ISO 27001 bilgi varlıkları envanteri, ISMS kapsamındaki bilgi ve destekleyici varlıkların sahipleri, konumları ve güvenlik gereksinimleriyle kaydedilmesiyle hazırlanır. ISO 27001 bilgi varlıkları envanteri nasıl hazırlanır sorusunun pratik yanıtı; kapsamı netleştirmek, varlıkları keşfetmek, sınıflandırmak ve risk değerlendirmesine bağlamaktır. Çalışma birkaç gün de sürebilir, daha uzun da; süre kuruluşun büyüklüğüne, lokasyon ve sistem sayısına bağlıdır. Orta düzey koordinasyon gerektirir.
Başlamadan önce hangi hazırlıkları yapmalısınız?
Envanter çalışmasına başlamadan önce ISMS kapsamını, ilgili süreçleri ve çalışmayı yürütecek kişileri netleştirin. Süre için sabit bir takvim yoktur; çok lokasyonlu yapılarda bilgi toplama ve doğrulama daha fazla koordinasyon ister.
Gereken malzeme ve ön koşulları belirleyin
- Kapsam bilgisi: ISMS’nin (Bilgi Güvenliği Yönetim Sistemi) kapsamını, kapsam içindeki birimleri ve lokasyonları gösteren dokümanları hazırlayın.
- Mevcut kayıtlar: Donanım envanteri, yazılım envanteri, ağ şemaları, süreç dokümanları ve tedarikçi listesini toplayın.
- Çalışma ekibi: Bilgi teknolojileri, süreç sahipleri, insan kaynakları ve ilgili birimlerden temsilci belirleyin. Varlığı kullanan çalışanlara danışmak, kayıtlarda görünmeyen dosya ve araçları fark etmeye yardımcı olur.
- Kayıt aracı: Varlıkları, sorumluları ve sınıflandırmaları izleyebileceğiniz kontrollü bir tablo veya envanter sistemi seçin; düzenleme yetkisini sınırlandırın.
Mevcut kayıtlar başlangıç noktasıdır, eksiksiz envanter oldukları varsayılmamalıdır. ISO 27001 belgelendirme kapsamını ve hazırlık sürecini anlamak için ISO 27001 Bilgi Güvenliği bilgilerine de bakabilirsiniz.
Envanterde hangi bilgiler bulunmalı?
Her kayıt, varlığı tanımaya, sorumlusunu bulmaya ve uygun güvenlik kontrollerini seçmeye yetecek bilgileri içermelidir. Alanları işletmenin risklerine göre düzenleyin; gereksiz ayrıntı kayıtların güncel tutulmasını zorlaştırır.
1. ISMS kapsamını kesinleştirin
Kapsam içindeki süreçleri, birimleri, lokasyonları ve sistemleri yazılı hâle getirin. Böylece envanterin sınırı belli olur ve kapsam dışındaki kayıtlarla denetim kanıtları birbirine karışmaz.
2. Varlıkları süreçlerden keşfedin
İş süreçlerini izleyerek bilgi varlıklarını ve onları işleyen destekleyici unsurları belirleyin. Elektronik dosyaların yanında kâğıt kayıtları, sunucuları, dizüstü bilgisayarları, yazılımları, bulut hizmetlerini ve üçüncü taraf hizmetlerini de değerlendirin. Yazılım firmalarında kod depoları, geliştirme ortamları ve bulut hesapları ayrıca incelenmelidir; bu kapsam için yazılım firmalarında ISO 27001 uygulamasına göz atabilirsiniz.
3. Varlık sahibi ve konumunu kaydedin
Her varlığa, korunmasından ve kaydının doğruluğundan sorumlu bir varlık sahibi atayın. Fiziksel veya dijital konumu, erişen birimleri ve varsa hizmet sağlayıcıyı belirtin; sistem yöneticisini her zaman varlık sahibi olarak kabul etmeyin, iki görev farklı olabilir.
