Anomali Tespiti ve Erken Uyarı Sistemleri

Kurumsal sorunların çoğu bir anda ortaya çıkmaz; önce küçük sapmalar olarak belirir. Bu sapmaları erken yakalamak, sorunu büyümeden çözmeyi sağlar.

Anomali tespiti tam olarak bunu yapar: olağandışı olanı işaretlemek.

Kullanım alanları

İki yaklaşım

1. Kural tabanlı eşik

"Tutar X'i aşarsa uyar", "stok Y'nin altına düşerse uyar".

• Artı: basit, açıklanabilir, ucuz.
• Eksi: bağlamı bilmez; mevsimsel normal bir durum alarm üretebilir.

2. Örüntü tabanlı tespit

Geçmiş davranıştan "normal" öğrenilir, sapmalar işaretlenir.

• Artı: bağlam duyarlı; mevsimselliği öğrenir.
• Eksi: veri gerektirir, açıklanması zordur.

Pratik öneri: kural tabanlı eşiklerle başlayın. Basit ve hemen değer üretir. Örüntü tabanlı yaklaşıma, veri biriktikçe geçin.

Yanlış alarm dengesi

Anomali tespitinin temel gerilimi budur:

Birinci durum daha yaygın ve daha zararlıdır: sürekli alarm üreten bir sistem, kısa sürede kapatılır ya da yok sayılır.

Ayarlama yöntemi: gevşek başlayın, alarmların ne kadarının gerçek çıktığını ölçün, kademeli sıkılaştırın. Hedef, günlük incelenebilir sayıda alarmdır.

Alarm tasarımı

Her alarm şunları içermeli:

• Ne oldu: hangi olay, hangi kayıt
• Neden anormal: normalden ne kadar sapıyor
• Ne kadar önemli: öncelik seviyesi
• Kim ilgilenecek: sorumlu
• Ne yapılmalı: önerilen aksiyon
• Bağlam: ilgili geçmiş bilgi

İkinci ve beşinci maddeler olmadan alarm, "bir şey oldu" demekten öteye geçmez ve aksiyona dönüşmez.

Aksiyon planı zorunlu

Her alarm türü için önceden tanımlanmalı:

1. Alarm kime gider?
2. Ne kadar sürede incelenmeli?
3. İnceleme sonucu nasıl kaydedilir?
4. Gerçek çıkarsa ne yapılır?
5. Yanlış alarmsa eşik güncellenir mi?

Aksiyon planı olmayan alarmlar birikir ve sistem terk edilir.

Geri bildirim döngüsü

Sistemin iyileşmesi için insan geri bildirimi gerekir:

• Her alarm "gerçek/yanlış" olarak işaretlenmeli.
• Yanlış alarmların sebebi kaydedilmeli.
• Eşikler düzenli gözden geçirilmeli.
• Kaçan olaylar (alarm üretmeyen gerçek sorunlar) kaydedilmeli.

Son madde en değerlisidir ama en zor toplananıdır: sistem tarafından yakalanmayan sorunlar, ancak sonradan öğrenilir ve mutlaka geri beslenmelidir.

Suistimal tespitinde özel dikkat

Anomali tespiti sık sık suistimal araştırmasında kullanılır. Burada ek hassasiyet gerekir:

• Alarm bir suçlama değildir; incelemenin başlangıcıdır.
• İnceleme gizlilikle yürütülmeli.
• Kişi hakkında karar insan tarafından verilmeli.
• Yanlış suçlama ciddi zarar üretir.
• Süreç yazılı ve adil olmalı.

Başlangıç önerisi

1. En çok zarar üreten üç sorunu belirleyin.
2. Bunlar için basit kural tabanlı eşikler kurun.
3. Alarmları tek bir sorumluya yönlendirin.
4. Bir ay izleyin, gerçek/yanlış oranını ölçün.
5. Eşikleri ayarlayın.
6. Kapsamı genişletin.

Ölçüm

• Alarm sayısı
• Gerçek alarm oranı
• İnceleme süresi
• Erken yakalanan sorun sayısı
• Önlenen zarar tutarı
• Kaçan olay sayısı

Özet

Anomali tespitine basit kural tabanlı eşiklerle başlayın, veri biriktikçe örüntü tabanlı yaklaşıma geçin. Yanlış alarm dengesini gevşekten sıkıya doğru ayarlayın; her alarma sebep, öncelik ve önerilen aksiyon ekleyin. Aksiyon planı ve geri bildirim döngüsü olmayan bir alarm sistemi kısa sürede yok sayılır.