Bir Dijital Olgunluk Modeli Olarak ISACA Digital Trust
Son dönemde Avrupa’da veri yönetişimi alanında artan düzenlemelere paralel olarak ISACA tarafından Digital Trust yaklaşımının öne çıkarıldığını görüyoruz. Ben de sizlerle birlikte, Digital Trust yaklaşımını ele alacağımız ve kendi deneyimlerim çerçevesinde kripto borsaları açısından sağlayacağı faydaları açıklayacağım bir yazı dizisine başlıyorum…
Dijital güven, dijital bir ekosistemde hizmet sağlayıcılar ve paydaşlar arasında gerçekleşen etkileşim süresince sağlanması ve korunması gereken bir başarı kriteri olarak tanımlanabilir. Genel olarak hizmet sağlayıcılar müşteri odaklı olmayı severler. Ancak güven ortamının sadece müşteri tarafı için değil, iç ve dış tüm paydaşları kapsayacak şekilde sağlanması gerekir. Örnek olarak dış paydaşlardan düzenleyici kuruluşlar tarafında şirketinize yönelik güven sarsıcı eylemleriniz, bir şekilde müşterileri odaklı olma konusundaki iddianızı da boşa çıkarabilir.
Her gün gerçekleşen milyonlarca çevrimiçi ticari işlem, ilgili paydaşlar ve organizasyonlar arasında yüksek düzeyde bir güven olmadan gerçekleşemez. Tüm organizasyonların güçlü bir dijital güven ortamı oluşturması ve sürdürmesi gerekli. Aslında KVKK mevzuatı sayesinde, bunun önemi ve nasıl sağlanacağı konusunda belirli bir oranda fikir sahibi olduk.
MADDE 1- Dijital olarak güvenilir bir organizasyonun, müşteri verilerini onların beklenti ve rızalarıyla uyumlu bir şekilde kullanması ve koruması gerekir.
Sonra? Sonrası konusunda kafalar karışık ve ISACA bu soruya yönelik kapsamlı bir yaklaşımla cevap veriyor. ISACA tarafından yayımlanan Digital Trust: A Modern-Day Imperative’e göre, dijital olarak güvenilir bir organizasyon:
- Paydaş güvenini neyin ihlal edebileceği konusunda net ve doğru bir anlayışa sahiptir
- Bu güveni ihlal etmenin sonuçlarını anlar
- Paydaş veri mahremiyetini korur ve saygı duyar
- Etik davranır
Chris Skinner’ın “Dijital Bankacılık” kitabını okuyanlarınız vardır. Kitabın bütününde dijital dönüşümün bankacılık sistemi ve bu ekosistemdeki paydaşlar üzerindeki etkisi somut örneklerle açıklanıyor. Kitapta en dikkatimi çeken konulardan bir tanesi, banka müşterilerinin hizmet aldıkları kanal tercihlerinde güven unsurunun radikal şekilde belirleyici olduğuna ilişkin vurguydu.
Müşteriler artık fiziksel bir banka şubesini ziyaret etmek zorunda kalmadan banka hesabı açmak gibi bir eylemi çevrimiçi olarak gerçekleştirebiliyor ve hatta bu yeteneği gerçekleştirmesi gerektiği düşünülüyor. Chris Skinner’a göre her durumda insanlar dijital olarak güvenilir olduğunu bildikleri veya inandıkları kanalları tercih etmeye devam ediyor. Örnek olarak belirli bir yaş kategorisindeki müşterilerin banka şubelerine ilgisinin hala daha yüksek olduğu gösteriliyor. Bu pratik olmasa dahi, onların güven algısına dayanan bir tercih. Yapılan araştırmalar insanların yüzde 73'ü güvenin müşteri sadakatini desteklediğine inanıyor. Bu veriye bakarak organizasyonların dijital ekosistemlerini, uçtan uca, tümüyle bu güven unsuruna göre yenilemeleri gerektiğini düşünebiliriz.
Bir dijital işlemin herhangi bir unsuru başarısız olursa, müşteriler tüm etkileşimlerini — kullandıkları hizmetler, satın aldıkları ürünler vb. — sorgulamaya başlayacaktır. Bir çok deneyim ve inceleme sonucu zamanla müşterinin zihninde oluşan güven unsuru, tek bir hata ile yerle bir olabilir. Eminimki bir müşteri olarak yararlandığımız mobil uygulamada sorunlarla karşılaştığımızda organizasyona ve sunulan yararlandığımız diğer hizmetlere yönelik de soru işaretleri oluşacaktır. Yani bir yanlış onlarca doğruyu götürebilir.
