Amaç
Bu prosedür, Kafkal Yazılım bilgi varlıklarını koruyan teknik ve idari kontrollerin risk temelli olarak seçilmesini, uygulanmasını, izlenmesini ve iyileştirilmesini tanımlar.
Güvenlik yönetim döngüsü
- Varlık, tehdit, açıklık, iş etkisi ve yasal yükümlülükler belirlenir.
- BGYS Sorumlusu hedef risk seviyesini ve uygulanacak kontrolü belirler; kabul gerektiren kararlar Üst Yönetim tarafından onaylanır.
- Güvenli yapılandırma, erişim, kayıt, açıklık, fiziksel güvenlik ve olay yönetimi kontrolleri kapsam ve sorumluluk sınırlarıyla orantılı uygulanır.
- Kontrolün çalıştığı teknik kayıt, rapor, test veya örnekleme ile doğrulanır.
- Sapma ve olaylar etkileriyle orantılı ele alınır; önemli, tekrarlayan veya sistemik durumlarda kök neden analizi yapılır ve kontrol tasarımı güncellenir.
Asgari kontrol alanları
| Alan | Asgari uygulama |
|---|---|
| Organizasyon | Güvenlik rolleri, sorumluluklar ve görevlerin ayrılığı |
| Bütünlük | Kritik veri ve işlemlerde doğrulama, mutabakat ve yetkili değişiklik |
| İz kayıtları | Kuruluşça yönetilen varlıklardaki kritik olayların zaman bilgisiyle kaydı ve yetkisiz değişikliğe karşı korunması |
| Ağ güvenliği | Kuruluşça yönetilen ağ varsa güvenli yapılandırma ve uzaktan erişim; dış ağlarda ortam sahibinin kontrolleri |
| Konfigürasyon | Kuruluşça yönetilen cihaz, hizmet ve ürün ortamlarında onaylı güvenli temel ayarlar |
| Açıklık ve yama | Kuruluşça yönetilen varlıklarda risk öncelikli açıklık ve güncelleme takibi |
| Fiziksel güvenlik | Ofis erişimi, ziyaretçi, temiz masa/ekran ve ekipman koruması |
| Siber olaylar | Bildirim, sınıflandırma, müdahale ve öğrenilen dersler; gerektiğinde delil koruma ve kök neden |
| Güvenlik testi | Kuruluşça yönetilen test edilebilir ürün veya altyapıda risk ya da sözleşme temelli güvenlik testi |
| Tehdit bilgisi | Sağlayıcı bildirimleri, güvenlik duyuruları ve otomatik araç uyarılarının ilgili varlıklar için izlenmesi |
İşletim kuralları
- Kuruluşun kendi ürünleri için yönettiği üretim ortamı değişiklikleri yetkili talep, test, sınıfına uygun onay ve geri dönüş planıyla yapılır.
- Kritik güvenlik alarmları sorumlu ekibe iletilir; inceleme sonucu ve aksiyon kaydedilir.
- Açıklıklar risk seviyesine göre hedef sürede kapatılır. Önemli süre aşımı, BGYS Sorumlusu değerlendirmesi, telafi edici kontrol ve gerekiyorsa Üst Yönetim risk kabulü gerektirir.
- Ayrıcalıklı faaliyetler kişiye özel hesapla yürütülür ve bağımsız incelemeye elverişli biçimde kaydedilir.
- Sızma testi, kuruluşun yönettiği test edilebilir bir ürün veya altyapı bulunduğunda ya da risk veya sözleşme gerektirdiğinde yapılır. Kuruluşça yönetilmeyen ortamdaki test ortam sahibinin sorumluluğundadır ve yalnızca yazılı yetkili kapsamda gerçekleştirilir.
- Güvenlik araçları ve iz kayıtları yetkisiz değişikliğe karşı korunur. Ayrı kişiyle görev ayrılığı mümkün değilse sağlayıcı koruması, teknik değişmezlik veya Üst Yönetim örneklemesi kullanılabilir.
Gözden geçirme ve raporlama
BGYS Sorumlusu belirlenen sıklıkta kanıt üretir; kritik olayları, yüksek riskleri, geciken kritik yamaları, erişim gözden geçirmelerini ve düzeltici faaliyetleri en az yılda bir değerlendirerek BGYS durum özetini hazırlar. Bu özet ayrı rapor yerine Yönetimin Gözden Geçirmesi Tutanağı içinde kaydedilebilir. Kritik olaylar, kabul sınırını aşan riskler ve önemli sapmalar yıllık değerlendirme beklenmeden Üst Yönetime bildirilir ve ilgili olay veya düzeltici faaliyet sürecinde takip edilir.
Asgari kontrol takvimi
| Faaliyet | Asgari sıklık |
|---|---|
| Bilgi güvenliği farkındalık eğitimi ve rol bazlı konular | Yılda bir |
| Oltalama simülasyonu | Yılda en az iki |
| Kullanıcı ve erişim gözden geçirmesi | Altı ayda bir |
| Risk, varlık/veri envanteri, kapsam, politika ve yasal/sözleşmesel yükümlülüklerin olağan gözden geçirmesi | Yılda bir |
| BGYS durum değerlendirmesi | Yılda bir |
| BGYS iç denetimi | Yılda bir |
| Geri dönüş ve iş sürekliliği testi | Yılda bir |
| Güvenlik alarmları, uç nokta koruması, güncelleme durumu ve yedekleme işleri | Kuruluşça yönetilen varlıklarda otomatik veya sürekli izleme; önemli sapmada değerlendirme |
Olay, görev veya sözleşme değişikliği, önemli risk artışı, kritik açık, tekrarlayan ya da kritik yedekleme başarısızlığı veya yasal değişiklik gibi tetikleyiciler ilgili kontrolün yıllık veya altı aylık takvim beklenmeden uygulanmasını gerektirir. Kritik tedarikçi veya sunucu odası bulunmayan dönemde bunlara özgü periyodik kayıt oluşturulmaz; durum değişirse risk değerlendirmesiyle uygun kontrol ve sıklık belirlenir.