Amaç
BGYS kapsamının kuruluşun gerçek faaliyetlerini, bilgi akışlarını ve risklerini temsil etmesini sağlamak.
Bağlam analizi
BGYS Sorumlusu ve süreç sahipleri, Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine göre aşağıdaki konuları değerlendirir:
- strateji, organizasyon, kültür, yetkinlik ve kaynaklar;
- kullanılan teknoloji, çalışma modeli ve fiziksel lokasyonlar;
- tehdit ortamı, pazar, tedarik zinciri ve ekonomik koşullar;
- yasal, düzenleyici ve sözleşmesel yükümlülükler;
- iklim değişikliğinin tesisler, enerji, tedarik zinciri veya süreklilik üzerinde ilgili bir konu olup olmadığı;
- müşteri, çalışan, ortak, otorite ve tedarikçi beklentileri.
Her konu için etkilenebilecek süreç, risk/fırsat, sorumlu ve izleme yöntemi kaydedilir.
Kapsamın belirlenmesi
Kapsam ifadesi; kapsanan hizmetleri, süreçleri, organizasyon birimlerini, lokasyonları, kuruluşça yönetilen bilgi sistemlerini ve dış taraf sorumluluk sınırlarını açıkça tanımlar. Kuruluşça yönetilmeyen ağ, sunucu ve ortamlar ile bulunmayan tesis türleri ayrıca belirtilir. Kapsam dışı bırakılan unsur varsa gerekçesi ve BGYS’nin etkinliğini zayıflatmadığı açıklanır.
Kapsam ifadesi
Kafkal Yazılım Bilgi Güvenliği Yönetim Sistemi; kuruluşun yazılım geliştirme, bakım, destek ve kurumsal yönetim faaliyetleri kapsamında oluşturduğu, işlediği, sakladığı ve eriştiği bilgilerin korunmasını kapsar.
Kapsam; çalışanları ve yüklenicileri, yazılım geliştirme süreçlerini, kurumsal bilgi varlıklarını, kuruluş tarafından yönetilen cihaz ve hizmetleri, ofis ve uzaktan çalışma düzenini ve hizmet sunumunu etkileyen dış bağımlılıkları içerir.
Kapsam sınırları
| Boyut | Kapsama dâhil unsurlar | Kapsam dışı veya dış tarafça işletilen unsurlar | Kontrol yöntemi |
|---|---|---|---|
| Organizasyon | İki kişilik kuruluş; Üst Yönetim ve BGYS Sorumlusu rolleri | Sürekli ayrı bir güvenlik, ağ veya sistem yönetim ekibi | Rol matrisi, yönetim gözetimi ve gerektiğinde dış uzman desteği |
| Süreç ve hizmetler | Kuruluşun yazılım geliştirme, bakım, destek ve kurumsal yönetim süreçleri | Dış tarafın kendi ortamında işlettiği operasyonlar | Sözleşme, erişim sınırı, risk değerlendirmesi ve teslim kanıtı |
| Fiziksel konumlar | Kuruluş ofisi ve uzaktan çalışma noktalarında bilgi ve cihaz kullanımı | Sunucu odası ve veri merkezi işletimi; kuruluşun böyle bir tesisi yoktur | Ofis erişimi, ziyaretçi, temiz masa/ekran ve cihaz koruması |
| Bilgi sistemleri ve ağlar | Kuruluşun yönettiği uç noktalar, hesaplar, bulut hizmetleri ve kendi ürün ortamları | Kuruluşça yönetilmeyen ağ, sunucu ve dış taraf ortamları | Sağlayıcı veya ortam sahibi kontrolleri; kuruluş erişimlerinin sınırlandırılması |
| Veri ve bilgi sınıfları | Kuruluşun oluşturduğu, işlediği, sakladığı veya eriştiği bilgi | Kuruluşun erişmediği ve sorumluluk üstlenmediği dış taraf verileri | Envanter, sınıflandırma, erişim ve sözleşmesel kurallar |
| Dış hizmetler ve bağımlılıklar | Kullanılan bulut/SaaS hizmetleri ve sözleşmesel bağımlılıklar | Dış tarafın teknik işletim sorumluluğundaki bileşenler | Risk temelli seçim, sözleşme ve mevcut güvence kanıtları |
Kapsam dışı bırakılan bir unsurun BGYS’nin amaçlanan sonuçlarını zayıflatmaması gerekir. Kuruluşun yönetmediği sistem ve ortamlar kapsam dışında tutulabilir; ancak bu ortamlara erişen personel, yürütülen iş süreçleri, aktarılan bilgi ve sözleşmesel sorumluluklar risk değerlendirmesine dâhil edilir.
