Ekibimle birlikte son dönemde yapay zekâ tabanlı siber güvenlik çözümlerini yalnızca incelemekle kalmıyor; bu çözümleri geliştiriyor, test ediyor ve gerçek senaryolar üzerinde test ediyoruz.
Özellikle yapay zekâ destekli zafiyet araştırması ve sızma testi alanında elde ettiğimiz sonuçlar, önümüzdeki birkaç yıl içerisinde siber güvenlik dünyasının ciddi bir dönüşüm geçireceğini gösteriyor. Ancak bu dönüşüm süreci biraz faklı olacağı düşüncesindeyim. Örneğin, ihtiyaç duyulan insan kaynağı önümüzdeki dönemde azalmayacak, aksine artacak. ( En azında önümüzdeki bir kaç yıl.)
Bu yazıda teorik tahminlerden değil, bizzat geliştirdiğimiz ve test ettiğimiz çözümlerden edindiğimiz deneyimlerden yola çıkarak 2027 yılı siber güvenlik bütçelerine ilişkin öngörülerimi paylaşmak istiyorum.
Kişisel görüşüm oldukça net:
2027 yılında birçok kurumun siber güvenlik bütçesini hem teknoloji hem de insan kaynağı açısından önemli ölçüde artırması gerekecek. Bu bir tercih değil zorunluluk, siz bütçeniz artacak şekilde plan yapsanızda yapmasanızda bütçeniz artacak. Nasıl sorusunu duyar gibiyim, ilerleyen bölümlerde açıklayacağım ama ipucu vermem gerekirse, ya yatırım yapacaksınız yada siber olaylarla mücadele ederken yatırım bütçenizi harcayacaksınız.
Evet, yanlış okumadınız. Yapay zekâya rağmen insan kaynağı bütçelerimiz de artacak!
Çünkü mesele yalnızca daha fazla zafiyet bulmak değil. Mesele, yapay zekânın ortaya çıkaracağı zafiyetleri doğrulamak, gerçek risklerini anlamak, önceliklendirmek ve mümkün olan en kısa sürede gidermek.
Ekibimizle yürüttüğümüz çalışmalar sonucunda ulaştığımız temel çıkarım şu: Yapay zekâ, siber güvenlikte üretim kapasitesini artırıyor. Ancak kurumların bu kapasiteyi güvenliğe dönüştürebilmesi için operasyonel yetkinliklerini de aynı hızda geliştirmesi gerekiyor.
1. Yapay zekâ, zafiyet keşfinin hızını ve kapsamını kökten değiştiriyor
Yapay zekânın siber güvenlikte en büyük dönüşümlerden birini offensive security, yani saldırı odaklı güvenlik alanında yaratacağını düşünüyorum.
Bunu yalnızca bir öngörü olarak söylemiyorum. Ekibimizle geliştirdiğimiz ve test ettiğimiz yapay zekâ destekli çözümlerde bunun sonuçlarını doğrudan gözlemliyoruz.
Uygulamaları analiz etme, olası saldırı yollarını araştırma, farklı test senaryolarını deneme ve birbirinden bağımsız görünen bulgular arasında bağlantı kurma konusunda yapay zekâ ajanları son derece güçlü sonuçlar üretebiliyor.
Bazı görevlerde, deneyimli bir uzmanın saatlerini veya günlerini alabilecek çalışmalar çok daha kısa sürede gerçekleştirilebiliyor. Üstelik yapay zekâ, aynı anda çok sayıda farklı olasılığı değerlendirebiliyor ve insan uzmanların gözden kaçırabileceği senaryoları araştırabiliyor.
Daha da önemlisi, belirli test senaryolarında yapay zekâ ajanlarının deneyimli sızma testi uzmanlarıyla rekabet edebildiğini, hatta bazı görevlerde onları geride bırakabildiğini kendi çalışmalarımızda görüyoruz.
Elbette buradan hareketle, bir sızma testinin iki saatte tamamlanabileceğini veya insan uzmanlara artık ihtiyaç kalmadığını söylemiyorum. Ekim 2026 itibarıyla uçtan uca sızma testlerinde insan kontrolü, doğrulama ve uzman değerlendirmesi hâlâ kritik öneme sahip.
