ISO 27001 BGYS Varlık Envanteri Nedir? Örnek Envanter Nasıl Hazırlanır?

TÜRKAK Akreditasyonlu ISO 27001 Sertifikası için varlık envanterinin önemini doğru anlamak gerekir. Bilgi Güvenliği Yönetim Sistemi varlık envanteri ISO 27001 standartının kalbidir. Doğru anlaşıldığında tüm doküman sistemi kusursuz çalışacaktır. Neden mi?

ISO 27001 varlık envanteri, şirketinizde korunması gereken her bilginin ve bu bilgiyi taşıyan her unsurun kayıtlı listesidir. Neyi koruyacağınızı bilmezseniz onu koruyamazsınız. Bu yüzden envanter, bilgi güvenliği yönetim sisteminin (BGYS) temelidir.

Bu rehberde envanteri sıfırdan nasıl hazırlayacağınızı gerçek bir örnek üzerinden öğreneceksiniz. Envanterde kullanılan tüm terimlerin anlamını ve denetçinin neye baktığını da göreceksiniz.

Varlık Envanteri Nedir?

Evinizi sigortalattığınızı düşünün. Sigortacı önce evde neler olduğunu sorar. Televizyonu, takıları ve önemli evrakları bir listeye yazarsınız. Her eşyanın değerini, nerede durduğunu ve başına ne gelebileceğini belirtirsiniz.

Varlık envanteri, bu listenin şirket versiyonudur. Tek fark, listede eşyaların yanında bilgilerin de bulunmasıdır. Müşteri listeniz, bordro kayıtlarınız ve e-posta hesaplarınız da birer varlıktır.

Standartta Varlık Envanterinin Yeri

• ISO/IEC 27001:2022 Ek-A 5.9: “Bilgi ve diğer ilişkili varlıkların envanteri” kontrolüdür. Envanterin oluşturulmasını ve sürdürülmesini ister.
• ISO/IEC 27002:2022 Madde 5.9: Bu kontrolün nasıl uygulanacağını anlatan rehberdir. Envanterin doğru, güncel ve tutarlı olmasını önerir.
• ISO/IEC 27001:2013 A.8.1.1: Aynı gerekliliğin eski sürümdeki karşılığıdır. Eski dokümanlarda bu numarayı görebilirsiniz.
• ISO/IEC 27001 Madde 6.1.2: Risk değerlendirmesini ister. Uygulamada risk değerlendirmesinin en sağlam dayanağı varlık envanteridir.

Kamu kurumları ve kritik altyapı işletmecileri için Bilgi ve İletişim Güvenliği Rehberi de varlık envanteri oluşturulmasını ister. Rehberin güncel sürümü Siber Güvenlik Başkanlığı tarafından yayımlanmaktadır.

Bilgi Varlığı ve İlişkili Varlık

2022 sürümü “varlık” kavramını ikiye ayırır. Bilgi varlığı, korunan asıl bilgidir. Müşteri sözleşmesi bir bilgi varlığıdır. İlişkili varlık ise bu bilgiyi saklayan, işleyen veya taşıyan unsurdur. Sözleşmenin durduğu sunucu ve arşiv dolabı ilişkili varlıklardır.

Birincil ve Destekleyici Varlıklar

Risk yönetimi standardı ISO/IEC 27005 benzer bir ayrım yapar. Birincil varlıklar bilgi ve iş süreçleridir. Destekleyici varlıklar ise donanım, yazılım, ağ, personel ve fiziksel alanlardır. Bir destekleyici varlık zarar gördüğünde ona bağlı birincil varlık da etkilenir. Bu bağlantıyı görmek, riskleri doğru değerlendirmenizi sağlar.

Varlık Envanteri Size Ne Kazandırır?