4. ISO 27001 bilgi varlıkları envanteri nasıl hazırlanır? Kayıt alanlarını düzenleyin
Envanterde varlık adı, türü, açıklaması, sahibi, konumu, ilişkili süreç, saklama veya işleme ortamı ve güncelleme tarihi için alan açın. Gizlilik, bütünlük ve erişilebilirlik gereksinimlerini de kaydedin. Bu alanlar, bir varlığın ne olduğunu ve hangi güvenlik ihtiyacını taşıdığını denetimde izlenebilir kılar.
5. Varlıkları önem ve hassasiyetlerine göre sınıflandırın
Bilgileri kurumun belirlediği sınıflandırma kurallarına göre değerlendirin; örneğin kişisel veri, ticari sır veya kamuya açık bilgi ayrımını kullanın. Varlık değerini yalnızca maliyetle ölçmeyin: bilginin açığa çıkması, değiştirilmesi ya da kullanılamaması iş süreçlerini nasıl etkiler, bunu da dikkate alın. Ürün formülleri gibi hassas kayıtlar envanterde tanımlanmalı; ilgili ürün bilgisinin hazırlanmasına dair ISO 16128 kayıtları da ihtiyaç varsa ayrı izlenmelidir.
6. Risk değerlendirmesine bağlayıp onaylayın
Sınıflandırma sonuçlarını risk değerlendirmesinde kullanın ve varlığın maruz kaldığı tehditlerle ilişkilendirin. Varlık sahibi kaydı doğrulasın; envanter sorumlusu eksikleri kontrol etsin. ISO 19650 bilgi yönetimi ve proje bilgi gereksinimleri proje teslimatlarına odaklanır; bunları ISO 27001 varlık envanterinin yerine geçen bir kayıt olarak değerlendirmeyin.
Envanter hazırlanırken sorunlar nasıl giderilir?
Eksik, mükerrer veya sahipsiz kayıtları tespit edip doğrulama sürecine alın; kaydı silmeden önce varlığın başka adla kullanılıp kullanılmadığını kontrol edin. Düzenli kontrol, envanterin denetim tarihinde değil, iş süreçleri değiştikçe de güvenilir kalmasına yardım eder.
Eksik, mükerrer veya sahipsiz kayıtları düzeltin
| Belirti | Olası neden | Çözüm |
|---|---|---|
| Aynı varlık birden fazla satırda | Farklı adlandırma veya kaynak listelerin birleştirilmesi | Varlık kimliği, konum ve sahibi karşılaştırın; tek kayıtta birleştirip iz bırakın. |
| Sahibi belirtilmemiş | Sorumluluk tanımlanmamış ya da kişi değişmiş | İlgili süreç yöneticisiyle sorumlu birimi belirleyin ve sahibi onaylatın. |
| Hizmet veya sistem envanterde yok | Bulut, taşeron ya da gölge yazılım gözden kaçmış | Satın alma kayıtları, erişim listeleri ve birim görüşmeleriyle kontrol edin. |
| Güvenlik sınıfı belirsiz | Bilgi sahibi veya sınıflandırma ölçütü net değil | Verinin kullanımını ve olası etkisini değerlendirip sınıfı sorumluya doğrulatın. |
Envanter güncellemesini yeni sistem kurulumu, hizmet sağlayıcı değişikliği, süreç değişikliği ve varlık devri gibi olaylara bağlayın. Her kayda son doğrulama tarihini eklemek, uzun süredir kontrol edilmeyen varlıkları görünür kılar.
ISO 27001 bilgi varlıkları envanteri nasıl hazırlanır sorusuna verilecek en sağlam yanıt, tek seferlik liste oluşturmak değil; sahipliği, sınıflandırmayı ve güncellemeyi aynı iş akışına bağlamaktır. İlk adım olarak ISMS kapsamını çıkarın ve her birimden mevcut varlık kayıtlarını isteyin.
Ardından kayıtları süreç sahipleriyle doğrulayın. ISO 27001 bilgi varlıkları envanterini bu şekilde kurmak, hem risk değerlendirmesini hem de denetimde varlığın kim tarafından ve nerede yönetildiğini göstermeyi kolaylaştırır.
