ISO/IEC 27001 standardına göre bir bilgi güvenliği yönetim sistemi (BGYS) kurmaya karar veren kurumların ilk büyük sorusu genellikle şudur: “Hangi kontrolleri uygulamamız gerekiyor?” Standardın cevabı nettir: bu, risklerinize bağlıdır. Kontrollerin seçimi, politikaların içeriği, bütçenin önceliklendirilmesi ve hatta denetimde sorulacak sorular, risk değerlendirmesinin sonucundan beslenir. Bu rehberde ISO 27001 risk değerlendirmesinin nasıl yapıldığını, uygulamada işe yarayan pratiklerle anlatıyoruz.
Standart risk değerlendirmesinden ne bekler?
ISO 27001, belirli bir risk yöntemi dayatmaz; ancak kurumun bir metodoloji tanımlamasını ve bu metodolojinin tekrarlandığında tutarlı, geçerli ve karşılaştırılabilir sonuçlar üretmesini bekler. Ayrıca risklerin sahiplerinin belirlenmesi, risk kabul ölçütlerinin tanımlanması, değerlendirmenin planlı aralıklarla ve önemli değişikliklerde tekrarlanması ve sonuçların kayıt altına alınması gerekir. Kısacası “kim, neye göre, hangi ölçekle karar verdi?” sorusunun cevabı belgelenmiş olmalıdır.
1. Adım: Metodolojiyi belirleyin
Metodoloji dokümanı en az şunları tanımlamalıdır:
- Yaklaşım: Varlık bazlı mı, senaryo bazlı mı?
- Olasılık ve etki ölçekleri: Örneğin 1–5 arası puanlar ve her puanın ne anlama geldiğinin açıklaması.
- Risk seviyesinin hesaplanması: Genellikle olasılık ile etkinin çarpımı veya bir matris.
- Risk kabul ölçütleri: Hangi seviyenin altındaki risklerin kabul edilebileceği ve kimin onaylayacağı.
- Tekrar sıklığı: Değerlendirmenin ne zaman güncelleneceği.
Ölçeklerin açıklamaları ne kadar somut olursa farklı kişilerin puanlaması o kadar tutarlı olur. “Yüksek etki” yerine “müşteri hizmetinin bir iş gününden uzun kesilmesi veya çok sayıda kişinin kişisel verisinin ifşası” gibi tanımlar kullanın.
2. Adım: Varlık mı, senaryo mu?
Varlık bazlı yaklaşımda önce bilgi varlıkları (müşteri veritabanı, e-posta sistemi, dosya sunucusu, dizüstü bilgisayarlar, kaynak kodu, kâğıt arşiv) listelenir; her varlık için tehdit ve zafiyetler eşleştirilir. Bu yöntem ayrıntılıdır ancak varlık sayısı arttıkça yönetimi zorlaşır. Senaryo bazlı yaklaşımda ise “fidye yazılımının dosya sunucularını şifrelemesi”, “yönetici hesabının oltalama ile ele geçirilmesi”, “kritik tedarikçinin hizmet verememesi” gibi olay senaryoları üzerinden ilerlenir. Birçok kurum için iki yöntemin birleşimi en pratik sonucu verir: varlık envanteri kapsamı gösterir, senaryolar ise yönetimin anlayacağı dili sağlar.
3. Adım: Tehdit ve zafiyetleri belirleyin
Tehdit, zarara yol açabilecek olaydır; zafiyet ise tehdidin gerçekleşmesini kolaylaştıran zayıflıktır. Örneğin “kimlik bilgisi hırsızlığı” bir tehdit, “MFA kullanılmaması” bir zafiyettir. Tehdit listesini oluştururken siber saldırıların yanında insan hatalarını, donanım arızalarını, elektrik ve iletişim kesintilerini, doğal afetleri, tedarikçi sorunlarını ve kilit personel kaybını da dahil edin. Zafiyetleri bulmak için güvenlik açığı tarama sonuçları, önceki olay kayıtları, iç denetim bulguları ve çalışanlarla yapılan görüşmeler değerli kaynaklardır.
4. Adım: Olasılık ve etkiyi puanlayın
Her risk için mevcut kontroller dikkate alınarak olasılık ve etki puanlanır. Etki değerlendirmesinde gizlilik, bütünlük ve erişilebilirlik ayrı ayrı düşünülmelidir: bir yedek sunucusunun çalınması gizliliği, bir veritabanının bozulması bütünlüğü, bir hizmetin kesilmesi erişilebilirliği etkiler. Puanlamayı tek kişi yerine süreç sahibi, BT ve güvenlik sorumlusunun katıldığı kısa atölyelerde yapmak hem tutarlılığı hem sahiplenmeyi artırır.
5. Adım: Risk işleme kararını verin
Kabul ölçütünü aşan her risk için dört seçenekten biri seçilir:
- Azaltma: Ek kontrol uygulayarak olasılığı veya etkiyi düşürmek. Örneğin MFA, yedekleme, segmentasyon.
- Kaçınma: Riski doğuran faaliyeti durdurmak veya değiştirmek.
- Paylaşma (transfer): Riskin bir kısmını sigorta veya sözleşmeyle bir tarafa aktarmak.
- Kabul: Risk sahibinin bilinçli onayıyla riski olduğu gibi taşımak.
Seçilen tedbirler risk işleme planına yazılır: ne yapılacak, kim sorumlu, hangi kaynakla ve ne zamana kadar. Tedbirler uygulandıktan sonra kalan risk, yani kalıntı risk, yeniden puanlanır ve risk sahibi tarafından onaylanır.
