Konu Anlatımı
Bilgi Güvenliği Risk Analizi ve Olay Yönetimi
Bilgi güvenliği yönetimi, kurumun bilgi varlıklarını korumak için politika, süreç, teknik ve fiziksel kontrolleri bir bütün olarak planlaması ve izlemesidir. Bilişim alanında çalışan teknik eleman, kurum verisine erişim sağlayan kişidir; bu nedenle güvenliğin rastgele önlemlerle değil, ölçülmüş riskler üzerine kurulan bir yöntemle sağlanması gerekir.
Varlık Tanımlama ve Sınıflandırma
Varlık; sunucu, ağ cihazı, uygulama, veri tabanı, belge ya da anahtar bilgiler gibi korunması gereken her bileşendir. Önce envanter çıkarılır, sonra her varlığa kritiklik ve gizlilik puanı verilir. Bu iki değer çarpılarak varlığın önem derecesi bulunur. Sunucu gibi donanımsal varlıklarda kritiklik önde gelir; müşteri bilgisi içeren veri tabanlarında ise gizlilik önde gider.
Risk Değerlendirme Matrisi
Risk, tehdit ile açığın birleşiminden doğar. Tehditin olasılığı ile etkisi 1 ile 5 arasında puanlanır ve çarpılarak risk puanı elde edilir. Puan aralıkları kurumun kabul kriterine göre düşük, orta ve yüksek diye üç kümeye ayrılır. Yüksek kümeye düşen her varlık için ek kontrol, kapsam sınırlandırma ya da bilinçli kabul kararı yazılı hâle getirilir.
Kontroller ve Kalan Risk
Risk puanını düşürmek için önleyici (erişim kısıtlama), algılayıcı (kayıt denetimi) ve düzeltici (yedekleme, geri yükleme) kontrolleri seçilir. Kontrol uygulandıktan sonra ölçülen ya da savunulan puan kalan risk olur. Doğal risk ile kalan risk arasındaki fark, kontrolün ne kadar işe yaradığını yüzde olarak gösterir. Bu oran beklenenden düşük çıkan kontroller gözden geçirilir.
Olay Yönetimi ve Kök Neden
Güvenlik olayı kaydedilir, sınıflandırılır, alınan önlemlerle birlikte kapatılır ve kapanma süresi ölçülür. Olay sonrasında kök neden analizi yapılarak tekrarların önüne geçilir. Bu aşamada yüzeysel bir gerekçe yerine, olayın oluşmasına izin veren kontrol eksikliği aranır ve düzeltici faaliyet için sorumlu ile süre yazılır.
Kurumsal İşleyiş ve Denetim
Güvenlik çalışmaları yılda en az bir kez gözden geçirilir; varlık envanteri, risk tablosu ve uygulanan kontroller aynı sürümde tutulur. Politika dokümanı, kimlerin hangi sorumluluğu taşıdığını ve ihlal bildiriminin nereye yapılacağını açıkça yazar. Bu kayıtlar hem denetim hem de iş sürekliliği çalışmaları için kanıt niteliğindedir.
- Risk puanı = olasılık × etki
- Kalan risk = doğal risk − kontrol etkisi
- Her yüksek risk için yazılı karar ve bir sorumlu bulunur
Kontrol Noktaları
Denetimde aranan konular şunlardır: varlık listesinin güncel olması, risk tablosunun gerçek ölçümlere dayanması, erişim yetkilerinin periyodik gözden geçirilmesi ve olay kayıtlarının eksiksiz tutulması. Teknik elemanın görevi yalnızca antivirüs kurmak değil, ölçüm yapıp sonucu belgelemektir.
Ne Öğreneceğiz
Bilgi varlıklarının sınıflandırılması, tehdit ve açık kaynaklı risk puanlarının hesaplanması, kontrollerin seçimi ile güvenlik olaylarının yönetilmesinin temel yöntemleridir. Bu konuda ögrenme çıktıları:
- Bilgi varlıklarını envantere çıkarır, kritiklik ve gizlilik ölçütleriyle sınıflandırır.
- Olasılık ile etkiyi çarparak risk puanını hesaplar ve önceliklendirme yapar.
- Önleyici, algılayıcı ve düzeltici kontrolleri ayırt ederek uygun önlemi seçer.
- Güvenlik olayını kayıt altına alır, kök neden analizi uygular ve düzeltici faaliyeti izler.
- Bilgi güvenliği politikasının kapsam, sorumluluk ve ihlal bildirim maddelerini yazar.
Ön Bilgi
Bu konuya başlamadan önce temel kavram ve ön koşulları kavramanız yardımcı olacaktır. Konunun çerçevesinde şu kavramlar dikkat ister:
- Risk puanı, tehditin olasılığı ile varlık üzerindeki etkisinin çarpımından bulunur.
- Kritiklik ve gizlilik puanları farklı ölçütleri gösterdiği için ikisi birlikte kullanılır.
- Kabul kararı, kalan riskin bilinçli olarak devam ettirildiğini gösteren yazılı bir belgedir.
- Geçici yetkiler için bitiş tarihi tanımlanmazsa denetimde yüksek riskli bulgu doğar.
