ISO 27001 Danışmanlığı: BT Tarafında Hazırlık ve Gap Analizi

ISO 27001 danışmanlığı, kurumun bilgi güvenliği yönetim sistemini belgelendirme denetimine hazır hale getirme işidir. Biz bu işin BT tarafını yapıyoruz: hangi kontrolün sizde karşılığı var, hangisi eksik, eksik olanın sunucu ve ağ tarafında ne anlama geldiği ve denetçinin isteyeceği kanıtın nasıl üretileceği. Sattığımız şey tek cümleyle şu: neyin nasıl olması gerektiği.

Bir mali müşavirin yaptığı işi düşünün. Size hangi kaydın nasıl tutulacağını, neyin belgelenmesi gerektiğini ve denetimde neyin sorulacağını söyler. Ama defteri her ay fiilen tutmak ayrı bir iştir, denetimi yapan da üçüncü bir taraftır. Üçü aynı masada oturmaz ve oturmaması iyidir. ISO 27001’de de düzen böyle: danışmanlık neyin gerektiğini çıkarır, uygunluk günlük işleyişte kurulur, belgeyi bağımsız bir kuruluş verir.

Standardın kendisini, Madde 4-10 ile Ek A’nın 93 kontrolünü ve belgelendirme aşamalarını merak ediyorsanız ISO 27001 belgesi rehberimizde uçtan uca yazdık; bu sayfa o rehberin ticari karşılığını, yani işi kimin nasıl yaptığını anlatıyor. Siber güvenlik hizmetimizin uyum kolu burasıdır.

ISO 27001 Danışmanlığında Ne Yapıyoruz, İş Nerede Bitiyor?

Yaptıklarımız:

• Gap analizi: mevcut durumun Ek A kontrolleri karşısındaki tablosu. Hangisi var, hangisi kısmen var, hangisi hiç yok.
• Teknik kontrollerin BT karşılığının çıkarılması. Standart “erişim kısıtlanmalıdır” der; bunun sizin ortamınızdaki karşılığının hangi grup, hangi policy ve hangi cihaz olduğunu yazan taraf biziz.
• Kanıt düzeninin kurulması. Denetimde beyan değil kanıt istenir ve bu düzenin temeli kurumun kendi BT dokümantasyonudur. Hangi kaydın nereden toplanacağı, ne kadar saklanacağı ve denetçiye nasıl gösterileceği baştan planlanır.
• Öncelik sırası. Bir günde kapanan kontrolle aylar süren kontrol aynı listede durmaz; takvimi belirleyen ikincilerdir.
• Denetim öncesi kontrol turu: belgelendirme denetiminden önce aynı soruların bizim tarafımızdan sorulması; açık kalan madde varsa denetçiden önce görülür.
• Sızma testi ve zafiyet taraması şartının karşılanması. Teknik doğrulama isteyen kontroller için sızma testi ve düzenli zafiyet taraması tarafı da bizde.

Bu işin bittiği yer:

• Belgeyi biz vermiyoruz. ISO 27001 belgesini yalnızca akredite bir belgelendirme kuruluşu düzenler ve danışmanlık yapan taraf aynı sistemi denetleyemez. Kuruluşu siz seçersiniz.
• Sistemi fiilen uygun hale getirmek ayrı ve geniş bir iştir. Yamaların geçilmesi, yedeklerin denenmesi, yetkilerin gözden geçirilmesi ve kayıtların toplanması bir proje değil süren bir düzendir; bu yüzden yönetilen hizmetin tam paketi kapsamında yürür. Kendi ekibiniz de sürdürebilir, o zaman teslim ettiğimiz yol haritası onların çalışma listesi olur.
• Yönetim sisteminin BT dışı tarafı bizim kapsamımız değil. İnsan kaynakları süreçleri, fiziksel güvenlik ve sözleşme yönetimi gibi maddeler bilgi güvenliği yönetim sisteminin parçasıdır ama BT tarafında karşılığı yoktur.

Benzetmenin koptuğu yeri de söyleyelim. Mali müşaviriniz isterse defterinizi kendisi tutar, ikisini birden yapmasında bir sakınca yoktur. ISO 27001’de bu mümkün değil: hazırlığı yapan taraf denetimi yapamaz, çünkü denetimin bütün değeri bağımsız olmasından gelir. Biz bu yüzden hep sizin tarafınızda dururuz, masanın karşı tarafına hiç geçmeyiz.

