ISO 27001 Bilgi Güvenliği Yönetim Sistemi Nedir? Kurulum ve Risk Yönetimi Rehberi
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Kuruluşlarda Nasıl Uygulanır?
Kuruluşların bilgi varlıkları yalnızca bilgisayarlarda saklanan dosyalardan oluşmaz. Müşteri kayıtları, çalışan bilgileri, sözleşmeler, finansal veriler, yazılım kaynak kodları, üretim süreçleri, fiziksel belgeler, kurumsal e-postalar ve çalışanların sahip olduğu kritik bilgiler de korunması gereken varlıklar arasında yer alabilir.
Bilginin yanlış kişilerin eline geçmesi kadar değiştirilmesi, kaybolması veya ihtiyaç duyulduğunda erişilememesi de kuruluşlar açısından önemli sonuçlar doğurabilir. Bu nedenle bilgi güvenliği yalnızca güçlü parola kullanmak, antivirüs yazılımı kurmak veya sunucuları korumakla sınırlandırılamaz. İnsanları, süreçleri, teknolojiyi, fiziksel ortamları ve kurumsal sorumlulukları birlikte yöneten sistematik bir yaklaşım gerekir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programı, bilgi güvenliğinin temel kavramlarını, ISO ve IEC yapılarını, ISO 27001 yaklaşımını, güvenliğin önemini ve temel güvenlik kurallarını sistematik biçimde incelemek isteyen katılımcılara yönelik çevrim içi bir mesleki gelişim programıdır.
ISO 27001 Nedir?
ISO/IEC 27001, kuruluşların bilgi güvenliği risklerini sistematik biçimde yönetmelerine yardımcı olan bir bilgi güvenliği yönetim sistemi standardıdır. Standart, yalnızca teknik güvenlik araçlarına odaklanmaz. Kuruluşun amaçlarını, sorumluluklarını, risklerini, süreçlerini, çalışanlarını, tedarikçilerini ve sürekli iyileştirme faaliyetlerini birlikte ele alan bir yönetim çerçevesi sunar.
ISO 27001 yaklaşımı kuruluşun:
- Korunması gereken bilgi varlıklarını belirlemesini,
- Bilgi güvenliği risklerini değerlendirmesini,
- Uygun güvenlik kontrollerini seçmesini,
- Görev ve sorumlulukları tanımlamasını,
- Politika ve prosedürler oluşturmasını,
- Uygulamaların etkinliğini izlemesini,
- Uygunsuzlukları düzeltmesini,
- Yönetim sistemini sürekli geliştirmesini
amaçlayan bir yapı oluşturur.
ISO 27001 bir yazılım, güvenlik ürünü veya tek seferlik kontrol listesi değildir. Kuruluşun değişen risklere göre güncel tuttuğu, ölçtüğü ve geliştirdiği bir yönetim sistemidir.
ISO ve IEC Ne Anlama Gelir?
ISO, farklı sektörlerde kullanılabilecek uluslararası standartların geliştirilmesine katkı sağlayan standardizasyon yapısını ifade eder. IEC ise elektrik, elektronik ve ilişkili teknolojiler alanındaki uluslararası standardizasyon çalışmalarıyla bağlantılıdır.
Bilgi teknolojileri ve bilgi güvenliğiyle ilgili bazı standartlar ISO ile IEC’nin ortak teknik çalışmaları sonucunda yayımlanır. Bu nedenle standardın tam adı çoğunlukla ISO/IEC 27001 biçiminde kullanılır.
Bir standardın uluslararası olması, bütün kuruluşların aynı güvenlik araçlarını kullanacağı anlamına gelmez. Kuruluşun büyüklüğü, faaliyet alanı, bilgi varlıkları, yasal yükümlülükleri, teknolojik altyapısı ve riskleri seçilecek uygulamaları etkiler.
Bilgi Güvenliği Nedir?
Bilgi güvenliği, bilginin yetkisiz erişime, izinsiz değişikliğe, kayba, bozulmaya veya kullanılamaz hâle gelmeye karşı korunmasıdır. Bu koruma dijital sistemlerin yanında fiziksel belgeleri, insan bilgisini ve iletişim kanallarını da kapsar.
Bilgi güvenliği kapsamında:
- Kimlerin hangi bilgilere erişebileceği belirlenir.
- Bilgilerin doğruluğunun korunması amaçlanır.
- Kritik sistemlerin ihtiyaç duyulduğunda çalışması sağlanır.
- Güvenlik olaylarının erken fark edilmesi desteklenir.
- Olay sonrasında izlenecek adımlar planlanır.
- Çalışanların güvenlik sorumlulukları açıklanır.
- Tedarikçi ve dış hizmet riskleri değerlendirilir.
Bilgi güvenliği yalnızca bilgi teknolojileri ekibinin görevi değildir. Bilgiye erişen, belge üreten, e-posta gönderen, müşteriyle görüşen veya kurumsal sistem kullanan herkes belirli sorumluluklar taşır.
Gizlilik, Bütünlük ve Erişilebilirlik Ne Demektir?
Bilgi güvenliği değerlendirmelerinde gizlilik, bütünlük ve erişilebilirlik temel kavramlar arasında yer alır.
Gizlilik
Bilginin yalnızca yetkilendirilmiş kişiler, sistemler veya süreçler tarafından görüntülenebilmesini ifade eder. Bir çalışan dosyaya erişebiliyor olsa bile görev kapsamı dışında kalan bilgileri görüntülememelidir.
Bütünlük
Bilginin doğruluğunun, eksiksizliğinin ve izinsiz değişikliklere karşı korunmasının sağlanmasıdır. Bir verinin yetkisiz biçimde değiştirilmesi, silinmesi veya yanlış kaydedilmesi bütünlük sorunu oluşturabilir.
Erişilebilirlik
Yetkili kullanıcıların ihtiyaç duydukları bilgiye ve sisteme gerektiği zamanda erişebilmesidir. Sunucu kesintileri, elektrik problemleri, fidye yazılımları, doğal afetler veya yanlış yapılandırmalar erişilebilirliği etkileyebilir.
Bir güvenlik uygulaması bu üç unsurdan yalnızca birine odaklanmamalıdır. Çok sıkı erişim kısıtlamaları, gerekli kullanıcıların işlerini yapmasını engelliyorsa erişilebilirlik sorunu doğurabilir. Bu nedenle kontroller iş ihtiyaçları ve risklerle dengelenmelidir.
Bilgi Güvenliği Neden Önemlidir?
Bilgi güvenliği olayları yalnızca teknik sistemlerin geçici olarak çalışmamasına neden olmaz. Müşteri güveni, kurumsal itibar, hizmet sürekliliği, finansal kaynaklar ve yasal sorumluluklar üzerinde de etkili olabilir.
Yetersiz bilgi güvenliği nedeniyle:
- Kişisel veya ticari bilgiler yetkisiz kişilere ulaşabilir.
- Üretim ve hizmet süreçleri durabilir.
- Müşteri ve iş ortaklarıyla ilişkiler zarar görebilir.
- Dosyalar değiştirilebilir veya silinebilir.
- Kurumun operasyonel maliyetleri artabilir.
- Yasal ve sözleşmesel yükümlülükler ihlal edilebilir.
- Çalışanların günlük işlerini sürdürmesi zorlaşabilir.
Bilgi güvenliği yatırımları yalnızca bir saldırı gerçekleştikten sonra gündeme alınmamalıdır. Riskler önceden değerlendirilerek koruyucu, tespit edici ve düzeltici önlemler birlikte planlanmalıdır.
Bilgi Güvenliği Yönetim Sistemi Nedir?
