2026 başında yapılan geniş kapsamlı bir ankete göre kurumların yüzde 73’ü, yarın yaşanacak ciddi bir siber saldırıda kendilerini “tam hazır” görmüyor. 600 üst düzey BT ve güvenlik karar vericisinin yanıtlarını temel alan çalışma, hazırlık planı ile gerçek bir kriz anında bu planı uygulayabilme becerisi arasında ciddi bir fark bulunduğunu ortaya koydu.
Vanson Bourne tarafından ocak ve şubat 2026’da yürütülen araştırma, olay müdahalesi hazırlığının kâğıt üzerindeki planlardan ibaret olmadığını da gösterdi. Ankete göre kurumların önemli kısmı, tehdit karşısında yalnızca teknik ekipleri devreye sokmakla yetinemiyor; karar alma, iletişim, hukuk ve yönetim koordinasyonu aynı anda yürütülmek zorunda kalıyor.
Aynı inceleme, siber saldırıların artık istisna değil, düzenli bir iş riski haline geldiğini de gösterdi. Son 12 ayda kurumların yüzde 76’sı en az bir saldırı yaşadığını söylerken, yüzde 32’si birden fazla saldırıyla karşılaştığını bildirdi.
Plan var, baskı altında uygulama zayıf
Ocak ve Şubat 2026’da yapılan araştırmada, olay müdahalesinin yalnızca teknik izolasyon anlamına gelmediği vurgulandı. Olgun bir müdahale yapısı; yönetim düzeyinde kriz koordinasyonu, hukuk ve mevzuat eşgüdümü, paydaş iletişimi, kurum çapında inceleme, iyileştirme, toparlanma ve olay sonrası izleme süreçlerini birlikte gerektiriyor.
Katılımcıların yüzde 40’ından azı, yazılı müdahale planları, masa başı tatbikatlar, tehdit avcılığı, dijital adli analiz ve 7/24 izleme gibi temel bileşenleri “yüksek derecede etkili” olarak tanımladı. Rapor, asıl sorunun bu yeteneklerin hiç olmaması değil, kararların hızlı verilmesi gereken anda birlikte çalışıp çalışmadıkları olduğunu belirtiyor.
Ankete göre olay müdahalesi, teknik bir savunma görevinden çıkarak kurum genelinde bir koordinasyon sınavına dönüşmüş durumda. Plan, araç ve ekipler tek tek mevcut olsa bile, baskı altında bunların eşgüdümü sağlanamadığında müdahale akışı aksıyor.
Veriler, kurumların iç uyum sorunları nedeniyle müdahalenin sık sık yavaşladığını da ortaya koydu. Şiddetli bir olay sırasında paydaşları koordine etmede zorlanacağını düşünenlerin oranı yüzde 90’a ulaştı. Hukuk ve iletişim ekiplerinin devreye giriş zamanındaki gecikme ya da belirsizliğin kararları yavaşlattığını söyleyenlerin oranı ise yüzde 75 oldu.
Yönetim kurulu ya da üst yönetimin olay müdahalesi hazırlığı ve karar alma süreçlerine sınırlı katıldığını belirtenlerin oranı da yüzde 89 olarak ölçüldü. Bu tablo, teknik ekipler saldırıyı incelerken yöneticilerin onay beklemesi, hukuk ve iletişim birimlerinin geç devreye girmesi ve duyuru ya da eskalasyon kararlarının gecikmesi gibi zincirleme aksaklıklar yaratıyor.
Raporun anlattığı operasyonel akışta, olay anında sahiplik belirsiz kaldığında müdahale planı bir uygulama senaryosundan çıkarak reaktif bir koşuya dönüşüyor. Ekipler, önceden prova edilmiş adımları yürütmek yerine paydaşları bilgilendirmeye, yetki sınırlarını netleştirmeye ve onay peşinde koşmaya zaman harcıyor.