Ancak değişimin yönü tartışmaya açık değil: Aynı sürede daha fazla uygulama test edilecek, daha fazla saldırı senaryosu değerlendirilecek ve bugüne kadar gözden kaçan zafiyetlerin daha fazlası ortaya çıkarılacak.
Burada iddialı bir cümle kurmak istiyorum: (Normalde hiç sevmem, büyük lokma ye büyük söz söyleme diyenlerdenim.)
Bugüne kadar çalıştığınız sızma testi uzmanlarının ( ben de dâhil) hepsinden daha ısrarcı, daha hızlı ve belirli görevlerde daha yetenekli yapay zekâ ajanlarıyla karşılaşmaya hazırlanmalısınız.
Bu ajanlar, yıllardır test ettirdiğiniz ve defalarca sıfır bulguyla sonuçlanan uygulamalarda, daha önce fark edilmeyen kritik zafiyetleri ortaya çıkartacak. (Çıkartabilir de diyebilirdim ama çıkartacak diyorum çünkü geliştirdiğimiz yapay zeka destekli zafiyet araştırmacısı ajanlar, sızma testi ajanları ile aylardır bunu test ediyoruz. Testler sonucunda onlarca kurumun en büyük uygulamalarında defalarca kez acil, kritik zafiyetler tespit ettik, çok daha fazlasını tespit edeceğiz.)
Çünkü bir uygulamanın geçmişte yapılan testlerden başarıyla geçmiş olması, bugün de güvenli olduğu anlamına gelmiyor, gelmemeli, gelmediğini test ettiğinizde sizde. göreceksiniz. Yeni araçlar, yeni modeller ve daha kapsamlı araştırma yöntemleri, daha önce gözden kaçan riskleri görünür hâle getirebilir.
2. Daha fazla zafiyet, daha fazla insan kaynağı ihtiyacı demek
Yapay zekânın istihdam üzerindeki etkisi çoğunlukla çalışan sayısının azalması üzerinden tartışılıyor.
Ben özellikle offensive security alanında, önümüzdeki birkaç yıl için farklı bir tabloyla karşılaşacağımızı düşünüyorum.
Yapay zekâ, siber güvenlik uzmanlarının yerini hemen almak yerine, mevcut uzmanların yetişmekte zorlanacağı büyüklükte bir iş hacmi ortaya çıkartacak.
Bunu Sanayi Devrimi üzerinden düşünelim.
Sanayi devrimi öncesinde küçük atölyeler, az sayıda insan ile küçük üretimler yaparken, makineleşme sonrasında insan sayısı azalmadı. İnsanların işini çok daha hızlı, çok daha kaliyeti yapan onlarda makine geldi ama hala insan sayısı azalmadı. Geçmişte 3-5 kişi olan o atölyeler şimdi binlerce kişinin çalıştığı fabrikalara, üretim tesislerine döndü.
Aynı zamanda artan üretim, lojistik, bakım, kalite kontrol, dağıtım ve operasyon yönetimi gibi alanlarda yeni ihtiyaçlar doğdu. Üretimin otomasyonu, bütün iş süreçlerini ortadan kaldırmadı; üretimin ölçeğini ve iş gücünün niteliğini değiştirdi.
Yapay zekâ ile siber güvenlikte yaşanacak dönüşümün de benzer bir dinamiğe sahip olacağını düşünüyorum.
Daha fazla kod yazacağız. Daha fazla uygulamayı test edeceğiz. Daha fazla zafiyet bulacağız. Fakat bu zafiyetlerin gerçek olup olmadığını anlamak, iş üzerindeki etkilerini değerlendirmek, birbirleriyle ilişkilerini ortaya çıkarmak ve giderilmelerini sağlamak için hâlâ güçlü operasyonel kapasiteye ihtiyaç duyacağız.
Üstelik sorun yalnızca siber güvenlik ekipleriyle sınırlı kalmayacak.
