Bilgi Güvenliği Sorumlusunun Görevleri ve Güvenlik Yönetimi Rehberi

Bilgi güvenliği sorumlusu, kurumun sahip olduğu bilgilerin yetkisiz erişim, değiştirilme, kaybolma, açıklanma veya kullanılamaz hâle gelme risklerine karşı korunmasını koordine eder. Bu görev yalnızca antivirüs kurulması ya da güçlü parola kullanılmasından ibaret değildir. Bilgi varlıklarının belirlenmesi, risklerin değerlendirilmesi, erişimlerin düzenlenmesi, olayların yönetilmesi, çalışan farkındalığı ve iç denetim faaliyetleri aynı yapının parçalarıdır. Konuyu ISO 27001, kişisel veriler, dokümantasyon, kalite ve denetim boyutlarıyla incelemek isteyenler, İstanbul Kent Üniversitesi Yaşam Boyu Eğitim Merkezi tarafından sunulan Bilgi Güvenliği Sorumlusu Sertifika Programının güncel kapsamına resmî sayfadan ulaşabilir.

Kurumsal bilgiler yalnızca bilgisayarlarda tutulmaz. Basılı sözleşmeler, çalışan dosyaları, müşteri kayıtları, toplantı notları, e-postalar, yedekler ve çalışanların mesleki bilgisi de korunması gereken varlıklar arasında bulunabilir. Bu nedenle bilgi güvenliği, yalnızca bilgi işlem birimine bırakılabilecek teknik bir konu değil; yönetim, insan kaynakları, hukuk ve operasyon birimlerinin katılımını gerektiren kurumsal bir sorumluluktur.

Bilgi Güvenliği Nedir?

Bilgi güvenliği, bilginin yetkisiz erişim ve kullanıma karşı korunmasını, doğruluğunun sürdürülmesini ve ihtiyaç duyulduğunda erişilebilir olmasını amaçlayan yönetim alanıdır. Bu yaklaşım genellikle gizlilik, bütünlük ve erişilebilirlik ilkeleri üzerinden açıklanır.

Gizlilik

Bilgiye yalnızca yetkili kişilerin erişebilmesidir. Çalışan ücretlerinin, müşteri bilgilerinin veya ticari sırların görev ihtiyacı bulunmayan kişiler tarafından görülmesi gizlilik sorunu oluşturabilir.

Bütünlük

Bilginin doğruluğunun ve eksiksizliğinin korunmasıdır. Yetkisiz veya hatalı değişiklikler kararların yanlış verilmesine yol açabilir. Bir banka hesap bilgisinin, ürün fiyatının ya da laboratuvar sonucunun değiştirilmesi bütünlük açısından önemli sonuçlar doğurabilir.

Erişilebilirlik

Yetkili kullanıcıların ihtiyaç duydukları bilgiye ve sisteme gereken zamanda ulaşabilmesidir. Sistem kesintisi, donanım arızası, siber saldırı veya yanlışlıkla silme erişilebilirliği etkileyebilir.

Bu üç ilkeden yalnızca birine odaklanmak yeterli değildir. Çok sıkı erişim kontrolleri iş süreçlerini kullanılamaz hâle getirebilir; kolay erişim sağlamak amacıyla güvenlik tedbirlerinin kaldırılması ise gizlilik ve bütünlük risklerini artırabilir.

Bilgi Güvenliği ile Siber Güvenlik Aynı Şey midir?

Bilgi güvenliği ve siber güvenlik birbiriyle yakından ilişkili olsa da tamamen aynı kapsamı ifade etmez. Siber güvenlik ağırlıklı olarak dijital sistemleri, ağları, cihazları ve çevrim içi tehditleri ele alır. Bilgi güvenliği ise dijital bilgilerin yanında basılı ve sözlü bilgileri de kapsayabilir.

Örneğin bir veri tabanına yapılan yetkisiz giriş siber güvenlik ve bilgi güvenliği olayıdır. Gizli bir belgenin toplantı salonında unutulması veya telefonda yetkisiz bir kişiye bilgi verilmesi ise teknik bir siber saldırı bulunmasa da bilgi güvenliği ihlalidir.

Bilgi güvenliği sorumlusu teknik ekiplerle çalışır; ancak görevi bütün teknik kontrolleri bizzat gerçekleştirmek değildir. Risklerin kurumsal düzeyde tanımlanmasını, görevlerin belirlenmesini ve kontrollerin izlenmesini koordine edebilir.

Bilgi Güvenliği Sorumlusu Ne Yapar?

Bilgi güvenliği sorumlusunun görevleri kurumun büyüklüğüne, sektörüne ve organizasyon yapısına göre değişebilir. Bazı kurumlarda ayrı bir bilgi güvenliği ekibi bulunurken daha küçük yapılarda görevler bilgi işlem, kalite, hukuk veya yönetim birimleri arasında paylaşılabilir.

