|
|
ISO/IEC 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ -------------------------------------------------------------------------------- Günümüzde, sadece çalışanlarıyla değil, müşterileri, iş ortakları ve hissedarlarıyla birlikte tanımlanan kurumlarda, bilginin korunmasına ve gizliliğine ilişkin güven ortamının yaratılması stratejik bir önem taşımaktadır. Yaşanan güvenlik sorunları, iş devamlılığını engellemenin yanı sıra, kurumların; pazar kaybına, müşteriler, iş ortakları ve hissedarlar karşısında güven yitirmesine neden olmaktadır. Bunların geri kazanılması, bunların yitirilmemesi için alınacak önlemlerden her zaman daha pahalıdır. Bilgi güvenliği; iş devamlılığı, kaçınılmaz felaket durumlarında kaybın en aza indirilmesi, firmaların yapı taşları sayılan kaynakların her koşulda gizliliğinin, ulaşılabilirliğinin ve bütünlüğünün korunması amaçlarını taşır. Bu amaçları uygulamaya yönelik, ISO 27001 standartı, ülkelere göre özel tanımlar içermeyen, genel tanımların bulunduğu uluslararası bir standarttır. ISO 27001 Bilgi Güvenliği Yönetim Sistemine sahip olmak, kurumların yüzde yüz güvenlik seviyesine sahip olduklarını söylemesi anlamına gelmez. Zaten, yüzde yüz güvenlik seviyesine ulaşmak mümkün değildir. Nasıl ki ISO 9001 Toplam Kalite Yönetimi uygulan bir kurum, dünyanın en kaliteli ürününü ya da hizmetini ürettiğini değil, ne kalitede ürün üreteceğini bilerek, takibini yazılı süreçleriyle yapan ve bu sayede ürettiği her ürünün ya da hizmetin özelliğinin birbiriyle aynı olmasını sağlaması ve söz verdiği şekilde ve kalitede ürün veya hizmet üretiyorsa, kurumun ISO 27001 sertifikasına sahip olması da, kurumun güvenlik risklerini bildiği anlamına gelir. Kurum herhangi bir saldırıya uğramayacağı, hack edilmeyeceğini ya da bir başkasının bilgisayarlarını çalmayacağını söylemez ve garanti edemez. Ancak, kurumun riskleri bildiği, yönettiği, belli risklerde ortadan kaldırmak çok pahalıysa bunu kabul ettiğini söyler. Herhangi bir kuruluşun başarısı ve sürekliliği için etkin bir risk yönetimi prosesinin işliyor olması hayati önem taşımaktadır. Kurumsal değerlerin korunması ve verimliliğin sağlanabilmesi; yapılan yatırımların ve hedeflere uygunluğunun denetimini ve gerekli kontrollerin kurum içine yerleştirilerek uygulanmasını gerektirir. ISO 27001 Kurumların risk yönetimi ve risk işleme planlarını, görev ve sorumlulukları, iş devamlılığı planlarını, acil durum olay yönetimi prosedürleri hazırlamasını ve uygulamada bunların kayıtlarını tutmasını gerektirir. Kurum tüm bu faaliyetlerin de içinde yer aldığı bir bilgi güvenliği politikası yayınlamalı ve personelini bilgi güvenliği ve tehditler hakkında bilinçlendirmelidir. Seçilen kontrol hedeflerinin ölçülmesi ve kontrollerin amacına uygunluğunun ve performansının sürekli takip edildiği yaşayan bir süreç olarak bilgi güvenliği yönetimi ancak yönetimin aktif desteği ve personelin katılımcılığıyla başarılabilir. ISO 27001 Kimi ilgilendirir ? ISO/IEC 27001, dünyanın hangi Ülkesinden veya hangi sektörden olursa olsun büyük küçük tüm kuruluşlara uygundur. Bu standart, finans, sağlık, kamu ve BT sektörleri gibi bilginin korunmasının büyük öneme sahip olduğu alanlarda özellikle gereklidir. ISO/IEC 27001, BT taşeron şirketleri gibi bilgiyi başkaları adına