Özet: ISO 27001 Ek A.8.1 (2022 Madde 5.9–5.11) varlık yönetimi rehberi: Bilgi varlığı kategorizasyonu, süreç sahibi olan 'Varlık Sahibi' ile 'Emanetçi' ayrımı, kabul edilebilir kullanım politikası ve unvan değişikliğinde yetki/zimmet iadesi.
Kapsam ve Çerçeve: ISO/IEC 27001:2013 Ek A.8.1 ve ISO/IEC 27001:2022 Madde 5.9-5.11 gereksinimleri doğrultusunda kurumsal bilgi varlığı envanteri ve varlık sahipliği yönetimi standartları.
Giriş: “Varlığını Bilmediğiniz Şeyi Koruyamazsınız”
Bilgi Güvenliği Yönetim Sisteminin en temel aksiyomu şudur: Varlığından haberdar olmadığınız bir bilgiyi, sistemi veya süreci koruyamazsınız; koruyamadığınız şeyi de denetleyemezsiniz.
ISO/IEC 27001:2005 sürümünde risk değerlendirmesi doğrudan varlık tabanlı yürütülürken; 2013 ve 2022 revizyonlarında süreç odaklı bir mimari benimsenmiştir. Bununla birlikte, risklerin doğru analiz edilebilmesi, etki analizinin yapılabilmesi ve sorumlulukların paylaştırılabilmesi için kapsamlı bir bilgi varlığı envanteri sistemin vazgeçilmez omurgasıdır.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Tema / Kategori | Temel Değişiklik Özeti |
|---|---|---|---|
| A.8.1.1 Varlıkların envanteri | Kontrol 5.9 Bilgi ve diğer ilgili varlıkların envanteri | Organizasyonel | Varlığın yalnızca fiziksel donanım değil, bulut ortamlarındaki veri kümelerini de kapsadığı netleştirildi. |
| A.8.1.2 Varlıkların sahipliği | Kontrol 5.9 içinde entegre | Organizasyonel | Varlık sahibi ataması envanterin zorunlu bileşeni olarak tutuldu. |
| A.8.1.3 Varlıkların kabul edilebilir kullanımı | Kontrol 5.10 Kabul edilebilir kullanım | Organizasyonel | Uzaktan çalışma, kişisel cihazlar (BYOD) ve bulut hizmetleri kuralları genişletildi. |
| A.8.1.4 Varlıkların iadesi | Kontrol 5.11 Varlıkların iadesi | Organizasyonel | İşten ayrılmada hem fiziksel teçhizatın hem de fikri mülkiyet/erişim haklarının iadesi vurgulandı. |
Birincil ve Destekleyici Varlık Mimarisi (ISO/IEC 27005 Yaklaşımı)
Birçok kurum varlık envanteri hazırlarken yalnızca sunucuları, dizüstü bilgisayarları ve ağ anahtarlarını listeleme hatasına düşer. Oysa ISO/IEC 27005 (Bilgi Güvenliği Risk Yönetimi) standardı varlıkları iki temel katmanda ele alır:
+-------------------------------------------------------------+
| BİRİNCİL VARLIKLAR (Primary Assets) |
| - İş Süreçleri ve Faaliyetleri |
| - Bilgi ve Veri Kümeleri (Müşteri verisi, AR-GE, Finans) |
+-------------------------------------------------------------+
|
desteklenir / barındırılır
v
+-------------------------------------------------------------+
| DESTEKLEYİCİ VARLIKLAR (Supporting Assets) |
| - Donanım (Sunucular, diskler, uç cihazlar) |
| - Yazılım (İşletim sistemleri, ERP, veri tabanları) |
| - Ağ Bileşenleri (Güvenlik duvarları, yönlendiriciler) |
| - Personel (Kritik rol ve yetkinlik sahipleri) |
| - Tesisler ve Altyapı (Veri merkezi, ofisler, UPS) |
+-------------------------------------------------------------+Birincil varlık (örneğin müşteri sipariş veritabanı içeriği) zarar gördüğünde doğrudan iş kaybı oluşur. Destekleyici varlıklar ise bu bilginin depolandığı, işlendiği ve iletildiği bileşenlerdir.
