Siber Güvenlik ve Veri Koruma
Kurumsal Siber Güvenlik Denetimi İçin Planlama Rehberi
Siber güvenlik denetimini iş riskleri, kritik varlıklar ve kanıtlar üzerinden planlayın; bulguları sorumlusu ve doğrulama yöntemi belli faaliyetlere dönüştürün.
Başlangıç noktası araçlar değil, iş riskidir
Kurumsal siber güvenlik denetiminin planlaması, kullanılacak tarama aracından önce kurumun neyi korumak istediğiyle başlar. Müşteri bilgilerinin gizliliği, üretim sistemlerinin erişilebilirliği ve finansal kayıtların bütünlüğü farklı kontrol ihtiyaçları doğurur. Amaç, bu ihtiyaçlara yönelik güvenlik kontrollerinin tanımlanıp tanımlanmadığını ve uygulamada çalışıp çalışmadığını kanıtlarla değerlendirmektir.
İyi bir denetim yalnızca eksikleri sıralamaz. Eksikliğin hangi iş sürecini etkilediğini, nasıl bir risk oluşturduğunu ve giderildiğinin nasıl doğrulanacağını da açıklar. Bu nedenle planlamaya teknik ekiplerle birlikte süreç sahipleri ve yönetim de katılmalıdır. Gerektiğinde hukuk, insan kaynakları veya satın alma birimlerinden destek alınmalıdır. Böylece değerlendirme, yalnızca BT biriminin takip ettiği bir belge olmaktan çıkar.
Denetim ile sızma testi aynı çalışma değildir. Sızma testi, belirlenmiş koşullarda saldırı senaryolarını ve istismar edilebilir zayıflıkları değerlendirir. Denetim ise teknik bulguların yanında yetki yönetimini, prosedürleri, operasyon kayıtlarını ve kontrol sorumluluklarını inceler. Sızma testi bu değerlendirmenin bir parçası olabilir; ancak tek başına tüm kontrollerin etkinliğini göstermez. Beklenen çıktıyı başlangıçta netleştirmek, yöntem ve kaynak seçimini kolaylaştırır.
Uygulama süreci
Kapsamı ve çalışma kurallarını yazılı hale getirin
Kapsam belgesi, hangi sistemlerin ve süreçlerin inceleneceğini, değerlendirmenin hangi ölçütlere dayanacağını ve çalışmanın sınırlarını belirler. Kurum politikaları, sözleşmesel yükümlülükler ve uygulanabilir gereklilikler bu ölçütlerin oluşturulmasında dikkate alınmalıdır. Kapsamı ilgili iş ve teknik sorumlularla onaylayın; değişiklikleri de aynı kayıt üzerinden izleyin. Bir sistemin kapsam dışında kalması, güvenli bulunduğu anlamına gelmez. Dışarıda bırakılan alanların gerekçesini ve bu tercihin sonuçları nasıl sınırladığını açıklayın. Özellikle hizmet sağlayıcıların işlettiği ortamlarda kurumun erişim ve test yetkisini ayrıca netleştirin. Kısıtlı erişim nedeniyle uygulanamayan kontroller sonuç raporunda görünür olmalıdır. Böylece incelenen alanlara ait sonuçların bütün kuruma genellenmesi önlenir. Takvimi yalnızca teknik inceleme süresine göre oluşturmayın. Erişim hazırlığı, belge talepleri, sorumlu görüşmeleri ve bulguların değerlendirilmesi için de zaman ayırın. Yeni bir sistem kapsama alınacaksa yetkilendirmeyi, kaynak ihtiyacını ve operasyonel etkiyi yeniden değerlendirin. Sözlü mutabakat yerine güncel kapsam kaydını esas alın; ilgili ekiplerin değişiklikten haberdar olduğundan emin olun.
- 01
İncelenecek alanları listeleyin
Uygulamaları, ağları, bulut ortamlarını, lokasyonları ve ilgili süreçleri bağımlılıklarıyla birlikte belirtin.
- 02
Çalışma koşullarını kararlaştırın
Test izinlerini, uygun çalışma aralıklarını, iletişim sorumlularını ve üretimi etkileyen işlemler için durdurma koşullarını yazılı hale getirin.