Sorumluluk sınırları
| Kontrol alanı | Kuruluş sorumluluğu | Dış taraf sorumluluğu | Ortak sorumluluk / arayüz | Kanıttan sorumlu BGYS rolü |
|---|---|---|---|---|
| Kimlik ve erişim | Kuruluş personeline ait erişim talebi, güvenli kullanımı ve kapatılması | Dış ortamın kimlik altyapısı ve teknik yetki uygulaması | Ortam sahibinin kuralları ve sağladığı kayıtlar | BGYS Sorumlusu |
| Cihaz ve uç nokta güvenliği | Kuruluşun yönettiği cihaz ve hesaplardaki kontroller | Dış tarafça sağlanan ve yönetilen cihazların teknik işletimi | Kullanıcı kurallarına uyum ve olay bildirimi | BGYS Sorumlusu |
| Yazılım geliştirme ve test | Kuruluşun geliştirdiği kod, geliştirme süreci ve kendi yönettiği test edilebilir ürün/ortam | Dış taraf ortamının altyapısı ve o ortamdaki güvenlik testi | Yazılı test yetkisi, kapsam ve bulgu paylaşımı | BGYS Sorumlusu |
| Değişiklik ve sürüm | Kuruluşun kendi ürün ve süreç değişiklikleri ile teslim kayıtları | Dış ortamda uygulama ve üretime alma kararı | Onaylı arayüz, teslim ve kabul kanıtı | BGYS Sorumlusu |
| Kayıt, izleme ve olay bildirimi | Kuruluş sistemleri ve faaliyetlerine ait kayıtlar; olayın gecikmeden bildirimi | Dış ortamın merkezi loglama ve izleme işletimi | İlgili kanıtların sözleşme ve yetki ölçüsünde paylaşılması | BGYS Sorumlusu |
| Yedekleme ve süreklilik | Kuruluşun kendi bilgi ve ürün ortamlarının yedekleri | Dış tarafça işletilen sistemlerin yedekleme altyapısı | Bağımlılık ve kurtarma beklentisinin tanımlanması | BGYS Sorumlusu |
| Veri saklama ve imha | Kuruluşun kontrolündeki kopyalar ve kayıtlar | Dış tarafın yönettiği sistem kopyaları | Sözleşmesel saklama, iade ve silme koşulları | BGYS Sorumlusu |
| Tedarikçi ve alt yüklenici yönetimi | Kullanılan hizmetlerin risk sınıflandırması ve sözleşme takibi | Sağlayıcının kendi altyapı operasyonu | Mevcut güvence raporu ve sözleşmesel bildirimler | BGYS Sorumlusu |
Dış tarafça işletilen bir kontrol için kuruluşun sorumluluğu tamamen ortadan kalkmaz. Kontrolün sözleşmeyle tanımlanması, riskinin değerlendirilmesi ve gerekli doğrulama kanıtının izlenmesi sağlanır.
Kuruluşun hâlihazırda yönettiği kurumsal ağ veya sunucu altyapısı ve sunucu odası bulunmaz. Kuruluş yalnızca kendi ürünleri için işlettiği üretim ortamı ve üretim anahtarlarından sorumludur. Kuruluşça yönetilmeyen ortamlardaki altyapı güvenliği ve sızma testi ortam sahibinin sorumluluğundadır; kuruluş personelinin erişim güvenliği, geliştirme faaliyetleri, bilgi kullanımı ve olay bildirimi ise BGYS kapsamında kalır. Kritik olarak sınıflandırılmış tedarikçi bulunmadığı sürece kritik tedarikçi periyodik değerlendirme kaydı oluşturulmaz.
Gözden geçirme tetikleyicileri
Kapsam, Güvenlik Yönetimi Prosedürü içinde yer alan asgari kontrol takvimine göre gözden geçirilir. Yeni ürün veya lokasyon, şirket birleşmesi, önemli teknoloji değişikliği, yeni düzenleme, kritik tedarikçi değişikliği, büyük olay veya iş sürekliliği testi kapsamın yeniden değerlendirilmesini tetikler. Güncellenen kapsam Üst Yönetim tarafından onaylanır ve ilgili taraflara duyurulur.
Hazırlayan:
Üst Yönetim onayı / tarih: