Kısa yanıt: ISO 27001 risk analizi, bilgi varlıklarını tehdit eden riskleri belirleyip olasılık ve etkilerine göre değerlendirir. Uygulanabilir bir örnekte varlık, tehdit, zafiyet, mevcut kontrol, risk puanı, risk sahibi ve işleme kararı birlikte kaydedilir; ardından önlem, sorumlu ve izleme yöntemi risk işleme planına bağlanır.
Belgelendirme denetimine hazırlanan ya da bilgi güvenliği süreçlerini düzenlemek isteyen kuruluşlar için analiz, hangi risklerin önce ele alınacağını gösterir. Puanlama tek başına yeterli değildir; kaydın varlık envanteri ve alınacak önlemlerle tutarlı olması gerekir.
ISO 27001 risk analizi; yazılım şirketlerinden okullara, sağlık kuruluşlarından üreticilere kadar bilgi işleyen her tür işletmede kullanılabilir. Kapsamı belirlerken hangi lokasyonların, süreçlerin, sistemlerin ve dış hizmetlerin değerlendirmeye gireceğini netleştirin.
ISO 27001 risk analizi nedir?
ISO 27001 risk analizi, bilgi varlıklarına yönelik tehdit ve zafiyetleri değerlendirerek güvenlik risklerini görünür kılar. Bilgi güvenliği yönetim sisteminin parçası olan bu çalışma; risklerin ölçütlere göre değerlendirilmesine, kabul edilmesine veya işleme alınmasına temel oluşturur. Önce kapsam ve varlıklar belirlenir, ardından varlıkların gizlilik, bütünlük ve erişilebilirliğini etkileyebilecek durumlar incelenir.
Örneğin müşteri verilerini barındıran bir sunucuda kimlik bilgilerinin çalınması tehdit, çok faktörlü doğrulamanın bulunmaması ise zafiyet olabilir. Varlık listesini oluşturma adımları için bilgi varlıkları envanteri rehberinden yararlanabilirsiniz. Belgelendirme kapsamı ve sistem gereklilikleri için de ISO 27001 Bilgi Güvenliği sayfası ilgili bilgileri sunar.
ISO 27001 risk analizi hangi sorulara cevap verir?
Analiz, hangi varlığın risk altında olduğunu, tehdidin nasıl gerçekleşebileceğini ve olası sonucun ne kadar ağır olacağını gösterir. Mevcut kontrollerin riski azaltıp azaltmadığı, risk sahibinin kim olduğu ve hangi ek önlemin gerektiği de kayıtta yanıtlanır.
Analiz hangi işletme ve süreçlerde kullanılır?
Bilgi işleyen tüm işletmelerde uygulanabilir; kapsam, kuruluşun faaliyetlerine göre seçilir. İnsan kaynakları kayıtları, üretim sistemleri, bulut hizmetleri, tedarikçiler ve yedekleme süreçleri değerlendirilebilecek örneklerdir. Dışarıdan alınan bir hizmet de kapsam içindeki bilgi varlıklarını etkiliyorsa incelenmelidir.
Riskler nasıl puanlanır ve hangi değerlendirme yöntemleri kullanılır?
Riskleri, kuruluşun belirlediği ölçütlere göre olasılık ve etki bakımından puanlayıp kabul edilebilirlik seviyeleriyle karşılaştırın. ISO 27001 risk analizi için tek ve zorunlu bir puanlama formülü yoktur; yöntemin tutarlı, anlaşılır ve kuruluşun riskleri ayırt etmesine elverişli olması gerekir.
Örnek olarak 1-5 ölçeğinde olasılık 4, etki 5 ise çarpım yöntemiyle risk puanı 20 çıkar. Bu yalnızca örnek bir yöntemdir; puan aralıkları ve kabul eşiği kuruluşun kendi ölçütlerine göre belirlenmelidir.
| Yöntem | Nasıl değerlendirilir? | Ne zaman kullanılır? |
|---|---|---|
| Nitel | Düşük, orta, yüksek gibi sınıflar kullanılır. | Hızlı önceliklendirme ve sınırlı veride. |
| Nicel | Olasılık ve etki sayısal değerlerle tahmin edilir. | Karşılaştırılabilir veri ve ölçülebilir kayıp tahmini varsa. |
Nitel ve nicel risk değerlendirmesi
Nitel değerlendirme, uzman yargısıyla riskleri sınıflandırır; nicel değerlendirme ise sayısal tahminlere dayanır. Kesin kayıp verisi bulunmayan kuruluşlarda nitel yöntem daha uygulanabilir olabilir. Önemli olan seçilen yöntemi risk kayıtlarında aynı biçimde kullanmaktır.
Risk kabul ölçütleri nasıl belirlenir?
Risk kabul ölçütleri, kuruluşun hangi seviyedeki riski ek işlem yapmadan kabul edeceğini açıklar. Yönetim; yasal ve sözleşmesel yükümlülükleri, iş hedeflerini ve olası etkileri dikkate alarak eşikleri belirlemeli, kabul kararının kim tarafından verileceğini de tanımlamalıdır.
