İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

Bilgi Güvenliği Yönetim Sistemi Nedir?

İngilizce: ISMS

Yayın: · Son güncelleme:

Bilgi Güvenliği Yönetim Sistemi Nedir? Kısaca

Bilgi güvenliği yönetim sistemi (BGYS), bir kurumun bilgilerinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için politika, süreç, rol ve kontrolleri bir arada yöneten sistematik yaklaşımdır.

Bilgi Güvenliği Yönetim Sistemi nedir?
İçindekiler
  1. Bilgi güvenliği yönetim sistemi nedir?
  2. Nasıl çalışır?
  3. Örnek: küçük bir hukuk bürosu

Bilgi güvenliği yönetim sistemi nedir?

Bilgi güvenliği yönetim sistemi, kısaca BGYS, güvenliği tek tek alınan önlemler yerine yönetilen bir süreç olarak ele alır. İngilizcede ISMS olarak geçer. Sistem; hangi bilgilerin korunacağını, risklerin nasıl değerlendirileceğini, kimin hangi görevden sorumlu olduğunu ve önlemlerin nasıl ölçüleceğini tanımlar.

Nasıl çalışır?

BGYS'ler genellikle "Planla, Uygula, Kontrol et, Önlem al" (PUKÖ) döngüsüyle işler:

  1. Planla: Kapsam belirlenir, riskler değerlendirilir, hedefler konur.
  2. Uygula: Kontroller hayata geçirilir, çalışanlar eğitilir.
  3. Kontrol et: İç denetim ve ölçümlerle önlemlerin işe yarayıp yaramadığı izlenir.
  4. Önlem al: Bulunan eksikler düzeltilir ve döngü yeniden başlar.

Bu yapının uluslararası şartları ISO 27001 standardında tanımlanır. Kurumlar BGYS'lerini bu standarda göre kurup belgelendirebilir.

Örnek: küçük bir hukuk bürosu

Müvekkil dosyalarını dijital ortamda saklayan 12 kişilik bir hukuk bürosu düşünün. Büro ilk adımda varlık listesini çıkarır: dizüstü bilgisayarlar, dosya sunucusu, e-posta hesapları. Ardından her varlık için riskleri yazar; örneğin kaybolan bir dizüstü bilgisayar ya da çalınan bir şifre.

Riskler için disk şifreleme, iki adımlı doğrulama ve yedekleme gibi kontroller seçilir. Altı ayda bir yapılan kısa bir iç gözden geçirme, bu kontrollerin uygulanıp uygulanmadığını kontrol eder. BGYS kurmaya başlarken büyük bir belge setiyle değil, varlık listesi ve risk tablosuyla işe koyulmak daha gerçekçi bir yoldur.

Sıkça Sorulan Sorular

BGYS kurmak için ISO 27001 belgesi almak zorunlu mu?

Hayır. Bir kurum BGYS'sini standarda uygun kurup belgelendirmeden de işletebilir. Belge, uyumu bağımsız bir kuruluşun doğruladığını gösterir.

BGYS'den kim sorumludur?

Üst yönetim sistemin sahibidir ve kaynak sağlar. Günlük işleyişi genellikle bir bilgi güvenliği sorumlusu ya da ekibi yürütür; ancak kurallara uymak tüm çalışanların görevidir.

İlgili terimler

ISO 27001ISO 27001, kurumların bilgi güvenliği yönetim sistemi kurması, işletmesi ve sürekli iyileştirmesi için şartları tanımlayan uluslararası standarttır. Uyum, akredite kuruluşların denetimiyle belgelendirilebilir.Bilgi Güvenliği(Information Security)Bilgi güvenliği, dijital ya da kâğıt ortamdaki her türlü bilginin yetkisiz kişilerce görülmesini, değiştirilmesini veya yok edilmesini önlemeye yönelik ilke, süreç ve önlemlerin bütünüdür.Risk Değerlendirmesi(Security Risk Assessment)Risk değerlendirmesi, bir kurumun bilgi varlıklarını, bunlara yönelik tehditleri ve açıkları belirleyip her riskin gerçekleşme olasılığını ve etkisini ölçerek hangi önlemlerin öncelikli olduğuna karar verme sürecidir.Güvenlik Politikası(Security Policy)Güvenlik politikası, bir kurumun bilgi varlıklarını nasıl koruyacağını, çalışanlardan hangi davranışları beklediğini ve sorumlulukların kimde olduğunu belirleyen, yönetimce onaylanmış kurallar belgesidir.Disk Şifreleme(Disk Encryption)Disk şifreleme, bir bilgisayar ya da telefondaki depolama alanının tamamını şifreleyerek cihaz kaybolduğunda veya çalındığında içindeki verilerin parola olmadan okunmasını engelleyen yöntemdir.Yedekleme(Backup)Yedekleme, dosyalarınızın ve sistemlerinizin bir kopyasını ayrı bir yerde saklayarak cihaz arızası, hırsızlık, silme hatası ya da fidye yazılımı durumunda verileri geri getirebilmenizi sağlayan işlemdir.