ISACA Digital Trust Yaklaşımının Temel Unsurları
“Dijital güven, içine ne koyduğumuz değil, tüketicilerin bundan daha çok ne elde ettiğidir. Müşteriler, satın aldıkları her şeyde bir düzeyde dijital güven ve kalite varsayar. Ancak güven kazanılır ve asla tesadüf olamaz. Güven kazanmak ve sürdürmek, yüksek niyetin, samimi çabanın, akıllı yönlendirmenin ve becerikli uygulamanın sonucudur. Güven, satış konuşması ve ücretlendirme unutulduktan çok sonra bile hatırlanır.” Bu tespit ISACA Standartlar ve Modeller Başkan Yardımcısı Ron Lear’a ait. Sayfalar dolusu açıklamayı tek paragrafa sığdırmış.
Şimdi ISACA tarafından sunulan Dijital Trust yaklaşımını, bu yaklaşımın dayandığı kriterler üzerinden inceleyelim.
1. Kalite
Kalite bir organizasyon tarafından yönetilen tüm süreç, ürün ve hizmetlere dokunan bir kriter olarak paydaş güvenini somut olarak etkiler. Kalite, bir müşterinin istediği ürünü bulması, alternatifleri ile karşılaştırması, hızlı ve güvenli şekilde alış işleminin yapılmasından, ürünlerin doğru tüketicilere en iyi durumda ve taahhüt edilen süre içerisinde teslim edilmesine hatta ürün yaşam döngüsünün sonuna (EOL) kadar uzanır. Ayrıca işlerin planlandığı gibi gitmediği durumlarda müşteri sorunlarına ve şikayetlerine yanıt verilmesini de bu kapsamda düşünmeliyiz. Sanırım müşteri şikayet yönetimi, organizasyonların güven ilişkisi açısından karşılaşacakları en önemli sınavlardan birisini oluşturuyor. Hepimizin geçmişte bu konuda yaşadığı olumlu veya olumsuz örnekler vardır. Deneyimlerim çerçevesinde ben de aldığım ürünün iadesinde sorun yaşadığım firmalarla bir daha çalışmamayı kendime ilke edindim.
2. Erişebilirlik
Artık bir hizmet sağlayıcı, paydaşlarına vadettiği değer yaratımı sürecinde sunduğu hizmetlere hem mevzuatsal, hem sözleşmesel gereklilikler çerçevesinde 365 gün 7/24 erişilebilirliğini sağlayabilmelidir. Müşterilerin, hizmet koşulları çerçevesinde işlem gerçekleştirememesi karşılıklı güveni aşındırabilir. Kripto borsalarında, müşteriler hızlı işlem gerçekleştirmeyi bekliyor. Bir kaç saniyelik gecikme önemli fırsatların kaçırılması anlamına geliyor. Twitter’a göz attığınızda, kripto borsa işlemlerinde yaşanan saniyelik gecikmelerin müşterinin güven algısında yaşattığı sarsıntıyı net olarak görebilirsiniz.
3. Güvenlik ve Gizlilik
Geçen hafta başladığım spor salonuna girebilmem için bir uygulamayı indirip kullanmam gerekiyor. Uygulamada kayıt işlemleri için benden talep edilen verilere bakalım: ad-soyad, doğum tarihi, TC kimlik numarası, boy — kilo, sağlık sorunlarım… Bu uygulama aracılığıyla verilerime başka kimlerin erişim sağlayabileceği, güvenliğinin ve mahremiyetinin nasıl sağlanacağı konusunda kafamda önemli soru işaretleri var. Koşu bandında ter atmak için girdiğim riskin yüksek olduğunu düşünüyorum. Verilerim hakkında benzer kaygıları, finansal işlemler yürüttüğüm firmalara ait uygulamalar için de duyuyorum. Bu firmaların kişisel verileri yaşam döngüsü boyunca korumak için uygun kontrollere sahip olmaması durumunda tüketiciler, kimlik hırsızlığı, hassas bilgilerin ifşası ve mali dolandırıcılık dahil olmak üzere zararlı, acı verici ve pahalı sorunlarla karşı karşıya kalabilir. Dolayısıyla müşteriler dahil tüm paydaşlar, verilerinin işlenmesi, saklanması ve imhası süreçlerinde yeterli özenin gösterildiğinden emin olmak ister. Yine yapılan araştırmalar, müşterilerin kullanmaktan mutlu oldukları bir ürünün sağlayıcısı firmanın, kişisel verilerini korumak konusunda hata yapması durumunda ürünü kullanmaktan vaz geçeceklerini belirtiyor.
