Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · web.eretek.com
Bilgi güvenliği yönetim sistemini (BGYS) sıfırdan kuruyoruz: kapsam ve bağlam analizi, risk metodolojisi, risk işleme, Uygulanabilirlik Bildirgesi, kuruma özel politika ve prosedürler, kayıt altyapısı, iç denetim ve yönetimin gözden geçirmesiyle belgelendirme denetimine hazır, işleyen bir sistem.
BGYS kurulumu; kuruluşun bilgi varlıklarını hangi kapsamda, hangi risk kabul kriterleriyle ve hangi kontrollerle koruyacağını belirleyen, bunları sorumlu kişilere bağlayan ve düzenli ölçülerek iyileştirilen bir yönetim sisteminin tasarlanıp devreye alınmasıdır. Hizmet, hiç dokümanı olmayan kuruluşlardan dağınık politikaları bulunan şirketlere kadar sistemi uçtan uca kurar; amaç, denetim günü için hazırlanmış bir klasör değil, kurum içinde yaşayan bir yönetim mekanizmasıdır.
Müşteri veya ihale şartnamesi ISO 27001 istiyor; ancak kapsamın ne olacağı, hangi dokümanların gerektiği ve kimin sorumlu olacağı belirsiz.
İnternetten indirilen politika setleri kurumun gerçek sistemlerini, rollerini ve süreçlerini yansıtmadığı için denetimde kanıtla desteklenemiyor.
Firewall, yedekleme, antivirüs mevcut; fakat risk değerlendirmesi, ölçüm, iç denetim ve yönetimin gözden geçirmesi döngüsü kurulmamış.
ISO/IEC 27001:2022 (Amd 1:2024 dahil) yönetim sistemi gerekliliklerini Madde 4–10’da, kontrol hedeflerini ise Ek A’da tanımlar. Ek A kontrolleri organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada gruplanır; hangilerinin uygulanacağı risk değerlendirmesine göre seçilir ve Uygulanabilirlik Bildirgesi’nde gerekçelendirilir. 2024 değişikliği, bağlam analizinde iklim değişikliğinin ilgili bir konu olup olmadığının değerlendirilmesini ekler.
İç ve dış hususlar, ilgili tarafların beklentileri, lokasyon–süreç–sistem sınırları ve dış kaynaklı hizmetlerle arayüzlerin belirlenmesi; kapsam beyanının yazılması.
Bilgi güvenliği politikası, BGYS rolleri ve yetkileri, ölçülebilir bilgi güvenliği hedefleri ve bunların takip yöntemi.
Varlık veya senaryo tabanlı yöntem, olasılık/etki ölçekleri, risk kabul kriterleri; risklerin sahipleriyle birlikte tanımlanması.
Ek A kontrollerinin risklere göre seçimi, uygulanmayan kontrollerin gerekçesi, risk işleme planı ve risk sahiplerinin onayı.
Kuruma özel doküman seti, form ve kayıt şablonları, doküman kontrolü; kanıtların nerede ve kim tarafından tutulacağı.
Ölçüm göstergeleri, iç denetim programı, yönetimin gözden geçirmesi, uygunsuzluk ve düzeltici faaliyet süreci.
Kurulum, bir doküman listesinden değil; kuruluşun hangi bilgileri işlediği, hangi sistemlere bağımlı olduğu ve kimin karar verdiği sorularından başlar. Önce mevcut durum ve gap analizi ile başlangıç noktası ölçülür, ardından risk analizi ve SoA kontrollerin seçim mantığını oluşturur. Dokümanlar kuruma özel dokümantasyon yaklaşımıyla yazılır; sistem çalışmaya başladıktan sonra iç denetim ve yönetimin gözden geçirmesi ile ilk yönetim döngüsü tamamlanır. Belgelendirme öncesi son kontroller belgelendirme hazırlığı kapsamında yürütülür. Adım adım süreç için BGYS nasıl kurulur rehberimize bakabilirsiniz.
İç/dış hususlar, ilgili taraflar, kapsam ve BGYS süreçleri
Bağlam analizi, kapsam beyanı
Politika, roller, sorumluluklar ve yetkiler
Onaylı politika, RACI tablosu
Risk değerlendirme ve işleme, SoA, hedefler, değişikliklerin planlanması
Risk kaydı, SoA, hedef planı
Kaynak, yetkinlik, farkındalık, iletişim, dokümante bilgi
Eğitim kayıtları, doküman listesi
Planlanan kontrollerin işletilmesi ve risk değerlendirmesinin tekrarı
Kontrol kayıtları, güncel risk kaydı
İzleme ve ölçme, iç denetim, yönetimin gözden geçirmesi
KPI raporu, denetim raporu, YGG tutanağı
Uygunsuzluk, düzeltici faaliyet, sürekli iyileştirme
DÖF kayıtları, iyileştirme planı
Tablo standardın yapısını özetler; madde metinleri telifli olduğu için standart metni yerine uygulama karşılıkları gösterilmiştir.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Süre kapsamın genişliğine, lokasyon sayısına, mevcut kontrollerin olgunluğuna ve iç ekibin ayırabileceği zamana bağlıdır. Teklifte gap analizinin sonucuna göre aşama bazlı bir takvim sunulur; kesin süre taahhüdü verilmez.
Hayır. Eretek kurulum, dokümantasyon ve hazırlık danışmanlığı yapar. Belgelendirme denetimini akredite bir belgelendirme kuruluşu gerçekleştirir; sonuç garantisi verilmez.
Bağlam analizi ve kapsamla başlanır. Doküman seti risk değerlendirmesinden sonra, gerçekten uygulanacak kontrollere göre yazılır; böylece kullanılmayacak doküman üretilmez.
Sistem iç ekibinize devredilir ve gerekli eğitim verilir. İç kaynak yetersizse dış kaynak BGYS sorumluluğu veya periyodik danışmanlık modeliyle destek sürdürülebilir.
Bilgi güvenliği yönetim sistemini sıfırdan kurun; kapsam, risk, kontrol, süreç ve kanıtları denetime hazır hale getirin.
Proje (kurulum) + isteğe bağlı sürekli destek
Eretek kurulum ve danışmanlık hizmeti verir; belgelendirme denetimini akredite belgelendirme kuruluşu yapar.
Proje ekibi, takvim, bağlam analizi ve kapsam beyanı netleşir.
Metodoloji, risk kaydı, risk işleme planı ve SoA hazırlanır.
Politika, prosedür ve kayıtlar yazılır; kontroller sahada işletilmeye başlar.
Kanıtlar birikir, iç denetim ve yönetimin gözden geçirmesi yapılır.
Bulgular kapatılır; belgelendirme kuruluşu seçimi ve denetim günü planlanır.
Kuruluşunuza özel bilgi güvenliği dokümanlarını hazırlayın; şablon yığını değil, işletilebilir bir yönetim sistemi edinin.
Bilgi varlıkları ve süreçleri için tekrarlanabilir risk değerlendirmesi ve gerekçeli kontrol seçimi oluşturun.
Mevcut kontrollerinizin standardın gerekleri karşısındaki durumunu kanıta dayalı değerlendirin.
BGYS’yi yalnızca kurmakla kalmayın; değişen riskleri, kayıtları ve kontrolleri düzenli yönetin.
Kuruluşunuzun büyüklüğünü, lokasyonlarını, BT yapısını ve hedef tarihinizi dinliyor; aşamaları, sorumlulukları ve teslimatları içeren bir proje önerisi hazırlıyoruz.