Bilgi Güvenliği Yönetim Sistemi, yaygın kısaltmasıyla BGYS; bilgi güvenliği politikalarının, risk yönetiminin, kontrollerin, sorumlulukların ve iyileştirme faaliyetlerinin ortak bir yönetim yapısı içinde ele alınmasını sağlar.
Bir BGYS kapsamında:
- Kuruluşun bağlamı değerlendirilir.
- İlgili tarafların beklentileri belirlenir.
- Yönetim sisteminin kapsamı oluşturulur.
- Bilgi güvenliği politikası hazırlanır.
- Risk değerlendirme yöntemi tanımlanır.
- Riskler analiz edilir ve önceliklendirilir.
- Kontroller seçilir ve uygulanır.
- Performans göstergeleri izlenir.
- İç denetimler gerçekleştirilir.
- Yönetim gözden geçirmesi yapılır.
- Uygunsuzluklar ve iyileştirme fırsatları yönetilir.
BGYS’nin amacı bütün riskleri tamamen ortadan kaldırmak değildir. Kuruluşun kabul edilebilir risk düzeyini belirlemesini ve riskleri bilinçli kararlarla yönetmesini sağlamaktır.
ISO 27001 Hangi Kuruluşlar İçin Uygundur?
ISO 27001 yalnızca teknoloji şirketleri, bankalar veya büyük işletmeler için hazırlanmış bir yaklaşım değildir. Bilgi varlığı kullanan ve bu bilgilerin güvenliğini sistematik biçimde yönetmek isteyen farklı ölçeklerdeki kuruluşlar standardın yaklaşımından yararlanabilir.
Bu kuruluşlar arasında:
- Yazılım ve teknoloji şirketleri
- Sağlık kuruluşları
- Eğitim kurumları
- Finans ve sigorta işletmeleri
- Üretim şirketleri
- Danışmanlık kuruluşları
- E-ticaret işletmeleri
- Kamu kurumları
- Lojistik ve ulaştırma şirketleri
- Veri işleyen küçük ve orta ölçekli işletmeler
yer alabilir.
Kuruluşun çalışan sayısından çok hangi bilgileri işlediği, bu bilgilere yönelik risklerin niteliği ve hizmet kesintilerinin yaratabileceği sonuçlar önemlidir.
ISO 27001 Yalnızca Siber Güvenlik Standardı mıdır?
ISO 27001 siber güvenlikle yakından ilişkilidir; ancak yalnızca ağ, sunucu ve yazılım güvenliğinden oluşmaz. Fiziksel güvenlik, insan kaynakları süreçleri, tedarikçiler, belge yönetimi, iş sürekliliği ve yönetim sorumlulukları da bilgi güvenliğinin parçalarıdır.
Örneğin aşağıdaki durumlar da bilgi güvenliği riski oluşturabilir:
- Gizli bir belgenin yazıcıda unutulması
- Çalışanın erişim yetkisinin görev değişikliğinden sonra kaldırılmaması
- Ziyaretçinin kontrollü alana refakatsiz girmesi
- Yedeklerin düzenli olarak geri yükleme testinden geçirilmemesi
- Tedarikçinin müşteri verilerine gereğinden fazla erişmesi
- Çalışanın sahte bir e-postaya kurumsal bilgilerini girmesi
- Kritik bilginin yalnızca tek bir çalışanın bilgisinde bulunması
Bu nedenle BGYS kurulurken teknik ve idari kontroller birlikte değerlendirilmelidir.
ISO 27001 Kapsamı Nasıl Belirlenir?
Kapsam, bilgi güvenliği yönetim sisteminin hangi birimleri, süreçleri, lokasyonları, sistemleri ve hizmetleri içine aldığını açıklar. Çok geniş veya belirsiz bir kapsam yönetimin zorlaşmasına; gereğinden dar kapsam ise kritik bağımlılıkların gözden kaçmasına neden olabilir.
Kapsam belirlenirken:
- Kuruluşun hizmetleri ve ürünleri
- Bilgi işleyen temel süreçler
- Fiziksel çalışma alanları
- Bilgi sistemleri ve altyapılar
- Dış kaynak hizmetleri
- Tedarikçiler
- Yasal ve sözleşmesel yükümlülükler
- Süreçler arasındaki bağımlılıklar
değerlendirilmelidir.
Kapsam belgesi, yönetim sisteminin sınırlarını açık biçimde göstermeli; kapsam dışında bırakılan unsurların bilgi güvenliği üzerindeki etkileri dikkate alınmalıdır.
Kuruluşun Bağlamı Nasıl Analiz Edilir?
Kuruluşun bağlamı, bilgi güvenliği yönetim sistemini etkileyen iç ve dış koşulların değerlendirilmesini ifade eder. Aynı güvenlik yaklaşımı her kuruluşta aynı sonucu vermeyebilir.
İç koşullar arasında:
- Organizasyon yapısı
- Çalışan yetkinlikleri
- Kullanılan teknolojiler
- Kurum kültürü
- Mali kaynaklar
- Mevcut süreçler
bulunabilir.
Dış koşullar ise yasal düzenlemeler, sektör beklentileri, teknolojik gelişmeler, tehdit ortamı, müşteri talepleri ve tedarikçi ilişkileri gibi unsurları içerebilir.
Bağlam analizi bir kez hazırlanıp arşivlenecek sabit bir belge değildir. Kuruluşun hizmetleri, teknolojileri ve tehditleri değiştikçe yeniden değerlendirilmelidir.
İlgili Taraflar Kimlerdir?
İlgili taraflar, kuruluşun bilgi güvenliği uygulamalarından etkilenen veya bu uygulamalara ilişkin beklentileri bulunan kişi ve kurumlardır.
İlgili taraflar arasında:
- Müşteriler
- Çalışanlar
- Yöneticiler
- İş ortakları
- Tedarikçiler
- Düzenleyici kurumlar
- Hissedarlar
- Hizmet sağlayıcılar
- Denetim ve belgelendirme kuruluşları
bulunabilir.
Her ilgili tarafın aynı beklentiye sahip olduğu düşünülmemelidir. Müşteri verilerinin gizliliğini önemserken çalışanlar sistemlerin kullanılabilir ve görevleriyle uyumlu olmasını bekleyebilir. Yönetim bu beklentileri değerlendirerek uygulanabilir yükümlülükleri belirlemelidir.
Bilgi Güvenliği Politikası Nasıl Hazırlanır?
Bilgi güvenliği politikası, kuruluşun bilgi güvenliği konusundaki temel yaklaşımını, amaçlarını ve taahhütlerini açıklar. Politika yalnızca teknik ekibin anlayacağı ayrıntılı bir prosedür olmamalıdır.
Etkili bir politika:
- Kuruluşun amaçlarıyla uyumlu olmalıdır.
- Bilginin korunmasına ilişkin temel yaklaşımı açıklamalıdır.
- Yasal ve sözleşmesel yükümlülüklere uyumu desteklemelidir.
- Bilgi güvenliği hedeflerine çerçeve sağlamalıdır.
- Sürekli iyileştirme taahhüdünü içermelidir.
- Çalışanlar tarafından erişilebilir olmalıdır.
- Belirli aralıklarla gözden geçirilmelidir.
Politikanın yönetim tarafından onaylanması tek başına yeterli değildir. Çalışanların kendi görevleri açısından politikanın ne anlama geldiğini bilmesi gerekir.
Üst Yönetimin Rolü Nedir?
Bilgi güvenliği projesinin yalnızca bilgi teknolojileri yöneticisine bırakılması, yönetim sisteminin kurumsal süreçlerden kopmasına neden olabilir. Üst yönetimin kaynak, öncelik ve sorumluluklar konusunda aktif rol üstlenmesi gerekir.
Üst yönetim:
- Bilgi güvenliği politikasını destekler.