- Olay kapatıldıktan sonra kök neden analizi ve düzeltici faaliyet kaydı zorunludur.
Basit Örnek ve Günlük Yaşam
Günlük yaşamda ve mesleki bağlamda bir uygulama:
Soru: Bir e-posta sisteminde kimlik avı olasılığı 4, veri sızıntısı üzerindeki etkisi 3 olarak değerlendirilmiştir.
- Olasılık ve etki puanları 1-5 ölçeğinde okunur.
- Olasılık değeri etki değeriyle çarpılır.
- Çıkan puan, kurumun risk kümeleriyle karşılaştırılarak yorumlanır.
Sonuç/cevap: Risk puanı 4 × 3 = 12 olarak bulunur; bu varlık orta kümeye alınır ve izleme listesine eklenir.
İleri Örnek
Daha ileri bir uygulama:
Soru: Bilişim bölümü, ofisteki tüm cihaz ve veri kaynaklarının kayıt altına alınmasını istemektedir.
- Donanım, yazılım, ağ cihazı ve veri kaynakları listelenir.
- Her kayıt için sorumlu kişi, konum ve kritiklik puanı yazılır.
- Liste periyodik olarak güncellenir ve risk tablosuna bağlanır.
Sonuç/cevap: Varlık envanteri, sonradan yapılacak her risk değerlendirmesinin dayanağı olarak kullanılır.
Adım Adım Çözülmüş Örnek
Risk Puanının Hesaplanması konusunun adımları:
- Olasılık ve etki puanları 1-5 ölçeğinde okunur.
- Olasılık değeri etki değeriyle çarpılır.
- Çıkan puan, kurumun risk kümeleriyle karşılaştırılarak yorumlanır.
Karşılaştırma Tablosu
| Kavram | Açıklama |
|---|
| Risk puanı, tehditin olasılığı ile varlı | Risk puanı, tehditin olasılığı ile varlık üzerindeki etkisinin çarpımından bulunur. |
| Kritiklik ve gizlilik puanları farklı öl | Kritiklik ve gizlilik puanları farklı ölçütleri gösterdiği için ikisi birlikte kullanılır. |
| Kabul kararı, kalan riskin bilinçli olar | Kabul kararı, kalan riskin bilinçli olarak devam ettirildiğini gösteren yazılı bir belgedir. |
| Geçici yetkiler için bitiş tarihi tanıml | Geçici yetkiler için bitiş tarihi tanımlanmazsa denetimde yüksek riskli bulgu doğar. |
| Olay kapatıldıktan sonra kök neden anali | Olay kapatıldıktan sonra kök neden analizi ve düzeltici faaliyet kaydı zorunludur. |
Sık Yapılan Hatalar
Puanların çarpılmadan toplanması: Risk puanı olasılık ile etkinin çarpımıdır; toplam kullanılırsa yüksek etkili ancak düşük olasılıklı tehditler gözden kaçar.
Riskin tamamen sıfır sayılması: Hiçbir kontrol kalan riski sıfıra indirmez; kabul edilen artık risk yazılı olarak gerekçelendirilmelidir.
Olayı kapatıp kök nedeni atlamak: Olay kaydının kapatılması, olayın oluşmasına izin veren kontrol eksikliğinin giderildiği anlamına gelmez.
Gizlilik ile kritikliği tek puanla ölçmek: Veri tabanı hizmet kesintisine dayanıklı ama gizlilik açısından çok riskli olabilir; iki ölçüt birlikte değerlendirilmelidir.
Tehdit ile açığı aynı kavram sanmak: Açık zayıflıktır, tehdit ise bu zayıflıktan yararlanma girişimidir; ikisi birlikte gerçekleşip zarar ürettiğinde olay oluşur.
Özet
Bilgi güvenliği yönetimi, varlık envanteri ve sınıflandırma ile başlar. Varlık değeri = kritiklik × gizlilik formülüyle puanlanır; risk puanı ise olasılık × etki çarpımından bulunur. Kontrol sonrası kalan risk = doğal risk − kontrol etkisi olarak hesaplanır, kontrol etkisi yüzdesi de farkın doğal riske bölünmesiyle ölçülür. Güvenlik olayı kayıt altına alınır, kapanma süresi ölçülür ve kök neden analiziyle düzeltici faaliyet başlatılır. Yüksek riskli her varlık için yazılı kabul kararı ve bir sorumlu bulunması, denetimde aranan temel unsurdur.
Kendini Dene
Soru: Okulunuzdaki bilişim atölyesi için varlık envanteri çıkarınız: en az altı varlık yazın, her biri için kritiklik ve gizlilik puanı vererek önem puanını hesaplayınız.
Örnek cevap: Puanlama anahtarı: En az altı varlığın adının ve türünün yazılması 3 puan; her varlık için kritiklik ve gizlilik puanlarının gerekçeli verilmesi 5 puan; önem puanlarının çarpımla hesaplanması 4 puan; sonuçların yüksek puanlı varlıklara göre sıralanması ve önceliklendirme yapılması 3 puan. Toplam 15 puan.