ISO 27001 Danışmanlığı Kime Gerekir?

ISO 27001’i isteyen bir kanun yok. 5651 ve KVKK sizi doğrudan bağlar, uymadığınızda karşınıza idari yaptırım çıkar; ISO 27001 ise kimsenin sizi zorlayamayacağı, kendi isteğinizle girdiğiniz bir belgelendirmedir.

Pratikte olan şey başka. Kanun zorlamayınca ticaret zorluyor: belgeyi kanun değil müşteriniz istiyor ve o noktada gönüllülük kâğıt üstünde kalıyor. Yani karar çoğu kurumda “bunu yapmalı mıyız?” diye değil, aşağıdaki dört durumdan biri kapıya dayandığında veriliyor.

• Müşteriniz ya da ihale şartnamesi istediğinde. En sık tetikleyici budur ve genellikle bir takvimle birlikte gelir. Belgesi olmayan tedarikçinin listeden düştüğü noktada iş, güvenlik kararı olmaktan çıkıp ticari bir karara dönüşür.
• Yurt dışına iş yaptığınızda. Karşı taraf sizi denetlemek yerine belgeye bakmayı tercih eder; belge o denetimin yerine geçer.
• KVKK tarafında zaten yol aldıysanız. Erişim yetkileri, kayıt tutma, yedekleme ve şifreleme gibi kalemlerde iki çerçeve aynı yere bakar. KVKK teknik uyum için yapılmış işin önemli bölümü ISO tarafında da sayılır.
• Bir olay yaşadıysanız. Fidye, veri sızıntısı ya da uzun bir kesinti sonrası kurumlar genellikle aynı soruyu sorar: bir daha olmaması için neyin yazılı olması gerekiyordu.

Bir de bu sayfanın kapsamına girmeyen bir durum var ve söylemek dürüstlük gereği: yalnızca duvara asılacak bir belge istiyorsanız, aradığınız şey bu değil. Denetim beyanla değil kanıtla ilerliyor ve kanıt ancak çalışan bir sistemden çıkıyor.

Gap Analizi: Neyin Eksik Olduğunu Ölçmek

Gap analizi bu işin ilk ve en belirleyici adımıdır, çünkü geri kalan her şeyin süresini ve bedelini o belirler.

Analiz sistem sayısına bakar, çalışan sayısına değil. Elli kişilik bir kurumda üç sunucu ve tek lokasyon varsa iş kısadır; aynı elli kişi dört lokasyona dağılmış, iki bulut hizmeti ve devralınmış bir sunucu odası varsa iş uzar. Sorulan soru her kalemde aynıdır: bu kontrol sizde var mı, varsa kanıtı nerede duruyor?

Çıkan tabloda üç sütun olur: kontrol, mevcut durum, yapılması gereken. Üçüncü sütun bu işin asıl ürünüdür ve genel ifadelerle yazılmaz. “Erişim yönetimi iyileştirilmeli” bir cümle değil bir erteleme; onun yerine hangi grubun hangi paylaşımdan çıkarılacağı, hangi hesabın kişiselleştirileceği ve hangi cihazın kayıt göndermeye başlayacağı yazılır.

BT Tarafındaki Teknik Kontroller Neye Bakar?

Ek A’nın 93 kontrolünün tamamı BT işi değildir, ama BT tarafına düşenler denetimin en çok kanıt istediği yerdir. Dördü sahada en sık açık çıkanlardır.

• Erişim ve kimlik. Kimin neye eriştiği yazılı mı, ortak hesap var mı, ayrılan personelin erişimi kapanıyor mu? Bunun altyapı karşılığı ağ erişim kontrolü tarafında kurulur. Firewall’da ortak bir hesabın “kim neyi değiştirdi?” sorusunu nasıl cevapsız bıraktığını, değişiklik kaydını ölçerek FortiGate admin hesabı yazımızda gösterdik.
• Kayıt ve izleme. Kimin ne zaman ne yaptığı bir yerde toplanıyor mu, o kayıt değiştirilebilir mi, ne kadar saklanıyor? Merkezî kayıt toplamanın nasıl kurulduğunu syslog rehberimizde, yasal saklama tarafını ise 5651 log yönetimi sayfamızda anlattık.
• Yedekleme ve süreklilik. Yedek alınıyor olması yetmez, denetimde sorulan şey geri dönüşün denenip denenmediğidir. Veri yedekleme ve felaket kurtarma tarafı bu kontrolün karşılığıdır.
• Sıkılaştırma ve zafiyet yönetimi: sunucu ve uç noktaların bilinen zayıf ayarlardan arındırılması, zafiyetlerin düzenli taranması ve kapatılması; güvenlik sıkılaştırma sayfamızın konusu.