- Görev ve yetkileri tanımlar.
- Gerekli kaynakları sağlar.
- Bilgi güvenliği hedeflerini kurumsal hedeflerle ilişkilendirir.
- Risklerin kabulü konusunda karar verir.
- Performans sonuçlarını gözden geçirir.
- İyileştirme çalışmalarının sürdürülmesini sağlar.
Bilgi güvenliği yalnızca teknik maliyet olarak görülürse çalışanlar ve birimler arasında gereken iş birliği oluşturulamayabilir.
Bilgi Varlığı Nedir?
Kuruluş açısından değer taşıyan ve korunması gereken bilgi, sistem, donanım, hizmet veya insan bilgisi varlık olarak değerlendirilebilir.
Bilgi varlıklarına örnek olarak:
- Müşteri veri tabanları
- Çalışan özlük kayıtları
- Finansal belgeler
- Sözleşmeler
- Yazılım kaynak kodları
- Sunucular ve bilgisayarlar
- Bulut hizmetleri
- E-posta sistemleri
- Fiziksel arşivler
- Kurumsal bilgi ve deneyim
- İnternet ve iletişim hizmetleri
verilebilir.
Varlık yönetiminde yalnızca donanımların seri numaralarını listelemek yeterli değildir. Varlığın sahibi, önemi, konumu, kullanıcısı ve korunma ihtiyaçları da değerlendirilmelidir.
Bilgi Varlığı Envanteri Nasıl Hazırlanır?
Varlık envanteri, kuruluşun neyi koruması gerektiğini anlamasına yardımcı olur. Envanter gereğinden fazla ayrıntılı hâle getirildiğinde güncelliğini korumak zorlaşabilir; çok genel tutulduğunda ise önemli riskler gözden kaçabilir.
Envanterde şu bilgiler bulunabilir:
- Varlığın adı ve açıklaması
- Varlık türü
- Varlık sahibi
- Bulunduğu fiziksel veya dijital konum
- Gizlilik sınıfı
- İş süreçleriyle ilişkisi
- Kullanıcı grupları
- Yedekleme ve saklama ihtiyaçları
- Bağımlı olduğu hizmetler
Envanterin düzenli güncellenmesi gerekir. Yeni sistemler, bulut hizmetleri, yazılımlar ve veri kümeleri devreye alındığında listeye eklenmelidir.
Bilgi Sınıflandırması Nedir?
Bilgi sınıflandırması, bütün bilgilerin aynı koruma düzeyine ihtiyaç duymadığı gerçeğine dayanır. Kamuya açık bir tanıtım metniyle müşteri kimlik bilgileri aynı güvenlik kurallarıyla yönetilmemelidir.
Kuruluşlar kendi ihtiyaçlarına göre:
- Herkese açık
- Kurum içi
- Gizli
- Çok gizli veya kritik
gibi sınıflar oluşturabilir.
Sınıflandırma yalnızca belge üzerine etiket eklemek değildir. Bilginin kimlerle paylaşılabileceği, nasıl gönderileceği, nerede saklanacağı, ne kadar süre korunacağı ve nasıl imha edileceği de belirlenmelidir.
Tehdit, Zafiyet ve Risk Arasındaki Fark Nedir?
Tehdit, bir varlığa zarar verebilecek olay veya etkendir. Zafiyet, tehdidin yararlanabileceği zayıflıktır. Risk ise tehdidin bir zafiyetten yararlanması sonucunda ortaya çıkabilecek etkinin ve gerçekleşme olasılığının birlikte değerlendirilmesidir.
Örneğin:
- Kimlik avı e-postası bir tehdit olabilir.
- Çalışanların sahte e-postaları ayırt edememesi zafiyet oluşturabilir.
- Hesap bilgilerinin ele geçirilerek kurumsal verilere erişilmesi risk olarak değerlendirilebilir.
Her zafiyet aynı düzeyde risk oluşturmaz. Varlığın önemi, tehdidin gerçekleşme olasılığı, mevcut kontroller ve olası sonuçlar birlikte analiz edilmelidir.
Bilgi Güvenliği Risk Değerlendirmesi Nasıl Yapılır?
Risk değerlendirmesi, kuruluşun bilgi güvenliğiyle ilgili belirsizlikleri belirli bir yöntemle analiz etmesini sağlar. Kullanılan yöntem kuruluşun ölçeğine ve yapısına uygun olmalıdır.
Temel süreç şu şekilde ilerleyebilir:
- Değerlendirme kapsamı belirlenir.
- Bilgi varlıkları tanımlanır.
- Tehditler ve zafiyetler incelenir.
- Mevcut kontroller değerlendirilir.
- Olasılık ve etki ölçütleri uygulanır.
- Risk düzeyi hesaplanır veya sınıflandırılır.
- Riskler öncelik sırasına alınır.
- Risk sahipleri belirlenir.
- Risk işleme kararları oluşturulur.
Risk değerlendirmesi yalnızca bilgi teknolojileri ekibi tarafından hazırlanırsa süreç, insan kaynakları, satın alma, hukuk, operasyon ve fiziksel güvenlik risklerini yeterince yansıtmayabilir.
Risk Kriterleri Nasıl Belirlenir?
Risk kriterleri, risklerin hangi ölçütlerle değerlendirileceğini ve hangi düzeylerin kabul edilebilir olduğunu açıklar. Olasılık ve etki ifadelerinin herkes tarafından farklı yorumlanması tutarsız sonuçlar doğurabilir.
Kriterler hazırlanırken:
- Olasılık seviyeleri tanımlanmalıdır.
- Finansal, operasyonel ve itibari etkiler açıklanmalıdır.
- Yasal sonuçlar dikkate alınmalıdır.
- Hizmet kesintisi süreleri değerlendirilebilir.
- Risk kabul yetkileri belirlenmelidir.
- Yüksek riskler için zorunlu aksiyonlar tanımlanmalıdır.
Kriterler yönetim tarafından anlaşılır ve uygulanabilir olmalıdır. Yalnızca karmaşık matematiksel puanlar kullanmak daha doğru risk yönetimi sağlamayabilir.
Risk İşleme Seçenekleri Nelerdir?
Risk değerlendirmesinden sonra her risk için uygun yaklaşım belirlenir. Başlıca risk işleme seçenekleri şunlardır:
- Riski azaltmak: Yeni kontroller uygulayarak olasılığı veya etkiyi düşürmek
- Riskten kaçınmak: Riski doğuran faaliyeti durdurmak veya değiştirmek
- Riski paylaşmak: Sigorta, sözleşme veya dış hizmet yoluyla riskin belirli bölümünü aktarmak
- Riski kabul etmek: Belirlenen kriterler ve yetkiler doğrultusunda riski bilinçli biçimde üstlenmek
Bir riskin kabul edilmesi, hiçbir işlem yapılmaması anlamına gelmez. Kabul kararı gerekçeli, yetkili ve izlenebilir olmalıdır.
Risk İşleme Planı Nasıl Hazırlanır?
Risk işleme planı, seçilen kontrollerin kim tarafından, hangi kaynaklarla ve hangi tarihe kadar uygulanacağını gösterir.
Plan içinde:
- Riskin açıklaması
- Risk sahibi
- Seçilen işleme yöntemi
- Uygulanacak kontroller
- Sorumlu kişiler
- Hedef tarih
- Gerekli kaynaklar
- Başarı ölçütleri
- Uygulama sonrasındaki beklenen risk düzeyi
bulunabilir.
Kontrol uygulandıktan sonra riskin gerçekten azalıp azalmadığı doğrulanmalıdır. Yalnızca görevin tamamlandı olarak işaretlenmesi yeterli değildir.
