İçindekiler
ISO 27001 Risk Fırsat Analiz Prosedürü, bilgi güvenliği süreçlerinden kaynaklanan tehlike ve risklerin nasıl belirleneceğini ve risk aksiyon planlarının nasıl oluşturulacağını tanımlayan dokümandır. Bu yazıda prosedürün amacını, risk hesaplama yöntemini ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 Risk Fırsat Analiz Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001:2017 Madde 6.1 kapsamında risk odaklı proses yaklaşımıyla bilgi güvenliğini artırmak, korumak ve sürdürmek için gerekli önleyici tedbirlerin gerçekleşmeden önce fark edilmesini ve olası fırsatların öngörülmesini sağlamaktır. Standardın “risk” kadar “fırsat” kavramına da yer vermesi bilinçli bir tercihtir; çünkü bir tehdidin doğru yönetilmesi çoğu zaman kuruluşa rekabet avantajı sağlayan bir fırsata da dönüşebilir. Sorumluluk başta risk analiz ekip lideri olmak üzere tüm risk analiz ekibindedir.
Risk Değerlendirme Toplantıları Nasıl Yürütülür?
Risk değerlendirme toplantıları yılda bir kez, Yönetimin Gözden Geçirmesi (YGG) toplantısından bir ay önce gerçekleştirilir ve sonuçlar YGG’de tekrar gözden geçirilir. Toplantı, bir önceki yıla ait risk aksiyon planlarının ve sonuçlarının değerlendirilmesiyle başlar; yani her yılki analiz, bir öncekinin üzerine inşa edilir ve kopuk bir başlangıç yapılmaz. Yıl içinde gerçekleşen uygunsuzluklar, şikâyetler ve düzeltici faaliyetler de gözden geçirilerek gerekli aksiyonlar risk belirleme formuyla açılır. Acil aksiyon gerektiren durumlarda ekip lideri toplantı beklemeden risk ve aksiyon planını onaylayabilir; bu esneklik, ciddi bir güvenlik açığının yıllık toplantı takvimine takılıp gecikmesini önler, değişiklik yine de bir sonraki toplantıda resmi olarak gözden geçirmeye tabi tutulur.
Risk Puanı Nasıl Hesaplanır?
Risk puanı, Riskin Olasılığı × Riskin Şiddeti formülüyle hesaplanır. Şiddet ve olasılık her biri 1-5 arası puanlanır; elde edilen risk puanı Mavi (en düşük öncelik), Sarı (kabul edilebilir), Turuncu (orta aciliyet) ve Kırmızı (acil müdahale gereken) olmak üzere dört risk sınıfından birine karşılık gelir. Bu basit ama etkili puanlama sistemi, onlarca riskin aynı anda değerlendirildiği büyük kuruluşlarda önceliklendirmeyi kolaylaştırır. Etki derecesi 5 puan olan riskler, olasılığı ne kadar düşük olursa olsun, periyoduna bakılmaksızın mutlaka aksiyon planlanmasını gerektirir; bu kural, “düşük ihtimal ama yüksek etki” türü felaket senaryolarının gözden kaçmamasını garanti eder.
Fırsatlar Nasıl Değerlendirilir ve Denetimde Ne Aranır?
Her bölüm risk değerlendirmesi yaparken olası fırsatları da Bağlam Risk Fırsat Etki Değerlendirme Planında ayrıca değerlendirir; böylece risk yönetimi yalnızca savunmacı bir faaliyet olmaktan çıkar. Denetçiler bu prosedürü incelerken genellikle toplantıların takvime uygun yapılıp yapılmadığını, kırmızı sınıfa giren risklerin somut aksiyonlarla kapatılıp kapatılmadığını ve acil aksiyonların sonradan usulüne uygun gözden geçirilip geçirilmediğini kontrol eder. Bu prosedür; Bağlam Risk ve Fırsat Değerlendirme Talimatı, Risk Fırsat Analiz Toplantı Planı ve Karar Formu ile birlikte kullanılır ve ISO 27001 belgesi denetimlerinde risk yönetiminin sistematik ve sürekli yürütüldüğünün kanıtıdır.