• Görünmeyeni görürsünüz: Yedeği alınmayan bir sunucu ancak listede olduğunda fark edilir.
• Sorumluluk netleşir: Her varlığın bir sahibi olur. Sorun çıktığında kime başvuracağınız bellidir.
• Bütçeyi doğru harcarsınız: Kritik varlıklara güçlü, önemsiz varlıklara basit önlem alırsınız.
• Olaylara hızlı müdahale edersiniz: Bir ihlal anında etkilenen sistemleri dakikalar içinde belirlersiniz.
• Denetimi geçersiniz: Denetçi, risk analizinin envantere dayandığını görmek ister.
• KVKK’ya hazırlanırsınız: Kişisel veri barındıran varlıkları tek bakışta görürsünüz.

Varlık Türleri: Neler Varlık Sayılır?

Bir şeyin varlık olup olmadığını anlamak için tek bir soru sorun: “Bu kaybolsa, çalınsa, değişse veya çalışmasa şirketim zarar görür mü?” Cevap evetse o bir varlıktır.

En sık unutulan varlıklar bulut hizmetleri, kâğıt dokümanlar ve çalışanların kendi cihazlarıdır. BT’nin haberi olmadan kullanılan uygulamalara gölge BT (shadow IT) denir. Bu uygulamalar da envantere alınmalıdır.

Envanterde Bulunması Gereken Alanlar ve Terimler

Envanter tablosundaki her sütun bir soruya cevap verir. Aşağıda bu alanları sekiz grupta topladık. Küçük bir işletme için ilk dört grup çoğu zaman yeterlidir. Kuruluşunuz büyüdükçe diğer grupları da ekleyebilirsiniz.

1. Kimlik Bilgileri: “Bu varlık ne?”

2. Sorumluluk Bilgileri: “Bundan kim sorumlu?”

3. Konum ve Teknik Bilgiler: “Nerede ve neye bağlı?”

4. Değerlendirme Bilgileri: “Bu ne kadar önemli?”

Bu üç kavrama birlikte CIA üçlüsü (Confidentiality, Integrity, Availability) denir. Bilgi güvenliğinin tamamı bu üç ilkeye dayanır.

5. Sınıflandırma ve Mevzuat Bilgileri: “Kimlerle paylaşılabilir?”

6. Süreklilik Bilgileri: “Durursa ne kadar dayanırız?”

RTO ve RPO, iş sürekliliği planlamasında kullanılır. Bu alanlar ISO 22301 iş sürekliliği çalışmalarıyla da doğrudan bağlantılıdır.

7. Risk Bilgileri: “Başına ne gelebilir?”

Hırsızı tehdit, açık unutulan pencereyi zafiyet, evin soyulma ihtimalini ise risk olarak düşünebilirsiniz.

8. Takip Bilgileri: “En son ne zaman kontrol edildi?”

Varlık Sahibi, Sorumlu ve Kullanıcı Farkı

Bu üç rol en çok karıştırılan kavramlardır. Bir apartman örneği farkı netleştirir. Daire sahibi, daireye kimin girebileceğine karar verir. Kapıcı daireyi temiz ve güvenli tutar. Kiracı ise daireyi kullanır.

Varlık sahibi bir departmanın tamamı değil, belirli bir kişi veya unvan olmalıdır. Sahiplik, bilgiyi en iyi tanıyan iş biriminde olmalıdır. Her şeyin sahibini BT olarak yazmak en sık yapılan hatadır.

Gizlilik, Bütünlük ve Erişilebilirlik Puanlaması

Puanlama, varlıkları önem sırasına koymanızı sağlar. En yaygın kullanılan ölçek 1–3 arasıdır. Aşağıdaki ölçütler puan verirken size yol gösterir.

Varlık Değeri Nasıl Hesaplanır?

Bir varlığın puanlarının G=3, B=2, E=1 olduğunu varsayalım. Üç yaygın yöntemle varlık değeri şöyle çıkar:

Hangi yöntemi seçtiğinizi risk metodolojinizde yazılı olarak belirtin ve tüm varlıklarda aynı yöntemi uygulayın. Denetçi, tutarlılığa tek tek puanlardan daha fazla önem verir.

Bilgi Sınıflandırma ve Etiketleme

Sınıflandırma, bilginin kimlerle paylaşılabileceğini belirler. Etiketleme ise bu sınıfı herkesin görebileceği şekilde varlığın üzerine yazmaktır. Sınıf belirlendiğinde, bilginin nasıl saklanacağı, gönderileceği ve imha edileceği de belli olur.

Sınıflandırmanın bir varlığın en yüksek gizlilik puanıyla uyumlu olması gerekir. Gizlilik puanı 3 olan bir varlık “Genel” olarak sınıflandırılamaz.

Örnek Varlık Envanteri ve Risk Tablosu

Şimdi tüm bu bilgileri bir örnekte birleştirelim. 10 çalışanı olan hayali bir muhasebe bürosu düşünün. Büro, müşterilerinin bordro ve vergi işlerini yürütüyor. Puanlamada 1–3 ölçeği ve “en yüksek değer” yöntemi kullanılıyor.

Tablo 1: Varlık Envanteri

Tablo 2: Varlıklara Ait Riskler

Envanter hazır olduğunda her önemli varlık için şu soruyu sorarsınız: “Bunun başına ne gelebilir?” Bu örnekte olasılık ve etki 1–5 arasında puanlanmıştır. 15 ve üzeri risk değeri “yüksek” kabul edilmiştir.

Tablolara bakınca büronun öncelikleri hemen ortaya çıkar. Önce bordro klasörünün erişimi kısıtlanmalıdır. Ardından e-postaya iki aşamalı doğrulama eklenmeli, sunucu güncellemeleri ve yedek testleri düzene sokulmalıdır. Envanterin gücü budur: Görünmeyen riskleri sıraya koyar.

Risk puanlamasının ayrıntılı yöntemini varlık belirleme ve risk yönetim prosedürü sayfamızda bulabilirsiniz. Kendi tablonuz için ISO 27001 envanter kayıt listesi örneği şablonunu kullanabilirsiniz. Önlem sonrası kalan riskleri onaylatmak için artık risk onay belgesi örneği işinize yarar.

Departmanlara Göre Örnek Varlıklar

Envanteri hazırlarken her departmana ayrı ayrı bakmak hiçbir varlığı atlamamanızı sağlar. Aşağıdaki liste, hangi departmanda hangi varlıkları aramanız gerektiğini gösterir.

Yazılım veya e-ticaret alanında çalışıyorsanız yazılım ve e-ticaret firmaları için ISO 27001 rehberi size özel varlıkları ayrıntılı anlatır.

Varlık Envanteri Adım Adım Nasıl Hazırlanır?

1. Kapsamı belirleyin: BGYS’ye hangi lokasyonların, departmanların ve süreçlerin dahil olduğunu netleştirin. Envanter yalnızca bu kapsamdaki varlıkları içerir.
2. Yöntemi yazılı hâle getirin: Hangi alanları kullanacağınızı, puanlama ölçeğini ve değer hesaplama yöntemini belirleyin.
3. Varlıkları keşfedin: Aşağıdaki keşif yöntemlerini birlikte kullanın.
4. Varlıkları gruplayın: Aynı özellikteki ve aynı riski taşıyan 10 bilgisayarı tek satırda yazabilirsiniz.
5. Sahip, sorumlu ve kullanıcıları atayın: Her satıra bir isim veya unvan yazın.
6. G-B-E puanlarını verin: Puanlamayı varlık sahibiyle birlikte yapın. Bilginin önemini en iyi o bilir.
7. Sınıflandırın ve kişisel veriyi işaretleyin: Gizlilik sınıfını ve KVKK durumunu her satıra ekleyin.
8. Riskleri belirleyin: Değeri yüksek varlıklardan başlayarak tehdit ve zafiyetleri yazın.
9. Onaylatın ve yayınlayın: Envanteri üst yönetime onaylatın ve doküman kontrol sistemine alın.
10. Güncel tutun: Yeni bir cihaz, yazılım veya hizmet eklendiğinde envanteri aynı gün güncelleyin.

