Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
BT değişikliklerinin talep, etki analizi, onay, test ve geri dönüş planıyla yönetilmesini; güvenli konfigürasyon standartlarının tanımlanmasını ve yamaların risk bazlı sürelerle uygulanıp ölçülmesini sağlayan süreçleri kuruyoruz.
Değişiklik yönetimi, üretim sistemlerinde yapılan her değişikliğin kaydedilmesini, riskinin değerlendirilmesini ve onaylanmasını sağlar. Konfigürasyon yönetimi sistemlerin onaylı güvenli bir temel yapılandırmaya göre kurulmasını ve sapmaların izlenmesini; yama yönetimi ise güvenlik güncellemelerinin kritikliğe göre tanımlı sürelerde uygulanmasını ve istisnaların kayıt altına alınmasını kapsar.
Sunucu ve firewall değişiklikleri yapılıyor ama kim, neden ve hangi onayla yaptığı bilinmiyor.
Güncellemeler “düzenli” yapılıyor; ancak kritik bir yamanın ne kadar sürede uygulandığı raporlanamıyor.
Üretim veya eski uygulamalar güncellenemiyor; telafi edici kontrol ve istisna kaydı yok.
ISO/IEC 27001:2022 Ek A’da değişiklik yönetimi, konfigürasyon yönetimi ve teknik zafiyetlerin yönetimi ayrı kontrollerdir; konfigürasyon yönetimi 2022 sürümüyle eklenen kontroller arasındadır. ITGC’de program değişiklikleri, VDA ISA’da değişiklik ve zafiyet yönetimi aynı konuları kapsar.
Değişiklik tipleri (standart, normal, acil), onay seviyeleri, test ve geri dönüş planı.
Sunucu, istemci, ağ cihazı ve bulut için temel güvenli yapılandırma; CIS Benchmark gibi kaynaklardan uyarlama.
Kritiklik sınıfları, uygulama süreleri, test grubu ve istisna süreci.
Yama uyum oranı, gecikmiş kritik yamalar ve değişiklik başarı oranı göstergeleri.
Değişiklik kayıt şablonu, yama raporları ve istisna kayıtları.
Mevcut talep veya ticket sistemi varsa süreç onun üzerine kurulur; yoksa basit bir kayıt yapısı oluşturulur. Değişiklik kayıtları ITGC ve BT denetimi için doğrudan kanıt olur. Teknik zafiyet taramaları ve yama altyapısı için Eretek Siber Güvenlik zafiyet yönetimi ile birlikte çalışılabilir.
Aktif istismar edilen, internete açık sistemde kritik zafiyet
48–72 saat
Yüksek CVSS, iç sistemlerde
14 gün
Orta seviye zafiyetler
30 gün
Düşük riskli güncellemeler
Bir sonraki bakım döngüsü
Süreler örnektir; kurumun risk iştahına, sistem kritikliğine ve test kapasitesine göre politikada belirlenir.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Resmi bir kurul şart değildir; onay yetkisi ve kaydı tanımlı olduğu sürece hafif bir onay akışı yeterlidir.
İstisna kaydı açılır, telafi edici kontroller (segmentasyon, erişim kısıtı, izleme) uygulanır ve süreli takip edilir.
Mevcut araçlar (WSUS, Intune, RMM, ticket sistemi) çoğunlukla yeterlidir.
Önce uygulanır, en kısa sürede kayıt ve geriye dönük onay tamamlanır.
Denetimde izlenebilir, kontrollü ve ölçülebilir BT operasyon süreçleri tasarlayın.
Proje
Süreçler BT ekibinin kapasitesine göre ölçeklenir; küçük ekiplerde hafif ama kanıt üreten bir yapı kurulur.
Mevcut uygulamalar incelenir.
Süreçler ve standartlar yazılır.
Kayıt ve raporlama başlatılır.
İlk dönem KPI’ları raporlanır.
Erişim, değişiklik, operasyon ve yedekleme kontrollerini dış denetim beklentilerine uygun belgeleyin.
Dağınık kayıtları anlamlı saklama, izleme ve denetim kanıtlarına dönüştürün.
BT süreçlerinizi şirketin gerçek çalışma biçimine uygun, yönetilebilir dokümana dönüştürün.
Kimlik, ağ, sunucu, yedekleme ve operasyon kontrollerini delile dayalı değerlendirin.
Mevcut değişiklik ve yama uygulamalarınızı paylaşın; süreç tasarımı ve kanıt yapısı için teklif hazırlayalım.