ISA 2027 Bilgi Güvenliği Modülü: Kontrol Bazında Ayrıntılı İnceleme

Politikalar, Roller ve Varlıklar

1.1.1 – Bilgi güvenliği politikaları mevcut mu? Politikalar artık mevcut olmalı ve iletilmelidir. Politika değişikliklerinin tüm ilgili taraflara iletilmesine daha fazla önem verilmesi, birçok kuruluşun karşılaştığı yaygın bir sorunu ortadan kaldırır: Mevcut olmasına rağmen hiyerarşinin alt kademelerine hiçbir zaman iletilmemiş politikalar.

1.2.2 – Bilgi güvenliği sorumlulukları ne ölçüde düzenlenmiştir? Roller tanımlanmalı, atanmalı ve yetkilendirilmelidir. Bu, rollerin kağıt üzerinde resmi olarak atanmasına rağmen, bunların yerine getirilmesi ve uygulanması için gereken fiili yetkinin bulunmaması gibi sık karşılaşılan bir eksikliği giderir.

1.3.1 – Bilgi varlıkları ne ölçüde tanımlanmış ve kaydedilmiştir? Varlıklar tanımlanmalı, sınıflandırılmalı ve sorumlu bir kişiye atanmalıdır; bu süreçte sınıflandırmaya ve net sahiplik ilişkilerine eskisinden daha fazla önem verilmelidir.

Olay ve Kriz Yönetimi

1.6.2 – Bildirilen güvenlik olayları ne ölçüde yönetilmektedir? Artık eskalasyon kriterleri ve zaman çerçeveleri tanımlanmalıdır; bu sayede neyin eskalasyonu tetiklediği ve bunun hangi zaman dilimi içinde gerçekleşmesi gerektiği netleştirilir.

1.6.3 – Kuruluş, kriz durumlarıyla başa çıkmaya ne ölçüde hazırlıklıdır? Bir kriz yönetim planı tanımlanmalı ve test edilmelidir; bu süreçte, kriz yönetiminin sadece dökümante edilmesinden ziyade, planlanması ve pratikte test edilmesine daha fazla önem verilmelidir.

İnsan Kaynakları ve Erişim Yönetimi

2.1.4 – Mobil çalışma ne ölçüde düzenlenmektedir? “Tele-çalışma” terimi, kuruluşların günümüzde bu kavramı nasıl tanımladığını daha iyi yansıtan “mobil çalışma” terimi ile değiştirilmiştir.

4.2.1 – Erişim hakları ne ölçüde atanır ve yönetilir? Erişim hakları atanmalı, gözden geçirilmeli ve iptal edilmelidir; bu güncelleme, erişim hakları yönetimini tek seferlik bir kurulum görevi olarak ele almak yerine, yönetimin sürekli ve yaşam döngüsü niteliğini daha iyi yansıtmaktadır.

BT ve Siber Güvenlik

5.2.4 – Olay günlükleri ne ölçüde kaydediliyor ve analiz ediliyor? Günlük kaydı artık uzaktan oturumları ve politika ihlallerini de içermelidir. Uzaktan oturum faaliyetlerinin günlüğe kaydedilmesi, izlenebilirlik ve hesap verebilirlik açısından mantıklı bir adımdır ancak hangi politika ihlallerinin gerçekçi bir şekilde tespit edilip teknik olarak güvenilir bir şekilde günlüğe kaydedilebileceği konusu hâlâ açık bir sorudur.

5.2.6 – BT sistemleri ve hizmetleri teknik olarak ne ölçüde kontrol edilmektedir (sistem ve hizmet denetimi)? Güvenlik açıkları, tanımlanmış bir zaman dilimi içinde tespit edilmeli ve giderilmelidir. Düzeltme taahhüdü olmaksızın sadece güvenlik açıklarını tespit etmek artık yeterli değildir. Bu, memnuniyet verici bir gerekliliktir, zira çözülmemiş ve bilinen güvenlik açıkları, uygulamada gördüğümüz en yaygın eksikliklerden biridir.

5.2.8 – BT hizmetleri için iş sürekliliği planlaması ne ölçüde yürürlüktedir? DDoS, fidye yazılımı ve benzeri belirli senaryolar artık açıkça tanımlanmalıdır, böylece düzeltme stratejileri, genel bir iş sürekliliği planına dayanmak yerine her senaryoya özel olarak uyarlanabilir.

5.2.9 – Verilerin ve BT hizmetlerinin yedeklenmesi ve kurtarılması ne ölçüde sağlanmaktadır? Yedekleme, kurtarma, sıralama ve izolasyonun tümü tanımlanmalı; bu tanımlamalarda geri yüklenebilirlik, yedekleme arasındaki karşılıklı bağımlılıklar ve yedeklemelerin kendisinin bilgi güvenliği yönlerine (örneğin, depolandığı sırada yedeklemelerin korunması) daha fazla vurgu yapılmalıdır.

Tedarikçi İlişkileri

6.1.1 – Yükleniciler ve iş ortakları arasında bilgi güvenliği ne ölçüde sağlanmaktadır? Artık gereksinimler tanımlanmalı, izlenmeli ve denetlenmelidir. Bir tedarikçinin risk profili zamanla değişebilir örneğin geçmişte kabul edilebilir görülen bir tedarikçi artık mevcut değerlendirme kriterlerini karşılamayabilir. Bu nedenle, gizlilik ve kullanılabilirlik durumunu sürekli olarak teyit etmek için tekrarlanan iç ve dış denetimler önemli bir rol oynar.

