkları sistemler, tedarikçiler ve izinler sürekli değişirken bir plan ne kadar hızlı güncelliğini yitiriyor?

Yapay zekâ uygulamalarında bu değişiklikler yeni bir modeli, ek bir veri kaynağını veya daha önce elle yapılan bir görevi yerine getirme iznini içerebilir. Bu değişikliklerin her biri, bir sorun çıktığında gereken müdahaleyi değiştirebilir. Bir planın ilgili sistem sahibini, kullanılabilir sınırlama önlemlerini ve sınırlama sırasında korunması gereken kanıtları belirtmesi gerekir.

Müdahale Altyapısının Neden Ayrı Bir Sınırı Olmalı?

Ankete katılan kuruluşların yalnızca %33’ünde, incelenen yapay zekânın göremediği veya etkileyemediği, özel ve bant dışı bir komuta ortamı bulunuyor. Mimari sorun açık: Müdahale ekibinin koordinasyon sağlayacağı bir alana ihtiyacı var; etkilenen ortam güvenilirliğini yitirdiğinde bile bu alan güvenilir kalmalı.

Paylaşılan belgelere ve kurumsal mesajlaşma sistemine erişimi olan bir ajanı ele alalım. Müdahale ekipleri inceleme notlarını ve sınırlama planlarını aynı sistemlere kaydederse ajanın izinleri, müdahale sürecine erişmesini de sağlayabilir. Bu, arızalı her ajanın davranışını gizleyeceği anlamına gelmez. Anlamı, müdahale mimarisinin etkilenen sistemin doğru davranmasına bağlı olmaması gerektiğidir.

CYGNVS, güvenlik ekipleri, iş liderleri ve harici uzmanlar arasında koordinasyon sağlayan bir platformla bu ihtiyaca yanıt veriyor. Yapay Zekâ Olayları Komuta Merkezi, yapay zekâya özgü müdahale planları, tatbikat senaryoları ve müdahale rehberliği içeriyor. Şirket, bu ortamın müşterilerin kurumsal tek oturum açma sisteminden, e-postalarından ve altyapısından bağımsız çalıştığını belirtiyor.

Bant dışı özellikleri, ayrı kullanıcı kimliklerini ve olay çalışma alanını yetkili katılımcılarla sınırlayan İzolasyon Modu’nu içeriyor. Şirket ayrıca müdahale faaliyetlerini belgelemek için geçmişe dönük anlık görüntülerden ve dijital olarak imzalanmış erişim sertifikalarından söz ediyor. Bunlar koordinasyon ve kanıt yönetimi özellikleridir; etkinlikleri yine de kuruluşların erişimi nasıl yapılandırdığına, sorumlulukları nasıl dağıttığına ve bu özelliklerin kullanımını nasıl prova ettiğine bağlıdır.

Tatbikatlara Karar Veren Kişiler de Katılmalı

Rapordaki kuruluşların yalnızca %15’i hukuk, üst düzey yöneticiler ve iletişim ekiplerinin katıldığı, işlevler arası kapsamlı masa başı tatbikatları düzenliyor. Kuruluşların yaklaşık yarısı ise tatbikatları hâlâ öncelikle güvenlik ve BT çalışmaları olarak görüyor; diğer işlevleri gerektiğinde sürece dahil ediyor.

Bu durum, önemli kararların yeterince prova edilmeden kalmasına yol açıyor. Bir güvenlik ekibi bir entegrasyonu devre dışı bırakabilecek yetkiye sahip olabilir, ancak müşterilere sunulan bir hizmetin kesintiye uğratılmasını bir iş birimi liderinin onaylaması gerekebilir. Hukuk ve iletişim ekiplerinin, soruşturma tamamlanmadan nelerin söylenebileceğini değerlendirmesi gerekebilir. Bu sorumluluk devirlerini tatbikatlarda denemek, yetki eksikliklerini ve çelişen varsayımları ortaya çıkarmaya yardımcı olur.

