Burak Ekşi Mecmuası

Giriş: “Varlığını Bilmediğiniz Şeyi Koruyamazsınız”

Bilgi Güvenliği Yönetim Sisteminin en temel aksiyomu şudur: Varlığından haberdar olmadığınız bir bilgiyi, sistemi veya süreci koruyamazsınız; koruyamadığınız şeyi de denetleyemezsiniz.

ISO/IEC 27001:2005 sürümünde risk değerlendirmesi doğrudan varlık tabanlı yürütülürken; 2013 ve 2022 revizyonlarında süreç odaklı bir mimari benimsenmiştir. Bununla birlikte, risklerin doğru analiz edilebilmesi, etki analizinin yapılabilmesi ve sorumlulukların paylaştırılabilmesi için kapsamlı bir bilgi varlığı envanteri sistemin vazgeçilmez omurgasıdır.

Standart Madde Eşleşmesi: 2013 vs 2022

Birincil ve Destekleyici Varlık Mimarisi (ISO/IEC 27005 Yaklaşımı)

Birçok kurum varlık envanteri hazırlarken yalnızca sunucuları, dizüstü bilgisayarları ve ağ anahtarlarını listeleme hatasına düşer. Oysa ISO/IEC 27005 (Bilgi Güvenliği Risk Yönetimi) standardı varlıkları iki temel katmanda ele alır:

+-------------------------------------------------------------+
|               BİRİNCİL VARLIKLAR (Primary Assets)           |
|   - İş Süreçleri ve Faaliyetleri                            |
|   - Bilgi ve Veri Kümeleri (Müşteri verisi, AR-GE, Finans)  |
+-------------------------------------------------------------+
                              |
                     desteklenir / barındırılır
                              v
+-------------------------------------------------------------+
|             DESTEKLEYİCİ VARLIKLAR (Supporting Assets)       |
|   - Donanım (Sunucular, diskler, uç cihazlar)               |
|   - Yazılım (İşletim sistemleri, ERP, veri tabanları)       |
|   - Ağ Bileşenleri (Güvenlik duvarları, yönlendiriciler)    |
|   - Personel (Kritik rol ve yetkinlik sahipleri)            |
|   - Tesisler ve Altyapı (Veri merkezi, ofisler, UPS)        |
+-------------------------------------------------------------+

Birincil varlık (örneğin müşteri sipariş veritabanı içeriği) zarar gördüğünde doğrudan iş kaybı oluşur. Destekleyici varlıklar ise bu bilginin depolandığı, işlendiği ve iletildiği bileşenlerdir.

Rol Ayrımı: Varlık Sahibi (Owner) vs Varlık Muhafızı (Custodian)

Kurumsal uygulamalarda en büyük karmaşa varlık sahipliğinde yaşanır:

Varlık Sahibi (Asset Owner)

Varlık sahibi, ilgili bilginin iş süreçlerindeki değerini bilen ve onun üzerinde karar verme yetkisine sahip olan yöneticidir:

• Bilginin gizlilik, bütünlük ve erişilebilirlik (GBE) sınıflandırma seviyesini belirler.
• Bilgiye kimlerin hangi gerekçeyle erişebileceğine onay verir.
• Bilgi varlığına yönelik risklerin kabul edilip edilmeyeceğini değerlendirir.
• Genellikle ilgili iş biriminin başındaki kişidir (örneğin İK Direktörü, Finans Müdürü).

Varlık Muhafızı / Emanetçisi (Asset Custodian)

Varlık sahibi tarafından belirlenen güvenlik gereksinimlerini teknik olarak uygulayan kişi veya birimdir:

• Veritabanı yöneticisi, sistem yöneticisi veya BT altyapı ekibidir.
• Yedekleme alır, yamaları geçer, erişim yetkilerini teknik olarak uygular.
• Varlığın sahibi değildir; emanetçisidir.

Kabul Edilebilir Kullanım Politikası (AUP)

ISO/IEC 27001:2022 Madde 5.10 uyarınca kurumlar bilgi ve iletişim araçlarının kabul edilebilir kullanım kurallarını yazılı hale getirmelidir:

• Kurumsal e-posta adreslerinin şahsi ticari işlerde kullanılmaması,
• Yetkisiz harici depolama aygıtlarının (USB vb.) sisteme bağlanmaması,
• Sosyal mühendislik ve oltalama (phishing) e-postalarına karşı dikkat yükümlülüğü,
• Şirket dışına kontrolsüz veri sızdırılmaması.

4. Yayın Bağımlılıkları ve İç Bağlantılar

• İç Bağlantılar:
  • Hizmet: Bilgi Güvenliği Danışmanlığı
  • Kurumsal Çözüm: ISO/IEC 27001 Hizmeti
• Seri ve İlgili Makaleler:
  • Teknik Açıklık Yönetimi: /a-12-6-1-e-gore-teknik-acikliklar-nasil-yonetilir-iso-27001/
  • Fiziksel Güvenlik Serisi: /iso-27001-bilgi-guvenliginde-fiziksel-ve-cevresel-guvenlik-1/

5. Resmî Kaynaklar ve Doğrulama Referansları

• ISO/IEC 27001:2022: Controls 5.9, 5.10, 5.11 (Organizational Controls).
• ISO/IEC 27002:2022: Information security controls (Clauses 5.9, 5.10, 5.11).
• ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection — Guidance on managing information security risks (Asset identification & classification).