Kalite incelemelerimizde, kuruluşların TISAX® gerekliliklerini kendi tedarikçi tabanına aktarma fırsatını kaçırdığını sık sık görüyoruz. Bir tedarikçi, ürün veya hizmetlerinizin kullanılabilirliği açısından kritik öneme sahipse, o tedarikçiden uygun düzeyde kullanılabilirlik güvencesi göstermesi istenmelidir. Aynı mantık, gizli bilgilerin tedarikçilerle paylaşıldığı durumlarda da geçerlidir; bu durumda tedarikçilerden de gerekli bilgi güvenliği gerekliliklerini karşıladıklarını göstermeleri istenmelidir.

6.1.3 (eski 1.2.4) – Dış BT hizmet sağlayıcıları ile kuruluş arasındaki sorumluluklar ne ölçüde tanımlanmıştır? Bu kontrol, tedarikçi yönetimi bölümüne taşınmış ve “BT Tedarikçileri” terimi, “BT Hizmet Sağlayıcıları” olarak genişletilmiştir. Geçmişte birçok kuruluş, “BT Tedarikçileri” terimini çok dar bir şekilde yorumlayarak bunu esas olarak dış kaynaklı BT hizmetleriyle ilişkilendiriyordu. Oysa bu kontrolün amacı her zaman bulut ve web tabanlı hizmetler dahil olmak üzere dışarıdan sağlanan tüm BT/OT hizmetlerini kapsamaktı.

Gözden geçirilmiş metin, harici BT hizmet sağlayıcılarının gizli bilgileri korumakla (SLA’lar ve bir tedarikçi Uygulanabilirlik Beyanı aracılığıyla) sözleşme yoluyla yükümlü tutulabileceğini açıkça belirtirken, kurumun kendi çalışanlarının harici sağlayıcılarla paylaşılan gizli bilgileri nasıl işleyeceğine ilişkin iç kurallardan sorumlu olmaya devam ettiğini ortaya koymaktadır.

Uyum

7.1.2 – Bilgi güvenliği uygulanırken kişisel verilerin korunması ne ölçüde dikkate alınmaktadır? Daha sezgisel olan “kişisel veriler” terimi, artık yerleşik ISO çerçevelerinden ve GDPR gibi yasal çerçevelerden bilinen “kişisel olarak tanımlanabilir bilgiler” terimiyle birlikte kullanılmaktadır.

Hala İyileştirme Gerektiğini Düşündüğümüz Konu: BT/OT Kapsam Açığı

Özellikle dikkat çekmek istediğimiz bir alan: Birçok kuruluş, “BT sistemi” teriminin ISA kataloğunda, beklenenden daha geniş bir şekilde tanımlandığının farkında değil. ISA tanımlarına göre, bir BT sistemi elektronik bilgi işleme için kullanılan her türlü sistemdir. Bu tanım, anahtarlar, kameralar ve sensörler gibi Operasyonel Teknolojiyi (OT) de kapsayacak kadar geniştir.

Sonuç olarak, kuruluşlar genellikle BT sistemlerine atıfta bulunan kontrollerin – özellikle IEC 62443-2-1 ile bağlantılı olanların – sadece klasik BT altyapısına değil, hem BT hem de OT ortamlarına uygulandığını gözden kaçırmaktadır.

Bu durum ISA 6.0 kapsamında da geçerliydi ve bizim görüşümüze göre, ISA 2027’de OT boyutuna açıkça daha fazla vurgu yapılabilirdi. Uygulamada, kendi kendine değerlendirme açıklamalarının, farklı ekipler tarafından yönetildiklerinde veya ISA kontrollerinin amaçlanan hedefine ulaşmak için farklı önlemler uygulandığında, BT ve OT’yi ayrı ayrı ele almasını bekliyoruz.

Uygulamada Ne Anlama Geliyor?

Bu değişikliklerin hiçbiri, kuruluşların bilgi güvenliği yönetim sistemlerini sıfırdan yeniden oluşturmasını gerektirmiyor. Ancak, bir sonraki değerlendirmenizden önce mevcut dökümanlarınızla karşılaştırarak kontrol etmeniz gereken birkaç nokta var:

• Politika iletişimi ve rol yetkilendirme – sadece “bunlar mevcut mu” değil, “gerçekten iletiliyor ve uygulanabilir mi” de önemlidir.
• Tedarikçilere yayılma – kendi tedarikçi tabanınızın, kuruluşunuzun müşterileriniz için karşılaması gereken kullanılabilirlik/gizlilik standartlarına uyup uymadığı.
• Sorumluluklar – çalışanlara sağlanan web hizmetlerinin güvenli ve sorumlu kullanımı konusunda rehberlik sunulup sunulmadığı.
• OT kapsamı – öz değerlendirmenizde OT sistemlerinin (anahtarlar, sensörler, kameralar, endüstriyel kontrol sistemleri) klasik BT ile birlikte kapsam dahilinde ele alınıp alınmadığı.

TISAX® ISA 2027 kataloğunun tamamında neler değiştiğine dair daha geniş bir bakış açısı edinmek istiyorsanız:  "ISA 2027: Yeni TISAX® Kataloğunda Neler Değişiyor?" başlıklı makalemize göz atın.

Bu makale, yazıldığı tarihte ISA 2027 hakkında kamuya açık bilgileri yansıtmaktadır. Her yeni katalog versiyonunda olduğu gibi, kesin geçiş zaman çizelgesi ve süreciyle ilgili bazı ayrıntılar ENX ve VDA tarafından daha sonra netleştirilebilir. Daha fazla bilgi elde edildikçe bu içeriği güncelleyeceğiz.