Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · web.eretek.com
Kurumun teknik ve organizasyonel bilgi güvenliği risklerini iş süreçleri üzerinden değerlendiriyoruz: kritik süreçler ve bağımlılıklar, tehdit senaryoları, mevcut kontrollerin etkinliği, risk seviyeleri ve yönetim kararına sunulan, sahibi ve takvimi belli bir risk işleme planı.
Kurumsal bilgi güvenliği risk değerlendirmesi, bir kuruluşun bilgi ve BT bağımlılıklarından doğan risklerin; olasılık, iş etkisi ve mevcut kontroller dikkate alınarak ölçülmesi ve yönetimin kabul edebileceği seviyeye indirilmesi için kararlar üretilmesidir. Teknik zafiyet listesinden farklı olarak çıktı, iş süreçleri ve yönetim kararları üzerine kurulur.
BT, finans ve üretimin “en büyük risk” algısı farklı; ortak ölçek olmadığı için karar alınamıyor.
Zafiyet raporları var ama hangi sürecin ne kadar süre etkileneceği yönetime anlatılamıyor.
Bir kez hazırlanan tablo sahipsiz kalmış; değişiklikler ve olaylar sonrasında güncellenmiyor.
Değerlendirme ISO/IEC 27005’in risk yönetimi sürecine (bağlam, risk tanımlama, analiz, değerlendirme, işleme, izleme) uygun yürütülür ve ISO/IEC 27001’in risk değerlendirme gereklilikleriyle uyumludur. Ölçekler ve kabul kriterleri kuruluşun risk iştahına göre yönetimle birlikte belirlenir.
Kapsam, risk iştahı, olasılık ve etki ölçekleri, kabul kriterleri.
Süreç–uygulama–altyapı–tedarikçi bağımlılık haritası.
Fidye yazılımı, hesap ele geçirme, veri sızıntısı, tedarikçi kaynaklı olay, kesinti gibi gerçekçi senaryolar.
Mevcut kontrollerin görüşme ve örnek kanıtla değerlendirilmesi.
Kararlar, sorumlular, hedef tarihler; yönetim sunumu ve ısı haritası.
Önce işin durmaması gereken süreçleri, sonra bu süreçlerin dayandığı sistemleri ele alırız. Teknik kanıt gerektiğinde BT güvenlik denetimi ile kontrol etkinliği test edilir; ISO 27001 için sonuçlar risk işleme planı ve SoA çalışmasına aktarılır. Zafiyet taraması ve teknik konfigürasyon incelemesi için Eretek Siber Güvenlik risk değerlendirmesi tamamlayıcıdır. Yöntem örnekleri için risk analizi rehberimize bakabilirsiniz.
Çok düşük — beklenmez
Önemsiz; iş süreçleri etkilenmez
Düşük — birkaç yılda bir
Bir birimde kısa süreli aksama
Orta — yılda bir
Kritik bir süreçte saatler süren kesinti
Yüksek — yılda birkaç kez
Müşteri teslimatı veya yasal yükümlülük etkilenir
Çok yüksek — sürekli
Günler süren kesinti, ciddi mali/itibar kaybı
Ölçekler örnektir; her kuruluş kendi etki kategorilerini (mali, operasyonel, yasal, itibar) tanımlar.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Bu hizmet yönetim düzeyinde risk değerlendirmesidir; teknik taramalar gerekiyorsa siber güvenlik ekibimizle ayrıca planlanır.
Evet, yöntem ISO 27001’in risk gerekliliklerine uygun tasarlanır.
Varsayılan nitel/yarı nicel ölçektir; yeterli veri varsa senaryo bazında mali etki tahmini eklenebilir.
En az yılda bir ve önemli değişikliklerden sonra.
Teknik ve organizasyonel güvenlik risklerini yönetim kararına dönüştürün.
Proje + yıllık güncelleme
Standart hedefi olmayan kuruluşlar için de uygulanabilir; sonuçlar ileride ISO 27001 veya TISAX için doğrudan kullanılır.
Kapsam ve kriterler belirlenir.
Süreçler, senaryolar ve kontroller çıkarılır.
Riskler ölçülür ve sıralanır.
İşleme planı yönetimle onaylanır.
Bilgi varlıkları ve süreçleri için tekrarlanabilir risk değerlendirmesi ve gerekçeli kontrol seçimi oluşturun.
Kimlik, ağ, sunucu, yedekleme ve operasyon kontrollerini delile dayalı değerlendirin.
Kritik bilgi varlıklarını, sahiplerini ve sınıflandırma kurallarını görünür hale getirin.
Tam zamanlı kadro oluşturmadan güvenlik programı, riskler, denetimler ve yönetim raporları için uzmanlık alın.
Kritik süreçlerinizi ve hedeflerinizi dinliyor, risk değerlendirme kapsamı ve yöntemi için teklif hazırlıyoruz.