Temel görev alanları

• Bilgi varlıklarının belirlenmesini koordine etmek,
• Varlıkların önem ve gizlilik düzeylerinin sınıflandırılmasını sağlamak,
• Bilgi güvenliği risklerini değerlendirmek,
• Politika ve prosedürlerin hazırlanmasına katkıda bulunmak,
• Erişim yetkilerinin düzenli olarak kontrol edilmesini sağlamak,
• Bilgi güvenliği farkındalık çalışmalarını planlamak,
• Güvenlik olaylarının bildirim ve müdahale sürecini takip etmek,
• Tedarikçi kaynaklı riskleri değerlendirmek,
• Yedekleme ve iş sürekliliği kontrollerini izlemek,
• İç denetim ve yönetim değerlendirmeleri için bilgi hazırlamak,
• Uygunsuzluk ve düzeltici faaliyetleri takip etmek.

Bilgi güvenliği sorumlusu kurum içindeki bütün bilgi varlıklarının sahibi değildir. Her varlığın iş ihtiyacını, kullanıcılarını ve önemini bilen bir varlık sahibi bulunmalıdır. Bilgi güvenliği sorumlusu ise bu kişilerin ortak kurallar doğrultusunda hareket etmesini destekler.

Bilgi Varlığı Nedir?

Bilgi varlığı, kurum açısından değer taşıyan bilgi veya bilginin oluşturulmasını, saklanmasını, işlenmesini ve iletilmesini sağlayan unsurdur. Varlık envanteri yalnızca bilgisayar ve sunucu listesinden oluşmamalıdır.

Bilgi varlığı örnekleri

• Müşteri ve çalışan kayıtları,
• Sözleşmeler ve ticari belgeler,
• Finansal bilgiler,
• Proje ve tasarım dosyaları,
• Yazılımlar ve veri tabanları,
• Bilgisayarlar, sunucular ve ağ cihazları,
• Bulut hizmetleri ve çevrim içi hesaplar,
• Basılı arşivler,
• Yedekleme ortamları,
• İş süreçleri ve kurumsal bilgi birikimi,
• Tedarikçi ve müşteri iletişim bilgileri.

Varlık envanterinde varlığın adı, sahibi, bulunduğu ortam, kullanıcıları, önem düzeyi ve korunma ihtiyacı gibi bilgiler bulunabilir. Envanterin bir kez hazırlanıp değişmeden bırakılması doğru değildir. Yeni sistem, uygulama veya hizmet devreye alındığında kayıtlar güncellenmelidir.

Bilgi Sınıflandırması Nasıl Yapılır?

Bilgi sınıflandırması, her bilginin aynı güvenlik düzeyinde korunması gerekmediği düşüncesine dayanır. Kamuya açık bir tanıtım metniyle müşteri parolalarının aynı erişim ve paylaşım kurallarına tabi olması beklenmez.

Kurum kendi yapısına uygun sınıflandırma düzeyleri belirleyebilir. Örneğin kamuya açık, kurum içi, gizli ve çok gizli gibi seviyeler kullanılabilir. Önemli olan seviye sayısından çok, her düzey için uygulanacak kuralların anlaşılır olmasıdır.

Sınıflandırmaya göre belirlenebilecek kurallar

• Bilgiye kimlerin erişebileceği,
• Hangi kanallardan paylaşılabileceği,
• Şifreleme gerekip gerekmediği,
• Basılı kopyaların nasıl saklanacağı,
• Bilginin kurum dışına çıkarılıp çıkarılamayacağı,
• Ne kadar süre saklanacağı,
• Nasıl imha edileceği.

Sınıflandırma etiketi bulunması tek başına koruma sağlamaz. Çalışanların etiketin ne anlama geldiğini ve bilgiyle nasıl işlem yapacaklarını bilmeleri gerekir.

Bilgi Güvenliği Risk Değerlendirmesi

Risk değerlendirmesi, bilgi varlıklarını etkileyebilecek tehditlerin ve zayıflıkların belirlenerek olası sonuçların incelenmesidir. Amaç bütün riskleri sıfıra indirmek değil, kabul edilebilir düzeye çekmek ve önemli risklere öncelik vermektir.

Risk değerlendirmesinde varlığın önemi, karşılaşılabilecek tehdit, mevcut zayıflıklar ve olayın olası etkisi birlikte ele alınır. Aynı tehdit farklı kurumlarda farklı sonuçlar doğurabilir.

