Üç Savunma Hattı Modeli: BT ve Bilgi Güvenliğinde Rol Ayrımı

Firewall kurallarını yazan BT ekibi, aynı kuralların riskini de değerlendiriyor ve yıl sonunda kendi işini kendisi denetliyorsa, ortaya çıkan güvence kâğıt üzerinde kalır. Kimse kimseyi sorgulamaz. Üç savunma hattı modeli bu tıkanıklığı çözmek için var: riski üstlenen, riski gözeten ve bağımsız güvence veren fonksiyonları birbirinden ayırır. Aşağıda modeli BT ve bilgi güvenliğine nasıl oturttuğumuzu, orta ölçekli şirketlerde hatların birleştiği durumları ve bağımsızlığı ayakta tutan telafi edici düzenlemeleri anlatıyoruz.

Modelin temel mantığı

Modeli iç denetçiler enstitüsü IIA yaygınlaştırdı; 2020’de IIA onu “Üç Hat Modeli” adıyla güncelledi. Güncel sürüm hatları katı duvarlarla ayırmak yerine net rol tanımına ve iş birliğine ağırlık verir. Temel ayrım ise değişmedi:

• Yönetim organı (yönetim kurulu veya üst yönetim): Risk iştahını belirler, hesap verebilirliği üstlenir.
• Yönetim — birinci hat rolleri: Ürün ve hizmeti sunarken riski sahiplenir ve kontrolleri işletir.
• Yönetim — ikinci hat rolleri: Risk yönetimi konusunda uzmanlık, çerçeve, izleme ve meydan okuma (challenge) sağlar.
• İç denetim — üçüncü hat: Yönetimden bağımsız olarak, ilk iki hattın etkinliği hakkında yönetim organına güvence verir.

Dış denetçiler, belgelendirme kuruluşları ve düzenleyiciler bu yapının dışında duran ek güvence sağlayıcılarıdır. ISO/IEC 27001 tarafında modelin karşılığı birkaç maddeye dağılır: madde 5.3 rollerin atanmasını, Ek A 5.3 çatışan görevlerin ayrılmasını, Ek A 5.35 bilgi güvenliğinin bağımsız gözden geçirilmesini, madde 9.2 ise iç denetimin tarafsız yürütülmesini ister.

Birinci hat: BT operasyonu ve süreç sahipleri

Risk birinci hatta doğar. Sistem yöneticileri, ağ ekibi, uygulama sahipleri ve iş birimleri günlük işlerini yaparken kontrolleri de işletir: erişim taleplerini onaylar, yamaları geçer, yedekleri alır, değişiklik kayıtlarını açar.

Birinci hattın sorumlulukları:

• Kendi alanındaki riskleri tanımak ve risk kaydına girdi vermek.
• Kontrolleri tasarlandığı gibi işletmek ve kanıtını üretmek.
• Kontrol hatalarını ve olayları zamanında bildirmek.
• Öz değerlendirme yapmak: örneğin üç aylık erişim gözden geçirmesini kendisi tamamlamak.

Sahada en sık gördüğümüz hata, güvenliği tamamen ikinci hatta “devretmek”. Ağ ekibi “güvenlik onların işi” der, bilgi güvenliği ekibi de kuralları hiç görmeden onaylar. Bilgi güvenliği ekibi bir firewall kuralının riskini değerlendirebilir; ama kuralı yazan ve sürdüren ağ ekibi o riskin sahibidir. Sahiplik devredilmez.

İkinci hat: bilgi güvenliği ve risk fonksiyonu

İkinci hat birinci hattın yanında durur, onun yerine iş yapmaz. Bilgi güvenliği yöneticisi veya CISO, risk yöneticisi, uyum ve KVKK sorumlusu bu hattın tipik rolleridir. Görevleri:

• Politika, standart ve risk metodolojisini yazmak.
• Risk değerlendirmesini kolaylaştırmak ve risk kaydını yönetmek.
• Kontrol etkinliğini göstergelerle izlemek ve eşik aşımlarını eskale etmek.
• Birinci hattın risk kararlarını sorgulamak; gerektiğinde itiraz etmek.

İkinci hattın gücü birinci hattan yeterince ayrı durmasından gelir. Bilgi güvenliği yöneticisi BT müdürüne raporluyorsa, BT bütçesini zorlayacak bir risk bulgusunu yönetime taşıması fiilen zorlaşır; bulgu ya yumuşar ya da bir sonraki çeyreğe kalır. Raporlama hattı burada belirleyicidir. Tasarımın geri kalanı ona bağlıdır.

Üçüncü hat: iç denetim

Üçüncü hat, ilk iki hattın gerçekten çalıştığına dair bağımsız güvence verir. BGYS bağlamında bu, madde 9.2 kapsamındaki iç denetimdir. Planlama ve sıklık tarafı ISO 27001 iç denetim programı rehberinde, bulguların nasıl raporlanacağı ise denetim bulgusu yazımı rehberinde anlatılıyor.

Üçüncü hattın bağımsızlığının iki boyutu var:

1. Organizasyonel bağımsızlık: İç denetim, denetlediği fonksiyona değil yönetim organına veya denetim komitesine raporlar.
2. Bireysel tarafsızlık: Denetçi kendi tasarladığı veya işlettiği bir süreci denetlemez. Bir yıl önce BGYS dokümanlarını yazan kişinin bu yıl aynı dokümanları denetlemesi tarafsızlığı zayıflatır.

Küçük ve orta ölçekte hatların birleşmesi

Elli ila birkaç yüz çalışanlı bir şirkette her hat için ayrı ekip kurmak çoğu zaman gerçekçi değildir. Hatlar birleşir. Mesele birleşmeyi bilinçli yapmak ve ortaya çıkan çatışmayı yönetmektir. Aşağıdaki tablo sahada sık karşılaştığımız birleşmeleri ve her biri için telafi edici düzenlemeyi gösteriyor.

Birleşen roller	Ortaya çıkan çatışma	Telafi edici düzenleme
BT müdürü + bilgi güvenliği sorumlusu (1. + 2. hat)	Kendi operasyonunun riskini kendisi değerlendirir	Yüksek risk kabullerini üst yönetim onayına bağlamak; risk raporunu doğrudan genel müdüre sunmak
Bilgi güvenliği sorumlusu + iç denetçi (2. + 3. hat)	Kendi tasarladığı çerçeveyi denetler	İç denetimi dış kaynağa veya başka birimden eğitimli bir denetçiye vermek
Sistem yöneticisi + erişim onaycısı (1. hat içi)	Kendine yetki verip kendisi onaylar	Yetkili hesap değişikliklerinin log’unu ikinci hattın aylık incelemesi
Dış BT hizmet sağlayıcısı + güvenlik değerlendirmesi	Tedarikçi kendi hizmetini değerlendirir	Sözleşmede bağımsız denetim hakkı; değerlendirmeyi farklı bir tarafa yaptırmak
Kalite yöneticisi + BGYS iç denetçisi	Genellikle çatışma yok; BT yetkinliği eksik olabilir	Teknik alanlar için denetim ekibine BT bilgisi olan bir denetçi eklemek

İkinci satırdaki birleşme belgelendirme denetimlerinde sık sorgulanır. Küçük bir şirkette pratik çözüm, başka bir bölümden (kalite veya finans gibi) bir çalışanı ISO/IEC 27001 iç denetçi eğitimine göndermek ve teknik konularda onu bir uzmanla eşleştirmektir. İkinci yol iç denetimi dış bir tarafa vermektir; bu durumda denetimi yapan kişinin BGYS kurulumunda danışmanlık vermemiş olması gerekir. Aynı kişi hem kurup hem denetliyorsa, kendi işini denetliyor demektir.

Telafi edici düzenlemelerin belgelenmesi

Birleşen roller ve telafi yöntemleri rol ve sorumluluk dokümanında açıkça yazılmalı. Rollerin kendisinin nasıl tanımlanacağı BGYS RACI matrisi rehberinde var; buraya eklenecek olan, çatışmanın farkında olunduğunu ve nasıl yönetildiğini gösteren kısa bir açıklamadır. Denetçi “BT müdürünüz aynı zamanda BGYS yöneticisi; risk kararlarını kim sorguluyor?” diye sorduğunda cevap bir dokümana ve onu destekleyen kayıtlara dayanmalı: komite toplantı tutanakları, üst yönetim onaylı risk kabul formları gibi. Yazılı değilse yok sayılır.

