Özet: Kurumsal bilgi varlıklarını korumak için ISO/IEC 27001:2022 ve ISO/IEC 27005 standartlarını esas alan kapsamlı bilgi güvenliği risk değerlendirme metodolojisi.
Kapsam ve Çerçeve: Türkiye genelindeki kamu ve özel sektör kuruluşlarına yönelik, ISO/IEC 27001:2022 Madde 6.1.2 ve ISO/IEC 27005:2022 standartlarına uyumlu bilgi güvenliği risk değerlendirme rehberi.
1. Risk Değerlendirmesinin Amacı ve Stratejik Önemi
Bilgi güvenliği risk değerlendirmesi; bir kuruluşun sahip olduğu bilgi varlıklarının gizlilik (confidentiality), bütünlük (integrity) ve erişilebilirlik (availability) niteliklerine yönelik tehditleri belirleme, bu tehditlerin gerçekleşme olasılığı ile oluşturacağı kurumsal etkiyi sistematik olarak ölçme sürecidir.
Geleneksel bilgi teknolojileri yaklaşımında güvenlik önlemleri çoğu zaman reaktif biçimde, yani bir güvenlik olayı veya veri ihlali meydana geldikten sonra devreye alınır. Oysa ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) felsefesinin kalbinde yer alan proaktif risk değerlendirmesi, güvenlik bütçesini ve kurumsal kaynakları en yüksek risk barındıran kritik alanlara odaklamayı sağlar.
Risk değerlendirmesinin nihai amacı; teknik bir puanlama tablosu üretmek değil, üst yönetimin ve süreç sahiplerinin bilinçli iş kararları alabilmesi için objektif ve ölçülebilir bir karar destek mekanizması tesis etmektir.
2. Kapsam ve Kurumsal Bağlamın Belirlenmesi
Herhangi bir risk analizi çalışmasına başlamadan önce, çalışmanın sınırları (kapsam) ve kurumun faaliyet gösterdiği iç ve dış çevre (bağlam) netleştirilmelidir:
- Kurumsal Hedefler ve İş Öncelikleri: Şirketin büyüme stratejisi, dijitalleşme vizyonu ve gelir üreten ana iş süreçleri.
- Dış Hususlar: Yasal mevzuat (KVKK, 5651, BDDK, EPDK, AB GDPR), sektörel standartlar (TISAX, PCI-DSS), makroekonomik şartlar ve siber tehdit ortamı.
- İç Hususlar: Kurum kültürü, çalışan yetkinliği, teknoloji altyapısı, kurumsal politikalar ve hissedar beklentileri.
ISO/IEC 27001:2022 standardının Madde 4.1 ve 4.2 şartları uyarınca iç ve dış paydaş beklentileri analiz edilmeden çizilen bir risk değerlendirme kapsamı, ya kritik iş süreçlerini dışarıda bırakma ya da yönetilemeyecek kadar hantal olma riski taşır.
3. Bilgi Varlıklarının Envanterlenmesi ve Sınıflandırılması
Risk değerlendirmesinin nesnesi bilgi varlıklarıdır. Kurumun neye sahip olduğunu bilmeden neyi koruyacağını belirlemesi mümkün değildir.
Bilgi varlıkları yalnızca sunucu ve veri tabanlarından ibaret değildir:
- Birincil Varlıklar (İş Varlıkları): Müşteri kişisel verileri, finansal kayıtlar, kaynak kodlar, ticari sırlar, kurumsal itibar ve fikri mülkiyet.
- Destekleyici Varlıklar (Teknik ve Fiziksel Bileşenler): Donanım (sunucular, dizüstü bilgisayarlar, mobil cihazlar), yazılım (ERP sistemleri, işletim sistemleri, API’ler), ağ altyapısı (güvenlik duvarları, anahtarlar), tesisler (veri merkezi, arşiv odaları) ve insan kaynağı.
Varlık Değerleme ve Gizlilik-Bütünlük-Erişilebilirlik (C-I-A) Analizi
Her bilgi varlığı için iş etkisi temelinde 1’den 5’e (veya Düşük-Orta-Yüksek) ölçekli C-I-A etki değerlemesi yapılmalıdır:
- Gizlilik Etkisi: Bu bilgi yetkisiz kişilerin eline geçerse kuruma yasal, finansal ve itibar zararı ne olur?
- Bütünlük Etkisi: Bu bilginin izinsiz değiştirilmesi veya bozulması durumunda iş operasyonları ne derece aksar?
- Erişilebilirlik Etkisi: Bu veriye veya sisteme 24 saat erişilemezse kabul edilebilir kesinti süresi (RTO) aşılır mı?