Varlıkları Keşfetme Yöntemleri

• Departman görüşmeleri: Her bölüme “İşinizi yapmak için hangi bilgi, program ve cihazları kullanıyorsunuz?” diye sorun.
• Demirbaş ve zimmet listeleri: Muhasebedeki sabit kıymet kayıtları donanımların çoğunu gösterir.
• Satın alma faturaları ve abonelikler: Kredi kartı ekstreleri, unutulan bulut hizmetlerini ortaya çıkarır.
• Ağ tarama araçları: Ağa bağlı tüm cihazları otomatik olarak listeler.
• Bulut yönetim panelleri: Kullanılan bulut kaynaklarını ve kullanıcı hesaplarını gösterir.
• Mobil cihaz yönetimi (MDM): Şirket telefonlarını ve çalışanların kendi cihazlarını (BYOD) takip eder.
• Süreç haritaları: Her iş adımında hangi bilginin kullanıldığını gösterir.

Envanter Hangi Araçla Tutulur?

Küçük ve orta ölçekli işletmeler için iyi tasarlanmış bir Excel tablosu yeterlidir. Varlık sayısı yüzleri aştığında BT varlık yönetimi (ITAM) yazılımları veya yapılandırma yönetim veritabanı (CMDB) takibi kolaylaştırır. Standart belirli bir araç şart koşmaz. Önemli olan envanterin doğru, güncel ve erişim kontrollü olmasıdır.

Varlık Yaşam Döngüsü

Bir varlık şirkete girdiği andan çıktığı ana kadar envanterde izlenmelidir. Her aşamanın kendi kaydı vardır.

En riskli aşama imhadır. Biçimlendirilmiş bir disk bile özel yazılımlarla okunabilir. Bu yüzden diskler güvenli silme yazılımıyla temizlenmeli veya fiziksel olarak imha edilmelidir.

Varlık Envanterinin Ek-A Kontrolleriyle İlişkisi

Varlık envanteri yalnızca bir kontrolü değil, ISO 27001:2022 Ek-A’daki birçok kontrolü besler. Aşağıdaki tablo bu bağlantıyı gösterir.

Bu kontrollerin hangilerini uyguladığınızı Uygulanabilirlik Bildirgesi içinde gerekçesiyle belirtirsiniz. Sisteminiz hâlâ 2013 sürümüne göre kuruluysa ISO 27001:2022 geçiş revizyonu hizmetimizi inceleyebilirsiniz.

Envanterin Beslediği Diğer Dokümanlar

• Risk değerlendirme tablosu: Her risk bir varlık numarasına bağlanır.
• Erişim matrisi: Kullanıcılar sütunu, kimin neye erişeceğini belirler. Bkz. erişim matrisi örneği.
• Yedekleme planı: Yedekleme durumu sütunu, neyin yedekleneceğini gösterir. Bkz. yedekleme politikası örneği.
• İş etki analizi (BIA): RTO ve RPO değerleri, kesintiye en az dayanabilen varlıkları ortaya koyar.
• Tedarikçi listesi: Tedarikçi sütunu, hangi firmalara bağımlı olduğunuzu gösterir.

ISO 27001 Varlık Envanteri ile KVKK Veri Envanteri Arasındaki Fark

İki envanter sık karıştırılır. Biri diğerinin yerine geçmez ama birbirini tamamlar.

İki envanteri ortak bir referans numarasıyla bağlamak, hem ISO 27001 hem KVKK denetiminde işinizi kolaylaştırır. Kişisel veri yönetimini bir adım ileri taşımak isterseniz ISO 27701 kişisel veri yönetimi belgesi sayfamıza göz atabilirsiniz.