yöneten kuruluşlar için de oldukça önemlidir: müşterilere bilgilerinin koruma altında olduğu güvencesini vermek için kullanılabilir. ISO 27001 İngilizler tarafından hazırlanan ve 1998’den beri var olan BS 7799 adındaki ilk standart uluslararası bir standart niteliğinde değildi. ISO 17799 Standartı ise Bilgi Güvenliği’nin nasıl yapılırsa daha iyi olabileceğine yönelikti. Kurumların, kendilerini sertifikalandırabilecekleri bir standart değildi. Eski adıyla BS 7799 yeni adıyla 27001 tam ve uluslararası bir standart olarak yer almıştır. ISO 27001 süreçlerinin güvenliğini sağlamayı hedefleyen bir bilgi güvenliği standartıdır. İşin içinde sadece bilgisayar, bilişim güvenliği yoktur. Bunların yanında, kâğıttaki dokümanların güvenliği, her tür sürecin güvenliğinide kapsar. Bu standard, bir Bilgi Güvenliği Yönetim Sistemi’ni (BGYS) kurmak, gerçekleştirmek, işletmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek için bir model sağlamak üzere hazırlanmıştır. Bilgi Güvenliği Yönetim Sistemi (BGYS) standardı, tüm kuruluş türlerini (örneğin, ticari kuruluşlar, kamu kurumları, kar amaçlı olmayan kuruluşlar) kapsar. Bu standart, dokümante edilmiş bir BGYS’yi kuruluşun tüm ticari riskleri bağlamında kurmak, gerçekleştirmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek için gereksinimleri kapsar. Bağımsız kuruluşların ya da tarafların ihtiyaçlarına göre özelleştirilmiş güvenlik kontrollerinin gerçekleştirilmesi için gereksinimleri belirtir. BGYS, bilgi varlıklarını koruyan ve ilgili taraflara güven veren yeterli ve orantılı güvenlik kontrollerini sağlamak için tasarlanmıştır. BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ KURMAK ISO 27001 dünya üzerinde geçerliliği olan ve gitgide birçok alanda zorunlu hale getirilmeye çalışılan bir standarttır. Bu standart, kurumlara genel anlamda bilgi güvenliğini nasıl yapabileceklerini anlatmaktadır. ISO 27001 standardını uygulayan ve sertifikasını alan bir şirketin, dünyanın güvenliği en yüksek firması olması gerekmez. Ancak güvenliğin ne seviyede olduğu o kurumun yöneticileri tarafından bilinir ve onların kararı ölçüsünde ortaya konmuş durumda olup zaman içinde artan bir güvenlik seviyesi vardır. Özellikle, elektronik imza servis sağlayıcıları, bankalar, hastaneler, sigorta şirketleri, e-ticaret ile uğraşan şirketlerde BGYS’nin uygulanması önemli bir ihtiyaçtır. Bilgi Güvenliği Yönetim Sistemi’ni uygulamak isteyen bir kurumda yapılması gereken adımlar aşağıdaki şekildedir: • Proje Ekibinin Kurulması: BGYS Projesi çalışmalarını düzenleyecek, uygulayacak ve yönetebilecek bir takım oluşturulmalıdır. Kurum içerisinde bu çalışmaları yürütecek BGYS takımının ve BGYS yöneticisinin bilgi güvenliği yönetimi konusunda iyi eğitimli olmaları gerekmektedir. Risk yönetimi, politika oluşturma, güvenlik prosedürlerinin hazırlanması ve uygun kontrollerin seçilerek uygulanması aşamalarında uzman desteği ve danışmanlık almaları faydalı olacaktır. Böylece BGYS’yi en iyi nasıl uygulayacağı konusunda bağımsız danışmanlardan görüş ve tavsiye alabilir. • Kurum içinde stratejinin belirlenmesi: Üst yönetimle birlikte organizasyonel strateji hazırlanmalıdır. • Kapsamın Belirlenmesi: BGYS’nin kurum içinde uygulanacak ve belgelendirilecek kapsam belirlenmeli. Hangi departmanlarda bu