İçindekiler
ISO 27001 risk değerlendirmesi, bilgi varlıklarına yönelik riskleri belirleyip önceliklendiren ve hangi kontrollerin gerektiğine karar vermeyi sağlayan süreçtir. Standardın 6.1.2 maddesi bu sürecin tutarlı ve tekrarlanabilir olmasını ister.
Bu rehber, ISO 27001 Belgesi için risk değerlendirmesinin nasıl yapılacağını örneklerle anlatır.
ISO 27001 Risk Değerlendirmesi Nedir?
Risk, bir tehdidin bir açıklığı kullanarak bilgi varlığına zarar verme ihtimalidir. Değerlendirme, bu ihtimali ve olası etkiyi ölçerek hangi risklerin önce ele alınacağını belirler.
ISO 27001’de sistemin geri kalanı bu çalışmanın üzerine kurulur. Kontrol seçimi, Uygulanabilirlik Bildirgesi ve hedefler risk sonuçlarından beslenir.
Risk Değerlendirme Yöntemleri
Standart belirli bir yöntem şart koşmaz. Kuruluş kendine uygun yöntemi seçer, ancak yöntemi yazılı hale getirmek zorundadır.
Varlık Temelli Yöntem
Önce bilgi varlıkları listelenir, sonra her varlık için tehdit ve açıklıklar belirlenir. En yaygın kullanılan ve denetçilerin en kolay izlediği yöntemdir.
Senaryo Temelli Yöntem
Fidye yazılımı saldırısı veya veri sızıntısı gibi olay senaryoları üzerinden ilerlenir. Küçük kuruluşlarda daha hızlı sonuç verir.
ISO/IEC 27005 Rehberi
ISO/IEC 27005, bilgi güvenliği risk yönetimi için ayrıntılı bir rehberdir. Belgelendirme şartı değildir, ancak yöntemi kurarken güçlü bir dayanak sağlar.
Adım Adım ISO 27001 Risk Değerlendirmesi
Değerlendirme, her seferinde aynı sırayla yapılırsa tekrarlanabilir olur. Aşağıdaki adımlar varlık temelli yöntemi esas alır.
1. Risk Kabul Kriterlerini Belirleyin
Hangi puanın üzerindeki risklerin işleneceği önceden yazılır. Örneğin 25 üzerinden 10 ve üzeri puanlar kabul edilemez sayılabilir.
2. Bilgi Varlıkları Envanterini Çıkarın
Veritabanları, sunucular, dizüstü bilgisayarlar, bulut hizmetleri, sözleşmeler ve kilit çalışanlar listelenir. Her varlığa bir sahip atanır.
3. Tehditleri ve Açıklıkları Belirleyin
Her varlık için gerçekçi tehditler ve bu tehditlerin kullanabileceği zayıflıklar yazılır. Örneğin yamalanmamış bir sunucu, kötü amaçlı yazılım tehdidine açıktır.
4. Olasılık ve Etkiyi Puanlayın
Her risk için gerçekleşme olasılığı ve gerçekleşirse yaratacağı etki puanlanır. Etki puanlanırken gizlilik, bütünlük ve erişilebilirlik ayrı ayrı düşünülür.
5. Risk Seviyesini Hesaplayın
Olasılık ile etki çarpılarak risk puanı bulunur. Puan, kabul kriterleriyle karşılaştırılarak riskin işlenip işlenmeyeceğine karar verilir.
6. Risk Sahibini Atayın
Her riskin yönetiminden sorumlu bir kişi belirlenir. Risk sahibi, işleme planını ve kalan riski onaylar.
