Denetim Nedir?
Siber güvenlik denetimi, kuruluşun bilgi varlıklarını korumak için kurduğu kontrollerin varlığının ve etkinliğinin değerlendirilmesidir. Denetim, teknik kontrollerle sınırlı değildir: politika, yetkilendirme, tedarikçi yönetimi ve olay müdahale gibi yönetişim unsurları da kapsama girer.
Neden Yapılır?
Amaç, saldırı yüzeyini ve kontrol boşluklarını bir olay yaşanmadan önce belirlemektir.
Kim Talep Eder?
- Müşterisinden güvenlik güvencesi istenen teknoloji şirketleri
- ISO/IEC 27001 kuran veya sürdüren kuruluşlar
- Kritik altyapı ve düzenlenmiş sektörlerdeki işletmeler
- Kart verisi işleyen kuruluşlar (PCI DSS kapsamı)
- Tedarikçi güvenlik değerlendirmesine giren firmalar
Denetim Kriteri
Kriter, uygulanan çerçevedir: ISO/IEC 27001 Ek A kontrolleri, IEC 62443 (endüstriyel), PCI DSS, NIST CSF veya CIS Controls. Endüstriyel ortamda BT çerçevesinin doğrudan uygulanması yanlış sonuç verir; OT'ye uygun kriter seçilmelidir.
Denetim Kapsamı
- Bilgi güvenliği politikaları ve yönetişim yapısı
- Varlık envanteri ve sınıflandırma
- Risk değerlendirme süreci ve Uygulanabilirlik Bildirgesi
- Kimlik ve erişim yönetimi, ayrıcalıklı hesaplar
- Ağ segmentasyonu ve sınır güvenliği
- Uç nokta koruması ve yama yönetimi
- Kriptografi ve anahtar yönetimi
- Günlük kaydı, izleme ve tespit yetenekleri
- Yedekleme ve geri dönüş testleri
- Güvenli yazılım geliştirme uygulamaları
- Tedarikçi ve bulut hizmet sağlayıcı güvenliği
- Olay müdahale planı ve tatbikatları
- İş sürekliliği ve felaket kurtarma
- Farkındalık eğitimleri ve insan faktörü
İlgili Standartlar
- ISO/IEC 27001
- ISO/IEC 27002
- IEC 62443
- PCI DSS
- NIST CSF
- ISO 19011
Denetim Süreci
- 1Uygulanacak Kriterin SeçimiDenetim hangi standarda, şemaya veya mevzuata göre yapılacaksa belirlenir; konu bazlı denetimlerde kriter seçimi sonucun anlamını doğrudan belirler.
- 2Risk Değerlendirmesi ve KapsamKuruluşun faaliyeti ve bulunduğu coğrafyaya göre risk alanları belirlenir; denetim gün sayısı buna göre planlanır.
- 3Doküman ve Kayıt İncelemesiPolitika, prosedür, izin, ölçüm kayıtları ve önceki denetim sonuçları incelenir.
- 4Saha Denetimiİlgili alanlar gezilir; konuya özgü ölçüm, gözlem ve kayıt kontrolü yapılır.
- 5Çalışan GörüşmeleriKonu gerektiriyorsa çalışanlarla yönetimden bağımsız ve gizli görüşmeler yapılır; kayıtlarla beyanlar karşılaştırılır.
- 6Yasal Uyum DeğerlendirmesiYürürlükteki mevzuata uyum ayrıca kontrol edilir; yasal uygunsuzluk her şemada en ağır bulgu kategorisindedir.
- 7Bulguların RaporlanmasıBulgular önem derecesine göre sınıflandırılır ve rapor hâline getirilir.
- 8Düzeltici Faaliyet ve TakipDüzeltici faaliyet planı alınır; şemanın öngördüğü sürede kapatılması takip edilir.
Bulgular
Bulgular risk seviyesine göre önceliklendirilir. Doğrudan sömürülebilir bir zafiyet ile eksik bir politika dokümanı aynı ağırlıkta değildir; raporda bu ayrım açıkça yapılır ve düzeltme sırası riske göre önerilir.
Denetim Raporu
- Denetim kuruluşu, denetçi ve denetlenen taraf bilgileri
- Uygulanan standart, şema veya mevzuat
- Denetim tarihi, süresi ve kapsamı
- Doküman ve kayıt incelemesi bulguları
- Saha gözlemleri ve ölçüm sonuçları
- Çalışan görüşmesi bulguları (yapıldıysa)
- Yasal uyum değerlendirmesi
- Bulgular, önem dereceleri ve kanıtlar
- Düzeltici faaliyet planı ve süreler
Çıktının Sınırı
Siber güvenlik denetimi kontrollerin varlığını ve tasarımını değerlendirir; her kontrolün her an etkin çalıştığını garanti etmez. Denetim belirli bir tarihteki durumu gösterir ve tehdit ortamı sürekli değişir. Ayrıca denetim bir sızma testi değildir: zafiyetlerin fiilen sömürülebilir olup olmadığı ayrı bir teknik test konusudur.
Akreditasyon
Denetimin akreditasyonu, denetimin türüne göre değişir. Yönetim sistemi belgelendirmesine dayanak olan üçüncü taraf denetimleri ISO/IEC 17021-1, ürün belgelendirmesine dayanak olanlar ISO/IEC 17065 kapsamında yürütülür ve bu kapsamlar akreditasyona tabidir. Birinci ve ikinci taraf denetimleri ile şema sahibinin kendi kurallarına bağlı denetimler (SMETA, amfori BSCI gibi) akredite belgelendirme kapsamında değildir; bunlar ISO 19011 kılavuzuna göre yürütülür ve rapor üretir. EUROLAB, ISO/IEC 17021-1 ve ISO/IEC 17065 kapsamlarında IAF çok taraflı tanınma anlaşmasına taraf akreditasyon kuruluşlarından alınmış uluslararası tanınan akreditasyona sahiptir; hangi denetimin akredite kapsamda sunulabildiği teklif aşamasında yazılı olarak teyit edilir.
Kapsam ve yetkilerİlgili Denetimler
Sık Sorulan Sorular
Denetim ile sızma testi arasındaki fark nedir?
Denetim kontrollerin varlığını ve yönetişimi değerlendirir; kapsamı geniştir. Sızma testi ise zafiyetlerin gerçekten sömürülebilir olup olmadığını saldırgan bakış açısıyla dener; kapsamı dar ama derindir. İkisi birbirini tamamlar.
Endüstriyel sistemlerimiz için de aynı denetim geçerli mi?
Değildir. Operasyonel teknolojide öncelik sırası farklıdır: erişilebilirlik ve süreç güvenliği gizlilikten önce gelir; ayrıca sistemler yamalanamayabilir ve kesintiye tolerans yoktur. Bu ortamda IEC 62443 kriter olarak kullanılmalıdır.
Bu denetim sonucunda belge alır mıyım?
Denetimin hangi çerçevede yapıldığına bağlıdır. Akredite bir belgelendirme şeması kapsamında yürütülürse belgeye bağlanabilir; müşteri talebiyle veya iç değerlendirme amacıyla yapılan denetimlerin çıktısı ise rapordur.
Yasal uyum ayrıca kontrol ediliyor mu?
Evet ve her konu bazlı denetimde en ağır bulgu kategorisi yasal uygunsuzluktur. Yönetim sistemi ne kadar iyi kurulmuş olursa olsun, yürürlükteki mevzuata aykırılık tespit edilirse bu öncelikli olarak raporlanır.