Varlık Envanteri Hazırlarken Dikkat Edilmesi Gereken Noktalar

• Aşırı detaya boğulmayın: Her fareyi ve klavyeyi ayrı satıra yazmanıza gerek yoktur. Bilgi barındırmayan ekipmanları gruplayın.
• Çok genel de kalmayın: “Bilgisayarlar” gibi tek bir satır, farklı riskleri ayırt etmenizi engeller.
• Sahipliği BT’ye yüklemeyin: Muhasebe verisinin sahibi muhasebedir. BT yalnızca teknik altyapıyı yönetir.
• Bulut hizmetlerini unutmayın: E-posta, depolama ve SaaS uygulamaları da varlıktır.
• Kâğıt dokümanları atlamayın: Arşivdeki dosyalar dijital veriler kadar risk taşır.
• İnsanları göz ardı etmeyin: Bilgiyi tek başına taşıyan kişi, sistemin en zayıf halkası olabilir.
• Bağımlılıkları yazın: Bir sunucu durduğunda hangi yazılımların çalışmayacağını bilmelisiniz.
• Envanteri riskle bağlayın: Her risk satırı bir varlık numarası taşımalıdır.
• Puanlamada tutarlı olun: Benzer varlıklara farklı puanlar verilmemelidir.
• Envanteri koruyun: Envanter, saldırgan için bir hazine haritasıdır. Kendisi de “Gizli” sınıfında saklanmalıdır.
• Gerçekle uyumlu tutun: Denetçi listeden rastgele bir cihaz seçip yerinde görmek isteyebilir.
• Ayrılan personeli takip edin: İade edilmeyen her cihaz bir veri sızıntısı riskidir.

Hazırladığınız dokümanların eksiklerini uzman gözüyle görmek isterseniz mevcut doküman eksiklerinin belirlenmesi hizmetimizden yararlanabilirsiniz.

Denetimde Varlık Envanteri Nasıl İncelenir?

Denetçi, envanterin yalnızca var olup olmadığına bakmaz. Envanterin sistemin geri kalanıyla bağlantılı ve gerçekle uyumlu olup olmadığını kontrol eder. Denetimde sıkça sorulan sorular şunlardır:

• Kapsamdaki tüm lokasyon ve süreçlerin varlıkları listede mi?
• Her varlığın bir sahibi var mı ve sahip bu sorumluluğunu biliyor mu?
• Puanlama yöntemi yazılı mı ve tutarlı uygulanmış mı?
• Risk analizi envanterdeki varlıklara dayanıyor mu?
• Envanter en son ne zaman gözden geçirildi?
• Sahada görülen bir cihaz envanterde kayıtlı mı?
• İşten ayrılan personelin zimmetli varlıkları iade alındı mı?
• Hurdaya ayrılan cihazların verileri güvenli şekilde silindi mi?

Sahada görülen ama envanterde olmayan bir cihaz genellikle minör uygunsuzluk olarak yazılır. Envanterin hiç olmaması ise majör uygunsuzluk sebebidir. Farkı majör ve minör uygunsuzluk yazımızda öğrenebilirsiniz. İç tetkikte bu soruları kendiniz sormak için ISO 27001 iç tetkik soru listesi sayfamızı kullanabilirsiniz.

Varlık Envanteri Kontrol Listesi

Envanterinizi tamamladığınızda aşağıdaki listeyi tek tek işaretleyin. Tüm maddelere “evet” diyebiliyorsanız envanteriniz denetime hazırdır.

• Envanter, BGYS kapsamındaki tüm lokasyonları ve süreçleri kapsıyor.
• Bilgi, yazılım, donanım, ağ, hizmet, kâğıt ve insan varlıklarının tümü listede.
• Bulut hizmetleri ve SaaS uygulamaları eklendi.
• Her varlığın benzersiz bir numarası var.
• Her varlığın isim veya unvanla belirtilmiş bir sahibi var.
• Kullanıcılar ve zimmetli kişiler belirtildi.
• G, B ve E puanları verildi.
• Varlık değeri yazılı bir yöntemle ve tutarlı şekilde hesaplandı.
• Gizlilik sınıfları belirlendi ve G puanıyla uyumlu.
• Kişisel veri içeren varlıklar işaretlendi.
• Kritik varlıkların yedekleme durumu yazıldı.
• Değeri yüksek varlıklar için risk değerlendirmesi yapıldı.
• Envanter üst yönetim tarafından onaylandı.
• Envanterin kendisi erişim kontrolüyle korunuyor.
• Son gözden geçirme tarihi bir yıldan eski değil.