Dış hizmet sağlayıcılar da bir başka bağımlılık unsurudur. Kriz iletişimi planları olduğunu bildirenlerin oranı %88 olsa da, on kişiden dördünden fazlası bu planların dayandığı dış uzmanlık için henüz güvence sağlamış değil. İletişim listeleri ve sözleşme düzenlemeleri, özellikle yaygın etkili bir olay sırasında birden fazla kuruluşun aynı uzmanlara ihtiyaç duyabileceği durumlarda, hazırlığın operasyonel bileşenleridir.

Kıyaslama Sonuçları Nasıl Okunmalı?

Yöntem bölümünde, Ocak 2023 ile Eylül 2026 arasında Asya, Avrupa ve Kuzey Amerika ülkelerindeki 21 sektörden toplanan 9.500’den fazla anketin ayrıntıları açıklanıyor. Yanıtlar katılımcıların kendi beyanlarına dayanıyor, anonimleştiriliyor ve toplu olarak analiz ediliyor. Veri kümesine, önceki 24 ay içinde kritik bir siber olay veya yapay zekâ olayı yaşayan ve yaşamayan kuruluşlar dahil.

Bu, 9.500 farklı şirketin katıldığı tek seferlik yeni bir anket değil, birkaç yıla yayılan bir yanıt derlemesidir. Yayımlanan yöntem açıklamasında, tüm kuruluşları temsil eden olasılıklı bir örneklem oluşturulduğu belirtilmiyor; öne çıkarılan her bulgu için örneklem büyüklüğü de verilmiyor. Yüzdeler veri kümesi kapsamında yararlı göstergeler sunuyor, ancak olayların tüm kuruluşlardaki yaygınlığına ilişkin kesin tahminler olarak değerlendirilmemeli.

Rapora göre yakın zamanda kritik olaylar yaşayan kuruluşlar, çeşitli ölçütlerde daha yüksek hazırlık düzeyi gösterme eğiliminde. Bu ilişki, söz konusu kuruluşların neleri değiştirdiğini incelemeyi destekliyor; ancak olay deneyiminin iyileşmeye neden olduğunu tek başına kanıtlamıyor. CYGNVS ayrıca olay müdahale yönetimi yazılımları satıyor; bu nedenle önerilerini değerlendirirken şirketin ticari çıkarlarını da göz önünde bulundurmak gerekiyor.

Bulguları Operasyonel Değişikliklere Dönüştürmek

CYGNVS, raporla birlikte Dayanıklılık Kıyaslama özelliğini kullanıma sunuyor. Şirket, bu özelliğin müşterilerin hazırlık düzeylerini sektöre, büyüklüğe ve coğrafyaya göre karşılaştırmasına olanak tanıdığını belirtiyor. Müşteri olmayanlar, kişiselleştirilmiş bir kıyaslama raporu almak için ücretsiz bir değerlendirmeyi tamamlayabiliyor. Rapor ve değerlendirmeye CYGNVS’nin dayanıklılık kaynağı üzerinden erişilebiliyor.

En yararlı çıkarım, somut eylemleri sınamaktır: Bir aracıyı kim devre dışı bırakabilir, kurumsal sistemler ele geçirilirse müdahale ekipleri nerede iletişim kurar, hangi kayıtlar korunur ve dış uzmanlar acil durumlarda gelişigüzel erişim düzenlemelerine gerek kalmadan sürece katılabilir mi? Bu yetenekleri ölçmek, yönetim kurullarına ve güvenlik liderlerine hazırlık düzeyini yalnızca bir politikanın varlığından daha net biçimde gösterir.

Kuruluşlar yapay zekânın yetki alanını genişlettikçe müdahaleye hazırlık düzeyinin de buna paralel olarak artması gerekiyor. CYGNVS Dayanıklılık Kıyaslama Raporu bu açığı görünür kılıyor. Bu açığı kapatmak için ekiplerin yazılı niyetleri, önceden prova ettikleri kararlara ve kontrollere dönüştürmesi gerekiyor.