Bilgi Güvenliği Yönetimi Konu Anlatımı

Bilgi güvenliği yönetimi, kurumun bilgiyi korunması gereken bir varlık olarak görmesiyle başlar.

İlk dönemlerde güvenlik çoğu zaman teknolojik ekipmanın fiziksel korunması gibi algılanırken, günümüzde bilgi güvenliği kurumların, sektörlerin ve hatta ülkelerin gündemine giren geniş bir yönetim alanıdır.

Bu alanın çekirdeğinde bilginin üç temel özelliği yer alır: gizlilik, bütünlük ve erişilebilirlik.

Gizlilik, bilgiye yetkisiz erişimin engellenmesini; bütünlük, bilginin tam ve doğru kalmasını; erişilebilirlik ise bilginin ihtiyaç duyulduğunda yetkili kişiler tarafından kullanılabilmesini ifade eder.

Bir kurum yalnız veriyi sakladığında değil, bu üç özelliği birlikte koruyabildiğinde bilgi güvenliğini yönetmiş olur.

Bilgi güvenliği yönetimi, kurumda bilgi güvenliğinin kabul edilebilir düzeyde korunması için kullanılan mekanizmaların bütünüdür.

Bu mekanizmalar organizasyonel yapıları, politika ve prosedürleri, süreçleri, teknik ve fiziksel kontrolleri ve çeşitli varlıkları kapsar.

Bu nedenle konu sadece bilgi sistemleri biriminin yapacağı teknik işlemlerden ibaret değildir.

Bir şifre politikası, yedekleme düzeni, erişim yetkisi, güvenli alan kontrolü veya eğitim programı tek başına yeterli olmaz; hepsi kurumsal hedef, risk iştahı ve sorumluluk yapısı içinde anlam kazanır.

Yönetim kavramı burada özellikle önemlidir, çünkü güvenlik kararları maliyet, iş sürekliliği, yasal yükümlülük, operasyonel verimlilik ve kabul edilebilir risk düzeyi arasında denge kurar.

Bilgi güvenliği ile siber güvenlik arasındaki ilişki bu başlıkta doğru kurulmalıdır.

Bilgi güvenliği, bilginin gizlilik, bütünlük ve erişilebilirlik ilkeleri doğrultusunda korunmasına odaklanır ve hem dijital hem fiziksel ortamlardaki bilgi varlıklarını kapsar.

Kağıt dosya, sunucu üzerinde tutulan veri, taşınabilir cihazdaki belge veya ağ üzerinden iletilen kayıt bu çerçevede düşünülebilir.

Siber güvenlik ise özellikle birbirine bağlı dijital ortam, ağlar, sistemler, hizmetler, insanlar ve süreçler üzerinden doğan siber risklere karşı korunma alanıdır.

Pratikte bu iki alan ayrışmak yerine birbirini tamamlar.

Dijital altyapı korunmadan bilgi korunamaz; bilginin değeri anlaşılmadan da siber güvenlik önlemleri neyi koruduğunu tam olarak bilemez.

Üst yönetimin sorumluluğu bilgi güvenliği yönetiminin temel şartıdır.

Bilgi güvenliği teknik bir iş gibi görünse de kurumun her kademesini ve her çalışanını ilgilendirir.

Bu nedenle sorumluluğun en üst seviyede sahiplenilmesi beklenir.

Bilgi güvenliği politikasının oluşturulması ve periyodik olarak gözden geçirilmesi, görevlendirmelerin yapılması, risk yönetiminin gerçekleştirilmesi, çalışan farkındalığının sağlanması ve güvenlik ihlallerinin değerlendirilmesi üst yönetim sorumlulukları arasındadır.

Üst yönetim yalnız onay makamı değildir; aldığı kararlar, kaynak ayırma biçimi ve güvenlik konusundaki tutumuyla kurum kültürünü belirler.

Yönetim desteği yoksa bilgi güvenliği faaliyetleri dağınık teknik uygulamalar halinde kalır.

Roller ve sorumluluklar yazılı, onaylı ve duyurulmuş olmalıdır.

Üst yönetim tarafından görevlendirilen en az bir sorumlu kişi belirlenmeli, kurumun büyüklüğüne göre bir ekip oluşturulmalıdır.

Bu ekipte farklı birimlerden temsilcilerin yer alması önemlidir; çünkü bilgi güvenliği yalnız bilgi sistemleri altyapısını değil, iş süreçlerini, insan kaynaklarını, hukuk, operasyon, satış, tedarik ve diğer fonksiyonları da etkiler.

Ekip üyeleri kendi birimlerindeki çalışma biçimlerini güvenlik ilkeleri açısından gözden geçirebilecek yetkinlikte olmalıdır.