sistemin uygulanacağı planlanarak yazılı ve görsel kapsam dokümanları hazırlanmalıdır. • Proje ve İletişim Planının Hazırlanması: Kurum ön proje hazırlıklarını tamamlayıp, proje takımını, kapsamını, stratejisini, danışmanlarını belirledikten sonra artık projede ilerleyeceği adımlar için bir proje planı hazırlamalıdır. Nelerin, ne zaman, kimlerle uygulanacağı proje planında yer alarak çalışmalara başlanır. Yapılan tüm çalışmalar, toplantılar çeşitli rapor ve tutanaklarla kayıt altında tutulurken yine kurum tarafından belirlenen aralıklarda (haftalık, aylık) ilgili yönetimle bilgilendirme ve görüş alışverişi yapılır. • Bilgi Güvenliği Politikası: Projeye başlanmasıyla birlikte, öncelikle ilgili kapsam ve yönetim çalışanlarıyla birlikte, standartın gerektirdiği kişi ve birimlerin (hukuk,vs..) görüşleri alınarak Bilgi Güvenliği Politikası yazılarak, yönetim tarafından onaylanıp, kurum çalışanlarına duyurulur. Bilgi Güvenliği Politikaları, tüm kurum çalışanlarının görev ve sorumluluklarını tanımlamaktadırlar. Hedef; bilgi güvenliği konusunda yönetimin bakış açısını, onayını ve desteğini çalışanlara uygun araç ve denetim mekanizmaları eşliğinde iletmektir, amaç ise; Bilgi Güvenliği hakkında üst yönetimin isteklerini ve kararlarının tüm çalışanlarla paylaşan politika dokümanlarının hazırlanmasıdır. • Varlıkların Belirlenmesi: Varlık Yönetimi için, kapsam dahilinde ve kapsama destek veren birimlere yönelik varlıklarla ilgili prosedür, varlık kayıt tablosu gibi dökümanlar hazırlanır. İlgili varlıklar varlık sahipleri tarafından belirtilerek, kayıt altına alınır. Varlıklar, sınıflandırılıp, gizlilik, bütünlük ve kullanılabilirlik kriterlerine göre değerlendirilir. • Risklerin Belirlenmesi, Risk Yönetimi: Yapılan yatırımlarda amaç hep en yüksek sonucun alınmasıdır. Risk Analizi, bilgi güvenliğine yapılacak yatırımların öncelikli konulara yöneltilmesi için gerçekleştirilir. Risk Analiz hizmeti sırasında önce bilgi varlıklarının envanteri çıkartılır, yapılan özel bir elemenin ardından tehditler, zayıf noktalar ve bunlara karşılık gelen riskler belirlenir. Risklerin sıralanmasının ardından, öncelikli riskler belirlenir ve alınması gereken önlemlere karar verilir. Amaç, risklerin tanımlanması, gerekli tedbirlerin alınmasını ön plana çıkaran bir risk analizi prosesini başlatmaktır. Bu çalışmalar sırasında oluşturulan risklerin izlenmesi ve ölçülmesi ile ilgili teknikler, alınacak önlemlerin yeterliliğini denetlemek için anahtar görev görmektedir. Yapılan Risk Analizini gerçekçi kılan en önemli faktör ise, bu çalışmanın her aşamasında fayda/maliyet dengesini gözetmek ve bu konuda yapılacak optimizasyondur. Adım, varlıkların belirlenmesiyle birlikte standartında oluşturulması ve uygulanmasındaki en önemli nedenlerden biri olan Risk Yönetiminin uygulanmasıdır. Bilgi Güvenliği Yönetim Sistemi, kurumunuzdaki tüm bilgi varlıklarının değerlendirilmesi ve bu varlıkların sahip oldukları zayıflıkları ve karşı karşıya oldukları tehditleri göz önüne alan bir risk analizi yapılmasını gerektirir. Kurum kendine bir risk yönetimi metodu seçmeli ve risk işleme için bir plan hazırlamalıdır. Risk işleme için standartta öngörülen kontrol hedefleri ve kontrollerden seçimler yapılmalı ve uygulanmalıdır. Planla-uygula-kontrol et-önlem al (PUKÖ) çevrimi uyarınca risk yönetimi faaliyetlerini yürütmeli ve varlığın risk seviyesi kabul edilebilir bir seviyeye geriletilene kadar çalışmayı sürdürmelidir. • Değişim Yönetimi: Bilgi işleme olanakları ve sistemlerinde olan değişiklikler kontrol edilmeli, değişimle ilgili prosedür ve diğer dokümanlar hazırlanmalıdır. Rol ve Sorumluluklar ile ilgili hazırlanan dokümanda kurumdaki değişim yöneticisinin kim olduğu belirtilmelidir. • Olay Yönetimi: Güvenlik olaylarını anında saptayabilme ve güvenlik ihlal olaylarına hemen yanıt verebilmek için olay yönetimine yönelik planlar, prosedür ve diğer dokümanlar hazırlanmalıdır. Rol ve Sorumluluklar ile ilgili hazırlanan dokümanda kurumdaki olay yöneticisinin kim olduğu belirtilmelidir. • Uygulanabilirlik Bildirgesi Uygulanabilirlik Bildirgesi risk işlemeyi ilgilendiren kararların bir özetini sağlar. Standarttaki seçilen kontrol amaçları ve kontroller ve bunların seçilme nedenleri, mevcut gerçekleştirilmiş kontrol amaçları ve kontroller ile standart Ek A’da ki kontrol amaçları ve kontrollerden herhangi birinin dışarıda bırakılması ve bunların dışarıda bırakılmasının açıklaması, uygulanabilirlik bildirgesinde ele alınır. Uygulanabilirlik bildirgesinin ardından, kurumdaki yapılacak bazı işlerle ilgili ilgili bölümlerle yapılacağına dair mutabakat zabıtları hazırlanır. • Döküman ve Kayıt Yönetimi: Belirtilen politikalara bağlı olarak tüm şirket standart, kural ve prosedürleri gözden geçirilir ve bunun şirket içi işleyişe nasıl yansıyacağı belirlenir. Hizmet, güvenlik ile ilgili prosedürlerin geliştirilmesi ve dokümante edilmesi ile tamamlanır. Politika, prosedür, talimatlar ve ilgili formlar hazırlanır. Dokümanlarda belirtilen şartlara göre hareket etmeyecek ve istisna durumların olduğu kullanıcılar için, bu kuralların dışında kullanacağı ve bununla ilgili riskleri kabul ettiği, yönetici onayını alacağı, istisna ile ilgili dokümanlar hazırlanır. Kayıtlara yönelik doküman ve prosedürler hazırlanarak, kayıtlar tutulur. • Eğitim ve Farkındalık Çalışmaları Bir bilgi güvenliği sistemi kurulurken ve kurulduktan sonra, bunla ilgili tüm çalışanlarını, şirketine düzenli olarak dışarıdan gelip giden ama şirketinin bordrosunda yer almayabilir kontratla çalıştırdığın kişilerde dâhil olmak üzere bilgilendirme ve farkındalık eğitimi verir. Politika, prosedür ve ilgili diğer dokümanları duyurur. Kapsam dâhilinde, varlıkları listeleyip, sınıflandıracak kişilere bunları nasıl yapacaklarına yönelik eğitimler verir. Ve kurumda bilgi güvenliğinin bir yaşam tarzı olması gerektiğini, kurum kültürüne yerleşmesi ve benimsenmesi için çalışmalar yapar. • İç denetim Kuruluş BGYS iç denetimlerini, BGYS kontrol amaçlarının, kontrollerinin, proseslerinin ve prosedürlerinin standarta göre gerçekleştirip gerçekleştirmediğini belirlemek için planlanan aralıklarda gerçekleştirmelidir: • Yönetimin Gözen Geçirme Yönetim tarafından BGYS denetimleri be gözden geçirmelerinin sonuçları, ilgili taraflardan edinilen geribildirimler alınarak sistem gözden geçirilmelidir. Yönetim, kuruluşun BGYS’sini planlanan aralıklarla (en az yılda bir kez), sürekli uygunluğunu, doğruluğunu ve etkinliğini sağlamak için gözden geçirmelidir. Bu gözden geçirme, bilgi güvenliği politikası ve bilgi güvenliği amaçları