Risk değerlendirme aşamaları

1. Varlığı belirlemek: Korunması gereken bilgi, sistem veya hizmet tanımlanır.
2. Tehdidi belirlemek: Varlığa zarar verebilecek olaylar değerlendirilir.
3. Zayıflıkları incelemek: Tehdidin gerçekleşmesini kolaylaştırabilecek eksiklikler belirlenir.
4. Olasılık ve etkiyi değerlendirmek: Riskin önemi kurumun yöntemiyle derecelendirilir.
5. Mevcut kontrolleri incelemek: Hâlihazırda uygulanan tedbirlerin yeterliliği değerlendirilir.
6. Risk işleme kararı vermek: Riskin azaltılması, kabulü, paylaşılması veya faaliyetten kaçınılması değerlendirilebilir.
7. Sonucu izlemek: Risk ve kontroller belirli aralıklarla yeniden gözden geçirilir.

Risk değerlendirmesi yalnızca bilgi işlem ekibinin teknik açık listesine dönüştürülmemelidir. Çalışan hataları, fiziksel güvenlik, tedarikçi bağımlılığı, süreç eksiklikleri ve iş sürekliliği de değerlendirmeye alınmalıdır.

Risk İşleme Planı Nasıl Hazırlanır?

Risk işleme planı, kabul edilebilir düzeyin üzerinde kalan riskler için uygulanacak tedbirleri gösterir. Her risk için sorumlu kişi, hedef tarih, gerekli kaynak ve izleme yöntemi belirlenebilir.

Kontrol seçerken yalnızca en gelişmiş teknik çözüme odaklanılmamalıdır. Bazı riskler açık bir görev dağılımı, çalışan eğitimi, fiziksel kontrol veya onay mekanizmasıyla azaltılabilir.

Örneğin yanlış alıcıya e-posta gönderme riskine karşı yalnızca teknik yazılım kullanılmayabilir. Hassas belgelerin paylaşım yöntemi, alıcı kontrolü, ikinci onay ve çalışan farkındalığı da sürecin parçaları olabilir.

Erişim Kontrolünün Temel İlkeleri

Erişim kontrolü, kullanıcıların yalnızca görevleri için gerekli bilgi ve sistemlere ulaşmasını sağlamayı amaçlar. Bir çalışanın kurumda görev yapması bütün sistemlere erişmesi gerektiği anlamına gelmez.

En az yetki ilkesi

Kullanıcıya görevini yerine getirmesi için gereken en sınırlı yetki verilir. Gereksiz yönetici yetkileri veya ortak hesap kullanımı hataların ve kötüye kullanımın etkisini büyütebilir.

Bilmesi gereken prensibi

Kişi yalnızca görevi için ihtiyaç duyduğu bilgiye erişebilmelidir. Aynı departmandaki çalışanların bile bütün dosyalara erişmesi gerekmeyebilir.

Görevlerin ayrılığı

Yüksek riskli işlemlerin tek kişinin kontrolünde tamamlanması önlenebilir. Örneğin ödeme bilgilerinin değiştirilmesiyle ödemenin onaylanması farklı yetkilere bağlanabilir.

Düzenli erişim gözden geçirmesi

Çalışanın görevi değiştiğinde veya kurumdan ayrıldığında yetkiler zamanında güncellenmelidir. Eski görevlerden kalan erişimler periyodik kontrollerle tespit edilebilir.

Parola ve Kimlik Doğrulama Yönetimi

Parolalar bilgi güvenliğinin tek unsuru değildir; ancak kullanıcı hesaplarının korunmasında önemli rol oynar. Kolay tahmin edilen, farklı hizmetlerde tekrar kullanılan veya başkalarıyla paylaşılan parolalar riski artırır.

Parola politikası hazırlanırken yalnızca karmaşık karakter kuralları belirlemek yerine kullanıcıların uygulanabilir ve güvenli davranışlar geliştirmesi hedeflenmelidir. Çok faktörlü kimlik doğrulama, uygun sistemlerde ek koruma sağlayabilir.

Temel hesap güvenliği uygulamaları

• Her kullanıcı için kişisel hesap oluşturmak,
• Ortak hesap kullanımını sınırlandırmak,
• Güçlü ve farklı parolalar kullanmak,
• Parolaları güvenli olmayan ortamlarda saklamamak,
• Çok faktörlü kimlik doğrulamayı değerlendirmek,
• Başarısız girişleri ve olağan dışı hareketleri izlemek,
• Görev değişikliklerinde yetkileri güncellemek,
• İşten ayrılan kullanıcıların erişimini zamanında kapatmak.

Fiziksel Bilgi Güvenliği

Dijital sistemlerde güçlü kontroller bulunsa bile fiziksel ortam korunmadığında bilgiler risk altında kalabilir. Açık bırakılan arşiv dolapları, gözetimsiz ziyaretçiler, kaybolan dizüstü bilgisayarlar ve çalışma masasında unutulan belgeler güvenlik olayı oluşturabilir.

