İçindekiler
ISO 27001 Süreklilik ve Acil Durum Yönetim Prosedürü, doğal afet, donanım arızası, yazılım hatası veya kritik personel kaybı gibi mücbir sebepler karşısında hizmetlerin kesintisiz sürdürülmesini planlayan prosedürdür. Bu yazıda prosedürün amacını, kapsadığı riskleri ve ISO 27001 denetiminde iş sürekliliğinin bilgi güvenliğinin ayrılmaz parçası sayılma nedenini ele alıyoruz.
ISO 27001 Süreklilik ve Acil Durum Yönetim Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001 Madde 17 (İş Sürekliliği Yönetiminin Bilgi Güvenliği Yönleri) kapsamında hizmetlerin mücbir sebeplerle kesilmesi halinde tekrar çalışır hale getirilmesini planlamaktır. Süreçten BGYS Temsilcisi sorumludur. Bu prosedür, İş Sürekliliği Planı ve Acil Durum Genel Koruma Planı gibi daha spesifik dokümanların üzerine kurulduğu üst çerçeveyi oluşturur.
Prosedür Hangi Riskleri Kapsar?
- Doğal afetler, yangın, donanım arızası/kaybı, ana/alt ağ anahtarı arızaları
- Yazılımsal hatalar, güncelleme kaynaklı sorunlar, sistem çökmesi
- Ana/ara iletişim hatları arızaları, elektrik şebekesi kesintileri, kritik personel kaybı
Risklerin bu kadar geniş bir yelpazede (fiziksel, yazılımsal, iletişim, insan kaynağı) tanımlanması, “sürekliliği” tehdit edebilecek hiçbir senaryonun göz ardı edilmediğini gösterir; bir kuruluş yalnızca teknik arızalara odaklanıp kritik bir uzmanın ayrılma ihtimalini göz ardı ederse, planlaması eksik kalır.
Hangi Önlemler Alınır ve Denetimde Ne Aranır?
Kritik yazılım ve sunucular düzenli olarak yedeklenir, kritik sistemler için donanımsal yedeklilik (redundancy) sağlanır ve elektrik kesintileri için UPS ve jeneratör desteği bulunur. Denetçiler bu prosedürü incelerken genellikle yedekleme ve redundancy önlemlerinin tüm risk kategorilerine karşılık gelip gelmediğini, yani her tanımlı riskin somut bir karşı önlemi olup olmadığını sorgular. Bu prosedür, ISO 27001 belgesi denetimlerinde hizmet sürekliliğinin kapsamlı ve planlı şekilde güvence altına alındığının kanıtıdır.