Risklerin Uygulanabilirlik Bildirgesiyle İlişkisi Nedir?
ISO 27001 uygulamalarında kuruluş, seçtiği bilgi güvenliği kontrollerini ve bunlara ilişkin değerlendirmelerini izlenebilir biçimde kayıt altına alır. Uygulanabilirlik Bildirgesi, kontrollerin neden seçildiğini, uygulanma durumunu ve gerekli değerlendirmeleri gösteren temel BGYS belgelerinden biridir.
Bu belge:
- Risk değerlendirmesiyle tutarlı olmalıdır.
- Seçilen kontrollerin gerekçesini göstermelidir.
- Uygulanmayan kontroller için açıklama içermelidir.
- Kontrollerin güncel durumunu yansıtmalıdır.
- Kuruluşun gerçek uygulamalarıyla uyumlu olmalıdır.
Başka bir kuruluşa ait hazır bildirgenin yalnızca isim değiştirilerek kullanılması, kuruluşa özgü risklerin gözden kaçmasına neden olabilir.
Temel Güvenlik Kuralları Nelerdir?
Bilgi güvenliği kontrolleri kuruluşun risklerine göre değişir. Bununla birlikte günlük uygulamalarda bazı temel kurallar birçok kuruluş için önem taşır.
- Parolalar kişiye özel tutulmalıdır.
- Çok faktörlü doğrulama uygun sistemlerde kullanılmalıdır.
- Yetkiler görev ihtiyacına göre verilmelidir.
- Çalışma alanından ayrılırken ekran kilitlenmelidir.
- Şüpheli e-posta ve bağlantılar bildirilmelidir.
- Güncellemeler kontrollü biçimde uygulanmalıdır.
- Kritik veriler düzenli olarak yedeklenmelidir.
- Yedeklerin geri yükleme testleri yapılmalıdır.
- Gizli belgeler kontrolsüz biçimde bırakılmamalıdır.
- Yetkisiz taşınabilir cihazlar kullanılmamalıdır.
- Güvenlik olayları gecikmeden bildirilmelidir.
Kurallar çalışanların işlerini gereksiz biçimde zorlaştırıyorsa güvenli olmayan alternatif yöntemlere yönelmelerine neden olabilir. Kontroller uygulanabilir ve iş süreçleriyle uyumlu olmalıdır.
Erişim Kontrolü Nasıl Yönetilir?
Erişim kontrolü, kullanıcıların yalnızca görevleri için gerekli bilgilere ve sistemlere ulaşabilmesini amaçlar. Her çalışana geniş yetki vermek operasyonu kolaylaştırıyor gibi görünse de bilgi güvenliği risklerini artırabilir.
Erişim yönetiminde:
- Kullanıcı hesapları kişiye özel oluşturulmalıdır.
- Ortak hesaplar mümkün olduğunca sınırlandırılmalıdır.
- Yetki talepleri onay sürecinden geçmelidir.
- Görev değişikliklerinde erişimler güncellenmelidir.
- İşten ayrılanların hesapları zamanında kapatılmalıdır.
- Ayrıcalıklı hesaplar daha sıkı kontrol edilmelidir.
- Erişimler belirli aralıklarla gözden geçirilmelidir.
Yetkinin verilmesi kadar geri alınması da önemlidir. Kullanılmayan eski hesaplar saldırganlar için erişim noktası oluşturabilir.
Parola Güvenliği Nasıl Sağlanır?
Parola politikaları yalnızca belirli sayıda karakter zorunluluğu koymamalıdır. Kullanıcıların kolay tahmin edilebilen veya farklı sistemlerde tekrar kullanılan parolalara yönelmesi de dikkate alınmalıdır.
Parola güvenliği için:
- Uzun ve tahmin edilmesi güç parolalar kullanılabilir.
- Farklı sistemlerde aynı parola tekrar edilmemelidir.
- Parolalar e-posta veya mesajla paylaşılmamalıdır.
- Varsayılan parolalar değiştirilmelidir.
- Uygun sistemlerde çok faktörlü doğrulama kullanılmalıdır.
- Parola yöneticileri kurumsal politika doğrultusunda değerlendirilebilir.
Parolayı sürekli ve çok kısa aralıklarla değiştirmeye zorlamak, kullanıcıların kolay örüntüler oluşturmasına neden olabilir. Politika gerçek riskler ve güncel güvenlik yaklaşımı doğrultusunda hazırlanmalıdır.
İnsan Kaynakları Güvenliği Neleri Kapsar?
Çalışanların işe başlaması, görev değiştirmesi ve kurumdan ayrılması bilgi güvenliği açısından kontrol edilmesi gereken aşamalardır.
İnsan kaynakları güvenliği kapsamında:
- Görev ve güvenlik sorumlulukları açıklanabilir.
- Gizlilik yükümlülükleri belirlenebilir.
- İşe girişte gerekli erişimler tanımlanabilir.
- Güvenlik farkındalık eğitimleri verilebilir.
- Görev değişikliklerinde yetkiler güncellenebilir.
- İşten ayrılışta hesaplar ve fiziksel erişimler kapatılabilir.
- Kurumsal cihaz ve belgelerin iadesi izlenebilir.
Güvenlik eğitimleri yalnızca işe giriş sırasında sunulmamalıdır. Tehditler ve çalışma yöntemleri değiştikçe içerikler güncellenmelidir.
Bilgi Güvenliği Farkındalığı Nasıl Geliştirilir?
Çalışanlara uzun politika belgeleri gönderip okuduklarına dair onay almak tek başına farkındalık oluşturmaz. Eğitimlerin günlük görevler ve gerçek risklerle ilişkilendirilmesi gerekir.
Farkındalık çalışmaları:
- Kimlik avı örnekleri
- Güvenli parola kullanımı
- Temiz masa ve temiz ekran uygulamaları
- Uzaktan çalışma güvenliği
- Şüpheli olayların bildirilmesi
- Fiziksel belge güvenliği
- Sosyal mühendislik yöntemleri
- Kişisel cihaz ve taşınabilir medya kullanımı
gibi konuları içerebilir.
Farkındalığın amacı çalışanları korkutmak veya her hatada cezalandırmak değildir. Şüpheli durumları erken bildirmelerini sağlayan güvenli bir kurum kültürü oluşturmaktır.
Sosyal Mühendislik Nedir?
Sosyal mühendislik, kişilerin güven, merak, korku veya otorite algısından yararlanarak bilgi elde etmeye ya da güvenlik kontrollerini aşmaya yönelik yöntemleri ifade eder.
Örnekler arasında:
- Sahte parola yenileme e-postaları
- Yönetici adına gönderilen acil ödeme talepleri
- Teknik destek görevlisi gibi davranarak parola isteme
- Kontrollü alana çalışanı takip ederek girme
- Telefonla müşteri veya çalışan bilgisi talep etme
- Merak uyandıran zararlı dosyalar gönderme
bulunabilir.
Çalışanlar şüpheli talepleri bağımsız bir iletişim kanalıyla doğrulamalı ve kurumun olay bildirim yöntemini bilmelidir.
Fiziksel Bilgi Güvenliği Nasıl Sağlanır?
Dijital sistemler güçlü biçimde korunurken sunucu odasına, arşive veya çalışma alanına kontrolsüz fiziksel erişim verilmesi güvenlik açığı oluşturabilir.
Fiziksel güvenlik için:
- Kontrollü alanlar belirlenmelidir.
- Ziyaretçi girişleri kayıt altına alınabilir.
- Kritik alanlarda uygun erişim yöntemleri kullanılabilir.
- Sunucu ve iletişim ekipmanları korunmalıdır.
- Yangın, su baskını ve enerji kesintisi riskleri değerlendirilmelidir.