Yapay zekâ daha fazla zafiyet buldukça yazılım geliştirme, altyapı, uygulama yönetimi ve sistem ekiplerinin önüne de daha fazla iş düşecek.
Geçmişte belirli aralıklarla gelen birkaç kritik zafiyet bildirimiyle başa çıkabilen bir kurum, aynı gün içerisinde birden fazla kritik bildirim aldığında mevcut süreçleriyle yetersiz kalıyor.
Bunu bir örnekle açıklayayım.
Bir kurumun kritik zafiyet bildirimlerine 24 saat içerisinde yanıt verme zorunluluğu var. Geçmişte ayda bir veya iki kez karşılaştığı bu bildirimler, artık aynı gün içerisinde üç veya daha fazla kez gelmeye başlarsa ne olacak?
Üstelik saldırganların zafiyetlerden yararlanmak için aylarca beklemediği, bazı durumlarda çalışan istismar kodlarının saatler içerisinde ortaya çıkabildiği bir ortamdan söz ediyoruz.
Kurumun mevcut güvenlik ürünleri, iş akışları ve insan kaynağı bu yoğunluğu karşılayamıyorsa sorun yalnızca daha fazla zafiyet bulunması değildir. Sorun, bulunan zafiyetlerin kurumun müdahale kapasitesini aşmasıdır.
Bu noktada çok önemli bir ayrım var: Yapay zekânın bulduğu her bulguyu doğru kabul edemeyiz. Bulguların doğrulanması, risklerinin belirlenmesi ve iş etkilerinin değerlendirilmesi gerekiyor.
Dahası, bütün süreci kontrolsüz biçimde ajanlara bırakamayız.
Siber güvenlik ajanı bir kod parçasını kritik zafiyet olarak değerlendirirken yazılım geliştirme ajanı aynı davranışın tasarım gereği olduğunu iddia ederse nihai kararı kim verecek? Kritik bir üründe kod değişikliğinin veya Active Directory üzerindeki hassas bir yetki değişikliğinin sonuçlarını kim üstlenecek?
Bugünün şartlarında bu sorumluluğu bütünüyle otonom ajanlara devredebileceğimizi düşünmüyorum.
Gelecekte bunun değişmesi mümkün. Hatta birçok operasyonun giderek otonom hâle geleceğine inanıyorum. Ancak 2027 bütçelerini hazırlarken gelecekte ulaşabileceğimiz noktayı değil, bugün yönetmek zorunda olduğumuz riskleri esas almalıyız.
Yapay zeka çağında hala eski yöntemler ile zafiyet araştırması yapamayız, yapay zeka destekli zafiyet tespit süreçlerine hızla adapte olmak zorundayız. Zafiyete tespit kapasitesini artırıp giderme kapasitesini sabit tutarsak daha güvenli kurumlar değil, yalnızca daha uzun zafiyet listelerine sahip kurumlar yaratırız. Bu nedenle bu alanda çalışacak insan kaynağı ve otomasyon çözümlerine de 2027 de yatırım yapmak zorundayız.
Bu nedenle yapay zekâ destekli siber güvenlik yatırımlarının yanında, bulguları değerlendirecek, giderecek ve doğrulayacak insan kaynağına da yatırım yapılması gerektiğini düşünüyorum.
Bugün nasıl bir zafiyet tarama aracının sonuçlarına bakarak “Uygulamada zafiyet yok, sızma testine gerek yok.” demiyorsak, yapay zekâ ajanları için de aynı yaklaşımı benimsemeliyiz.
Yapay zekâ destekli test, insan uzmanlığının sonu değil; uzmanlığın daha yüksek riskli ve daha karmaşık problemlere yönelmesinin başlangıcı olacak.
Bu nedenle 2027 için yalnızca daha büyük ekiplere değil, daha yetkin ekiplere de ihtiyacımız olacak.
Eğitim, uzmanlaşma, yapay zekâ destekli test yöntemleri ve bulgu doğrulama yetkinlikleri bütçelerin ayrılmaz bir parçası hâline gelmeli.
