Siber güvenlik Türkiye'de uzun süre tek yönlü bir sorundu: savunma. Son beş yılda bu tablo değişmeye başladı; kritik altyapıyı koruyan kurumların yanında, ürününü yurt dışına satan yerli şirketler de görünür oldu. Ama ekosistemin büyüme hızı, onu taşıyacak insan kaynağının büyüme hızının hep birkaç adım önünde gitti. Yetenek açığı, sektörün en çok konuşulan ama en az ölçülen problemi.

Yetenek havuzunun gerçek sınırları

Sektörün insan kaynağı üç havuzdan besleniyor: bilgi güvenliği alanında yükseköğretim görmüş mezunlar, ağ ve sistem yöneticiliğinden alana geçen profesyoneller ve sertifika programlarıyla yetişen analistler. İlk havuz her yıl birkaç yüz kişiyle sınırlı; diğer ikisi ise talebin hacmini karşılamıyor, sadece geciktiriyor. Kurumların en çok aradığı profil ise ortada: ağ trafiğini okuyabilen, olay müdahalesi yürütebilen ve bu süreci otomatikleştirebilen mühendis. Bu profil, hiçbir sertifika programının tek başına üretemediği bir birikim.

İşe alım tarafında kabuk yine kendi içinde dönüyor: deneyimli analist, büyük şirketler arasında sıklıkla değiştiriyor; küçük şirketler ise deneyimsiz işe alıp yetiştirmek yerine pahalı ama hazır yeteneği tercih ediyor. Bu döngü, açık pozisyon sayısını büyütüyor ama havuzun toplam hacmini büyütmüyor.

Ürün tarafında durum farklı okunuyor. Yerli güvenlik ürünleri, ulusal olaylara müdahale pratiğinden beslenen bir birikim taşıyor; bu birikim, yerelleştirilmiş saldırı imzaları ve Türkçe destek avantajı olarak fiyatlanıyor. Kısıt ise pazarın büyüklüğü: iç pazarın satın alma gücü, ürün şirketinin araştırma bütçesini sınırlıyor. Bu nedenle ürün şirketlerinin çoğu, ilk üç yılında ihracat hedefini iş planına yazmak zorunda kalıyor.

Hizmetten ürüne geçişin sınavı

Yerli ekosistemin geliri büyük ölçüde danışmanlık ve yönetilen hizmetten geliyor. Bu model nakit akışını sağlıyor ama ölçeklenmiyor; her yeni müşteri, yeni insan gücü demek. Ürüne geçiş girişimi ise iki yerde takılıyor: satış döngüsünün uzunluğu ve güven çıkmazı. Kurum, güvenmediği tedarikçiden güvenlik ürünü almıyor; ürünü olmayan tedarikçi de güven biriktirmek için hizmet satmak zorunda kalıyor. Döngüyü kıran, kamu ve büyük sanayiden gelen erken müşteriler oluyor.

Ölçeklenmenin üçüncü yolu, ihraç edilen uzmanlık: yerli şirketlerin Orta Asya ve Afrika'daki kamu projelerinde güvenlik danışmanlığı taşıması, hizmet şirketine ölçek ve referans kazandırıyor. Ama bu modelin sınırları da belli; danışmanlık geliri, müşteri ülkenin bütçe döngüsüne bağlı. Kalıcı çözüm değil, köprü.

Pusula nereye bakmalı?

Üç öncelik belirgin. Birincisi akademik üretim ile saha pratiğini birleştiren, stajın zorunlu olduğu müfredat. İkincisi halka açık olay bilgisi: sektörel bilgi paylaşım platformları, yeni yeteneğin gerçek saldırı trafiğini görmesini sağlıyor. Üçüncüsü ise ürün odaklı şirketlere yönelik alım kolaylığı; yerli güvenlik ürününün kamu tarifelerine girmesi, hizmet şirketlerinin ürüne yatırım yapma cesaretini doğrudan artırıyor.

Siber güvenlikte yerli ekosistemin pusulası, giderek artan bir talep göstergesi değil; yeteneği sistematik üreten bir eğitim hattı. Bu hat kurulmadan büyüme, her yıl biraz daha yorgun bir kadroyla aynı savunmayı tekrarlamak olarak kalacak. Kurulan her yeni hattın ise etkisi ilk yıldan itibaren açıkça okunacak.