İçindekiler
ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürü, kuruluşun bilgi varlıklarının tespit edilmesini, sınıflandırılmasını ve bu varlıklara yönelik risklerin gizlilik-bütünlük-erişilebilirlik ekseninde değerlendirilmesini tanımlayan dokümandır. Bu yazıda prosedürün amacını, varlık sınıflandırma yöntemini, risk hesaplama formülünü ve risklerin nasıl işlendiğini ISO 27001 kapsamında ele alıyoruz.
ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001:2017 Madde 8.2-8.3 kapsamında iş sürekliliği açısından değerli varlıklara gelebilecek tehditlerin tespit edilmesi ve gerekli önlemlerin planlanması için izlenecek yolu belirlemektir. Bir kuruluş hangi varlıklara sahip olduğunu net şekilde bilmeden, o varlıkları koruyamaz; bu nedenle varlık envanteri, tüm risk yönetiminin temelini oluşturur. Uygulamadan Genel Müdür ve Bilgi Güvenliği Ekibi başta olmak üzere tüm çalışanlar sorumludur, çünkü her departman kendi alanındaki varlıkları en iyi tanıyan taraftır.
Varlıklar Nasıl Sınıflandırılır?
Kuruluş varlıkları; insan kaynağı, yazılım, donanım, altyapı ekipmanı, şirket bilgileri, müşteri bilgileri, üçüncü şahıs bilgileri ve finansal kaynaklar olmak üzere sekiz ana kategoriye ayrılır. Varlıklar ayrıca gizlilik derecelerine göre Çok Gizli, Gizli, İç Kullanım, Halka Açık ve Önemsiz Bilgi olmak üzere beş sınıfa ayrılır ve her sınıf kendi kurallarına göre saklanır, etiketlenir ve iletilir. Bu ikili sınıflandırma (varlık türü + gizlilik derecesi), aynı türdeki iki varlığın bile farklı koruma seviyesi gerektirebileceğini açıkça gösterir; örneğin iki müşteri bilgisi dosyasından biri halka açık bir broşür, diğeri çok gizli bir sözleşme olabilir.
Risk Değeri Nasıl Hesaplanır?
- Her varlık için Gizlilik, Bütünlük ve Erişilebilirlik etki seviyeleri 1-5 arası puanlanır; ortalaması Varlık Değerini (A) belirler.
- Risk Değeri (R) = Varlık Değeri (A) × Olasılık (B) × Etki (C) formülüyle hesaplanır.
- Risk değeri; Çok Yüksek (Kırmızı), Yüksek (Mavi), Dikkate Değer (Sarı) ve Kabul Edilebilir (Yeşil) olmak üzere sınıflandırılır.
- Tehdit Listesi ve Zayıflık Listesi, varlıklara yönelik risklerin tespitinde referans olarak kullanılır.
Bu formülün varlık değerini de hesaba katması önemlidir; çünkü aynı olasılık ve etkiye sahip iki tehdit, değeri düşük bir varlık için kabul edilebilirken değeri yüksek bir varlık için acil müdahale gerektirebilir.
Tespit Edilen Riskler Nasıl İşlenir?
Kabul edilebilir seviyenin üzerindeki riskler için dört işleme yöntemi uygulanır: Azaltma (ISO 27001 Ek-A kontrollerinin uygulanması), Kaçınma (risk kaynağı uygulamanın devre dışı bırakılması), Transfer (sigorta, itfaiye gibi üçüncü taraflara aktarım) ve Kabul (kabul edilebilir seviyeye yakın risklerin yönetim onayıyla kabulü). Kabul edilebilir seviyeye çekilemeyen riskler “Artık Risk” olarak Artık Risk Onay Belgesi ile üst yönetim tarafından resmi olarak onaylanır; bu adım, hiçbir riskin sessizce göz ardı edilmediğinin, her kalan riskin bilinçli bir yönetim kararı olduğunun garantisidir. Denetçiler bu prosedürü incelerken genellikle varlık envanterinin güncelliğini ve seçilen işleme yönteminin risk seviyesiyle tutarlılığını sorgular. Bu prosedür, ISO 27001 belgesi denetimlerinde varlık envanterinin ve risk değerlendirme metodolojisinin sistematik yürütüldüğünün kanıtıdır.