Güvenlik demişken NIST CSF’ün COBIT ile şirketinizde nasıl uygulanabileceğini anlattığım içeriği de burada paylaşayım…
4. Etik ve Dürüstlük
Yukarıda sayılan konuların yanında tüm paydaşlar, ürün veya hizmet yaşam döngüsünde etik ve dürüst bir muamele görmeyi bekler. Satın alma kararlarının dayandığı bu kriterle ilgili şüphe oluşursa, ilgili şirketin başka süreçlerinde dahi olsa etik dışı davranışlarda bulunduğu anlaşılırsa, satın alma işlemleri iptal edebilir ve ilişki sonlanabilir. Örneğin, müşteri bilgilerinin güvenliği ve gizliliği konusunda yüksek standartlara sahip bir ürün veya hizmet tanıtılırsa, ancak şirket tüketici bilgilerini yetkisiz üçüncü taraflarla paylaşırsa, dijital güven muhtemelen geri döndürülemeyecek şekilde zarar görecektir. Yakın zamanda bazı şirketlerin motor kuryelerinin hakları konusunda kötü deneyimler yaşadığını gördük. Bu konu kamuoyunda önemli tepkilere neden oldu. Muhtemeldirki insanların satın alma alışkanlıklarına da yansıması olmuştur.
5. Şeffaflık ve Doğruluk
Açık iletişim, dijital güvene katkıda bulunan temel bir konudur. Organizasyonlar, paydaşlarının kolayca anlayabileceği, teknik ve hukuki kavramların yalınlaştırılarak açıklandığı bir dilde hükümleri koşulları, bildirimleri ve diğer güncellemeleri sağlamalıdır. Bir veri ihlali durumunda şeffaflık, dürüstlük ve hesap verebilirlik ilkeleri çerçevesinde olayın içeriği, konunun nasıl ele alındığı, benzer olayları önlemek adına neler yapıldığına ilişkin zamanlı ve uygun kanallardan bilgi paylaşımı dijital güvenin korunması açısından önemlidir. Özellikle iletişimin sağlıklı işletilemediği durumlarda basit konuların güven olgusunu zedeleyecek şekilde bağlamı dışına çıkabildiği, tarafların kafasındaki doğruların bir birleriyle çatıştığı ve tarafların zarar gördüğü durumlarla karşılaşabiliriz.
6. İstikrar ve Esneklik
Son kritererimize gelmiş bulunmaktayız. Paydaşlarıyla sağlıklı bir “dijital güven” ilişkisi organizasyonların değer yaratımı süreçlerinde istikrarı sağlaması, karşılaşan krizleri atlatabilecek esnekliğe sahip olmaları gerekir. Ülkemizde kriz bolluğu yaşıyoruz. Felaket anlarında dahi insanlar sunulan hizmetlerin devamlılığını bekliyor. İş sürekliliği planları bu konuda önemli araçlar. Ancak organizasyonların bu planları gerektiği özenle hazırlaması veya uygulaması gerekli. İş Sürekliliği Politikasının 3 paragraftan ibaret olduğu bir şirketin kriz anında ne tepki vereceği konusunda büyük soru işaretleri var. Başlıktaki esneklik, İngilizce business resiliency kavramına işaret ediyor. İstikrar ve esneklik müşterilerin, çalışanların, ortakların, borç verenlerin, yatırımcıların ve diğer tüm paydaşların güvenini kazanan, iş başarısına katkıda bulunan, iyi yönetilen bir organizasyonun temel özelliklerindendir. Bu tür bir kapasite, organizasyonun büyümesini ve dijital olarak daha dirençli hale gelmesini sağlayan yeni fırsatlar yaratabilir.
Son…
ISACA Digital Trust yaklaşımının dayandığı 6 ilkeye baktığımızda, aslında zaten bir eksik bir fazla her organizasyonun uygulaması beklenen ilkeler olduğunu söyleyebiliriz. ISACA artık bunların nasıl uygulanması gerektiğine ilişkin insan, süreç ve teknoloji bağlamında rehberlik de sağlamayı hedefliyor. ISACA Digital Trust yaklaşımının içini uygulama önerileri, yaklaşımlar ve standartlar ile desteklemeye başladıkça bu işin nasıl yapılacağını daha net olarak göreceğiz.
İlerleyen haftalarda ISACA Globalden uzmanların katılımıyla kripto borsalarında dijital güvenin nasıl sağlanması gerektiğine ilişkin uygulama önerilerini tartışacağımız etkinlikle düzenleyeceğiz. Ekim ayında İrlanda’da düzenlenecek Digital Trust World forumuna da konuşmacı olarak davet aldım. GRC bakış açısıyla kripto borsalarında gerçekleştirilen ölümcül hataları değerlendireceğim bir konuşma yapmayı düşünüyorum. Alanında küresel çapta önemli bir isimle beraber yapacağız konuşmayı. O da sürpriz olsun. İlerleyen günlerde bu konularda yeni içerikleri sizlere ulaştırmaya devam edeceğim.
https://www.linkedin.com/in/gokhan-polat/
