Varlık Yönetimi Konu Anlatımı

Varlık yönetimi, bilgi güvenliği yönetiminin somut başlangıç noktalarından biridir.

Bir kurum neyi koruduğunu bilmiyorsa, riskleri doğru değerlendiremez, erişim yetkilerini sağlıklı veremez, yedekleme kapsamını belirleyemez ve imha sürecini güvenli yürütemez.

Bilgi güvenliği yaklaşımında bilgi artık yalnız kağıt dosyada veya bilgisayar içinde pasif duran bir içerik değildir; iş süreçlerinin çalışmasını sağlayan, müşteriler ve paydaşlar açısından değer taşıyan kurumsal bir varlıktır.

Bu bilginin işlendiği, saklandığı, taşındığı ve iletildiği donanım, yazılım, ağ, depolama ortamı ve kullanıcı cihazları da varlık yönetimi kapsamında görülmelidir.

Bu nedenle varlık yönetimi, envanter tutmaktan daha geniş bir güvenlik disiplinidir.

Varlık yaşam döngüsü, varlığın kuruma girişinden kullanımına, bakımına, yetki değişikliklerine, devrine ve imhasına kadar uzanan süreci anlatır.

Bir sunucu satın alındığında, bir uygulama devreye alındığında, çalışana dizüstü bilgisayar verildiğinde veya bir taşınabilir bellek kullanılmaya başlandığında güvenlik sorumluluğu da başlar.

Varlık kime zimmetlendi, nerede bulunuyor, hangi iş sürecini destekliyor, üzerinde hangi veri var, hangi ağlara bağlanıyor ve ne zaman kullanım dışına çıkacak gibi sorular yaşam döngüsünün parçasıdır.

Bu sorulara yanıt verilemediğinde varlık kayıtlı görünse bile güvenlik açısından yönetilemiyor demektir.

Varlık envanteri, risk yönetiminin temel girdisidir.

Envanterde sunucu donanımları, depolama ortamları, kullanıcı cihazları, ağ cihazları ve yazılımlar gibi bilgi sistemleri varlıkları izlenir.

Veri bazen ayrı bir satır olarak görülmeyebilir; ancak bu varlıkları korumanın esas amacı, onlar aracılığıyla işlenen, saklanan ve iletilen veriyi korumaktır.

Envanter yalnız isim listesinden ibaret olmamalıdır.

Varlığın sahibi, teknik sorumlusu, kullanıcısı, konumu, seri veya lisans bilgisi, desteklediği süreç, kritikliği, bağlı olduğu sistemler ve güvenlik sınıfı gibi bilgiler yönetim kararlarını mümkün kılar.

Bu bilgiler olmadığında zafiyet değerlendirmesi ve tehdit eşleştirmesi eksik kalır.

Varlık sahibi kavramı, güvenlik sorumluluğunu belirsizlikten çıkarır.

Bir varlık teknik olarak bilgi sistemleri ekibi tarafından işletiliyor olabilir; fakat iş sürecindeki önemi ve kabul edilebilir kullanım kararları çoğu zaman ilgili iş biriminin sahipliğini gerektirir.

Varlık sahibi, varlığın sınıflandırılmasına, erişim düzeylerine, saklama ve imha ihtiyaçlarına, süreklilik hedeflerine ve risk kabul kararlarına katkı verir.

Teknik ekip ise işletim, bakım, yedekleme, güvenlik yamaları ve izleme gibi kontrolleri uygular.

Bu ayrım yapılmadığında tüm kararlar teknik ekibe yüklenir veya iş birimleri verinin güvenlik değerini sahiplenmez.

Sağlıklı varlık yönetimi bu iki tarafı aynı kayıt ve süreç üzerinde buluşturur.

Veri ve bilgi sınıflandırması, varlıklara uygulanacak koruma düzeyini belirler.

Her bilginin aynı hassasiyette olmadığı kabul edilmelidir.

Kamuya açık bilgi, kurum içi kullanım için ayrılmış bilgi, gizli müşteri verisi veya stratejik karar dokümanı aynı erişim, paylaşım ve saklama kurallarına tabi tutulamaz.

Sınıflandırma, bilginin gizlilik, bütünlük ve erişilebilirlik ihtiyaçlarını görünür hale getirir.

Örneğin yüksek gizlilik gerektiren bilgi için erişim daha dar tutulur, aktarımda şifreleme beklenir ve paylaşım kanalları kısıtlanır.

Yüksek erişilebilirlik gerektiren bir sistem için yedekleme, felaket kurtarma ve izleme kontrolleri daha güçlü tasarlanır.