Rol Ayrımı: Varlık Sahibi (Owner) vs Varlık Muhafızı (Custodian)
Kurumsal uygulamalarda en büyük karmaşa varlık sahipliğinde yaşanır:
Varlık Sahibi (Asset Owner)
Varlık sahibi, ilgili bilginin iş süreçlerindeki değerini bilen ve onun üzerinde karar verme yetkisine sahip olan yöneticidir:
- Bilginin gizlilik, bütünlük ve erişilebilirlik (GBE) sınıflandırma seviyesini belirler.
- Bilgiye kimlerin hangi gerekçeyle erişebileceğine onay verir.
- Bilgi varlığına yönelik risklerin kabul edilip edilmeyeceğini değerlendirir.
- Genellikle ilgili iş biriminin başındaki kişidir (örneğin İK Direktörü, Finans Müdürü).
Varlık Muhafızı / Emanetçisi (Asset Custodian)
Varlık sahibi tarafından belirlenen güvenlik gereksinimlerini teknik olarak uygulayan kişi veya birimdir:
- Veritabanı yöneticisi, sistem yöneticisi veya BT altyapı ekibidir.
- Yedekleme alır, yamaları geçer, erişim yetkilerini teknik olarak uygular.
- Varlığın sahibi değildir; emanetçisidir.
Kabul Edilebilir Kullanım Politikası (AUP)
ISO/IEC 27001:2022 Madde 5.10 uyarınca kurumlar bilgi ve iletişim araçlarının kabul edilebilir kullanım kurallarını yazılı hale getirmelidir:
- Kurumsal e-posta adreslerinin şahsi ticari işlerde kullanılmaması,
- Yetkisiz harici depolama aygıtlarının (USB vb.) sisteme bağlanmaması,
- Sosyal mühendislik ve oltalama (phishing) e-postalarına karşı dikkat yükümlülüğü,
- Şirket dışına kontrolsüz veri sızdırılmaması.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Çözüm: ISO/IEC 27001 Hizmeti
- Seri ve İlgili Makaleler:
- Teknik Açıklık Yönetimi:
/a-12-6-1-e-gore-teknik-acikliklar-nasil-yonetilir-iso-27001/ - Fiziksel Güvenlik Serisi:
/iso-27001-bilgi-guvenliginde-fiziksel-ve-cevresel-guvenlik-1/
- Teknik Açıklık Yönetimi:
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 5.9, 5.10, 5.11 (Organizational Controls).
- ISO/IEC 27002:2022: Information security controls (Clauses 5.9, 5.10, 5.11).
- ISO/IEC 27005:2022: Information security, cybersecurity and privacy protection — Guidance on managing information security risks (Asset identification & classification).
Sık Sorulan Sorular
Varlık Sahibi (Asset Owner) ile Varlık Kullanıcısı arasındaki fark nedir?
Varlık Sahibi genellikle o bilginin iş süreçlerindeki yöneticisidir (örneğin Müşteri Veritabanının sahibi Satış Direktörüdür). Varlığın sınıflandırmasını belirler ve erişim izinlerini onaylar. Varlık kullanıcısı ise işini yapmak için o veriyi kullanan operasyonel personeldir.
Varlık envanterinde hangi bilgi kolonlarının bulunması ISO 27001 için yeterlidir?
Varlık ID, Varlık Adı, Türü (Donanım/Yazılım/Veri/Tesis), Bulunduğu Konum/Sistem, Varlık Sahibi, Gizlilik-Bütünlük-Erişilebilirlik (C-I-A) Kritiklik Değerleri ve Sınıflandırma Derecesi asgari olarak bulunmalıdır.
Kişisel veriler (KVKK) varlık envanterinde nasıl gösterilir?
Kişisel veriler varlık envanterinde bağımsız birer bilgi varlığı olarak veya ilgili veri tabanı/dosya sunucusu altında etiketlenerek gösterilmeli, gizlilik derecesi "Yüksek / Özel" olarak sınıflandırılmalıdır.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.