Bu dördünün ortak noktası şu: hiçbiri bir belgeyle kapanmıyor. Her biri çalışan bir düzen istiyor ve denetçi de zaten o düzenin izini arıyor.

ISO 27001 Danışmanlığını Nasıl Yürütüyoruz?

Süreç dört adımdan geçer.

1. Kapsam görüşmesi. Hangi birimler, hangi lokasyonlar ve hangi sistemler belgenin kapsamına girecek. Kapsam ne kadar genişse iş o kadar uzar, bu yüzden ilk konuşulan konu budur.
2. Gap analizi. Mevcut durum çıkarılır, eksikler önceliklendirilir, yol haritası yazılır.
3. Uygulama takibi. Kimin yapacağı fark etmez, yapılıp yapılmadığı takip edilir. Kendi ekibiniz uyguluyorsa danışmanlık bu aşamada soru cevaplayan ve kontrol eden taraftır.
4. Denetime hazırlık. Kanıt dosyası derlenir, denetim öncesi kontrol turu yapılır, açık kalan maddeler kapatılır.

Belgelendirme denetimi bundan sonra başlar ve o masada biz yokuz. Denetçinin sorduğu soruların cevabı sistemin kendisinde ve dosyada durur; danışmanlığın işi de zaten o iki şeyi hazır bırakmaktır.

Sahada Ne Yaptık?

Bu sayfadaki işin karşılığı, uyum tarafında yürüttüğümüz projelerde görünür:

• 5651 uyum projesi: kayıtların merkezî olarak toplanması, değiştirilemez biçimde saklanması ve zaman damgasıyla mühürlenmesi. ISO tarafındaki kayıt ve izleme kontrollerinin istediği düzen tam olarak budur.
• Kamera sistemi ve KVKK uyum projesi: yüzlerce kameralı bir kurulumda kayıt sürelerinin ve saat doğruluğunun uyum gereği olarak ele alınması.
• Ağ erişimi sıkılaştırma projesi: ortak parolaların kişisel hesaplara taşınması, yani erişim kontrollerinin denetlenebilir hale gelmesi.

Standardın kendi metnini, 93 kontrolün tam listesini ve denetim aşamalarını ISO 27001 belgesi rehberimizde bulabilirsiniz.

ISO 27001 Danışmanlığı Fiyatını Ne Belirler?

Bandın nerede oturacağını dört kalem belirler.

• Kapsam: belgenin hangi birimleri ve hangi sistemleri kapsayacağı. Tek lokasyonda tek iş kolu ile çok lokasyonlu bir yapı aynı iş değildir.
• Mevcut durumun olgunluğu. Kayıt toplama, yedekleme ve erişim yönetimi tarafında bir düzen zaten varsa gap analizi kısa bir yol haritası çıkarır; hiçbiri yoksa liste uzar.
• Yalnız danışmanlık mı, uygunluk da mı? Bandın alt ucu danışmanlığın kendisidir. Sistemi standarda uygun hale getirme işi de isteniyorsa üstüne süren bir kalem biner ve bant üst uca yaklaşır.
• Takvim. Belirli bir denetim tarihine yetişilmesi gerekiyorsa iş sıkışır; sıkışan takvim maliyeti değiştirmez ama kapsamı daraltmayı gerektirebilir.

Teklifleri karşılaştırırken tek soru işinizi görür: teklif belge mi vaat ediyor, hazırlık mı? Belge vaat eden bir danışmanlık ya denetimin bağımsızlığını yanlış anlatıyordur ya da sizin yapacağınız işi kendi başarısı gibi yazıyordur. İkisi de aynı yerde, denetim gününde görünür.

Yazan İlker Pehlivan

BT Danışmanı | Ağ, Sistem ve Güvenlik Yönetimi

İlker Pehlivan, karmaşık BT altyapılarını ölçeklenebilir ve güvenli sistemlere dönüştürür. Buradaki rehberleri kendi laboratuvarında kurup ölçerek yazar.

LinkedIn