4. Yapay zekâ destekli güvenlik çözümlerinin maliyet modeli değişiyor
2027 bütçelerinde gözden kaçırılmaması gereken konulardan biri de yapay zekâ destekli güvenlik araçlarının kullanım maliyetleri.
Geleneksel güvenlik ürünlerinde lisanslama genellikle belirli bir varlık sayısı, kullanıcı sayısı, IP adresi veya uygulama üzerinden yapılabiliyor. Ürünün geliştirilmesi için katlanılan maliyet ile her bir kullanımın maliyeti arasında, yapay zekâ destekli çözümlerde gördüğümüz kadar doğrudan bir ilişki bulunmayabiliyor.
Yapay zekâ ajanlarında ise lisans maliyetine ek olarak her çalıştırmada kullanılan model, hesaplama kaynağı, işlem sayısı ve araştırmanın derinliği gibi unsurlar devreye girebiliyor.
Ekibimizle geliştirdiğimiz çözümleri değerlendirirken bu farkın bütçe planlaması açısından ne kadar önemli olduğunu çok net bir şekilde görebiliyoruz.
Örneğin geleneksel bir web uygulaması güvenlik ürününde iki farklı alan adının test edilmesi benzer lisans maliyetleriyle gerçekleştirilebilir. Ancak yapay zekâ ajanlarıyla yürütülen testlerde, uygulamaların karmaşıklığına bağlı olarak maliyetler arasında çok büyük farklar oluşabilir.
Basit bir kurumsal web uygulamasıyla binlerce işlevi, çok sayıda entegrasyonu ve karmaşık yetkilendirme mekanizmaları bulunan büyük bir e-ticaret uygulamasının/İnternet şubenin aynı maliyetle test edilmesini beklemek gerçekçi olmayabilir. (Örneğin, bir zafiyet tarama aracı ile rsu.com.tr ve amazon.com.tr adresini test etmenin maliyeti aynı, ancak aynı iki uygulamayı yapay zeka destekli uygulamalar ile test ederseniz maliyet arasındaki fark binlerce dolar olabilir.)
Yapay zekâ destekli sızma testinde maliyeti yalnızca kaç uygulama, IP, FQDN vb. test ettiğiniz değil, uygulamanın ne kadar karmaşık olduğu ve ne kadar derin araştırma yaptığınız da belirleyecek.
Şu tecrübemiz size çok ilginç gelebilir, yapay zeka uygulamalarının lisans maliyetini anlamak açısından önemli diye düşünüyorum. Aynı uygulamada, hiç bir değişiklik yapmadan iki kere aynı testi yaptığınızda bile testin maliyeti birbirinden farklı olabiliyor. Bir test daha kısa sürede sonuçlanırken başka bir test daha fazla araştırma, farklı saldırı senaryoları ve daha yoğun model kullanımı olabiliyor. (Bu LLM’in doğasında var, aynı sorulara her seferinde farklı yanıtlar verebiliyor. Bu durumda maliyetleri değiştiriyor.)
Bu nedenle yalnızca IP adresi veya uygulama sayısı üzerinden bütçe planlamak yetersiz kalabilir. 2027 siber güvenlik süreçlerinin doğru bir şekilde ilerleyebilmesi için belki ilk önce 2027 bütçesini doğru planlamak gerekiyor. Buradaki maliyetleri öngörebilmek giderek zorlaşıyor, esnek bütçelere ihtiyaç var.
Kurumlar önceden uygulama sayısını bilmesi bütçe yapmak için yeterliydi ancak günümüzde uygulama envanterlerinin yanında şu bilgileri de biliyor olmak gerekecek:
- Uygulamaların işlev ve endpoint sayıları
- Entegrasyonlar ve yetkilendirme mekanizmalarının karmaşıklığı
- Beklenen test derinliği ve araştırma süresi
- Testlerin tekrarlanma sıklığı
- Tüketim bazlı ücretler, krediler ve kullanım kotaları için bütçe çalışmaları
Elbette bütün yapay zekâ destekli güvenlik ürünleri token bazlı fiyatlandırılmıyor. Sabit lisans, kredi sistemi, kullanım kotası ve tüketim bazlı ücretlendirme gibi farklı modeller bulunuyor. Ancak kullanım hacmine bağlı maliyetlerin arttığı senaryolarda kurumların toplam sahip olma maliyetini doğru hesaplaması gerekiyor.