- Gizli belgeler kilitli alanlarda saklanmalıdır.
- Atık belgeler güvenli biçimde imha edilmelidir.
Fiziksel erişim kayıtlarının tutulması tek başına yeterli değildir. Yetkilerin güncelliği ve ziyaretçi refakat kuralları da izlenmelidir.
Yedekleme Neden Tek Başına Yeterli Değildir?
Bir kuruluşun yedek alması, verilerin kesin olarak geri getirilebileceği anlamına gelmez. Yedeklerin eksik, bozuk, güncel olmayan veya ana sistemle aynı risklere açık olması mümkündür.
Yedekleme yönetiminde:
- Hangi verilerin yedekleneceği belirlenmelidir.
- Yedekleme sıklığı iş ihtiyacına göre planlanmalıdır.
- Yedekler yetkisiz erişime karşı korunmalıdır.
- Kopyalar uygun farklı ortamlarda tutulabilir.
- Geri yükleme testleri yapılmalıdır.
- Test sonuçları kayıt altına alınmalıdır.
- Saklama süreleri belirlenmelidir.
Yedekleme ve kurtarma süreçleri, DevOps süreçlerinde otomasyon, süreklilik ve operasyonel güvenilirlik gibi teknik çalışma alanlarıyla da yakından ilişkilidir.
Güvenli Yazılım Geliştirme Neden Önemlidir?
Güvenlik kontrollerinin yazılım tamamlandıktan sonra eklenmesi maliyetli ve yetersiz olabilir. Güvenlik gereksinimleri analiz, tasarım, geliştirme, test ve yayınlama aşamalarında ele alınmalıdır.
Güvenli geliştirme kapsamında:
- Güvenlik gereksinimleri tanımlanabilir.
- Kod değişiklikleri gözden geçirilebilir.
- Bağımlılıklar ve bileşenler izlenebilir.
- Geliştirme ve canlı ortamlar ayrılabilir.
- Gizli anahtarlar kaynak kodda tutulmamalıdır.
- Güvenlik testleri gerçekleştirilmelidir.
- Bulunan açıklar önceliklendirilmelidir.
DevSecOps yaklaşımı, güvenlik kontrollerinin yazılım geliştirme ve operasyon süreçlerine erken aşamalardan itibaren dahil edilmesini destekleyen tamamlayıcı bir çalışma alanıdır.
Test Süreçleri Bilgi Güvenliğini Nasıl Destekler?
Bir kontrolün yazılı olarak tanımlanması, uygulamada çalıştığını kanıtlamaz. Güvenlik işlevlerinin, erişim kurallarının ve hata senaryolarının test edilmesi gerekir.
Testlerde:
- Yetkisiz erişim denemeleri
- Rol ve yetki kontrolleri
- Hatalı veri girişleri
- Yedekten geri dönüş
- Olay bildirim süreçleri
- Sistem kesintisi senaryoları
- Güncelleme sonrası işlev kontrolleri
değerlendirilebilir.
test analizi ve risk temelli test tasarımı, kritik işlevlere ve olası hata etkilerine göre daha anlamlı kontrol senaryolarının hazırlanmasına katkı sağlayabilir.
Bulut ve Konteyner Ortamlarında Güvenlik Nasıl Ele Alınır?
Bulut hizmeti kullanmak, güvenlik sorumluluğunun tamamen hizmet sağlayıcıya geçtiği anlamına gelmez. Kuruluş kendi kullanıcılarını, verilerini, yapılandırmalarını ve erişimlerini yönetmeye devam eder.
Bulut ve konteyner ortamlarında:
- Sorumluluk paylaşımı açıkça anlaşılmalıdır.
- Erişim yetkileri sınırlandırılmalıdır.
- Yanlış yapılandırmalar izlenmelidir.
- Gizli bilgiler güvenli yöntemlerle saklanmalıdır.
- Kayıtlar ve olaylar takip edilmelidir.
- Yedekleme ve kurtarma planları hazırlanmalıdır.
- Tedarikçi ve hizmet bağımlılıkları değerlendirilmelidir.
Docker ve Kubernetes servislerinin yönetimi ile orkestrasyon ve Kubernetes süreçleri, modern uygulama altyapılarındaki teknik yapıların anlaşılmasına yönelik tamamlayıcı bilgi sağlayabilir.
Tedarikçi Güvenliği Nasıl Yönetilir?
Kuruluşun bilgilerine erişen, sistemlerini yöneten veya kritik hizmet sağlayan tedarikçiler bilgi güvenliği kapsamına dahil edilmelidir. Sözleşme imzalamak tek başına yeterli kontrol oluşturmaz.
Tedarikçi yönetiminde:
- Hizmetin bilgi güvenliği etkisi değerlendirilmelidir.
- Erişim sınırları belirlenmelidir.
- Gizlilik ve güvenlik yükümlülükleri sözleşmeye eklenmelidir.
- Olay bildirim süreleri tanımlanmalıdır.
- Alt yüklenici kullanımı değerlendirilebilir.
- Hizmet performansı ve güvenlik uygulamaları izlenmelidir.
- Sözleşme sonunda erişimler ve veriler yönetilmelidir.
Tedarikçinin bilinen bir marka olması, bütün risklerin otomatik olarak kabul edilebilir olduğu anlamına gelmez.
Bilgi Güvenliği Olayı Nedir?
Bilgi güvenliği olayı; gizlilik, bütünlük veya erişilebilirliği etkileyen ya da etkileyebilecek bir durumdur. Her olay veri ihlaliyle sonuçlanmayabilir; ancak değerlendirme ve kayıt gerektirebilir.
Olay örnekleri:
- Şüpheli giriş denemeleri
- Zararlı yazılım uyarıları
- Yanlış alıcıya gönderilen e-posta
- Kayıp dizüstü bilgisayar
- Yetkisiz dosya erişimi
- Hizmet kesintisi
- Gizli belgenin ortak alanda bulunması
- Çalışanın kimlik avı bağlantısına tıklaması
Çalışanların hangi durumları, hangi kanaldan ve ne kadar sürede bildireceği açıkça tanımlanmalıdır.
Olay Müdahale Süreci Nasıl Yönetilir?
Olay müdahalesi yalnızca teknik ekibin sistemi yeniden çalıştırmasından ibaret değildir. Olayın kapsamı, etkilenen varlıklar, iletişim sorumlulukları ve tekrarını önleyecek faaliyetler değerlendirilmelidir.
Temel olay yönetimi adımları şunlardır:
- Olay bildirilir ve kayıt altına alınır.
- Öncelik ve ciddiyet seviyesi belirlenir.
- Etkilenen sistemler ve bilgiler tespit edilir.
- Olayın yayılması sınırlandırılır.
- Teknik ve operasyonel düzeltmeler uygulanır.
- Hizmetler kontrollü biçimde geri yüklenir.
- Gerekli bildirimler gerçekleştirilir.
- Kök neden ve öğrenilen dersler değerlendirilir.
- Kontroller ve prosedürler güncellenir.
Olayı gerçekleştiren kişiyi hemen suçlamak, çalışanların gelecekteki olayları saklamasına neden olabilir. Kasıt ve ihmal değerlendirmesi yapılırken süreç zayıflıkları da incelenmelidir.
İş Sürekliliği Bilgi Güvenliğiyle Nasıl İlişkilidir?
Bilgi güvenliği, yalnızca verinin gizli tutulmasını değil, kritik faaliyetlerin kesinti sonrasında sürdürülebilmesini de kapsar. İş sürekliliği planları kritik süreçlerin hangi kaynaklara bağımlı olduğunu ve kesinti sırasında hangi yöntemlerin kullanılacağını açıklar.
Planlama sırasında:
- Kritik süreçler belirlenir.