dâhil BGYS’nin iyileştirilmesi ve gereken değişikliklerin yapılması için fırsatların değerlendirilmesini içermelidir. Gözden geçirme sonuçları açıkça dokümante edilmeli ve kayıtlar tutulup saklanmalıdır. • Düzenleyici Önleyici Faaliyetler (DÖFİ) Kuruluş tekrar ortaya çıkmalarını önlemek için, BGYS şartlarıyla olası uygunsuzlukların nedenlerini gidermek üzere alınacak önlemleri belirlemelidir. Gerçekleştirilen düzeltici, önleyici faaliyetler, olası sorunların yapacağı etkiye uygun olmalıdır. Önleyici faaliyetler için dokümante edilmiş prosedürler bulunmalıdır. • Belgelendirme Belgelendirme tetkiki seçilen belgelendirme kurumu tarafından yapılacaktır. Bu noktada, belgelendirme kurumu BGYS’nizi gözden geçirecek ve belgelenme için önerilip önerilemeyeceğinizi tespit edecektir. Piyasada faaliyet gösteren birçok belgelendirme kurumu olmasından dolayı bir tanesinin seçilmesi oldukça zor bir konu olabilir. Göz önünde bulundurulması gereken faktörler arasında endüstriyel deneyim, coğrafik kapsam, fiyat ve sunulan hizmet kalitesi yer almaktadır. Anahtar önem taşıyan husus, sizin gerekliliklerinize en iyi yanıt verecek belgelendirme kurumunu bulmaktır. İŞ SÜREKLİLİĞİ Kurumlar her durumda ayakta kalmak için zorluklarla baş etmek zorundadırlar. Bir kurum için İş Devamlılığı yapısını kurmak, kritik iş fonksiyonlarının her durumda çalışabilirliğini sağlamak anlamına gelir. Organizasyonların bilgi ve süreçlerine yönelik güvenlik tehditleri, günümüzde rekabet şansı, iş kalitesi ve verimliliğine yönelik tehditler halini almıştır. Kritik iş fonksiyonlarının devamlılığı için gerekli altyapı; teknoloji ve insan unsurlarından oluşur. Bu unsurların iş devamlılığını sağlamak için yeterli kaliteye sahip hale getirilmesi kadar, en kötü durum senaryoları düşünülerek alternatif devamlılık yatırımlarının belirlenmesi gerekir. BAŞARI FAKTÖRLERİ • İş hedefini yansıtan güvenlik politikası, • Uygulama yaklaşımının şirket kültürü ile tutarlı olması • Yönetimin görülür desteği ve bağlılığı • Güvenlik gereksinimlerinin, risk değerlendirmesinin ve risk yönetiminin iyi anlaşılması • Güvenliğin tüm yöneticilere ve çalışanlara etkili bir biçimde pazarlanması • Bilgi güvenliği politikası ve standartları ile ilgili kılavuzların tüm çalışanlara ve sözleşmelilere dağıtılması • Uygun eğitim ve öğretimin sağlanması • Bilgi güvenliği yönetimi performansının ve iyileştirme için geri bildirimlerle sunulan önerileri değerlendirilmek için kullanılan kapsamlı ve dengeli bir ölçüm sistemi BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ KURMANIN YARARLARI: • Bilgi varlıklarının farkına varma: Kuruluş hangi bilgi varlıklarının olduğunu, değerinin farkına varır. • Sahip olduğu varlıkları koruyabilme: Kuracağı kontroller ile koruma metotlarını belirler ve uygulayarak korur. • İş sürekliliği: Uzun yıllar boyunca işini garanti eder. Ayrıca bir felaket halinde, işe devam etme yeterliliğine sahip olur. • İlgili taraflar ile barış halinde olma: Başta tedarikçileri olmak üzere, bilgileri korunacağından ilgili tarafların güvenini kazanır. • Bilgiyi bir sistem sayesinde korur, tesadüfe bırakmaz. • Müşterileri değerlendirirse, rakiplerine göre daha iyi değerlendirilir. • Çalışanların motivasyonunu arttırır. • Yasal takipleri önler • Yüksek prestij sağlar |