NIST RMF, ISO 27001 ve CIS Denetimleri

Güvenlik çerçeveleri, kuruluşların etkili güvenlik programları oluşturmasına ve bunları sürdürmesine yardımcı olan, yapılandırılmış kılavuz, en iyi uygulama ve kontrol kümeleridir. Çerçeveler sıfırdan başlamak yerine, kuruluşun büyüklüğüne, sektörüne ve risk profiline uyarlanabilen, kendini kanıtlamış bir yöntem sunar. Security+ sınavı, yaygın biçimde benimsenen üç çerçeveye odaklanır: NIST RMF, ISO 27001 ve CIS Controls — bunların her biri güvenliğe farklı bir açıdan yaklaşır.

NIST Risk Management Framework (NIST SP 800-37), federal bilgi sistemlerinde güvenlik ve gizlilik riskini yönetmek için kullanılan altı adımlı bir yaşam döngüsüdür; ancak özel sektörde de yaygın biçimde benimsenmiştir. Altı adım şunlardır: Categorize (sistem ve veri hassasiyeti), Select (SP 800-53 içinden uygun kontrolleri seçme), Implement (kontrolleri uygulamaya alma), Assess (etkinliği sınama), Authorize (yetkilendiren resmî görevlinin ATO kararı) ve Monitor (sürekli izleme). RMF, belirli bir andaki sertifikasyonlar yerine devam eden yetkilendirmeyi vurgular.

NIST SP 800-53, RMF'nin Select aşamasını besleyen kontrol kataloğudur. Yüzlerce güvenlik ve gizlilik kontrolünü Access Control (AC), Audit and Accountability (AU), Incident Response (IR) ve System and Communications Protection (SC) gibi 20 ailede düzenler. Kontroller, sistemin FIPS-199 etki düzeyiyle eşleşen temel atama düzeyleriyle (Low, Moderate, High) etiketlenir; böylece kuruluşlar risk kategorilerine uygun kontrol kümesini seçer.

ISO/IEC 27001, Information Security Management Systems (ISMS) için uluslararası bir standarttır. ABD odaklı olan NIST'in aksine ISO 27001, dünya çapında tanınır ve kuruluşlar resmî üçüncü taraf Certification elde edebilir — bu da müşteri güveni ve uluslararası sözleşmeler açısından değerlidir. Standart, Plan-Do-Check-Act (PDCA) döngüsünü izler ve tek tek teknik kontroller belirtmek yerine bilgi güvenliği etrafında bir yönetim sistemi oluşturmaya odaklanır.

ISO 27001:2022'nin Annex A bölümü, dört temada düzenlenmiş 93 kontrol içerir: Organizational (37 kontrol — politikalar, roller, tedarikçi ilişkileri), People (8 kontrol — işe alım, eğitim, işten ayrılma), Physical (14 kontrol — tesisler, ekipman) ve Technological (34 kontrol — erişim denetimi, kötü amaçlı yazılım, şifreleme, günlük kaydı). Her kontrolün uygulanması zorunlu değildir — kuruluşlar, Uygulanabilirlik Bildirimlerine (SoA) göre geçerli kontrolleri seçer ve hariç tutulan kontrolleri gerekçelendirir.

CIS Critical Security Controls (eski adıyla SANS Top 20), Center for Internet Security tarafından geliştirilen, önceliklendirilmiş 18 kontrol grubudur. Uzun vadeli program yönetimi yerine hemen uygulanmak üzere tasarlanmış, son derece pratik ve eylem odaklı kontrollerdir. CIS Controls, üç Implementation Group'a (IG) ayrılır: IG1 (temel siber hijyen, 56 güvenlik önlemi), IG2 (daha karmaşık ortamlar için 74 ek güvenlik önlemi) ve IG3 (sofistike tehditlerle karşılaşan olgun kuruluşlar için 153 güvenlik önleminin tamamı).