Öne çıkanlar
Kritik varlıkları iş süreçleriyle eşleştirin
Varlık envanteri yalnızca cihaz listesinden oluşmamalıdır. Bir uygulamanın hangi veriyi işlediği, hangi kimlik altyapısına bağlı olduğu ve kesilmesi halinde hangi operasyonun etkileneceği de bilinmelidir. İş birimlerine şu soruyu yöneltin: Bu varlık kullanılamazsa, bilgisi değişirse veya yetkisiz kişilere açılırsa ne olur? Yanıtları sistem sahiplerinin teknik bilgileriyle birleştirin. Mevcut envanteri başlangıç noktası olarak kullanın, ancak güncelliğini doğrulayın. Kullanımdan kalktığı düşünülen bir uygulama hâlâ veri tutuyor olabilir. Sahibi belirlenemeyen sistemleri de yalnızca kayıt eksikliği olarak değerlendirmeyin; erişim onayı, güncelleme ve olay bildirimi sorumlulukları da belirsiz olabilir. Bu belirsizlikleri ilgili yöneticiye karar ihtiyacı olarak iletin. Denetim örneklemini seçerken yalnızca görünür uygulamalara odaklanmayın. Ortak kimlik hizmetleri, yönetim hesapları ve altyapı bileşenleri birden fazla kritik süreci etkileyebilir. İş öncelikleriyle teknik bağımlılıkları birlikte değerlendirmek, sınırlı denetim kaynağının doğru alanlara ayrılmasına yardımcı olur. Envanterdeki değişiklikleri de çalışma boyunca kayıt altına alın.
Veri ve sahiplik
Verinin niteliğini, işlenme amacını, teknik sorumlusunu ve iş etkisini değerlendirecek süreç sahibini belirleyin.
Bağımlılıklar ve kurtarma ihtiyacı
İnternete açık servisleri, tedarikçi bağlantılarını ve ortak hizmetleri işaretleyin. Kesinti sonrasında hangi sistemlerin önce geri dönmesi gerektiğini netleştirin.
Kontrol listesi
Kanıt planını incelenecek kontrollerle birlikte hazırlayın
Bir prosedürün yazılmış olması, uygulandığını göstermez. Belge incelemesini sistem kayıtları, yapılandırma çıktıları ve sorumlu görüşmeleriyle destekleyin. Örneklemin hangi dönemden ve hangi sistemlerden seçildiğini açıklayın. Tek bir olumlu kayıt, kurum genelinde kontrolün düzenli çalıştığı sonucuna varmak için yeterli değildir. Sonuçları incelenen örneklemin sınırları içinde yorumlayın. Kanıt talep listesini önceden paylaşın ve her talebin hangi kontrolü değerlendirmeye yönelik olduğunu belirtin. Gereksiz geniş veri talepleri yerine soruyu yanıtlayan asgari içeriği isteyin. Eski bir ekran görüntüsünün güncel durumu göstermeyebileceğini unutmayın. Eksik veya çelişkili kanıtları bulguya dönüştürmeden önce sorumlu ekiple açıklığa kavuşturun; değerlendirme gerekçesini kaydedin. Kanıtlar birbirini desteklemiyorsa hangi bilginin esas alındığını ve nedenini açıklayın. Görüşmede anlatılan süreçle işlem kayıtları arasındaki fark, uygulama değişikliğinden veya örneklem döneminden kaynaklanabilir. Kanıt bulunamamasıyla kontrolün uygulanmadığının kanıtlanmasını birbirinden ayırın. Her iki durumda da değerlendirmenin sınırlarını raporda belirtin.
- ✓
Kimlik ve erişim
Yetki onaylarını, yönetici hesaplarını, işten ayrılanların erişimlerinin kapatılmasını ve güçlü kimlik doğrulama ayarlarını inceleyin.
- ✓
Operasyon ve kurtarma
Güncelleme durumunu, ağ kurallarını, güvenlik uyarılarını, yedekleme sonuçlarını ve geri yükleme testlerini kayıtlarla değerlendirin.
Karşılaştırma
Teknik önem derecesini kurumsal riskle birlikte değerlendirin
Yalnızca araç puanı ve zafiyet adı
Kanıt, iş etkisi, gerçekleşme koşulları ve mevcut kontroller
Her bulguyu tek başına ele almak
Birleşik etkileri ve tekrar riskini değerlendirmek
Uygulama süreci
Raporu sorumlusu belli bir faaliyet planına dönüştürün
Yönetici özeti karar gerektiren riskleri açıklamalı; teknik ekler düzeltmeyi yapacak ekibe yeterli ayrıntıyı sağlamalıdır. Bulguları ilgili ekiplerle değerlendirirken kanıt doğruluğunu kontrol edin. Öncelik değişikliklerini gerekçeleriyle kaydedin. Ortak amaç, mevcut uygulamayı savunmak değil riski doğru yönetmektir. Raporun teslimi, takip sürecinin başlangıcı olarak görülmelidir. Düzeltmenin diğer sistemlere etkisini de plana ekleyin. Bir erişim kuralını daraltmak güvenliği iyileştirirken gerekli bir entegrasyonu durdurabilir. Bu nedenle değişiklik öncesi etki değerlendirmesi ve sonrasındaki işlev kontrolü sorumluluklarını belirleyin. Kapanış kanıtı hem güvenlik hedefinin sağlandığını hem işleyişin sürdüğünü göstermelidir. Yalnızca değişiklik kaydının açılmış olması, düzeltmenin başarıyla uygulandığını kanıtlamaz. Faaliyetlerin durumunu ortak bir kayıt üzerinden izleyin. Gecikme nedenlerini, bağımlılıkları ve kaynak ihtiyaçlarını görünür tutun. Yeniden testte başka bir sorun ortaya çıkarsa ilk bulgunun kapanışıyla yeni bulgunun takibini birbirinden ayırın ve kayıtları ilişkilendirin. Böylece tamamlanan işler ile devam eden riskler karışmaz; yönetim hangi konuda karar gerektiğini daha kolay görür.
