BGYS Risk Analizi Nasıl Yapılır? Yöntem ve Kayıt Örnekleri

Risk analizi, bir BGYS’nin kalbidir: hangi kontrollerin uygulanacağı, ne kadar bütçe ayrılacağı ve hangi risklerin bilinçli olarak kabul edileceği bu çalışmadan çıkar. ISO/IEC 27001 belirli bir yöntem dayatmaz; ancak sonuçların tutarlı, karşılaştırılabilir ve geçerli olmasını bekler. Bu rehber, orta ölçekli bir kuruluşun uygulayabileceği bir yöntemi ve örnek kayıtları adım adım gösterir.

1. Risk kriterlerini yönetimle belirleyin

Çalışmaya başlamadan önce yönetimin onayladığı üç şey gerekir: olasılık ölçeği, etki ölçeği ve risk kabul kriteri.

Risk puanı = olasılık × etki. Kabul kriteri örneği: 8 ve altı kabul edilebilir; 9–14 risk sahibi kararıyla işlenir; 15 ve üzeri yönetim gündemine gelir.

2. Yöntemi seçin: varlık mı, senaryo mu?

Varlık tabanlı yöntemde her bilgi varlığı (ör. ERP veritabanı) için tehdit ve zafiyetler değerlendirilir; ayrıntılıdır ama varlık sayısı arttıkça yönetimi zorlaşır. Senaryo tabanlı yöntemde gerçekçi olay senaryoları (ör. “ERP’nin fidye yazılımıyla şifrelenmesi”) değerlendirilir; yönetime anlatması kolaydır. ISO/IEC 27005:2022 her iki yaklaşımı da tanımlar. Küçük ve orta ölçekli kuruluşlar için senaryo tabanlı yöntem çoğunlukla daha sürdürülebilirdir.

3. Atölyelerle riskleri tanımlayın

Her kritik süreç için süreç sahibi, BT ve gerekiyorsa üretim temsilcisiyle 60–90 dakikalık atölyeler yapılır. Atölyede sorulan sorular: Bu süreç hangi bilgi ve sistemlere bağlı? Son yıllarda ne tür olaylar yaşandı? Hangi olay bu süreci en çok etkiler? Bugün hangi kontroller var ve gerçekten çalışıyor mu?

4. Örnek risk kaydı

5. Risk işleme planı ve onay

Kabul eşiğinin üzerindeki riskler için kararlar risk işleme planında toplanır: kontrol, sorumlu, hedef tarih, gerekiyorsa bütçe. Plan ve kontroller uygulandıktan sonra beklenen kalan riskler risk sahiplerince onaylanır. Seçilen kontroller Uygulanabilirlik Bildirgesi’ne aktarılır; bkz. SoA nedir?

6. İzleme ve güncelleme

• Planlı aralıklarla (çoğunlukla yılda bir) tam gözden geçirme.
• Önemli değişikliklerde (yeni sistem, lokasyon, satın alma, büyük olay) güncelleme.
• Olay kayıtlarının ve denetim bulgularının risk kaydına girdi olması.
• Risk durumunun yönetimin gözden geçirmesine raporlanması.

Sık yapılan hatalar

1. Tüm risklere aynı puanı vermek; ayrıştırma olmadığı için önceliklendirme yapılamaz.
2. Risk sahibi olarak yalnızca BT yöneticisini yazmak.
3. Mevcut kontrollerin etkinliğini sorgulamadan riski düşük puanlamak.
4. Kabul edilen risklerin gerekçesini kaydetmemek.
5. Risk kaydını yılda bir açılan bir dosya olarak bırakmak.

Sık sorulan sorular

Risk analizi için yazılım gerekli mi?

Hayır. İyi tasarlanmış bir Excel veya SharePoint listesi çoğu kuruluş için yeterlidir. Ölçek büyüdükçe GRC araçları değerlendirilebilir.

Kaç risk tanımlanmalı?

Sabit bir sayı yoktur. Orta ölçekli kuruluşlarda 25–60 senaryo yönetilebilir bir aralıktır; önemli olan kritik süreçlerin kapsanmasıdır.

Risk sahibi kim olmalı?

Riskin gerçekleşmesi halinde etkiyi taşıyan ve işleme kararı verme yetkisi olan yönetici; çoğunlukla süreç sahibi.

Risk metodolojisi, risk kaydı ve SoA çalışması için ISO 27001 Risk Analizi, Risk İşleme ve SoA; standart hedefi olmayan kuruluşlar için Kurumsal Bilgi Güvenliği Risk Değerlendirmesi hizmetlerimizi inceleyebilirsiniz.