2027 bütçelerinde yapay zekâ destekli güvenlik araçları için ayrı bir maliyet kalemi oluşturulmasını ve düşük, beklenen ve yüksek kullanım senaryoları üzerinden bütçe hazırlanmasını öneriyorum.
5. Yapay zekâ saldırganların da kapasitesini artırıyor
Yapay zekâyı yalnızca savunma ekiplerinin verimliliğini artıran bir teknoloji olarak değerlendiremeyiz.
Aynı araçlar saldırganların araştırma, kod üretme, otomasyon ve saldırı hazırlığı süreçlerini de kolaylaştırıyor.
Burada her kullanıcının bir anda deneyimli bir saldırgana dönüşeceğini iddia etmiyorum. Gerçek dünyada başarılı bir saldırı gerçekleştirmek hâlâ teknik bilgi, uygun koşullar, erişim ve farklı aşamaların bir araya getirilmesini gerektiriyor.
Ancak yapay zekâ bazı saldırı faaliyetlerinin maliyetini düşürebilir, daha önce ciddi teknik uzmanlık gerektiren görevleri daha geniş bir grubun gerçekleştirebilmesini sağlayabilir ve saldırı hazırlığını hızlandırabilir.
Savunma ekiplerinin daha fazla uygulamayı test edebildiği bir dünyada saldırganlar da daha fazla olasılığı daha düşük maliyetle araştırabiliyor.
Bu nedenle kurumların yalnızca kendi güvenlik ekiplerinin verimliliğini değil, karşı karşıya oldukları tehditlerin nasıl değiştiğini de dikkate alması gerekiyor.
Savunma kapasitesini artırmayan kurumlar, saldırganların artan kapasitesi karşısında giderek daha zor bir konuma düşecek. Çok düşük yetenek seviyesine sahip kişiler bile doğru yapay zeka desteği ile gelişmiş ciddi saldırı senaryoları geliştirebiliyorlar.
6. Yapılmayan yatırımın maliyeti, yapılan yatırımdan daha yüksek olabilir
Ekonomik belirsizliklerin ve bütçe kısıtlarının kurumların gündeminde olduğunu biliyorum. Böyle bir ortamda teknoloji yatırımlarını ertelemek veya mevcut harcamaları sınırlamak ilk bakışta makul görünebilir.
Ancak siber güvenlikte yalnızca ne kadar harcadığımıza değil, yatırım yapmadığımızda hangi riskleri üstlendiğimize de bakmalıyız.
Zamanında tespit edilmeyen veya giderilmeyen kritik bir zafiyet; operasyonel kesintilere, veri ihlallerine, müşteri kaybına, itibar zedelenmesine ve hukuki yükümlülüklere yol açabilir.
Olayın niteliğine ve ilgili mevzuata bağlı olarak KVKK veya GDPR kapsamındaki yükümlülükler ve düzenleyici yaptırımlar da gündeme gelebilir.
Üstelik bir güvenlik olayının maliyeti yalnızca müdahale ekibinin harcadığı zamandan ibaret değildir. Adli inceleme, sistemlerin yeniden devreye alınması, iş sürekliliğinin sağlanması, hukuki danışmanlık ve müşteri güveninin yeniden kazanılması da ciddi kaynak gerektirebilir.
Burada altını çizmek istediğim konu, her kurumun bütçesini koşulsuz olarak artırması gerektiği değil. Yatırım kararlarının gerçek risklere ve ölçülebilir sonuçlara dayanması gerektiği.
Ancak tehdit ortamı değişirken bütçeyi yalnızca geçen yılın rakamlarına göre hazırlamak da başlı başına bir risk.
2027 planlamasında şu soruyu sormalıyız:
Bir güvenlik yatırımının maliyeti nedir? Peki, bu yatırımı yapmamanın kurumumuza maliyeti ne olabilir?
