Bilgi Güvenliği Sorumlusu ataması neden tek başına yeterli değildir?
Atama kararı, Bilgi Güvenliği Sorumlusunun kurum içindeki varlığını resmîleştirir; ancak görevin etkin yürütüldüğünü göstermez. Denetim ve yönetim açısından asıl önemli olan, rolün hangi faaliyetleri yürüttüğü ve bu faaliyetlerin hangi kayıtlarla kanıtlandığıdır.
İlk günden itibaren görev tanımı, raporlama hattı, çalışma kapsamı, toplantı periyodu, teknik ekiplerle ilişki, dış hizmet sağlayıcılarla iletişim ve üst yönetim raporlaması açık biçimde tanımlanmalıdır.
Atamadan işletime geçiş
Etkin bir BGS modeli; atama → kapsam → mevcut durum → risk → aksiyon → yönetim raporu → kanıt zinciriyle kurulmalıdır. Bu zincirin herhangi bir halkasının eksik olması, görevin kâğıt üzerinde kalmasına yol açabilir.
İlk 30 gün: kapsamı, sorumlulukları ve kritik riskleri görünür hale getirin
İlk 30 günün amacı tüm eksikleri kapatmak değil, mevcut durumu doğru biçimde görmek ve öncelikleri belirlemektir. Bu dönem sonunda yönetimin “neredeyiz, en kritik riskler neler ve ilk hangi kararlar alınmalı?” sorularına cevap alabilmesi gerekir.
Atama ve görev modelini netleştirin
Atama kararı, görev tanımı, üst yönetime bağlılık, vekâlet modeli, toplantı periyodu ve raporlama takvimi yazılı hale getirilir.
Organizasyon ve paydaşları belirleyin
Yönetim, IT, insan kaynakları, hukuk, operasyon, iç kontrol ve kritik dış hizmet sağlayıcılarla çalışma ilişkisi kurulur.
Mevcut dokümanları toplayın
Politikalar, prosedürler, envanterler, sözleşmeler, kullanıcı listeleri, yedekleme ve olay kayıtları merkezi bir çalışma alanında toplanır.
Kritik sistemleri ve hizmetleri belirleyin
İş uygulamaları, veri tabanları, e-posta, bulut, ağ, yedekleme, uzaktan erişim ve kritik tedarikçi bağımlılıkları görünür hale getirilir.
Hızlı risk taraması yapın
Ayrıcalıklı hesaplar, MFA, yedekleme, dış erişim, çalışan ayrılışları ve olay bildirimleri gibi yüksek etkili alanlar öncelikle değerlendirilir.
İlk 90 günlük aksiyon planını çıkarın
Her aksiyon için öncelik, sorumlu, hedef tarih, beklenen kanıt ve yönetim kararı ihtiyacı belirlenir.
İkinci dönem: gap, varlık, risk ve tedarikçi kayıtlarını yapılandırın
İkinci 30 günlük dönemde hızlı ön değerlendirme, izlenebilir yönetim kayıtlarına dönüştürülür. Amaç; bilgi güvenliği faaliyetlerinin kişilere bağlı olmaktan çıkarılarak envanter, kontrol ve aksiyon sistemi içinde yönetilmesidir.
Gap analizi nasıl kullanılmalıdır?
Gap analizi yalnızca “var/yok” kontrolü değildir. Her gereklilik için uygulanabilirlik, mevcut uygulama, beklenen kanıt, eksiklik, risk, sorumlu ve hedef tarih belirlenmelidir. Böylece BGS, yüzlerce kontrolü aynı öncelikte ele almak yerine risk temelli bir uygulama sırası oluşturabilir.
Üçüncü dönem: kontrolleri işletin, kanıtları düzenleyin ve yönetime raporlayın
Son 30 günlük dönem, planlamadan uygulamaya geçiş dönemidir. Öncelikli eksiklerin kapatılması, politika ve prosedürlerin gerçek işleyişe uyarlanması, kanıtların düzenlenmesi ve ilk kapsamlı yönetim raporunun sunulması hedeflenir.
Öncelikli kontrolleri uygulayın
Kritik erişimler, çalışan ayrılışları, MFA, yedekleme, dış destek hesapları ve olay bildirimi gibi yüksek riskli alanlar kapatılır.
Politikaları gerçek yapıyla eşleştirin
Hazır metinler yerine organizasyonun kullandığı sistem, görev, tedarikçi ve onay süreçlerini yansıtan dokümanlar oluşturulur.
Kanıt dizini oluşturun
Kontrolleri destekleyen ekran görüntüsü, liste, rapor, tutanak, test sonucu ve yönetim kararları kontrol maddeleriyle eşleştirilir.
İlk yönetim raporunu sunun
Risk görünümü, açık aksiyonlar, kaynak talepleri, kritik tedarikçiler ve gelecek dönem hedefleri karar alınabilir biçimde raporlanır.
Sürekli izleme takvimini başlatın
Aylık, üç aylık ve yıllık faaliyetler; sorumlu, tarih ve çıktı bilgileriyle takvime bağlanır.
İlk Bilgi Güvenliği Yönetim Raporunda neler yer almalıdır?