Kritik alanlara girişler görev ihtiyacına göre sınırlandırılabilir. Sunucu odası, arşiv, yedekleme alanı ve hassas evrakların bulunduğu bölümler için ek kontroller uygulanabilir.

Ekranların başkaları tarafından görülmesi, toplantı salonunda belge unutulması ve gizli görüşmelerin ortak alanlarda yapılması da fiziksel bilgi güvenliği kapsamında değerlendirilmelidir.

İnsan Kaynaklı Bilgi Güvenliği Riskleri

Çalışanların yaptığı her hata kötü niyetli değildir. Yoğunluk, yetersiz eğitim, belirsiz prosedürler veya karmaşık sistemler yanlış işlem yapılmasına neden olabilir. Güvenlik yönetimi yalnızca çalışanları uyarmak yerine hatayı kolaylaştıran süreçleri de incelemelidir.

Yaygın insan kaynaklı riskler

• Şüpheli bağlantı veya eklerin açılması,
• Bilgilerin yanlış alıcıya gönderilmesi,
• Parolaların paylaşılması,
• Yetkisiz uygulama veya depolama hizmeti kullanılması,
• Belgelerin açık alanlarda bırakılması,
• Güvenlik olaylarının bildirilmemesi,
• Kişisel cihazlarla kontrolsüz veri işlenmesi,
• Görev değişikliklerinin erişimlere yansıtılmaması.

Farkındalık eğitimleri yalnızca yılda bir kez izlenen genel sunumlardan oluşmamalıdır. Çalışanların görevleri, karşılaştıkları riskler ve kurumun kullandığı sistemler dikkate alınmalıdır. Şüpheli olayların cezalandırılma korkusu olmadan hızla bildirilebileceği bir iletişim kanalı oluşturulması önemlidir.

Kişisel Verilerin Korunması ve Bilgi Güvenliği

Kişisel verilerin korunması ile bilgi güvenliği birbirini destekleyen ancak aynı olmayan alanlardır. Bilgi güvenliği bütün kurumsal bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğiyle ilgilenirken kişisel veri düzenlemeleri gerçek kişilerle bağlantılı verilerin hukuka uygun işlenmesine odaklanır.

Bir kişisel verinin teknik olarak güvenli saklanması, onun hukuka uygun amaçla toplandığını tek başına göstermez. Benzer şekilde hukuki dayanağı bulunan bir veri işleme faaliyeti de yeterli güvenlik tedbirleri olmadan yürütülemez.

Çalışan ve müşteri verilerine ilişkin hukuki çerçeveyi daha ayrıntılı incelemek isteyenler kişisel verilerin korunmasına yönelik eğitim içeriğini değerlendirebilir.

Dokümantasyon Neden Önemlidir?

Bilgi güvenliği dokümantasyonu, kurumun hangi kuralları ve süreçleri benimsediğini açık hâle getirir. Politika, prosedür, talimat, form ve kayıtların işlevleri birbirinden farklıdır.

• Politika: Kurumun temel yaklaşımını ve yönetim iradesini açıklar.
• Prosedür: Bir sürecin kim tarafından ve hangi adımlarla yürütüleceğini gösterir.
• Talimat: Belirli bir işlemin nasıl yapılacağını ayrıntılandırır.
• Form: Bilgilerin standart biçimde kaydedilmesine yardımcı olur.
• Kayıt: Bir işlemin veya kontrolün gerçekleştirildiğini gösterir.

Dokümanların onaylanması, güncel sürümlerinin çalışanlara ulaştırılması ve eski sürümlerin yanlışlıkla kullanılmasının önlenmesi gerekir. Hazırlanan belgelerin gerçek işleyişle uyuşmaması, güvenlik sisteminin kâğıt üzerinde kalmasına neden olur.

Politika, prosedür ve kayıt yapılarının hazırlanması hakkında daha kapsamlı bilgi edinmek isteyenler dokümantasyon eğitimini tamamlayıcı bir seçenek olarak değerlendirebilir.

Bilgi Güvenliği Politikası Nasıl Hazırlanır?

Bilgi güvenliği politikası, kurumun bilgiyi koruma yaklaşımını, temel sorumlulukları ve uyulması gereken ilkeleri açıklar. Politika kurumun faaliyetleriyle ve riskleriyle uyumlu olmalıdır.

Başka bir kuruma ait politikanın yalnızca kurum adı değiştirilerek kullanılması, gerçek süreçlerin gözden kaçmasına neden olabilir. Politikada uygulanamayacak kadar genel veya kesin ifadeler bulunmamalıdır.

Politikada değerlendirilebilecek başlıklar

• Amaç ve kapsam,
• Bilgi güvenliği hedefleri,
• Yönetimin sorumluluğu,
• Çalışanların yükümlülükleri,
• Varlık ve erişim yönetimi,
• Bilgi paylaşımı ve uzaktan çalışma,
• Olay bildirim süreci,
• İhlal ve uygunsuzlukların yönetimi,
• Gözden geçirme ve güncelleme sorumluluğu.

Bilgi Güvenliği Olayı Nedir?

Bilgi güvenliği olayı; bilginin gizliliğini, bütünlüğünü veya erişilebilirliğini etkileyen ya da etkileyebilecek durumdur. Her olay veri ihlali veya büyük çaplı siber saldırı olmak zorunda değildir.

Bilgi güvenliği olayı örnekleri

• Yanlış kişiye gönderilen e-posta,
• Kaybolan bilgisayar veya taşınabilir bellek,
• Şüpheli kullanıcı girişi,
• Zararlı yazılım uyarısı,
• Yetkisiz dosya erişimi,
• Web sitesinin veya sistemin kullanılamaması,
• Silinen veya değiştirilen kayıtlar,
• Gizli belgenin açık alanda bulunması,
• Şüpheli telefon veya kimlik avı girişimi.

Çalışanların hangi durumları, kime ve hangi kanaldan bildireceği açık olmalıdır. Bir olayın önemsiz olduğu düşünülerek geciktirilmesi, zararın büyümesine neden olabilir.

Olay Müdahale Süreci Nasıl Yürütülür?

Olay müdahalesi, plansız ve yalnızca teknik ekibin kararlarına bağlı şekilde yürütülmemelidir. Önceden belirlenen görevler ve iletişim kanalları hızlı hareket edilmesini sağlar.

1. Tespit ve bildirim: Şüpheli durum kayıt altına alınır ve ilgili kişilere bildirilir.
2. Ön değerlendirme: Olayın türü, kapsamı ve olası etkisi belirlenir.
3. Kontrol altına alma: Zararın yayılmasını önleyecek tedbirler uygulanır.
4. İnceleme ve giderme: Olayın kaynağı araştırılır ve tehdit ortadan kaldırılır.
5. Kurtarma: Sistem veya süreç güvenli biçimde yeniden çalıştırılır.
6. Bildirim yükümlülükleri: Gerekli hukuki ve kurumsal bildirimler değerlendirilir.
7. Ders çıkarma: Temel neden ve iyileştirme faaliyetleri belirlenir.

Olay sırasında kayıtların korunması önemlidir. Aceleyle yapılan değişiklikler olayın kaynağının anlaşılmasını veya gerekli incelemelerin yürütülmesini zorlaştırabilir.

Yedekleme ve Geri Yükleme

Yedekleme, bilgilerin kaybolması veya kullanılamaması durumunda geri kazanılmasını destekler. Ancak yedek dosyanın bulunması, sistemin gerektiğinde geri yüklenebileceğini tek başına göstermez.

Hangi sistemlerin, ne sıklıkla ve ne kadar süreyle yedekleneceği iş ihtiyaçlarına göre belirlenmelidir. Yedeklerin ana sistemle aynı risklere maruz kalmaması için fiziksel veya mantıksal ayrım değerlendirilebilir.

Yedekleme kontrolünde sorulabilecek sorular

• Hangi bilgi ve sistemler yedekleniyor?
• Yedekleme sıklığı iş ihtiyacına uygun mu?
• Yedekler yetkisiz erişime karşı korunuyor mu?
• Başarısız yedeklemeler izleniyor mu?
• Geri yükleme testleri yapılıyor mu?
• Yedeklerin saklama ve imha süreleri belirlenmiş mi?

İş Sürekliliği ile Bilgi Güvenliği İlişkisi

İş sürekliliği, kesinti sonrasında kritik faaliyetlerin kabul edilebilir düzeyde sürdürülebilmesini veya yeniden başlatılmasını amaçlar. Bilgi sistemleri birçok süreç için kritik olduğundan bilgi güvenliği iş sürekliliğinin önemli bir parçasıdır.

Her sistemin aynı sürede devreye alınması gerekmeyebilir. Kurum hangi süreçlerin daha kritik olduğunu ve kesintinin ne kadar süre tolere edilebileceğini belirlemelidir. Alternatif iletişim, çalışma alanı, sistem ve veri kurtarma seçenekleri buna göre planlanabilir.

Planların yalnızca dosyada bulunması yeterli değildir. Tatbikat veya masa başı senaryolarıyla görevlerin, iletişim bilgilerinin ve teknik yöntemlerin çalışıp çalışmadığı test edilmelidir.