Görünmeyen nokta kalınca saldırgan içeride kalıyor
Teknik tarafta öne çıkan bir diğer bulgu, kurumların saldırganın nerede dolaştığını tam görememesi oldu. Katılımcıların yüzde 78’i, ortamlarındaki kör noktaların kalıcı saldırgan erişimi yarattığını ve yinelenen olay riskini artırdığını söyledi. Bu kör noktalar şirket içi sistemlerden genel bulut ortamlarına, uç noktalardan SaaS platformlarına, kimlik sistemlerinden operasyonel teknoloji ortamlarına kadar uzanabiliyor.
Bu görünürlük eksikliği, müdahale ekiplerinin temel soruları güvenle yanıtlamasını zorlaştırıyor: Saldırgan ilk kez nereden girdi, hangi sistemlere ulaştı, yatay hareket etti mi, ayrıcalıklı hesaplar ele geçirildi mi, kalıcılık mekanizması gerçekten temizlendi mi, toparlanmadan sonra geri dönebilir mi. Rapor, güvenilir görünürlük olmadığı durumda kurumların olayın yalnızca bir bölümünü kapatıp saldırgan erişimini içeride bırakabileceğini aktardı.
Kurumlardaki görünürlük sorunları yalnızca IT katmanıyla sınırlı değil. Araştırmaya katılanların yüzde 84’ü, saldırganların kurumsal bilgi işlem sistemlerinden operasyonel teknolojiye ya da endüstriyel kontrol sistemi ortamlarına geçmesinden endişe duyduğunu söyledi. Üretim, enerji, sağlık, ulaşım ve kritik altyapı alanlarında bu geçiş, veri sızmasından çok daha geniş bir etki alanı yaratabiliyor. İT’den OT ya da ICS’ye sıçrayan saldırı, üretim akışını, güvenliği, hizmet sürekliliğini ve toparlanma süresini doğrudan etkileyebiliyor.
Araştırma, birçok kurumun bu açığı fark ettiğini ancak ortamlar arası geçişi hızla saptayıp durduracak birleşik görünürlüğe hâlâ sahip olmadığını gösterdi.
Rapor ayrıca kurumların son 12 ayda yaşadığı saldırıların somut iş etkilerine de yer verdi. Olay yaşayan organizasyonlar operasyonların durması, veri kaybı, itibar zedelenmesi, müşteri kaybı, gelir düşüşü ve yönetim seviyesinde aksama bildirdi.
Perakende şirketleri operasyonların durması ve kâr ya da gelir kaybını en sık raporlayan grup oldu. Üretim ve finansal hizmetlerde ise veri kaybı daha öne çıktı. Kripto ve merkeziyetsiz finans kuruluşları en yüksek saldırı sıklığını bildirdi. Özel sağlık kurumlarında ise hukuk ve iletişim gecikmeleri konusunda kaygı belirginleşti.
Bölgesel tabloda da farklılıklar görüldü. Kuzey Amerika en yüksek saldırı sıklığını bildiren bölge olurken, APAC katılımcıları veri kaybı, itibar kaybı ve müşteri kaybını daha yüksek oranlarda raporladı. Avrupa’da toplam olay sayısı daha düşük kalsa da, yaşanan saldırılar gelir kaybı ya da kâr düşüşüyle sonuçlanmaya daha yatkın göründü.
Gelecek beklentilerinde fidye yazılımı ilk sıraya yerleşti. Bulut ortamlarına yönelik saldırılar da hemen arkasından geldi. Ancak rapor, kurumların tek bir baskın tehdide hazırlanmadığını; bulut ele geçirme, kimlik suistimali, üçüncü taraf riski, yapay zekâ destekli tehditler, fidye yazılımı ve hibrit ortamlarda yanal hareket gibi çok sayıda saldırı hattıyla karşı karşıya olduğunu kaydetti.
Bu çeşitlilik, olay müdahalesi hazırlığını daha karmaşık hale getiriyor. Kurumların yalnızca tek bir senaryoya değil, farklı saldırı yollarına aynı anda cevap verebilecek bir yapıya sahip olması gerekiyor.
Yapay zekâ kullanımı artıyor, ancak rapor bunu hazır olmanın yerine geçen bir unsur olarak değil, destekleyici bir katman olarak tarif ediyor. Kurumların neredeyse üçte biri, tehdit tespiti ve olay müdahalesi faaliyetlerinin çoğunda ya da tamamında yapay zekâyı yoğun şekilde kullandığını bildirdi. Bu oran geçen yıl yüzde 25’ti. 2027’ye gelindiğinde kurumların yüzde 63’ü bu faaliyetlerin içine yapay zekânın yerleşmiş olmasını bekliyor.
Moderate ya da yoğun yapay zekâ kullanan kurumların, olay müdahalesi bileşenlerini daha etkili değerlendirme eğiliminde olduğu da raporda yer aldı. Buna karşın çalışma, yapay zekânın yönetişim, görünürlük ve disiplinli uygulamanın yerine geçemeyeceğini açıkça söylüyor. Araçlar triyajı, tehdit avını ve incelemeyi hızlandırabiliyor; fakat belirsiz karar yetkilerini, parçalı paydaş koordinasyonunu ya da eksik görünürlüğü tek başına çözemiyor.
Kurumlar dış kaynaklı olay müdahalesi ve managed detection and response ilişkilerini de yeniden tartıyor. Birçok şirket, mevcut sözleşmeleri bitince sağlayıcı değiştirmeyi planladığını aktardı. Bu tercihin arkasında daha proaktif hazırlık desteği, IT, OT, bulut ve hibrit ortamları kapsayan daha geniş görünürlük, karmaşık olaylarda daha güçlü uzmanlık ve yüksek baskı altındaki incelemelerde daha hızlı destek beklentisi var.
Rapor, müdahale süreçlerinde tek bir teknoloji ekosistemine aşırı bağımlılık konusunda da uyarı niteliğinde bir tablo çizdi. Ekipler yalnızca tek platforma ya da araç setine bağlıysa, inceleme ve izolasyon adımları o ekosistemin görebildiği, erişebildiği ve destekleyebildiği alanla sınırlı kalabiliyor. Bu nedenle kurumların iç ekipleriyle dış hizmet sağlayıcılarının birden fazla güvenlik aracı, bulut platformu, kimlik sistemi, SaaS uygulaması ve OT ortamında çalışıp çalışamadığı da yeniden değerlendiriliyor.
Raporun son bölümünde, olay müdahalesi hazırlığının statik bir plan ya da yıllık uyum egzersizi değil, sürekli bir operasyon disiplini olarak ele alınması gerektiği vurgulandı. Kurumların rol ve sorumluluklarını kriz başlamadan tanımlaması, teknik ve teknik olmayan ekipleri birlikte çalıştıran tatbikatlar yapması, uç nokta, kimlik, bulut, SaaS, şirket içi altyapı ve varsa OT ortamlarında görünürlüğü test etmesi, yapay zekâyı insan denetimiyle destekleyici biçimde kullanması ve iç-dış müdahale kapasitesini netleştirmesi gerektiği aktarıldı.
Rapora göre hazırlık; karar yetkilerinin önceden tanımlanması, çapraz ekip koordinasyonunun sınanması, görünürlüğün doğrulanması ve yapay zekânın iş akışlarına insan denetimiyle yerleştirilmesi gibi adımlara dayanıyor. Dış sağlayıcıların da hız, teknik derinlik, iletişim pratiği ve olay sonrası iyileştirme desteği gibi başlıklarda değerlendirilmesi öneriliyor.
Raporun verdiği ana mesaj net: Kurumların büyük bölümü saldırıya uğruyor, ancak önemli bir kısmı olay müdahalesi kabiliyetlerinin baskı altında aynı şekilde çalışacağından emin değil. Hazırlık artık yalnızca bir plan dosyasına sahip olmak değil, o planın gerçek bir saldırı sırasında ekipler, teknolojiler, hukuk birimleri, iletişim ekipleri ve iş operasyonları arasında çalışmasını sağlamak anlamına geliyor.