Yönetim raporu teknik ayrıntıların uzun listesi değil, karar alınmasını sağlayan bir risk ve aksiyon özetidir. Yönetimin hangi riskleri kabul ettiği, hangi kaynakların gerektiği ve hangi konuların gecikme riski taşıdığı açıkça görülmelidir.
Yönetici özeti
Genel olgunluk, en önemli gelişmeler ve karar bekleyen konular.
Kritik riskler
Etki, mevcut kontrol, risk sahibi ve planlanan iyileştirmeler.
Açık aksiyonlar
Öncelik, sorumlu, hedef tarih, gecikme ve kanıt durumu.
Olaylar
Dönem içi olaylar, etkiler, kök nedenler ve düzeltici faaliyetler.
Tedarikçi riskleri
Kritik dış hizmetler, erişimler ve sözleşmesel eksiklikler.
Kaynak ihtiyacı
Bütçe, personel, teknoloji ve yönetim kararı gerektiren başlıklar.
İlk 90 günde hangi kayıt ve kanıtlar oluşturulmalıdır?
Bilgi güvenliği faaliyetlerinin düzenli yürütüldüğünü göstermek için üretilen kanıtlar, yalnızca denetim günü değil, görevin sürekliliği açısından da önemlidir.
- Bilgi Güvenliği Sorumlusu atama kararı ve görev tanımı
- Raporlama hattı, sorumluluk ve iletişim matrisi
- Başlangıç toplantısı ve dönemsel toplantı tutanakları
- Mevcut durum ve gap analizi kayıtları
- Varlık ve risk envanterleri ile risk işleme planı
- Kullanıcı, yetki ve ayrıcalıklı hesap gözden geçirmeleri
- Dış hizmet sağlayıcı ve sözleşme değerlendirmeleri
- Yedekleme, geri dönüş ve süreklilik test sonuçları
- Güvenlik olayı ve düzeltici faaliyet kayıtları
- Politika ve prosedür gözden geçirme kayıtları
- Yönetim raporları, kararlar ve onaylanan aksiyonlar
- Kontrol maddeleriyle eşleştirilmiş kanıt dizini
Görevler ayrılığı ilk 90 günde nasıl kurulmalıdır?
Bilgi Güvenliği Sorumlusu ile sistemleri işleten kişi veya hizmet sağlayıcı aynı işlevi yerine getirmez. Teknik ekip sistemi kurar ve işletir; BGS ise riskleri, yetkileri, kayıtları ve kontrol sonuçlarını bağımsız bakışla izler ve yönetime raporlar.
Teknik işletim
- Kullanıcı ve sistem işlemleri
- Yapılandırma ve güncelleme
- Yedekleme operasyonu
- Firewall ve uç nokta yönetimi
- Helpdesk ve teknik destek
BGS gözetimi
- Risk ve kontrol değerlendirmesi
- Yetki ve görevler ayrılığı kontrolü
- Kanıt ve aksiyon takibi
- Olay ve tedarikçi gözetimi
- Üst yönetim raporlaması
Dış kaynak Bilgi Güvenliği Sorumlusu modelinde ilk 90 gün
Outsource modelde başarı, danışmanın yalnızca toplantıya katılmasıyla değil; kuruluş içindeki sorumlularla düzenli çalışması, bilgiye erişebilmesi, aksiyonları takip etmesi ve yönetim seviyesinde etkili raporlama yapabilmesiyle sağlanır.
Hizmet sözleşmesinde netleştirilmesi gerekenler
Hizmet kapsamı, toplantı ve raporlama periyodu, yerinde çalışma ihtiyacı, gizlilik, bilgiye erişim, olay halinde iletişim, vekâlet, teslimatlar ve sorumluluk sınırları açık biçimde tanımlanmalıdır.
Outsource BGS ve vCISO hizmet modelini inceleyinİlk 90 günde sık yapılan hatalar
Atama yapıp görev ve faaliyet takvimi oluşturmamak
BGS'yi sistem yöneticisi veya helpdesk gibi konumlandırmak
Tüm kontrolleri aynı öncelikte ele almak
Yönetim raporlamasını teknik ayrıntılara boğmak
Dış IT firmasının yaptığı işlemleri bağımsız gözden geçirmemek
Hazır politika setlerini gerçek yapıya uyarlamamak
Kanıtları düzenli üretmek yerine denetim öncesi toplamaya çalışmak
Aksiyonlara sorumlu ve hedef tarih atamamak
İlk 90 günün sonunda hangi çıktılar hazır olmalıdır?
Onaylı görev, raporlama ve çalışma modeli
Kapsam ve kritik sistem/hizmet listesi
Madde bazlı mevcut durum ve gap analizi
Varlık ve risk envanterlerinin ilk sürümü
Öncelikli aksiyon ve risk işleme planı
Gözden geçirilmiş temel politika ve prosedürler
Tedarikçi ve dış erişim değerlendirmeleri
Yönetim raporu ve karar kayıtları
Kontrol–kanıt eşleştirmeli kanıt dizini
Sürekli izleme ve yıllık faaliyet takvimi