Tedarikçi ve Bulut Hizmeti Riskleri

Kurumlar e-posta, veri depolama, bordro, müşteri yönetimi ve yazılım hizmetleri için dış sağlayıcılardan yararlanabilir. Bilginin dış hizmet sağlayıcı tarafından işlenmesi, kurumun risk değerlendirme sorumluluğunu ortadan kaldırmaz.

Tedarikçi değerlendirmesinde hizmetin kritikliği, işlenen bilgi türü, erişim yetkileri, yedekleme, olay bildirimi, hizmet sürekliliği ve sözleşme sonrası verilerin nasıl yönetileceği incelenebilir.

Sözleşmelerde güvenlik sorumlulukları, olay bildirim süreleri, alt hizmet sağlayıcılar, denetim imkânları ve hizmetin sona ermesi durumunda izlenecek süreç açık biçimde düzenlenmelidir.

Uzaktan Çalışmada Bilgi Güvenliği

Uzaktan ve hibrit çalışma modellerinde kurum bilgileri farklı ağlardan ve cihazlardan işlenebilir. Ev ortamında ekran görünürlüğü, ortak cihaz kullanımı, belge saklama ve kablosuz ağ güvenliği gibi yeni riskler ortaya çıkabilir.

Çalışanlara hangi cihazların kullanılabileceği, dosyaların nerede saklanacağı, belgelerin nasıl imha edileceği ve olayların nasıl bildirileceği açıklanmalıdır. Kişisel mesajlaşma veya depolama hesaplarının kontrolsüz kullanımı kurumun bilgi üzerindeki görünürlüğünü azaltabilir.

İç Denetim Bilgi Güvenliğine Nasıl Katkı Sağlar?

İç denetim, bilgi güvenliği yönetim sisteminin planlandığı şekilde çalışıp çalışmadığını değerlendirmeye yardımcı olur. Denetim yalnızca belge varlığını kontrol etmemeli; kontrollerin sahada uygulandığını ve amaçlanan sonucu sağladığını da incelemelidir.

Örneğin erişim kontrol prosedürünün bulunması yeterli değildir. Ayrılan çalışanların hesaplarının zamanında kapatılıp kapatılmadığı ve görev değişikliklerinin yetkilere yansıtılıp yansıtılmadığı örnekler üzerinden kontrol edilebilir.

İç denetimde incelenebilecek alanlar

• Varlık envanterinin güncelliği,
• Risk değerlendirmeleri ve işlem planları,
• Erişim yetkileri,
• Çalışan eğitimleri,
• Olay ve ihlal kayıtları,
• Yedekleme ve geri yükleme testleri,
• Tedarikçi kontrolleri,
• Politika ve prosedürlerin uygulanması,
• Önceki uygunsuzlukların kapatılması.

Yönetim sistemlerinde denetimin temel yaklaşımını öğrenmek isteyenler ISO 19011 iç tetkik eğitimini inceleyebilir.

Uygunsuzluk ve Düzeltici Faaliyet Yönetimi

Uygunsuzluk, belirlenen güvenlik kuralının veya kontrolün karşılanmamasıdır. Açık kalan kullanıcı hesabı, yapılmayan yedekleme testi veya güncel olmayan risk değerlendirmesi uygunsuzluk örneği olabilir.

Mevcut sorunun düzeltilmesiyle tekrarını önleyen faaliyet birbirinden ayrılmalıdır. Kullanıcı hesabını kapatmak mevcut durumu düzeltir. Hesabın neden zamanında kapatılmadığını araştırmak ve işten ayrılma sürecine otomatik kontrol eklemek ise düzeltici faaliyet olabilir.

Her uygunsuzlukta şu bilgiler kaydedilebilir:

• Görülen durum ve ilgili gereklilik,
• Etkilenen bilgi veya süreç,
• Yapılan ilk düzeltme,
• Temel neden,
• Planlanan düzeltici faaliyet,
• Sorumlu kişi ve hedef tarih,
• Faaliyetin etkinlik sonucu.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli geliştirilmesi için bir çerçeve sunar. Standart yaklaşımı, güvenliği yalnızca teknik araçlar üzerinden değil risk ve yönetim süreçleriyle birlikte ele alır.

Bilgi Güvenliği Sorumlusu Programının resmî kapsamındaki temel alanlardan biri ISO 27001’dir. Standardın temel kavramlarına ayrıca odaklanmak isteyenler ISO 27001 Bilgi Güvenliği Yönetim Sistemi Programını değerlendirebilir.

Bir eğitim sertifikasının kurumun ISO 27001 standardına uygunluğunu veya belgelendirildiğini göstermediği unutulmamalıdır. Kurumsal belgelendirme, yetkili belgelendirme kuruluşları tarafından yürütülen ayrı bir değerlendirme sürecidir.