7. CISO’lar 2027 siber güvenlik bütçelerini nasıl planlamalı?
Ekibimizle edindiğimiz deneyimlerden hareketle, 2027 bütçelerinde aşağıdaki başlıklara öncelik verilmesini öneriyorum.
1. Yapay zekâ destekli test kapasitesi
Sızma testi ve zafiyet araştırma süreçlerinde uygun yapay zekâ çözümlerini kontrollü biçimde değerlendirin. Gerçek uygulamalar üzerinde kapsam, doğruluk ve verimlilik ölçümleri yapın.
2. Bulguların doğrulanması ve önceliklendirilmesi
Daha fazla bulgu üretmek, riskter haberdar olmak kurumların güvenli olacağı anlamına gelmiyor. Yapay zeka desteği ile tespit edilen zafiyetlerin gerçekliğini, sömürülebilirliğini, iş etkisini ve kritikliğini değerlendirebilecek insan kaynağına ihtiyaç var.
3. Zafiyet giderme kapasitesi
Yazılım geliştirme, altyapı ve uygulama ekiplerinin artan iş yükünü hesaba katın. Tespit edilen zafiyetlerin giderilmesi için gerekli insan kaynağını, otomasyonu ve süreçleri planlayın.
4. Uzmanlık ve eğitim
Siber güvenlik uzmanlarının yapay zekâ destekli araçları kullanma, karmaşık bulguları analiz etme ve iş mantığı zafiyetlerini araştırma yetkinliklerine yatırım yapın.
5. Değişken kullanım maliyetleri
Token, kredi, hesaplama kaynağı ve kullanım kotalarını dikkate alın. Yalnızca başlangıç lisans bedeline değil, farklı kullanım senaryolarındaki toplam maliyete odaklanın.
8. İnsan denetimi ve yönetişim
Yapay zekâ ajanlarının yetki sınırlarını, erişebilecekleri sistemleri, yapabilecekleri değişiklikleri ve insan onayı gerektiren işlemleri tanımlayın. Özellikle kritik sistemlerde kontrolsüz otonom değişikliklerden kaçının.
Her kurum için aynı oranda bir artış önermek doğru olmaz. İhtiyaç duyulan yatırım; kurumun büyüklüğüne, mevcut güvenlik olgunluğuna, sektörüne ve risk profiline göre belirlenmeli.
Ancak bir konuda oldukça netim:
Yapay zekâ sayesinde daha fazla zafiyet bulacağız. Asıl rekabet, bu zafiyetleri kimin daha hızlı ve doğru şekilde ortadan kaldırabildiği konusunda yaşanacak. Zafiyetleri tespit ve kapatılma hızı ise yapılan insan kaynağı yatırımı ve yapay zeka destekli sızma testi çözümleri ile olacağı düşüncesindeyim.
2027’de siber güvenlikte fark yaratacak kurumlar, yalnızca en fazla yapay zekâ aracını satın alanlar olmayacak. Bu araçların ürettiği kapasiteyi gerçek risk azaltımına dönüştürebilenler olacak.
Bu da doğru teknolojiye, güçlü insan kaynağına, etkin süreçlere ve ölçülebilir sonuçlara yatırım yapmayı gerektiriyor.
RSU ekibinin karar verici yöneticilerinen birisi olarak bende bu konulara ciddi şekilde zaman ayırıyor, kurumların bu ihtiyaçlarına cevap verecek çözümler hazırlanıyoruz.
2027 siber güvenlik bütçenizi yalnızca geçen yıl ne harcadığınıza bakarak hazırlamayın. Önümüzdeki yıl ne kadar hızlı zafiyet bulabileceğinizi, kaçını ne kadar sürede giderebileceğinizi ve değişen tehdit ortamında hangi riskleri üstlendiğinizi düşünerek hazırlayın.
Çünkü artık mesele yalnızca daha fazla zafiyet bulmak değil.
Mesele, yapay zekânın hızına yetişebilecek bir güvenlik organizasyonu kurmak.