- Kabul edilebilir kesinti süreleri değerlendirilir.
- Teknoloji ve insan bağımlılıkları incelenir.
- Alternatif çalışma yöntemleri hazırlanır.
- İletişim sorumlulukları tanımlanır.
- Kurtarma öncelikleri belirlenir.
- Planlar test edilir ve güncellenir.
Hazırlanan planlar hiç denenmezse gerçek bir kesinti sırasında uygulanabilir olmayabilir. Masa başı senaryoları ve teknik kurtarma testleriyle planların etkinliği incelenmelidir.
Dokümante Edilmiş Bilgi Nasıl Yönetilir?
ISO 27001 kapsamında ihtiyaç duyulan politika, prosedür, kayıt ve kanıtların güncel, kontrollü ve erişilebilir olması gerekir. Çok fazla belge üretmek etkin bir yönetim sistemi kurulduğu anlamına gelmez.
Doküman yönetiminde:
- Belge sahibi belirlenmelidir.
- Onay ve yayın süreçleri tanımlanmalıdır.
- Sürüm ve değişiklikler izlenmelidir.
- Eski belgelerin yanlışlıkla kullanılması önlenmelidir.
- Erişim yetkileri düzenlenmelidir.
- Saklama ve imha süreleri belirlenmelidir.
- Kayıtların bütünlüğü korunmalıdır.
Prosedürler gerçek çalışma yöntemlerini yansıtmalıdır. Uygulanmayan ideal süreçlerin yazılması denetim sırasında ve günlük operasyonda tutarsızlık oluşturur.
Bilgi Güvenliği Hedefleri Nasıl Belirlenir?
Bilgi güvenliği hedefleri genel ifadelerden daha ölçülebilir ve izlenebilir olmalıdır. “Güvenliği artırmak” tek başına yeterli bir hedef değildir.
Hedef örnekleri:
- Kritik sistemlerin yedek geri yükleme testlerini belirlenen takvimde tamamlamak
- Yüksek öncelikli erişim gözden geçirmelerini zamanında gerçekleştirmek
- Bilgi güvenliği eğitimlerine katılımı artırmak
- Kritik açıkların giderilme süresini azaltmak
- Olay bildirim süresini iyileştirmek
- Tedarikçi güvenlik değerlendirmelerini tamamlamak
Hedefler için sorumlu, süre, ölçüm yöntemi ve gerekli kaynaklar belirlenmelidir.
İzleme ve Ölçme Nasıl Yapılır?
BGYS’nin etkinliği yalnızca belge sayısıyla ölçülmemelidir. Kontrollerin gerçekten çalışıp çalışmadığını gösteren sonuçlara ihtiyaç vardır.
İzlenebilecek göstergeler:
- Bilgi güvenliği olaylarının sayısı ve türü
- Olaylara müdahale süresi
- Yüksek riskli açıkların kapanma süresi
- Erişim gözden geçirmelerinin tamamlanma oranı
- Yedekleme ve geri yükleme başarı sonuçları
- Farkındalık eğitimlerine katılım
- İç denetim bulgularının kapatılma durumu
- Tedarikçi değerlendirme sonuçları
Gösterge sayısının fazla olması yönetimi otomatik olarak geliştirmez. Karar vermeye yardımcı olan ve güvenilir biçimde ölçülebilen göstergeler seçilmelidir.
İç Denetim Nedir?
İç denetim, bilgi güvenliği yönetim sisteminin kuruluşun belirlediği şartlara ve ilgili standardın gerekliliklerine uygun biçimde uygulanıp uygulanmadığını değerlendiren sistematik çalışmadır.
İç denetimde:
- Denetim kapsamı ve ölçütleri belirlenir.
- Denetçiler tarafsızlık gözetilerek seçilir.
- Dokümanlar ve kayıtlar incelenir.
- Çalışanlarla görüşmeler yapılır.
- Uygulamalar yerinde gözlemlenir.
- Uygunsuzluk ve iyileştirme fırsatları kaydedilir.
- Düzeltici faaliyetler izlenir.
İç denetim çalışanları hata yaparken yakalama çalışması değildir. Yönetim sistemindeki zayıflıkları ve geliştirme fırsatlarını belirlemeye yardımcı olmalıdır.
Yönetimin Gözden Geçirmesi Nedir?
Yönetimin gözden geçirmesi, üst yönetimin BGYS performansını, risklerini ve iyileştirme ihtiyaçlarını belirli aralıklarla değerlendirmesidir.
Gözden geçirmede:
- Önceki kararların durumu
- İç ve dış koşullardaki değişiklikler
- Bilgi güvenliği performansı
- Risk değerlendirme sonuçları
- İç ve dış denetim bulguları
- İlgili tarafların geri bildirimleri
- Kaynak ihtiyaçları
- İyileştirme fırsatları
ele alınabilir.
Toplantının yalnızca bir tutanak üretmesi yeterli değildir. Alınan kararların sorumluları ve tamamlanma tarihleri belirlenmelidir.
Uygunsuzluk ve Düzeltici Faaliyet Nedir?
Uygunsuzluk, belirlenen bir şartın karşılanmamasıdır. Düzeltici faaliyet ise yalnızca görünen hatayı gidermek değil, tekrarını önleyecek nedeni ele almaktır.
Düzeltici faaliyet sürecinde:
- Uygunsuzluk kayıt altına alınır.
- Oluşan sonuçlar kontrol altına alınır.
- Kök neden incelenir.
- Benzer durumların başka alanlarda bulunup bulunmadığı araştırılır.
- Gerekli faaliyetler planlanır.
- Faaliyetler uygulanır.
- Etkinlik doğrulaması yapılır.
Kaizen ve süreç iyileştirme yaklaşımı, tekrarlayan sorunların yalnızca geçici olarak kapatılması yerine süreçlerin sistematik biçimde geliştirilmesine katkı sağlayabilir.
Toplam Kalite Yönetimi ile ISO 27001 Arasındaki İlişki
ISO 27001, risk temelli düşünme, liderlik, süreç yönetimi, performans değerlendirme ve sürekli iyileştirme gibi yönetim sistemi ilkelerinden yararlanır. Bu yaklaşım bilgi güvenliğinin yalnızca teknik kontrollerden oluşmamasını sağlar.
toplam kalite yönetimi felsefesi kapsamında ele alınan süreç yaklaşımı, paydaş beklentileri, ölçme ve iyileştirme kavramları; BGYS’nin kuruluşun genel yönetim sistemiyle bütünleştirilmesine yardımcı olabilir.
Kalite ve bilgi güvenliği yönetim sistemlerinin aynı olması gerekmez. Ancak doküman kontrolü, denetim, düzeltici faaliyet ve yönetim gözden geçirmesi gibi ortak yönetim mekanizmalarından yararlanılabilir.
ISO 27001 Belgelendirme Süreci Nasıl İlerler?
Bir kuruluş ISO 27001’e uygun bir BGYS kurduktan ve uyguladıktan sonra bağımsız belgelendirme değerlendirmesine başvurabilir. Belgelendirme, bir eğitim sertifikasından farklı olarak kuruluşun yönetim sisteminin belirli kapsam içinde değerlendirilmesini içerir.
Genel süreçte:
- BGYS kapsamı ve dokümantasyonu hazırlanır.
- Risk değerlendirmesi ve risk işleme çalışmaları tamamlanır.
- Kontroller uygulanır ve kanıtlar oluşturulur.
- İç denetim gerçekleştirilir.
- Yönetimin gözden geçirmesi yapılır.
- Belgelendirme kuruluşu tarafından denetim gerçekleştirilir.
- Varsa uygunsuzluklar ele alınır.
- Belgenin devamı için gözetim faaliyetleri yürütülür.