Sorumlu kişi ve ekip organizasyon şemasında görünür hale geldiğinde güvenlik faaliyetleri kişisel inisiyatiften çıkıp kurumsal görev haline gelir.

Farkındalık ve eğitim, yönetim sisteminin insan boyutunu oluşturur.

Tüm seviyelerdeki çalışanlara temel bilgi güvenliği eğitimi verilmeli, belirli aralıklarla bilgilendirmeler yapılmalı ve eğitimler güncel gelişmeleri içermelidir.

Eğitim içeriğinin hedef gruba göre düzenlenmesi gerekir; üst yönetimin ihtiyaç duyduğu risk ve sorumluluk dili ile son kullanıcının günlük güvenli çalışma alışkanlıkları aynı ayrıntı düzeyinde değildir.

Farkındalık sadece bir defalık eğitimle sağlanmaz.

Kurum, çalışanların bilgi güvenliği politikasını neden uyguladığını, ihlal veya dikkatsizliğin ne tür sonuçlar doğurabileceğini ve güvenli davranışın iş süreçlerine nasıl gömüleceğini sürekli hatırlatmalıdır.

Bilgi güvenliği politikası, kurumun bu alandaki genel yaklaşımını, kapsamını ve hedeflerini belirleyen ana belgedir.

Üst yönetimce onaylanmalı, uygun şekilde duyurulmalı ve çalışanların erişebileceği yerde bulunmalıdır.

Politika, bilgi güvenliğinin tanımını, kurumsal hedefleri, roller ve sorumlulukları, risk yönetimini, tabi olunan düzenlemeleri, eğitim ve farkındalık esaslarını, üst yönetimin bağlılığını ve politika ihlalinin sonuçlarını ele almalıdır.

Kurumun faaliyetleri yalnız çalışanlarla sınırlı olmadığı için tedarikçiler, servis sağlayıcılar, müşteriler ve iş ortakları da dikkate alınmalıdır.

Büyük ve karmaşık yapılarda destek politikaları belirli birim veya süreçler için ayrıntı sağlayabilir.

Risk yönetimi bilgi güvenliği yönetiminin ayrılmaz parçasıdır.

Süreç, bilgi sistemleri envanterindeki varlıkların belirlenmesiyle başlar.

Sunucular, depolama ortamları, kullanıcı cihazları, ağ cihazları ve yazılımlar bu kapsamda sayılabilir; veri ayrı bir varlık olarak listelenmese bile bu varlıklar aracılığıyla işlenen, saklanan ve iletilen veriyi korumak asıl amaçtır.

Varlıklar belirlendikten sonra her bir varlığın zafiyetleri ve bu zafiyetlerden yararlanabilecek tehditler tespit edilir.

Böylece risk belirleme aşaması, varlık, zafiyet ve tehdit ilişkisini kurar.

Ardından seçilen yöntemle risk değerlendirmesi yapılır ve kurumun kabul edilebilir risk seviyesi belirlenir.

Risk yönetiminin hedefi sıfır risk değildir.

Kurum, risk iştahı veya kabul edilebilir risk eşiğini belirlemeli ve bu seviyenin üzerindeki riskler için işlem yapmalıdır.

Risk azaltma, kontroller yardımıyla risk düzeyini düşürür ve en çok tercih edilen seçenektir.

Risk engelleme, riske neden olan ürün veya hizmetin kullanımını sonlandırır.

Risk paylaşma, sigorta gibi yollarla etkinin bir kısmını üçüncü tarafla paylaşır; ancak gerçekleşme olasılığını ortadan kaldırmaz.

Risk kabul etme ise bilinen riske rağmen faaliyetin sürdürülmesidir.

Seçilen yöntemin, riskin olası maliyeti ve varsa yasal zorunluluklarla uyumlu olması gerekir.

Yönetim sisteminin son halkası gözetim, ölçüm, değerlendirme ve ihlal yönetimidir.

Kurum, bilgi güvenliği süreçlerinin etkinliğini, hedeflere ulaşılıp ulaşılmadığını ve risklere karşı geliştirilen kontrollerin işlerliğini periyodik olarak değerlendirmelidir.

İç ve dış denetimler, kontrol ölçütleri, risk değerlendirmeleri, senaryo uygulamaları, kırmızı-mavi takım çalışmaları ve sızma testleri bu amaca hizmet edebilir.

İhlallerin değerlendirilmesi de sadece olay kapatma faaliyeti değildir; nedenlerin anlaşılması, kontrollerin güncellenmesi ve eğitim ihtiyacının belirlenmesi için geri bildirim üretir.