Bilgi Güvenliği ile Kalite Yönetimi Arasındaki Bağ

Bilgi güvenliği yönetimi ile kalite yönetimi süreç yaklaşımı, dokümantasyon, risk temelli düşünme, performans izleme ve sürekli iyileştirme gibi ortak yönetim unsurlarına sahiptir. Her iki sistemin amaçları farklı olsa da birlikte çalışabilecek yapılar kurulabilir.

Doküman kontrolü, iç denetim, uygunsuzluk yönetimi ve yönetimin gözden geçirmesi ortak yöntemlerle koordine edilebilir. Bununla birlikte bir kalite yönetim sistemi bilgi güvenliği kontrollerinin yerine geçmez.

Kalite yönetiminin temel yapısını daha ayrıntılı incelemek isteyenler ISO 9001:2015 programının kapsamına ulaşabilir.

Bilgi Güvenliğinde Sık Yapılan Hatalar

• Bilgi güvenliğini yalnızca bilgi işlem ekibinin sorumluluğu olarak görmek,
• Varlık envanterini sadece cihaz listesinden oluşturmak,
• Bütün bilgilere aynı koruma düzeyini uygulamak,
• Çalışanlara görevleri için gerekenden fazla erişim vermek,
• Ortak hesap ve parola kullanımına izin vermek,
• Görev değişikliklerinde erişimleri güncellememek,
• Güvenlik olaylarını bildiren çalışanları suçlamak,
• Yedekleri test etmeden güvenli kabul etmek,
• Tedarikçi ve bulut hizmeti risklerini değerlendirmemek,
• İnternetten alınan hazır politika metinlerini kuruma uyarlamadan kullanmak,
• İç denetimi yalnızca belge kontrolü olarak yürütmek,
• Eğitim sertifikasını kurumsal ISO belgesiyle karıştırmak.

Bilgi Güvenliği Kontrol Listesi

1. Bilgi varlıklarını belirleyin: Veri, sistem, belge ve hizmetleri envantere alın.
2. Sahiplik atayın: Her önemli varlığın iş sahibini belirleyin.
3. Bilgileri sınıflandırın: Erişim, paylaşım ve saklama kurallarını tanımlayın.
4. Riskleri değerlendirin: Tehdit, zayıflık ve etkileri birlikte inceleyin.
5. Erişimleri sınırlandırın: En az yetki ve görevlerin ayrılığı ilkelerini uygulayın.
6. Olay bildirimini açıklayın: Çalışanların neyi, kime ve nasıl bildireceğini belirleyin.
7. Yedekleri test edin: Yedek alındığını değil, geri yüklenebildiğini doğrulayın.
8. Tedarikçileri kontrol edin: Güvenlik ve süreklilik sorumluluklarını sözleşmelere yansıtın.
9. İç denetim yapın: Kontrollerin uygulandığını örneklerle inceleyin.
10. Sistemi geliştirin: Olay, denetim ve uygunsuzluk sonuçlarını iyileştirmeye dönüştürün.

Programın Resmî Kapsamında Hangi Konular Bulunur?

Bilgi Güvenliği Sorumlusu Sertifika Programının resmî sayfasında ISO 27001 Bilgi Güvenliği Yönetim Sistemi, temel KVKK bilgilendirmesi, ISO 9001:2015 temel kalite yönetimi, dokümantasyon, toplam kalite yönetimi ve ISO 19011 iç denetçi eğitimi konu başlıkları arasında gösterilmektedir.

Program içeriğinde ayrıca Ar-Ge teknikleri, yönetim becerileri ve stratejik planlama bulunmaktadır. Bu konu yapısı, bilgi güvenliğini yalnızca teknik araçlar açısından değil; yönetim sistemi, dokümantasyon ve kurumsal planlama boyutlarıyla değerlendirmeye yöneliktir.

Programın güncel eğitim konuları, katılımcı profili ve sertifika süreci Bilgi Güvenliği Sorumlusu Sertifika Programının resmî sayfasından kontrol edilmelidir.

Bilgi Güvenliği Sorumlusu Eğitimi Kimlere Yöneliktir?

Programın resmî sayfasında ilgili alanda çalışan profesyoneller, ilgili alanlardan mezun kişiler ve eğitimine devam eden öğrenciler katılımcı profili içinde belirtilmektedir. Bilgi işlem, kalite, denetim, insan kaynakları, hukuk, operasyon veya dokümantasyon süreçlerinde görev alanlar da programın kapsamını mesleki gelişim amacıyla inceleyebilir.