Belge alınması bilgi güvenliği çalışmalarının tamamlandığı anlamına gelmez. Riskler, teknolojiler ve kuruluş koşulları değiştikçe yönetim sistemi güncellenmelidir.
ISO 27001 Sertifikası ile Eğitim Sertifikası Aynı mıdır?
Kurumsal ISO 27001 belgesi ile bireysel eğitim sertifikası birbirinden farklıdır. Kurumsal belge, kuruluşun belirli kapsam içindeki bilgi güvenliği yönetim sisteminin bağımsız değerlendirmesiyle ilişkilidir.
Eğitim sertifikası ise kişinin belirli bir eğitim programına katıldığını veya programın değerlendirme koşullarını tamamladığını gösterir. Bireysel eğitim sertifikası:
- Kuruluş adına ISO 27001 belgesi oluşturmaz.
- Kişiyi otomatik olarak baş denetçi yapmaz.
- Belgelendirme kuruluşu adına denetim yetkisi vermez.
- Tek başına bilgi güvenliği uzmanı unvanı kazandırmaz.
Eğitim, konuya ilişkin bilgi ve mesleki farkındalık geliştirmeye katkı sağlayabilir. Profesyonel yetkinlik için uygulama deneyimi, teknik bilgi ve görev kapsamı da önemlidir.
ISO 27001 Hakkında Doğru Bilinen Yanlışlar
“ISO 27001 yalnızca bilgi işlem departmanını ilgilendirir.”
BGYS insan kaynakları, satın alma, hukuk, operasyon, yönetim, fiziksel güvenlik ve tedarikçi süreçlerini de kapsayabilir.
“Antivirüs ve güvenlik duvarı varsa ISO 27001’e ihtiyaç yoktur.”
Teknik araçlar önemli kontrollerdir; ancak politika, risk yönetimi, farkındalık, tedarikçi güvenliği, olay yönetimi ve iş sürekliliğinin yerini tutmaz.
“Belge alındığında bütün güvenlik riskleri sona erer.”
Hiçbir yönetim sistemi bütün riskleri ortadan kaldırmaz. Risklerin kabul edilebilir düzeyde yönetilmesini ve sürekli izlenmesini destekler.
“ISO 27001 çok fazla belge hazırlamak demektir.”
Dokümantasyon gereklidir; ancak temel amaç kullanılmayan prosedürler üretmek değil, uygulanabilir ve izlenebilir bir yönetim sistemi oluşturmaktır.
“Küçük işletmeler bilgi güvenliği riski taşımaz.”
Küçük kuruluşlar da müşteri, çalışan, finans ve iş süreçlerine ilişkin değerli bilgiler işleyebilir. Kontroller kuruluşun ölçeğine göre uyarlanabilir.
“Bulut hizmeti kullanıldığında güvenlik tamamen sağlayıcının sorumluluğundadır.”
Kullanıcı hesapları, yetkiler, veriler, yapılandırmalar ve sözleşmesel şartlar konusunda kuruluşun sorumlulukları devam eder.
ISO 27001 Uygulamalarında Sık Yapılan Hatalar
- BGYS’yi yalnızca belgelendirme projesi olarak görmek
- Üst yönetimin sürece yeterince katılmaması
- Kapsamı belirsiz veya yapay biçimde dar oluşturmak
- Başka bir kuruluşa ait dokümanları doğrudan kopyalamak
- Varlık envanterini güncel tutmamak
- Risk değerlendirmesini yalnızca teknik tehditlerle sınırlamak
- Risk kriterlerini açık biçimde tanımlamamak
- Kontrolleri risklerle ilişkilendirmeden seçmek
- Çalışan farkındalığını yalnızca imza formuyla ölçmek
- Görev değişikliklerinde erişimleri güncellememek
- Yedek alıp geri yükleme testi yapmamak
- Tedarikçi risklerini göz ardı etmek
- İç denetimi yalnızca belge kontrolüne dönüştürmek
- Uygunsuzluklarda kök nedeni incelememek
- Belge alındıktan sonra sistemi güncellememek
ISO 27001 Uygulama Yol Haritası
- Üst yönetimin desteği ve sorumlulukları belirlenir.
- Kuruluşun iç ve dış bağlamı analiz edilir.
- İlgili taraflar ve yükümlülükler belirlenir.
- BGYS kapsamı oluşturulur.
- Bilgi güvenliği politikası hazırlanır.
- Bilgi varlığı envanteri çıkarılır.
- Risk değerlendirme yöntemi tanımlanır.
- Tehditler, zafiyetler ve mevcut kontroller incelenir.
- Riskler değerlendirilir ve önceliklendirilir.
- Risk işleme planı hazırlanır.
- Uygun güvenlik kontrolleri uygulanır.
- Çalışanlara görevlerine uygun eğitim verilir.
- Performans göstergeleri takip edilir.
- İç denetim ve yönetim gözden geçirmesi gerçekleştirilir.
- Uygunsuzluklar ve iyileştirme faaliyetleri yönetilir.
- BGYS değişen risklere göre güncel tutulur.
Örnek Bilgi Güvenliği Risk Değerlendirmesi
Varlık: Müşteri bilgi veri tabanı
Tehdit: Yetkisiz kullanıcı hesabı üzerinden veri erişimi
Zafiyet: Eski çalışan hesaplarının zamanında kapatılmaması
Olası sonuç: Müşteri bilgilerinin yetkisiz kişilerce görüntülenmesi veya dışarı aktarılması
Mevcut kontroller: Kullanıcı hesabı ve parola doğrulaması
Planlanan kontroller: İşten ayrılış kontrol listesi, otomatik hesap kapatma süreci, düzenli erişim gözden geçirmesi ve çok faktörlü doğrulama
Sorumlular: İnsan kaynakları, bilgi teknolojileri ve ilgili süreç yöneticisi
Etkinlik ölçümü: İşten ayrılan kullanıcı hesaplarının belirlenen süre içinde kapatılma oranı ve erişim gözden geçirme sonuçları
Bu örnek, risk yönetiminin yalnızca teknik ekiple sınırlı olmadığını gösterir. İnsan kaynakları ve süreç yöneticilerinin koordinasyonu olmadan erişim güvenliği sürdürülemeyebilir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programının Kapsamı
İstanbul Kent Üniversitesi Yaşam Boyu Eğitim Merkezi tarafından sunulan ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programı, bilgi güvenliği yönetiminin temel kavramlarını tanımaya yönelik çevrim içi bir mesleki gelişim programıdır.
Resmî program içeriğinde eğitimin amacı ve genel kapsamının yanında ISO ve IEC kavramları ele alınmaktadır. Bu bölüm, ISO/IEC standartlarının genel yapısını ve bilgi güvenliği alanındaki kullanımını anlamaya yönelik başlangıç çerçevesi sunmaktadır.
Bilgi güvenliğinin tanımı ve neden önemli olduğu programın temel konu alanları arasındadır. Kuruluşların bilgi varlıklarını yetkisiz erişim, kullanım, ifşa, değişiklik, bozulma ve kayıp gibi risklere karşı korumasının operasyonel süreklilik ve paydaş güveni bakımından önemi ele alınmaktadır.
ISO 27001 başlığı kapsamında bilgi güvenliği risklerinin belirlenmesi, değerlendirilmesi ve yönetilmesine ilişkin temel yaklaşım incelenmektedir. Güvenlik politikalarının oluşturulması, bilgi varlıklarının belirlenmesi, risk değerlendirmesi ve uygun kontrol mekanizmalarının uygulanması programın mesleki çerçevesini destekleyen konular arasındadır.