4. Tehditler ve Zafiyetlerin Eşleştirilmesi
Risk, tek başına varlığın değeriyle değil; varlığa yönelebilecek bir tehdit ile bu tehdidin yararlanabileceği bir zafiyetin (yapısal açığın) buluşmasıyla ortaya çıkar:
- Tehdit (Threat): Bilgi sistemine veya veriye zarar verme potansiyeli taşıyan etken (örneğin; oltalama saldırıları, fidye yazılımları, yetkisiz fiziksel erişim, donanım arızası, doğal afet, tedarikçi kusuru).
- Zafiyet (Vulnerability): Tehdidin hedefe ulaşmasına zemin hazırlayan güvenlik açığı veya zayıflık (örneğin; yamasız yazılım, çok faktörlü kimlik doğrulamanın (MFA) eksikliği, zayıf parola politikası, denetimsiz USB kullanımı, sözleşmesel boşluklar).
Tehdit-zafiyet eşleştirmesi yapılmayan soyut risk tanımları (“Siber saldırı riski” gibi) uygulanamaz ve aksiyon üretmez. Doğru formülasyon: “Desteklenmeyen işletim sistemi zafiyeti üzerinden fidye yazılımı tehdidinin kritik üretim veritabanını şifrelemesi” şeklinde olmalıdır.
5. Olasılık ve Etki Matrisi (Nitel ve Nicel Değerlendirme)
Risk seviyesini belirlerken kuruluşlar genelde 5x5 Matris modelini benimser:
| Seviye | Olasılık (Frekans / Gerçekleşme İhtimali) | Etki (Finansal, Yasal, Operasyonel, İtibar) |
|---|---|---|
| 1 - Çok Düşük | Yılda 1 defadan az / İhmal edilebilir | < 50.000 TL / Yasal sonuç doğurmaz |
| 2 - Düşük | Yılda bir veya birkaç kez | 50.000 - 250.000 TL / İdari uyarı |
| 3 - Orta | Ayda bir kez / Tipik sektör riski | 250.000 - 1.000.000 TL / Kısmi kesinti, idari para cezası |
| 4 - Yüksek | Haftalık veya sürekli tespit edilen | 1.000.000 - 5.000.000 TL / Ciddi regülasyon cezası, müşteri kaybı |
| 5 - Çok Yüksek | Günlük / Aktif olarak suistimal edilen | > 5.000.000 TL / Faaliyetin durması, lisans iptali, ulusal itibar kaybı |
6. Mevcut Kontrollerin Değerlendirilmesi
Bir tehdit var diye hemen en yüksek risk puanı verilmez. Analiz anında devrede olan teknik ve idari kontrollerin etkinliği test edilmelidir:
- Teknik Kontroller: EDR yazılımları, DLP (veri sızıntısı önleme), güvenlik duvarı kuralları, günlük yedekleme, MFA doğrulaması.
- İdari Kontroller: Bilgi güvenliği politikaları, kabul edilebilir kullanım taahhütnameleri, tedarikçi gizlilik sözleşmeleri, erişim yetkilendirme prosedürleri.
- Fiziksel Kontroller: Kartlı geçiş sistemleri, biyometrik kilitler, kamera kayıtları, yangın algılama ve söndürme altyapısı.
Mevcut kontrolün varlığı tek başına yeterli değildir; kontrolün işletildiği, loglandığı ve periyodik olarak test edildiği nesnel kanıtlarla doğrulanmalıdır.
7. Risk Seviyesinin Hesaplanması
Doğal Risk (Inherent Risk); herhangi bir güvenlik önlemi alınmadığı varsayımındaki ham risk büyüklüğüdür:
$$ ext{Doğal Risk} = ext{Varlık Değeri} imes ext{Tehdit Olasılığı} imes ext{Zafiyet Derecesi}$$
Mevcut güvenlik kontrolleri hesaba katıldığında ortaya çıkan kontrol etkinliği katsayısı, olasılığı ve etkiyi aşağı çekerek mevcut risk seviyesini belirler. Matris üzerinde 15 ve üzeri puanlar genellikle “Yüksek / Kritik Risk”, 8-14 arası “Orta Risk”, 1-7 arası ise “Düşük Risk” olarak derecelendirilir.
8. Risk İşleme Seçenekleri (4T Modeli)
Hesaplanan risk, kurumun kabul edebileceği seviyenin üzerindeyse dört temel stratejiden biri seçilmelidir:
- Risk Azaltma (Treat / Mitigate): Ek kontroller devreye alarak olasılığı veya etkiyi düşürmek (örn. MFA zorunluluğu getirmek, ağ segmentasyonu yapmak, çalışan farkındalık eğitimleri düzenlemek).