- 01
Faaliyeti tanımlayın
Yapılacak işi, sorumlu kişiyi, hedef tarihi ve kapanış ölçütünü kaydedin.
- 02
Erteleme kararını görünür tutun
Geçici önlemleri ve yeniden değerlendirme koşullarını belirtin. Risk kabulü gerekiyorsa gerekçeyi ve yetkili onayını kaydedin.
- 03
Düzeltmeyi doğrulayın
Tamamlandı bildirimiyle yetinmeyin; uygun kayıt veya yeniden test üzerinden kontrolün çalıştığını doğrulayın.
Kontrol listesi
Ekip seçimini ve son hazırlıkları kontrol edin
İç ekip veya bağımsız uzman seçimi, kurumun büyüklüğünden çok yetkinlik, tarafsızlık ihtiyacı ve teknik karmaşıklıkla ilgilidir. İç ekipler kurumun işleyişini bilir; dış uzmanlar belirli alanlarda farklı bir bakış sağlayabilir. Her iki durumda da kontrolleri kuran veya işleten kişilerin kendi çalışmalarını değerlendirirken yaşayabileceği çıkar çatışmalarını yönetin. Dış destek seçerken yalnızca teklif bedelini karşılaştırmayın. İnceleme yöntemini, istenen erişimleri, kanıtların korunmasını ve düzeltme sonrası doğrulamanın kapsamını netleştirin. Hizmet alınması, risk kararlarının veya faaliyet sahipliğinin kurumdan çıkması anlamına gelmez. Başlangıç toplantısında açık konuları ve beklenen kanıtları içeren kısa bir karar özeti paylaşın. Hazırlık eksikleri denetimin bütünüyle ertelenmesini gerektirmeyebilir. Ancak erişim yetkisi, çalışma sınırı veya sorumlu kişi belirsizse ilgili faaliyeti başlatmayın. Hazır olmayan alanları ve hangi koşullarda incelenebileceklerini kaydedin. Takvimi bu sınırlara göre güncelleyin; değişen kararları tüm ilgili taraflarla paylaşın. Bu yaklaşım hem operasyonel güvenliği hem raporun doğru yorumlanmasını destekler.
- ✓
Sorumlular belli mi?
Denetim koordinatörünü, sistem sahiplerini, karar verecek yöneticiyi ve acil durumda ulaşılacak kişileri belirleyin.
- ✓
İzinler ve takip süreci hazır mı?
Erişim yetkilerini, güvenli paylaşım yöntemini, faaliyetlerin izleneceği yeri ve kapanışı doğrulayacak sorumluyu netleştirin.
Bulguları sürdürülebilir güvenlik yönetimine bağlayın
Denetim, incelenen döneme ve kapsama ilişkin bir değerlendirmedir; bütün risklerin ortadan kalktığını göstermez. Yeni uygulamalar, yetki değişiklikleri ve altyapı dönüşümleri güvenlik durumunu değiştirebilir. Bu nedenle bulgu takibini değişiklik ve operasyon süreçlerine bağlayın. Yeniden değerlendirme ihtiyacını yalnızca takvime değil, önemli sistem ve süreç değişikliklerine göre de ele alın.
Erişimlerin düzenlenmesi veya güvenlik kontrollerinin değerlendirilmesi için Bikare’nin [Siber Güvenlik ve Erişim Yönetimi](/siber-guvenlik-ve-erisim-yonetimi) hizmeti kapsamında ihtiyacınızı görüşebilirsiniz. Kurtarma hazırlığında eksikler varsa [Yedekleme ve Felaket Kurtarma](/yedekleme-ve-felaket-kurtarma) çalışmalarını da faaliyet planıyla ilişkilendirebilirsiniz. Görüşmeye mevcut varlık listesini, kritik süreçleri ve bilinen sorunları taşımanız kapsamın belirlenmesini kolaylaştırır.
Beklenen çıktıyı açıkça tanımlayın: mevcut durum değerlendirmesi, belirli kontrollerin incelenmesi veya eksiklerin giderilmesine yönelik teknik çalışma. Bu ayrım, değerlendirme ile uygulama desteğinin sınırlarını korur. Bağımsız görüş beklentiniz varsa ayrıca belirtin. Hedef yalnızca rapor edinmek değil, risklerin kim tarafından ele alınacağını ve sonuçların nasıl doğrulanacağını netleştirmektir.
Keşfetmeye devam et
İlgili içerik ve hizmetler
Konuyu tamamlayan Bikare içeriklerine göz atın.