Örnek risk kaydında varlık “müşteri veri sunucusu”, tehdit “hesap bilgilerinin ele geçirilmesi”, zafiyet “çok faktörlü doğrulama yok” olabilir. Mevcut kontrolleri yazın; risk puanını, risk sahibini ve kabul ya da işleme kararını aynı kayıtta gösterin.
Risk analizi çıktıları ve sık karıştırılan kavramlar
ISO 27001 risk analizi çıktıları; değerlendirilen riskleri, kabul kararlarını ve işleme seçeneklerini izlenebilir hâle getirir. Risk işleme seçeneği risk azaltma, kabul etme, kaçınma veya paylaşma olabilir; seçilen yaklaşımın gerekçesi ve sorumlusu kaydedilmelidir.
- Avantajı: Önlemleri risk seviyesine göre önceliklendirerek kaynakların daha bilinçli kullanılmasına yardımcı olur.
- Sınırlaması: Puanlar, eksik varlık bilgisi veya belirsiz ölçütler varsa gerçek durumu yansıtmayabilir; düzenli gözden geçirme gerekir.
- İzleme: Risk sahibi, hedef tarih, uygulanacak kontrol ve kontrolün etkinliğini doğrulama yöntemi kayıtta yer almalıdır.
Risk analizi ile risk değerlendirmesi arasındaki fark
Risk analizi, riskin olasılığını ve etkisini inceleyen aşamadır; risk değerlendirmesi ise analiz sonuçlarını kabul ölçütleriyle karşılaştırıp hangi riskin işleme alınacağına karar verir. Terimler bazı kurumların dokümanlarında birlikte kullanılsa da karar aşaması yalnızca puanlamadan ibaret değildir.
ISO 27001 risk analizi ile ISO 31000 yaklaşımı nasıl ilişkilidir?
ISO 31000, kuruluş genelinde risk yönetimine yönelik rehberlik sunar; ISO 27001 ise bilgi güvenliği yönetim sistemi içindeki risk değerlendirme ve işleme gerekliliklerini ele alır. Kuruluş, ISO 31000 yaklaşımından yararlanabilir; ancak ISO 27001 kapsamındaki kayıt ve kararlarını ayrıca tutarlı biçimde yönetmelidir. Temel farklar için ISO 31000 risk analizi açıklamasına bakabilirsiniz.
Risk işleme planı ve analiz kayıtlarının sınırları
Risk işleme planı, risklere karşı yapılacak işleri, sorumluları ve hedef tarihleri gösterir; risk analizi kaydı ise değerlendirme ve kararın dayanağını belgeler. Uygun kontroller, uygulanabilirlik bildirgesinde ilişkilendirilir. Plan, kontrollerin gerçekten uygulandığını tek başına kanıtlamaz; uygulama kayıtları ve izleme sonuçları da tutulmalıdır.
ISO 27001 risk analizi çalışmasına başlamadan önce kapsamı ve kabul ölçütlerini netleştirin, ardından kayıtların güncelliğini kontrol edin:
- Değerlendirilecek süreçleri ve bilgi varlıklarını belirleyin.
- Tehditleri, zafiyetleri ve mevcut kontrolleri kaydedin.
- Olasılık ve etki ölçütleriyle riskleri puanlayın.
- Risk sahibini, işleme kararını ve takip yöntemini yazın.
Sıkça Sorulan Sorular
ISO 27001 risk analizi ne sıklıkla güncellenmelidir?
ISO 27001 risk analizi, kuruluşun belirlediği aralıklarla ve önemli değişikliklerden sonra güncellenmelidir. Yeni sistem veya tedarikçi kullanımı, süreç değişikliği, güvenlik olayı ya da mevcut kontrollerin yetersiz kalması gözden geçirme gerektirebilir. Güncelleme sıklığını risk yönetimi prosedüründe tanımlayın.
ISO 27001 risk analizi hazırlamak için hangi kayıt ve dokümanlar gerekir?
Çalışma için kapsam bilgisi, varlık envanteri, süreç ve sistem kayıtları, mevcut kontroller ile risk kabul ölçütleri gerekir. Olay kayıtları ve tedarikçi bilgileri de riskleri belirlemeye yardımcı olabilir. Sonuçları risk kaydı ve risk işleme planıyla ilişkilendirin.
ISO 27001 risk analizi çalışmasının süresi ve maliyeti neye bağlıdır?
Süre ve maliyet; kapsamın büyüklüğüne, lokasyon ve sistem sayısına, varlık envanterinin hazır olup olmadığına ve değerlendirme yöntemine bağlıdır. Mevcut kayıtlar düzenliyse çalışma kolaylaşabilir; dağınık envanter, çok sayıda tedarikçi veya karmaşık süreçler ek inceleme gerektirir.