Doğru bilinen yanlış düşünceler bölümü, bilgi güvenliğinin yalnızca teknik ekiplerin sorumluluğu olduğu veya birkaç teknolojik ürünle tamamen sağlanabileceği gibi yaygın varsayımların değerlendirilmesine yardımcı olabilir.
Temel güvenlik kuralları konusu ise çalışan davranışları, erişim, parola, veri koruma, olay bildirimi ve benzeri günlük güvenlik uygulamalarına ilişkin farkındalık geliştirmeyi amaçlamaktadır.
Resmî program açıklamasına göre eğitim tamamen çevrim içi yürütülmekte ve katılımcılar içeriklere dijital öğrenme sistemi üzerinden erişebilmektedir. Program, ilgili alanda çalışan profesyonellere, ilgili alanlardan mezun bireylere ve eğitimini sürdüren öğrencilere yönelik olarak sunulmaktadır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programı, bilgi güvenliği risklerini, temel güvenlik kurallarını ve yönetim sistemi yaklaşımını tanımak isteyen katılımcılar için değerlendirilebilir.
Programın tamamlanması tek başına kurumsal ISO 27001 belgesi oluşturmaz; baş denetçi, belgelendirme denetçisi, bilgi güvenliği yöneticisi veya başka bir düzenlenmiş mesleki unvan kazandırmaz. Mesleki kullanım kapsamı kişinin temel eğitimi, teknik bilgisi, uygulama deneyimi ve görev sorumluluklarıyla birlikte değerlendirilmelidir.
Sık Sorulan Sorular
ISO 27001 nedir?
Kuruluşların bilgi güvenliği risklerini sistematik biçimde belirlemesine, değerlendirmesine, uygun kontroller uygulamasına ve yönetim sistemini sürekli geliştirmesine yardımcı olan uluslararası bir standarttır.
BGYS ne demektir?
BGYS, Bilgi Güvenliği Yönetim Sistemi ifadesinin kısaltmasıdır. Politika, risk yönetimi, sorumluluk, kontrol, izleme, denetim ve iyileştirme süreçlerini ortak bir yapı içinde ele alır.
ISO 27001 yalnızca teknoloji şirketleri için midir?
Hayır. Bilgi işleyen ve bu bilgileri sistematik biçimde korumak isteyen farklı sektör ve ölçeklerdeki kuruluşlar ISO 27001 yaklaşımından yararlanabilir.
ISO 27001 yalnızca siber güvenlikle mi ilgilidir?
Hayır. Teknik güvenliğin yanında insan kaynakları, fiziksel güvenlik, tedarikçi yönetimi, belge kontrolü, olay yönetimi ve iş sürekliliği gibi alanları da kapsar.
Bilgi güvenliğinin üç temel unsuru nedir?
Gizlilik, bütünlük ve erişilebilirlik bilgi güvenliğinin temel unsurları arasında yer alır.
Bilgi varlığı nedir?
Kuruluş için değer taşıyan ve korunması gereken veri, belge, sistem, donanım, hizmet veya kurumsal bilgi varlık olarak değerlendirilebilir.
Risk değerlendirmesi nasıl yapılır?
Varlıklar, tehditler, zafiyetler, mevcut kontroller, gerçekleşme olasılığı ve olası etkiler belirli bir yöntemle değerlendirilir. Riskler önceliklendirilerek işleme kararları oluşturulur.
Risk tamamen ortadan kaldırılabilir mi?
Bütün riskleri ortadan kaldırmak çoğu zaman mümkün değildir. Riskler azaltılabilir, paylaşılabilir, önlenebilir veya yetkili kararlarla kabul edilebilir.
Bilgi güvenliği politikası ne işe yarar?
Kuruluşun bilgi güvenliğine ilişkin temel yaklaşımını, amaçlarını, sorumluluklarını ve sürekli iyileştirme taahhüdünü açıklar.
ISO 27001’de üst yönetim neden önemlidir?
Üst yönetim politika, kaynak, sorumluluk, risk kabulü ve performans değerlendirmesi konusunda karar verir. Yönetim desteği olmadan BGYS’nin kurumsal süreçlere yerleşmesi zorlaşabilir.
ISO 27001 belgesi bütün saldırıları önler mi?
Hayır. Belge hiçbir saldırının gerçekleşmeyeceğini garanti etmez. Kuruluşun riskleri sistematik biçimde yönetmesini ve güvenlik uygulamalarını sürekli geliştirmesini destekler.
Bilgi güvenliği yalnızca bilgi işlem çalışanlarının sorumluluğu mudur?
Hayır. Bilgiye erişen bütün çalışanların görevleriyle ilişkili güvenlik sorumlulukları bulunabilir.
İç denetim ne işe yarar?
BGYS’nin planlanan şartlara uygun ve etkin biçimde uygulanıp uygulanmadığını değerlendirmeye, uygunsuzlukları ve iyileştirme fırsatlarını belirlemeye yardımcı olur.
ISO 27001 eğitim sertifikasıyla kurumsal belge aynı mıdır?
Hayır. Eğitim sertifikası bireyin eğitime katılımını veya programı tamamladığını gösterir. Kurumsal ISO 27001 belgesi ise kuruluşun belirli kapsamdaki yönetim sisteminin bağımsız değerlendirilmesiyle ilişkilidir.
Programda hangi konular ele alınmaktadır?
Eğitimin amacı ve içeriği, ISO ve IEC kavramları, bilgi güvenliğinin tanımı, ISO 27001, bilgi güvenliğinin önemi, yaygın yanlış düşünceler ve temel güvenlik kuralları programın resmî konu başlıkları arasındadır.
Program kimlere yöneliktir?
İlgili alanda çalışan profesyoneller, ilgili alanlardan mezun bireyler ve bu alanda eğitimini sürdüren öğrenciler belirtilen katılımcı grupları arasındadır.
Eğitim çevrim içi mi sunulmaktadır?
Resmî program bilgilerine göre eğitim tamamen çevrim içi yürütülmekte ve içeriklere dijital öğrenme sistemi üzerinden erişilebilmektedir.
Programı tamamlamak ISO 27001 baş denetçisi yapar mı?
Hayır. Program bilgi güvenliği ve ISO 27001 yaklaşımına ilişkin mesleki gelişim sağlar. Baş denetçilik ve profesyonel denetim görevleri ayrıca eğitim, uygulama deneyimi ve ilgili yeterlilikler gerektirir.
Programın güncel bilgileri nereden incelenebilir?
Eğitim kapsamı, katılım koşulları, çevrim içi öğrenme modeli, değerlendirme ve belgelendirme bilgileri ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programının resmî sayfasından incelenmelidir.
Teknik Önlemlerden Kurumsal Güvenlik Kültürüne
Bilgi güvenliği, birkaç teknolojik ürünün kurulmasıyla tamamlanan bir proje değildir. Kuruluşun bilgi varlıklarını tanıması, risklerini değerlendirmesi, sorumlulukları belirlemesi ve güvenlik kontrollerini gerçek iş süreçlerine yerleştirmesi gerekir.
ISO 27001 yaklaşımı; insan, süreç, teknoloji ve fiziksel ortamları ortak bir yönetim sistemi içinde ele alır. Risk değerlendirmesi, erişim kontrolü, tedarikçi güvenliği, olay yönetimi, iş sürekliliği, iç denetim ve sürekli iyileştirme bu yapının birbirini tamamlayan parçalarıdır.
ISO ve IEC kavramlarını, bilgi güvenliğinin temel ilkelerini, ISO 27001 yaklaşımını, risk yönetimini ve temel güvenlik kurallarını sistematik biçimde incelemek isteyenler, ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifika Programının güncel kapsamını İstanbul Kent Üniversitesi Yaşam Boyu Eğitim Merkezi resmî sayfasından değerlendirebilir.