6. Adım: Ek A ve uygulanabilirlik bildirgesi
Risk işleme planında seçilen kontroller, standardın Ek A’sındaki referans kontrol setiyle karşılaştırılır. Bunun amacı önemli bir kontrolün gözden kaçmamasıdır. Sonuç, uygulanabilirlik bildirgesi (SoA) adı verilen belgeye işlenir: her kontrolün uygulanıp uygulanmadığı, gerekçesi ve uygulama durumu. Denetçiler SoA ile risk işleme planı arasındaki tutarlılığa özellikle dikkat eder; risk bağlantısı olmayan kontrol kararları sık rastlanan bir bulgudur.
Temsili bir örnek
Bir yazılım firmasında “kaynak kodu deposuna yetkisiz erişim” senaryosunu düşünelim. Zafiyetler: eski çalışanların hesaplarının açık kalması, MFA eksikliği, geniş yetkili ortak hesaplar. Mevcut kontroller sınırlı olduğu için olasılık orta, müşteri sözleşmeleri ve fikrî mülkiyet nedeniyle etki yüksek puanlanır ve risk kabul ölçütünü aşar. İşleme kararı azaltmadır: kimlik sağlayıcısı üzerinden tek oturum açma ve MFA, ayrılan çalışanlar için otomatik hesap kapatma, ortak hesapların kaldırılması ve erişim kayıtlarının merkezi izlenmesi. Bu tedbirlerden sonra risk yeniden puanlanır; kalıntı risk kabul seviyesine indiyse risk sahibi onaylar.
Risk sonuçlarını yönetime nasıl sunmalı?
Yüzlerce satırlık bir risk tablosu üst yönetim için anlamlı değildir. Yönetime sunulacak özette en yüksek seviyedeki risk senaryolarını, her biri için önerilen tedbiri, gereken kaynağı ve tedbir sonrası beklenen kalıntı riski kısa ve iş diliyle anlatın. Isı haritası biçiminde bir olasılık-etki matrisi, risklerin dağılımını tek bakışta gösterir. Önceki dönemle karşılaştırma eklemek, alınan tedbirlerin etkisini görünür kılar ve sonraki bütçe kararlarını kolaylaştırır. Yönetimin kabul ettiği riskleri ve gerekçelerini kayıt altına almayı da unutmayın; bu kayıt hem denetimde hem kurum içi hesap verebilirlikte önemlidir.
Sık yapılan hatalar
- Hazır bir risk listesini kurumun bağlamına uyarlamadan kullanmak,
- Puanlama ölçeklerini tanımlamadan “yüksek, orta, düşük” demek,
- Risk sahibi olarak her satıra BT yöneticisini yazmak,
- Mevcut kontrolleri dikkate almadan puanlamak,
- Risk değerlendirmesini belgelendirme sonrasında hiç güncellememek,
- Kalıntı riski yönetim onayına sunmamak.
Tedarikçi ve bulut riskleri
Bugün kurumların bilgi varlıklarının önemli bir kısmı bulut hizmetlerinde ve dış tedarikçilerde bulunur. Risk değerlendirmesinde bu hizmetleri ayrı senaryolar olarak ele alın: tedarikçinin hizmet kesintisi, tedarikçi tarafında veri ihlali, sözleşme sona erdiğinde verinin geri alınamaması gibi. Paylaşılan sorumluluk modeli gereği, bulut sağlayıcısı altyapıyı korurken hesapların, yetkilerin ve verinin yapılandırması kurumun sorumluluğunda kalır; yanlış yapılandırılmış bir paylaşım ayarı da en az bir saldırı kadar risklidir.
Risk değerlendirmesini canlı tutmak
Yeni bir bulut hizmetine geçiş, yeni bir lokasyon, önemli bir tedarikçi değişikliği veya yaşanan bir güvenlik olayı, risk değerlendirmesinin güncellenmesini gerektirir. Planlı güncellemeleri iç denetim ve yönetimin gözden geçirmesi takvimiyle uyumlu hâle getirmek pratik bir yöntemdir. Risk değerlendirmesini ve BGYS kurulumunu birlikte planlamak isterseniz ISO 27001 danışmanlığı sayfamızı inceleyebilir, risk işleme planındaki teknik tedbirler için siber güvenlik hizmetleri sayfamıza göz atabilirsiniz. BGYS kurulumunun tüm adımları da ISO/IEC 27001 BGYS danışmanlığı sayfamızda yer alıyor.
Sık sorulan sorular
ISO 27001 risk değerlendirmesi için belirli bir yazılım kullanmak zorunlu mu?
Hayır. Standart belirli bir araç istemez. Küçük ve orta ölçekli kurumlarda iyi tasarlanmış bir tablo yeterli olabilir; önemli olan metodolojinin tanımlı olması ve sonuçların tutarlı, tekrarlanabilir ve kayıt altında olmasıdır.
Risk değerlendirmesi ne sıklıkla güncellenmeli?
Planlı aralıklarla, genellikle yıllık olarak ve önemli değişikliklerde güncellenmelidir. Yeni sistemler, lokasyonlar, tedarikçiler veya yaşanan güvenlik olayları güncelleme sebebidir.
Kalıntı risk nedir?
Risk işleme tedbirleri uygulandıktan sonra geriye kalan risktir. Kalıntı riskin kabul ölçütlerine uygun olup olmadığı değerlendirilir ve risk sahibi tarafından onaylanır.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