Raporlama hatları ve bağımsızlık

Model en çok raporlama çizgilerinde tutar ya da çöker. Önerdiğimiz yapı şu:

• Birinci hat BT müdürüne ve iş birimi yöneticilerine raporlar.
• İkinci hat idari olarak bir üst yöneticiye (genel müdür, CFO veya COO) raporlar; BT müdürüne raporlamaz. Bu mümkün değilse, en azından risk raporlarını doğrudan üst yönetime veya BGYS komitesine sunma yetkisi yazılı olarak tanımlanır.
• Üçüncü hat denetim komitesine veya yönetim kuruluna fonksiyonel olarak raporlar; denetim planı ve bulgular bu organ tarafından onaylanır.

Kurduğunuz yapıyı şu kontrol listesiyle doğrulayın:

• Her kontrol için bir sahip (1. hat) ve bir izleyici (2. hat) tanımlı mı?
• Bilgi güvenliği sorumlusunun üst yönetime doğrudan erişimi yazılı mı ve fiilen kullanılıyor mu?
• İç denetçi, son 12 ayda denetlediği alanda operasyonel veya danışmanlık rolü üstlenmiş mi?
• Risk kabul kararları riskin seviyesine uygun bir yetki düzeyinde mi alınıyor?
• Birleşen roller ve telafi edici düzenlemeler yazılı mı, yılda bir gözden geçiriliyor mu?

İkinci hattı şirket içinde kurmak için gereken kıdem veya kapasite yoksa, bu rolü dış kaynak bilgi güvenliği yöneticisi (vCISO) modeliyle doldurmak, BT operasyonundan bağımsız bir risk sesi oluşturmanın bir yoludur. Rol yapısının genel yönetişim çerçevesiyle birlikte ele alınması gerekiyorsa BT yönetişimi ve süreç olgunluğu çalışması kapsamında değerlendirilebilir.

Sık sorulan sorular

Üç hat modeli ISO 27001’de zorunlu mu?

Hayır, ISO/IEC 27001 bu modeli adıyla istemez. Ancak rollerin atanmasını (madde 5.3), görevlerin ayrılmasını (Ek A 5.3), bilgi güvenliğinin bağımsız gözden geçirilmesini (Ek A 5.35) ve iç denetimin tarafsızlığını (madde 9.2) gerektirir. Üç hat modeli bu gereklilikleri organizasyon şemasına yerleştirmenin pratik bir yoludur.

BT müdürü aynı zamanda bilgi güvenliği sorumlusu olabilir mi?

Küçük şirketlerde olabilir, ama bu bir çıkar çatışmasıdır ve denetçi bunu sorgular. Çatışmayı risk kararlarını üst yönetim veya komite onayına bağlayarak, ikinci hat raporunu doğrudan genel müdüre sunarak ve dönemsel bağımsız gözden geçirme yaptırarak yönetin.

İç denetimi dış kaynağa vermek bağımsızlığı sağlar mı?

Denetçinin denetlenen faaliyetle ilişkisi yoksa genellikle sağlar. Ancak aynı danışman BGYS dokümanlarını hazırlayıp sonra aynı alanları denetliyorsa kendi işini denetlemiş olur. Danışmanlık ve denetimi farklı kişiler yapmalı ve bu ayrım belgelenmeli.

IIA modeli neden “savunma” kelimesini çıkardı?

IIA 2020 güncellemesinde modeli “Üç Hat Modeli” olarak yeniden adlandırdı. Amaç, risk yönetiminin yalnızca savunma değil, hedeflere ulaşmayı destekleme işlevi de taşıdığını vurgulamak ve hatlar arasında katı duvarlar yerine iş birliğini öne çıkarmaktı. Uygulamada iki ad da kullanılmaya devam ediyor.