Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
Kurumsal BT ve bilgi güvenliği kontrollerinin tasarımını ve işleyişini denetliyoruz: politika ile uygulama arasındaki farkı örnekleme ve kanıt incelemesiyle ölçüyor, bulguları risk derecesiyle raporluyor ve kapanışlarını takip ediyoruz.
BT güvenlik denetimi, bir kontrolün doğru tasarlanıp tasarlanmadığını (tasarım etkinliği) ve dönem boyunca tutarlı uygulanıp uygulanmadığını (işleyiş etkinliği) kanıta dayalı olarak değerlendirir. Örneğin erişim gözden geçirmesi prosedürünün varlığı tasarımı, son dört çeyreğe ait gözden geçirme kayıtları ise işleyişi kanıtlar.
Yazılı kurallar var; ancak gerçekten uygulandığına dair bağımsız doğrulama yapılmamış.
Bir lokasyonda düzenli yapılan kontrol, diğerinde hiç yapılmıyor.
Önceki denetimlerin bulguları takip edilmediği için tekrar ediyor.
Kriter olarak kuruluşun kendi politikaları, ISO/IEC 27001 Ek A kontrolleri veya talep halinde CIS Controls gibi çerçeveler kullanılır. Her kontrol için hedef, tasarım ve işleyiş ayrı değerlendirilir; örnek büyüklüğü kontrolün sıklığına göre belirlenir.
Kapsam, kriter, kontrol listesi ve örnekleme yaklaşımı.
Erişim, değişiklik, yedekleme, yama, loglama, olay yönetimi, tedarikçi ve fiziksel güvenlik kontrollerinin test edilmesi.
Kayıt, sistem raporu ve ekran görüntüsü düzeyinde doğrulama.
Risk derecesi, kök neden, öneri ve sorumlu.
Aksiyonların kapanış doğrulaması.
Denetim, ITGC yaklaşımıyla benzer bir metodoloji kullanır ancak bilgi güvenliği kontrollerinin tamamını kapsayabilir. Bulgular düzeltici faaliyet yönetimiyle kapatılır. Teknik konfigürasyon ve zafiyet incelemesi gerekiyorsa Eretek Siber Güvenlik denetimi ile birlikte planlanır.
İK çıkış listesi ile aktif hesapların karşılaştırılması
Kapatma tarihli hesap listesi
Son dönemde yapılan testlerin örneklenmesi
Test kaydı, süre ve sonuç
Üretim değişikliklerinden örnek seçimi
Onaylı değişiklik kaydı
Kritik yamaların uygulanma süresinin ölçülmesi
Yama raporu
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Bu denetim kontrol odaklıdır. Sızma testleri siber güvenlik ekibimizin koordinasyonunda yetkin iş ortaklarıyla yapılır.
Hayır, yalnızca okuma erişimi ve kanıt incelemesiyle yürütülür.
Evet; gerekirse müşteriyle paylaşılabilecek özet bir sürüm hazırlanır.
ISO 27001 iç denetimi olarak planlanırsa yönetim sistemi gereklilikleri de eklenir.
Kimlik, ağ, sunucu, yedekleme ve operasyon kontrollerini delile dayalı değerlendirin.
Proje veya yıllık denetim
Denetim yönetim ve kontrol odaklıdır; sızma testi ve teknik konfigürasyon taraması siber güvenlik ekibimizle ayrıca planlanır.
Kapsam ve kriterler belirlenir.
Testler ve kanıt incelemesi yapılır.
Bulgular derecelendirilir ve sunulur.
Kapanışlar doğrulanır.
Erişim, değişiklik, operasyon ve yedekleme kontrollerini dış denetim beklentilerine uygun belgeleyin.
Kimde hangi erişim var sorusuna kanıt üreten ve periyodik yenilenen süreç kurun.
Teknik ve organizasyonel güvenlik risklerini yönetim kararına dönüştürün.
Belgelendirme öncesi sisteminizin etkinliğini, bulgularını ve iyileştirme fırsatlarını görün.
Denetim amacınızı (iç kontrol, müşteri talebi, belgelendirme hazırlığı) ve kapsamınızı paylaşın; denetim planı için teklif sunalım.