Böylece sınıflandırma, güvenlik harcamalarını ve kontrolleri riskle uyumlu hale getirir.

Etiketleme, sınıflandırmanın kullanıcılar tarafından uygulanabilir olmasını sağlar.

Bir dokümanın, dosyanın, veri setinin veya fiziksel ortamın hangi sınıfa ait olduğu açık değilse, kullanıcı doğru davranışı seçmekte zorlanır.

Etiketleme, bilginin nasıl taşınacağı, kiminle paylaşılacağı, hangi ortamda saklanacağı ve hangi yöntemle imha edileceği konusunda pratik bir işaret üretir.

Bu işaret sadece görsel bir ibare olmak zorunda değildir; sistemlerde meta veri, erişim grubu, dosya özelliği veya otomatik politika olarak da uygulanabilir.

Önemli olan, sınıflandırma kararının operasyon içinde kaybolmamasıdır.

Etiketlenmeyen bilgi, hassas olsa bile sıradan bilgi gibi işlem görebilir.

Uygun kullanım kuralları varlık yönetimini günlük davranışlara bağlar.

Kurum, kullanıcı cihazlarının, taşınabilir varlıkların, çıkarılabilir medyanın, yazılımların, ağ kaynaklarının ve kurumsal bilginin hangi şartlarda kullanılacağını açıkça belirlemelidir.

Taşınabilir bilgisayarlar ve mobil cihazlar hırsızlık, kayıp, yetkisiz erişim ve güvensiz ağlara bağlanma risklerini artırır.

Kişisel cihazların iş amaçlı kullanımı izinli ise kayıt, şifreleme, uzaktan silme, güncelleme ve ayrılma halinde veri temizliği gibi kontroller gerekir.

Çıkarılabilir ortamlar veri sızıntısı ve zararlı yazılım riski taşıdığı için kullanım yetkisi ve kayıt düzeni olmadan serbest bırakılmamalıdır.

Uygun kullanım, çalışanı cezalandırma metni değil, güvenli iş yapma sınırlarını açıklayan işletme kuralıdır.

Varlık yönetimi, erişim güvenliğiyle de doğrudan ilişkilidir.

Envanter ve sınıflandırma olmadan kimin hangi bilgiye erişmesi gerektiği belirlenemez.

Bir varlığın iş sahibi ve sınıfı bilindiğinde erişim ihtiyacı görevle ilişkilendirilebilir; gereksiz yetkiler azaltılır, ayrılan veya görevi değişen kullanıcıların erişimleri kapatılır ve hassas sistemlerde ayrıcalıklı hesaplar daha sıkı izlenir.

Bu ilişki fiziksel varlıklar için de geçerlidir.

Kullanılmayan donanımların, yedeklerin veya kağıt evrakların kilitli ortamlarda saklanması, yalnız fiziksel güvenlik değil, varlık yönetiminin devamıdır.

Çünkü kullanım dışı görünen varlıklar üzerinde de hassas bilgi bulunabilir.

İmha ve elden çıkarma, varlık yaşam döngüsünün güvenlik açısından en riskli son aşamalarından biridir.

Kullanım dışı kalan disk, taşınabilir cihaz, yazıcı belleği, yedek medya veya kağıt evrak doğrudan atılırsa bilgi sızıntısı yaşanabilir.

Bu nedenle imha süreci varlığın sınıfına ve üzerindeki bilginin hassasiyetine göre belirlenmelidir.

Elektronik ortamlar güvenli silme, fiziksel yok etme veya yeniden kullanıma hazırlama prosedürlerinden geçirilmelidir.

Lisanslı yazılımlarda kullanım hakkının sonlandırılması, bulut hizmetlerinde hesap ve veri temizliği, fiziksel belgelerde uygun parçalama veya imha kayıtları düşünülmelidir.

İmha kaydı, varlığın envanterden neden ve nasıl çıkarıldığını kanıtlar.

Sonuçta varlık yönetimi, bilgi güvenliği politikasının sahadaki karşılığıdır.

Envanter kuruma neye sahip olduğunu, sınıflandırma ne kadar koruma gerektiğini, etiketleme bu kararın nasıl anlaşılacağını, uygun kullanım kuralları günlük davranış sınırlarını, imha süreci ise yaşam döngüsünün güvenli kapanışını gösterir.

Bu yapı risk yönetimini de besler; çünkü zafiyet ve tehdit değerlendirmesi somut varlıklar üzerinden yapılır.