%87: Güvenlik yöneticileri 2027’de harcamaların artmasını bekliyor

Çalışan sayısı 1.000’i aşan şirketlerdeki güvenlik yöneticilerinin %87’si, 2027’de güvenlik harcamalarının artacağını öngörüyor. Katılımcıların 2027 için belirlediği ilk yedi önceliğin tamamı yapay zekâyla (AI) ilgili alanlardan oluştu.

Andreessen Horowitz, 28’inde yayımladığı “Yeni Güvenlik Gündemi” raporunda şirketlerde görev yapan 100 bilgi güvenliği üst yöneticisiyle (CISO) anket yaptığını açıkladı. Katılımcılara bütçeleri, güvenlik öncelikleri ve 2027’deki satın alma planları soruldu.

Ankete göre bütçe artışının büyük bölümü güvenlik araçlarına ayrılacak. Katılımcıların neredeyse yarısı güvenlik ekibini büyütmeyi, yaklaşık yarısı mevcut kadroyu korumayı bekliyor. Kadro kesintisi öngörenlerin oranı %4 oldu. Ek harcamaların biriken güvenlik uyarılarını incelemeye, şirket içi uygulamaları denetlemeye ve açıkları daha hızlı gidermeye yönelmesi bekleniyor.

Katılımcıların 2026’da öne çıkan öncelikleri saldırı yüzeyi ve zafiyet yönetimi ile güvenlik bilgisi ve olay yönetimiydi (SIEM). 2027’de en fazla birinci tercih oyu güvenlik operasyon merkezlerinin (SOC) otomasyonuna verildi. Şirket içi AI ajanlarının güvenliği ve saldırgan bakış açısıyla yapılan güvenlik testleri de öncelik sıralamasında belirgin biçimde yükseldi.

Satın alma planları ile mevcut kullanım arasında fark var. Katılımcıların %18’i AI destekli güvenlik operasyon araçlarını üretim ortamında kullandığını söyledi. Buna karşılık %45’i önümüzdeki 12 ay içinde şirket içi AI ajanlarının güvenliğine yönelik ürünleri satın almayı veya mevcut çözümlerini önemli ölçüde geliştirmeyi planlıyor. Aynı dönemde saldırgan bakış açısıyla güvenlik testleri için bu oran %42, AI kullanım ve yönetim araçları için %38 oldu.

Şirketlerde AI kullanımının yaygınlaşması, güvenlik ekiplerinin koruması gereken alanları da genişletiyor. Çalışanlara yönelik üretken AI araçlarını sınırlı da olsa üretim ortamında kullanan şirketlerin oranı %92; kodlama yardımcılarını veya ajanlarını kullananların oranı %83 oldu. AI ajanlarını uygulamalara bağlayan MCP sunucuları gibi entegrasyon araçlarını işleten şirketlerin oranı ise %55 olarak ölçüldü.

Katılımcıların %47’si çalışanların hassas bilgileri AI araçlarına girmesini başlıca kaygılar arasında saydı. Ajanların yetkilerini aşması veya ele geçirilmesi konusunda endişe duyanların oranı %46, prompt injection ya da AI uygulamaları üzerinden bilgi sızıntısından endişe edenlerin oranı %29 oldu. Güvenlik incelemeleri, onay süreçleri ve kullanım kısıtlamaları nedeniyle AI uygulamalarının bazı şirketlerde yavaşladığını belirtenlerin oranı %63’e ulaştı.

Saldırıların hızlanması da güvenlik önceliklerini değiştiren etkenlerden biri olarak gösterildi. Raporda aktarılan Bain tahminine göre AI, yaygın bir saldırı sürecini yaklaşık dört haftadan yaklaşık 18 saate indirebilir. Katılımcıların %83’ü güvenlik durumunu daha sık test etmenin önemli olduğunu söylerken, %54’ü bunu çok önemli buldu.

Operasyonel varlıklara yönelik saldırı güvenliği testlerini sürekli uyguladığını söyleyenlerin oranı şu anda %18. Katılımcıların %52’si bu uygulamanın bir yıl içinde sürekli hale gelebileceğini düşünüyor. Beş yıl içinde katılımcıların %44’ü kod veya altyapı değişikliklerinin CI/CD sürecinde güvenlik testlerini tetiklemesini bekliyor.

Rapora katılan bir fintech şirketinin CISO’su, “AI araçları zafiyetleri daha hızlı bulabiliyor, ancak bu yamaların da daha hızlı uygulanacağı anlamına gelmiyor” dedi. Katılımcıların %70’i giderilen zafiyetleri yeniden test edip çözüldüklerini doğrulayan özellikleri, %67’si düzeltme önceliğinin gerçek dünyadaki istismar olasılığına göre belirlenmesini istedi. Otomatik düzeltme önerileri veya görev talimatları isteyenlerin oranı %57 oldu.

AI ajanlarına ne ölçüde özerklik verileceği de gündemdeki konular arasında. Katılımcıların %36’sı mevcut durumda ajanların düşük riskli işlemleri bağımsız yürütmesini kabul edebileceğini belirtti. Bu oranın 12 ay sonra %60’a çıkması bekleniyor. Ajanların çoğu durumda özerk hareket etmesine izin vereceğini söyleyenlerin oranı ise %7’de kaldı.

AI güvenlik ürünü alırken şirketlerin önce mevcut sağlayıcılarını değerlendirme eğiliminde olduğu görüldü. Katılımcıların %44’ü aradığı özellikleri mevcut güvenlik platformlarında bulmaya çalışacağını, %21’i ise önce AI güvenliğine odaklanan şirketleri inceleyeceğini söyledi. Ancak mevcut sağlayıcıların karşılayamadığı bir ihtiyaç ortaya çıkarsa yeni bir şirketi tercih edebileceğini belirtenlerin oranı %47 oldu.

Ürünleri karşılaştırmak da kolay değil. Bazı AI güvenliği alanlarında sağlayıcı sayısı 43’e kadar çıkıyor. Küresel bir giyim şirketinin CISO’su, uygulamalı değerlendirmeye alınan yedi veya sekiz şirketi üçe indirdiklerini aktardı. Alıcıların ürünlerin insan müdahalesi olmadan gerçekten ne kadar iş yaptığına, analistlere bıraktığı takip işlerine, ajanların üretim ortamındaki yetkilerine ve karar süreçlerinin denetlenebilirliğine bakması gerekiyor.

TokenPost daha önce Solana Vakfı CISO’sunun AI destekli dolandırıcılık ve hesap ele geçirme risklerine ilişkin uyarılarını aktarmıştı. Bu anket, 1.000’den fazla çalışanı bulunan şirketlerin CISO’larını kapsıyor ve sektörlere göre ayrı sonuçlar sunmuyor. Bu nedenle %87’lik oranı yurt içindeki sanal varlık şirketlerinin bütçe planlarına genellemek mümkün değil.