CIS Controls, üst düzeyde ne yapılacağını tanımlar; CIS Benchmarks ise belirli platformlar için bunun nasıl yapılacağını tanımlar. CIS Benchmarks; işletim sistemleri (Windows, Linux), bulut platformları (AWS, Azure, GCP), ağ cihazları, tarayıcılar ve veritabanları için kuralcı, adım adım sağlamlaştırma kılavuzu sunar. Bunlar ücretsiz olarak indirilebilir ve CIS Control 4 (Secure Configuration) için teknik belirtim olarak yaygın biçimde kullanılır. Chef, Ansible ve InSpec gibi otomasyon araçları CIS Benchmarks'ı geniş ölçekte uygulayabilir.

Her çerçeve farklı bir temel ihtiyaca hizmet eder. NIST RMF, resmî yetkilendirme süreçlerine ihtiyaç duyan ABD hükümeti ve savunma yüklenicileri için en uygunudur. ISO 27001, müşterilere güvenliği göstermek üzere uluslararası tanınırlığa sahip Certification almak isteyen kuruluşlar için en uygunudur. CIS Controls, savunmaları hızlıca iyileştirmek için önceliklendirilmiş ve uygulanabilir adımlar arayan kuruluşlar için en uygunudur. Birçok olgun kuruluş üçünü de kullanır: günlük operasyonlar için CIS Controls, risk yönetişimi için NIST RMF ve müşterilere yönelik Certification için ISO 27001.

Security+ sınavında ek çerçeveler de yer alır. COBIT (Control Objectives for Information Technologies), IT yönetişimine ve güvenliğin iş hedefleriyle uyumlandırılmasına odaklanır. SOC 2, hizmet sağlayıcılar için güvenlik, kullanılabilirlik, gizlilik, işleme bütünlüğü ve mahremiyeti değerlendiren bir denetim standardıdır. PCI-DSS, ödeme kartı ortamları için kuralcı bir uyumluluk standardıdır. Bu çerçeveleri anlamak, farklı sektörlerin ve düzenleyici ortamların terminolojisini kullanarak iletişim kurmanızı sağlar.

Bir çerçeve seçerken şunları göz önünde bulundurun: düzenleyici zorunluluk (HIPAA, ele alınması gereken güvenlik önlemlerini zorunlu kılar; FedRAMP ise NIST'i zorunlu kılar), müşteri gereksinimleri (kurumsal müşteriler ISO 27001 Certification isteyebilir), kuruluşun olgunluğu (CIS IG1, yeni başlayan küçük kuruluşlar için uygundur) ve sektör (finansal hizmetler NIST CSF veya SOC 2 gerektirebilir). Tek bir çerçeveyle başlayıp kapsamı genişletmek, tüm çerçeveleri aynı anda uygulamaya çalışmaktan daha iyidir; ikincisi küçük ekipleri aşırı yükler.

Her üç çerçeve de sürekli iyileştirme ilkesini paylaşır. NIST RMF'nin Monitor adımı, devam eden kontrol sınamalarını yönlendirir. ISO 27001'in Act aşaması, düzeltici faaliyetler ve iyileştirme planları gerektirir. CIS Controls, tehdit ortamı geliştikçe sürümlenir ve güncellenir (şu anda 8.1 sürümü). Çerçeveleri tek seferlik bir uyumluluk çalışması olarak ele alan güvenlik programları kısa sürede geride kalır — çerçeveler, kuruluşun yetenekleri ve ortaya çıkan tehditlerle birlikte zaman içinde olgunlaşan, yaşayan programlar olarak tasarlanmıştır.

Bu derste ele alınan CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı sınayın.

Bu derste şunları öğrendiniz: NIST RMF, SP 800-53 kontrolleriyle birlikte altı adımlı bir risk yaşam döngüsü (Categorize, Select, Implement, Assess, Authorize, Monitor) sunar; ISO 27001, Annex A kontrollerine sahip, PDCA temelli ve dünya çapında Certification alınabilen bir ISMS standardıdır; CIS Controls ise pratik ve uygulanabilir güvenlik iyileştirmeleri için üç uygulama grubunda 18 önceliklendirilmiş kontrol grubu sunar. Sırada veri sınıflandırma şemalarını ve gizlilik gereksinimlerini inceliyoruz.