Bilgi güvenliği, farklı uzmanlık alanlarının ortak çalışmasını gerektirir. Teknik açıkların değerlendirilmesi için bilgi teknolojileri uzmanlığı, hukuki yükümlülükler için hukuk ve kişisel veriler alanında uzmanlık gerekebilir. Eğitim, bütün bu uzmanlıkların yerine geçmez; yönetimsel farkındalık ve koordinasyon yaklaşımı sunar.

Program bir mesleki gelişim ve sertifikalandırma hizmetidir. Sertifika tek başına bilgi güvenliği yöneticiliği, denetçilik, kişisel veri uzmanlığı veya başka bir düzenlenmiş mesleki yetki sağlamaz; istihdam ve görev ataması garantisi oluşturmaz.

Bilgi Güvenliği Sorumlusu Hakkında Sık Sorulan Sorular

Bilgi güvenliği sorumlusu yazılım uzmanı olmak zorunda mıdır?

Görevin teknik bilgi gereksinimi kurumun yapısına göre değişebilir. Bilgi güvenliği sorumlusunun risk, yönetim ve koordinasyon yaklaşımını anlaması önemlidir. İleri teknik işlemler ilgili bilgi teknolojileri ve siber güvenlik uzmanları tarafından yürütülebilir.

Bilgi güvenliği yalnızca dijital verileri mi kapsar?

Hayır. Basılı belgeler, sözlü bilgiler, fiziksel arşivler ve çalışanların kurumsal bilgi birikimi de bilgi güvenliği kapsamında değerlendirilebilir.

ISO 27001 belgesi olan kurumda güvenlik olayı yaşanmaz mı?

Hiçbir yönetim sistemi bütün riskleri tamamen ortadan kaldırmaz. Amaç riskleri sistemli biçimde değerlendirmek, uygun kontrolleri uygulamak ve olaylardan ders çıkararak sistemi geliştirmektir.

Kişisel verilerin korunması ile bilgi güvenliği aynı mıdır?

Hayır. Kişisel verilerin korunması, kişisel verilerin hukuka uygun işlenmesine ilişkin daha geniş bir çerçeve içerir. Bilgi güvenliği ise kişisel veriler dâhil olmak üzere kurumsal bilgilerin gizlilik, bütünlük ve erişilebilirliğini korumaya odaklanır.

Çalışanların bütün dosyalara erişmesi neden sakıncalıdır?

Gereksiz erişimler yanlışlıkla değişiklik, yetkisiz paylaşım ve kötüye kullanım riskini artırır. Kullanıcılara yalnızca görevleri için ihtiyaç duydukları yetkilerin verilmesi gerekir.

Yedek alınması iş sürekliliği için yeterli midir?

Hayır. Yedeklerin güvenli saklanması, geri yükleme testlerinin yapılması ve kritik süreçlerin hangi sürede yeniden başlatılacağının planlanması gerekir.

Eğitim sertifikası ISO 27001 denetçisi olma yetkisi verir mi?

Tek başına böyle bir sonuç çıkarılamaz. Denetçilik veya belgelendirme faaliyetleri için aranan koşullar, ilgili görev ve kuruluşun güncel yeterlilik kriterlerine göre ayrıca değerlendirilmelidir.

Program kuruma ISO 27001 belgesi kazandırır mı?

Hayır. Program sonunda verilen eğitim sertifikası katılımcının mesleki gelişim programını tamamladığını gösterir. Kurumsal ISO 27001 belgelendirmesi, yetkili kuruluşlar tarafından yürütülen ayrı bir süreçtir.

Bilgiyi Teknolojiden Önce Bir Kurum Varlığı Olarak Korumak

Bilgi güvenliği, yalnızca saldırılara karşı kullanılan teknik araçların toplamı değildir. Kurumun hangi bilgilere sahip olduğunu bilmesi, riskleri değerlendirmesi, erişimleri sınırlandırması ve olaylara hazırlıklı olması gerekir. Çalışan davranışları, belgeler, tedarikçiler ve fiziksel alanlar da güvenlik sisteminin parçalarıdır.

Etkili bir bilgi güvenliği sorumlusu, bütün kontrolleri tek başına gerçekleştirmeye çalışmaz. Varlık sahipleri, yöneticiler, bilgi teknolojileri ekipleri, insan kaynakları ve hukuk birimleri arasında koordinasyon kurar. Risk, olay, denetim ve performans sonuçlarını yönetimin karar verebileceği bilgiye dönüştürür.

Bilgi güvenliğini ISO 27001, kişisel veriler, dokümantasyon, kalite yönetimi, iç denetim ve stratejik planlama başlıklarıyla incelemek isteyenler, Bilgi Güvenliği Sorumlusu Sertifika Programının güncel ayrıntılarına İstanbul Kent Üniversitesi Yaşam Boyu Eğitim Merkezi’nin resmî sayfasından ulaşabilir.