Olasılık × Etki Risk Matrisi
En yaygın kullanılan ölçek 1–5 arası puanlamadır. Aşağıdaki matris, risk puanlarının nasıl sınıflandırılacağını gösterir.
| Risk puanı | Seviye | Yapılacak |
|---|---|---|
| 1–4 | Düşük | Kabul edilebilir, izlenir |
| 5–9 | Orta | Makul maliyetle azaltılır |
| 10–16 | Yüksek | İşleme planıyla öncelikli azaltılır |
| 20–25 | Kritik | Derhal önlem alınır, yönetime raporlanır |
Örnek Risk Tablosu
Aşağıdaki satırlar küçük bir yazılım firmasının risk tablosundan alınmıştır. Gerçek tabloda her varlık için birden fazla risk bulunur.
| Varlık | Tehdit / açıklık | Olasılık | Etki | Puan | İşleme |
|---|---|---|---|---|---|
| Müşteri veritabanı | Yetkisiz erişim / zayıf parola | 3 | 5 | 15 | Azalt: çok faktörlü kimlik doğrulama |
| Kaynak kod deposu | Kod sızıntısı / geniş erişim yetkileri | 2 | 4 | 8 | Azalt: yetki gözden geçirme |
| Dizüstü bilgisayarlar | Kayıp, çalınma / şifrelenmemiş disk | 3 | 3 | 9 | Azalt: disk şifreleme |
| Ofis internet hattı | Kesinti / tek hat | 2 | 2 | 4 | Kabul et |
Risk İşleme Seçenekleri
Kabul edilemeyen her risk için dört seçenekten biri seçilir. Seçim, risk işleme planına gerekçesiyle yazılır.
- Azaltma: Kontrol uygulayarak olasılığı veya etkiyi düşürmek
- Kaçınma: Riski doğuran faaliyeti bırakmak
- Transfer: Riski sigorta veya sözleşmeyle başka bir tarafa aktarmak
- Kabul: Riski bilinçli olarak üstlenmek ve izlemek
Azaltma için seçilen kontroller Ek A ile karşılaştırılarak Uygulanabilirlik Bildirgesi hazırlanır.
Denetçi Risk Değerlendirmesinde Neye Bakar?
Denetçi, sonuçtan çok yöntemin tutarlılığına bakar. Aynı yöntemi başka biri uyguladığında benzer sonuç çıkması beklenir.
- Yöntem ve kabul kriterleri yazılı mı?
- Varlık envanteri kapsamın tamamını içeriyor mu?
- Puanlar gerekçeli ve tutarlı mı?
- Her riskin bir sahibi var mı?
- Kalan riskler risk sahiplerince onaylanmış mı?
- Değerlendirme planlı aralıklarla ve değişikliklerde tekrarlanıyor mu?
Sık Yapılan Hatalar
Risk değerlendirmesindeki hatalar, sistemin bütününü zayıflatır. İlk denetimlerde en sık bulgu çıkan konular şunlardır.
Yalnızca BT Varlıklarını Listelemek
Basılı belgeler, sözleşmeler ve kilit çalışanlar da bilgi varlığıdır. Yalnızca sunucuları listeleyen bir envanter eksik sayılır.
Her Riske Aynı Puanı Vermek
Tüm risklerin orta seviyede çıkması, yöntemin işlemediğini gösterir. Puanlar gerçek olay ve gözlemlere dayanmalıdır.
Bir Kez Yapıp Bırakmak
Yeni sistem, tedarikçi veya çalışma modeli eklendiğinde riskler değişir. Değerlendirme en az yılda bir ve her önemli değişiklikte tekrarlanmalıdır.
Risk değerlendirmesini sizinle birlikte kurmak için ISO 27001 Danışmanlığı sayfamıza göz atın.
Sıkça Sorulan Sorular
ISO 27001 risk değerlendirmesi ne sıklıkla yapılmalı?
Standart planlı aralıklarla ve önemli değişikliklerde yapılmasını ister. Uygulamada yılda en az bir kez tam değerlendirme yapılır.
Risk değerlendirmesi için yazılım gerekir mi?
Hayır, Excel tablosu çoğu kuruluş için yeterlidir. Büyük kuruluşlarda risk yönetim yazılımları takibi kolaylaştırır.
ISO 27005 kullanmak zorunlu mu?
Hayır, ISO 27005 bir rehberdir ve belgelendirme şartı değildir. Yönteminizi kurarken kaynak olarak kullanabilirsiniz.
Risk değerlendirmesini kim yapmalı?
Bilgi güvenliği sorumlusunun yönettiği, varlık sahiplerinin katıldığı bir ekip yapmalıdır. Tek kişinin masa başında hazırladığı değerlendirme gerçeği yansıtmaz.