Envanterle birlikte hazırlanması gereken tüm belgeleri ISO 27001 doküman listesi sayfamızda bulabilirsiniz.

Varlık Envanteri Hakkında Sıkça Sorulan Sorular

ISO 27001’de varlık envanteri zorunlu mu?

Evet. Ek-A 5.9 kontrolü envanter oluşturulmasını ister. Bu kontrolü Uygulanabilirlik Bildirgesinde hariç tutmanın makul bir gerekçesi yoktur. Envanteri olmayan bir kuruluşun belgelendirme denetimini geçmesi pratikte mümkün değildir.

Varlık envanteri ile demirbaş listesi aynı şey mi?

Hayır. Demirbaş listesi yalnızca fiziksel eşyaları ve mali değerlerini içerir. Varlık envanteri ise bilgileri, yazılımları, hizmetleri ve insanları da kapsar. Değerlendirme mali değere göre değil, bilgi güvenliği önemine göre yapılır.

Varlık envanteri hangi programla hazırlanır?

Küçük ve orta ölçekli işletmeler için Excel yeterlidir. Varlık sayısı arttığında BT varlık yönetimi yazılımları veya CMDB takibi kolaylaştırır. Standart belirli bir araç şart koşmaz.

Envanter ne sıklıkla güncellenmelidir?

Envanter her değişiklikte anında güncellenmelidir. Buna ek olarak en az yılda bir kez baştan sona gözden geçirilmelidir.

G-B-E puanlamasında 1-3 mü, 1-5 mi kullanılmalı?

İkisi de kabul edilir. 1-3 ölçeği küçük işletmeler için daha anlaşılırdır. 1-5 ölçeği daha hassas ayrım yapmanızı sağlar. Önemli olan seçtiğiniz ölçeği tüm varlıklarda tutarlı kullanmanızdır.

Varlık sahibi ile kullanıcı arasındaki fark nedir?

Varlık sahibi, varlığın korunmasından ve erişim kararlarından sorumludur. Kullanıcı varlığı günlük işinde kullanır ama yetki veremez. Bir varlığın tek sahibi, birden fazla kullanıcısı olabilir.

İnsanlar neden varlık olarak sayılıyor?

Bazı kritik bilgiler yalnızca belirli kişilerin aklındadır. Bu kişiye ulaşılamadığında iş durabilir. İnsanları envantere eklemek, bu bağımlılığı görmenizi ve yedekleme planı yapmanızı sağlar.

Her bilgisayarı ayrı ayrı yazmak gerekir mi?

Aynı özellikte olan, aynı riski taşıyan ve aynı kurallarla yönetilen cihazları tek satırda gruplayabilirsiniz. Seri numarası ve zimmet takibini ise ayrı bir demirbaş veya zimmet listesinde tutabilirsiniz.

Çalışanların kişisel telefonları envantere girer mi?

Kişisel telefonlarda şirket e-postası veya müşteri verisi varsa girer. Bu cihazlar genellikle “BYOD cihazları” adıyla tek bir grup olarak kaydedilir ve mobil cihaz politikasıyla yönetilir.

Varlık envanteri kim tarafından onaylanır?

Envanter, BGYS sorumlusu tarafından hazırlanır ve üst yönetim tarafından onaylanır. Her varlığın puanlaması ise ilgili varlık sahibiyle birlikte yapılır.

Bilgi Güvenliğinizi Sağlam Bir Envanterle Başlatın

İyi hazırlanmış bir varlık envanteri, risk analizinden Uygulanabilirlik Bildirgesine kadar tüm BGYS’nin temelini oluşturur. Envanteri bir kez doğru kurduğunuzda sonraki her adım kolaylaşır.

Sisteminizi uçtan uca kurmak isterseniz ISO entegre doküman kurulumu hizmetimizi inceleyebilirsiniz.

TÜRKAK Akreditasyonlu ISO Belgelendirme sayfamıza göz atabilir veya TÜRKAK Onaylı ISO 27001 sayfamızşa devam edebilirsiniz.