Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
ISO 27001 risk değerlendirme metodolojisini kuruyor, riskleri sahipleriyle birlikte tanımlıyor, risk işleme planını hazırlıyor ve Ek A kontrollerinin hangilerinin neden uygulandığını gösteren Uygulanabilirlik Bildirgesi’ni (SoA) yazıyoruz.
Risk analizi; bilgi güvenliğini etkileyebilecek olayların olasılığını ve etkisini kuruluşun belirlediği ölçütlerle değerlendirme, risk işleme ise bu risklere karşı alınacak kararı (azaltma, kaçınma, transfer, kabul) ve kontrolleri belirleme sürecidir. Uygulanabilirlik Bildirgesi (SoA), Ek A kontrollerinin her biri için uygulanıp uygulanmadığını, gerekçesini ve uygulama durumunu gösterir; risk işleme kararlarıyla kontrol listesi arasındaki köprüdür.
Riskler sezgisel puanlanmış; olasılık ve etki ölçekleri, kabul kriteri ve tekrarlanabilirlik tanımlanmamış.
Tüm Ek A kontrolleri “uygulanıyor” işaretlenmiş; dışlama gerekçesi ve risklerle bağlantı yok.
Risk sahipleri ve yönetim, kontroller sonrası kalan riskleri bilmiyor ve resmi olarak kabul etmemiş.
ISO/IEC 27001 risk değerlendirmesinin tekrarlandığında tutarlı ve karşılaştırılabilir sonuç vermesini, risk sahiplerinin belirlenmesini ve risk işleme planı ile kalan risklerin risk sahiplerince onaylanmasını bekler. ISO/IEC 27005 bu süreç için rehberlik sağlar.
Varlık tabanlı veya olay/senaryo tabanlı yaklaşım seçimi, olasılık ve etki ölçekleri, risk matrisi, kabul kriterleri.
Süreç ve varlık sahipleriyle atölye çalışmaları; tehdit, zafiyet ve mevcut kontrollerin belirlenmesi.
Risk seviyelerinin hesaplanması ve kabul kriterlerine göre işleme gerektirenlerin seçilmesi.
Kontrol seçimi, sorumlu, hedef tarih, bütçe ihtiyacı ve kalan risk hedefi.
Ek A kontrollerinin uygulanma kararı, gerekçesi, uygulama durumu ve ilgili doküman referansları.
Risk sahiplerinin onayı, yönetim sunumu ve periyodik güncelleme takvimi.
Riskler masa başında değil, süreç sahipleriyle yapılan kısa atölyelerde tanımlanır; teknik veriler BT ekibinden ve gerekiyorsa kurumsal risk değerlendirmesinden alınır. Her risk için seçilen kontrol SoA’ya, SoA satırı ise ilgili prosedüre bağlanır; böylece doküman seti ile risk kararları izlenebilir hale gelir. Yöntem ve örnek kayıtlar için BGYS risk analizi rehberine, SoA yapısı için SoA rehberine bakabilirsiniz.
ERP sunucusunun fidye yazılımıyla şifrelenmesi sonucu sipariş ve sevkiyatın durması
Operasyon direktörü
Günlük yedek, EDR; yedekler aynı etki alanında
3 / 5 → yüksek (kabul kriteri: ≤ 8)
Azaltma
Değiştirilemez yedek, geri yükleme testi, ayrıcalıklı hesap ayrımı
Yedekleme, ayrıcalıklı erişim hakları ve kötü amaçlı yazılıma karşı koruma kontrolleri
Çeyrek sonu / orta — risk sahibi onayı
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
İkisi de standarda uygundur. Küçük ve orta ölçekli kuruluşlarda senaryo tabanlı yöntem daha yönetilebilir sonuç verir; detaylı envanter gerektiren sektörlerde varlık tabanlı yaklaşım tercih edilebilir.
Hayır. Kontroller risklere ve gerekliliklere göre seçilir; uygulanmayanlar gerekçesiyle belirtilir. Gerekçesiz dışlama denetimde bulgu nedenidir.
Planlı aralıklarla (çoğunlukla yılda bir) ve önemli değişikliklerde. Takvim metodoloji dokümanında belirtilir.
Excel, SharePoint listesi veya mevcut GRC aracınız kullanılabilir. Önemli olan yöntemin tutarlı ve kayıtların izlenebilir olmasıdır.
Bilgi varlıkları ve süreçleri için tekrarlanabilir risk değerlendirmesi ve gerekçeli kontrol seçimi oluşturun.
Proje + yıllık güncelleme
SoA, denetçinin ilk okuduğu ve en çok soru sorduğu dokümanlardan biridir.
Ölçekler ve kabul kriterleri yönetimle belirlenir.
Süreç sahipleriyle riskler tanımlanır.
Kontroller seçilir, SoA yazılır, plan hazırlanır.
Risk sahipleri ve yönetim kalan riskleri onaylar.
Teknik ve organizasyonel güvenlik risklerini yönetim kararına dönüştürün.
Bilgi güvenliği yönetim sistemini sıfırdan kurun; kapsam, risk, kontrol, süreç ve kanıtları denetime hazır hale getirin.
Kuruluşunuza özel bilgi güvenliği dokümanlarını hazırlayın; şablon yığını değil, işletilebilir bir yönetim sistemi edinin.
Kritik bilgi varlıklarını, sahiplerini ve sınıflandırma kurallarını görünür hale getirin.
Kapsamınızı, mevcut risk kayıtlarınızı ve hedef standardınızı görüşüp risk metodolojisi, risk kaydı ve SoA çalışması için teklif hazırlıyoruz.