- Risk Devretme (Transfer): Riskin finansal veya operasyonel yükünü üçüncü taraflara aktarmak (örn. siber risk sigortası yaptırmak, altyapıyı ISO 27001 sertifikalı bulut sağlayıcısına taşımak, SLA şartlarına bağlamak).
- Riskten Kaçınma (Terminate / Avoid): Riski doğuran iş sürecini, teknolojiyi veya faaliyeti tamamen sonlandırmak (örn. güvenliği sağlanamayan eski bir yazılımı kullanımdan kaldırmak, riskli bir üçüncü taraf entegrasyonunu iptal etmek).
- Riski Kabul Etme (Tolerate / Accept): Azaltma maliyetinin olası zarardan yüksek olduğu veya kabul edilebilir seviyenin altında kalan durumlar için bilinçli olarak riskin sorumluluğunu üstlenmek.
9. Risk Sahibi (Risk Owner) Sorumluluğu
Risk değerlendirmesi BT departmanının veya Bilgi Güvenliği Yöneticisinin tek başına sahiplenebileceği bir süreç değildir.
- Risk sahibi; ilgili bilgi varlığının üzerinde tasarruf yetkisi bulunan, riskin gerçekleşmesi halinde iş kaybından doğrudan etkilenecek olan ilgili iş birimi yöneticisidir (örneğin İK Direktörü, Finans Direktörü, Satış Yöneticisi).
- Risk sahibi; tespit edilen riski, önerilen kontrol maliyetini ve artık riski onaylama yetkisine sahip tek kişidir.
- BT ve güvenlik ekipleri bu süreçte danışman, kolaylaştırıcı ve teknik uygulayıcı rolündedir.
10. Artık Risk (Residual Risk) ve Kabul Edilebilir Risk Eşiği
Risk işleme planı uygulandıktan sonra geride kalan riske Artık Risk (Residual Risk) denir. Hiçbir güvenlik tedbiri riski sıfırlayamaz.
$$ ext{Artık Risk} = ext{Mevcut Risk} - ext{Uygulanan Yeni Kontrollerin Etkisi}$$
Kurum üst yönetimi, BGYS Politikasında bir Kabul Edilebilir Risk Eşiği (Risk Appetite) belirler. Uygulanan aksiyonlardan sonra kalan artık risk, bu eşiğin altındaysa süreç risk sahibi tarafından onaylanarak kabul edilir. Eşiğin üzerinde kalan riskler için ek güvenlik yatırımı veya iş sürecinde değişiklik şarttır.
11. ISO/IEC 27001:2022 ve ISO/IEC 27005:2022 Standart Mimarisi
ISO/IEC 27001:2022 standardı:
- Madde 6.1.2: Bilgi güvenliği risk değerlendirme sürecini tanımlar ve kurumun tutarlı, tekrarlanabilir ve karşılaştırılabilir sonuçlar üreten bir metodoloji belirlemesini şart koşar.
- Madde 6.1.3: Risk işleme sürecini ve Ek-A kontrolleriyle eşleştirilerek hazırlanacak Uygulanabilirlik Bildirgesi’ni (SoA - Statement of Applicability) şart koşar.
ISO/IEC 27005:2022 standardı ise bu maddelerin nasıl uygulanacağını adım adım tarif eden uluslararası rehber standarttır. Kurumun risk bağlamını kurması, olay senaryoları geliştirmesi, nicel/nitel değerlendirme tekniklerini seçmesi konularında en yetkin küresel referanstır.
12. Risk Kayıtları (Risk Register) ve Yönetimin Gözden Geçirmesi (YGG)
Risk değerlendirmesi statik bir belge değil; canlı bir kurumsal hafızadır:
- Risk Kayıt Kütüğü (Risk Register): Tüm varlıklar, tehditler, zafiyetler, mevcut kontroller, risk puanları, işleme stratejileri, aksiyon sorumluları ve tamamlanma vadeleri bu kütükte kayıt altına alınır.
- Periyodik Gözden Geçirme: Yılda en az bir kez veya kurum altyapısında, mevzuatta, organizasyonel yapıda majör bir değişiklik olduğunda risk envanteri baştan sona gözden geçirilir.
- Yönetimin Gözden Geçirmesi (YGG - Madde 9.3): Yıl boyunca tespit edilen yüksek riskler, kapanan aksiyonlar ve artık risk seviyeleri üst yönetime raporlanarak kaynak tahsisi güvenceye alınır.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.