Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
Bilgi varlıklarınızı, tehditleri, zafiyetleri ve iş etkilerini birlikte değerlendirerek öncelikli riskleri görünür kılıyor; yönetimin karar verebileceği, sahibi ve takvimi belli bir risk kaydı ve risk işleme planı hazırlıyoruz.
BT, üretim ve yönetimin öncelikleri farklıdır; ortak bir risk ölçeği olmadan bütçe tartışmaları sonuçsuz kalır.
Bir kez hazırlanmış ama sahibi, takvimi ve güncellemesi olmayan risk listeleri denetimde kanıt değeri taşımaz.
Bir zafiyetin hangi iş sürecini, ne kadar süre durdurabileceği bilinmeden önceliklendirme yapılamaz.
Olasılık ve etki ölçekleri, risk iştahı ve kabul kriterlerinin yönetimle belirlenmesi.
Kritik iş süreçleri, destekleyen bilgi varlıkları, sistemler ve sahipleri.
Gerçekçi tehdit senaryoları, mevcut kontroller ve teknik bulgularla risklerin hesaplanması.
Azaltma, kabul, transfer veya kaçınma kararları; sorumlu, kontrol ve hedef tarih.
Değerlendirme, ISO/IEC 27005 rehberliğinde ve ISO/IEC 27001’in risk değerlendirme gereksinimleriyle uyumlu bir yöntemle yapılır; ancak çıktı teknik ekipten çok yönetim için yazılır. Teknik veriler zafiyet taramalarından ve konfigürasyon denetiminden beslenir; sonuçlar TISAX ve ISO 27001 çalışmalarında ve vCISO yönetim raporlarında kullanılır. Üretim ortamları için OT risk analizi ayrıca ele alınır.
Risk kaydındaki her satır, yönetimin verdiği bir karara (azalt, kabul et, transfer et, kaçın) ve o kararın takibinden sorumlu bir kişiye bağlanır. Kabul edilen riskler de gerekçesiyle kayıt altına alınır.
Üretim planlama, ERP, finans
Değiştirilemez yedek, EDR, segmentasyon
Tüm BT altyapısı
MFA, PAM, AD sıkılaştırma
Satın alma ve ödeme
DMARC, ödeme doğrulama prosedürü, farkındalık
Üretim hattı, bakım
Süreli erişim, oturum kaydı, sözleşme şartları
Satış, müşteri hizmetleri
DLP, erişim gözden geçirme, şifreleme
Bulut uygulamaları, iletişim
Yedek hat, süreklilik planı
İlk görüşmede hedef sistemleri, erişim yetkilerini, veri hassasiyetini ve iş sürekliliği beklentilerini belirliyoruz. Mevcut durumu kontrol ederek kapsam ve öncelik matrisi çıkarıyor; değişiklikleri kontrol noktaları, test ve geri dönüş planıyla uyguluyor, bulguları kayıt altına alıyoruz. Teslim edilen çıktılar sözleşme kapsamına göre netleştirilir.
En az yılda bir ve önemli değişikliklerden (yeni sistem, satın alma, büyük olay) sonra güncellenmesi önerilir.
Varsayılan yöntem nitel ve yarı nicel ölçeklerdir. Yeterli veri olan senaryolar için parasal etki tahmini eklenebilir.
ISO/IEC 27001’in risk değerlendirme ve risk işleme gereksinimlerine uygun yöntemle yapılır; yönetim sisteminin diğer gereksinimleri ayrıca ele alınır.
Süreç ve sistem listeleri, mevcut politikalar ve teknik bulgular yeterlidir. Hassas bilgiler gizlilik sözleşmesi kapsamında ve gerektiği kadar paylaşılır.
Bilgi varlıklarını, tehditleri, zafiyetleri ve iş etkilerini birlikte değerlendirerek öncelikli riskleri görünür kılıyoruz.
Ölçekler, risk iştahı ve kapsam yönetimle belirlenir.
Süreçler, varlıklar, tehditler ve mevcut kontroller çıkarılır.
Olasılık ve etki hesaplanır, riskler sıralanır.
Kararlar alınır, plan oluşturulur, gözden geçirme takvimi belirlenir.
Mevcut ortamınızı ve hedeflerinizi konuşalım; öncelikli adımları belirleyelim.