Uyumluluk Çerçeveleri

Uyumluluk, yasalar, düzenlemeler veya sektör standartları tarafından belirlenen güvenlik gerekliliklerini karşılamak anlamına gelir. Çerçeveler, kuruluşların uygulayabileceği ve uyguladığını kanıtlayabileceği yapılandırılmış, tanınmış bir kontrol kümesi sunar.

Uyumluluk güvenlikle aynı şey değildir; ancak iyi bir çerçeve gerçek iyileştirmeleri teşvik eder.

ISO/IEC 27001, bir ISMS (Bilgi Güvenliği Yönetim Sistemi) için uluslararası bir standarttır. Risk temellidir: riskleri belirler, kontrolleri (Ek A'dan) seçer ve sürekli iyileştirme yaparsınız.

• Sertifikayı akredite denetçiler verir.
• Vurgu yalnızca teknolojiye değil, yönetim sürecine yapılır.

SOC 2 (Sistem ve Kuruluş Kontrolleri), hizmet olarak yazılım sağlayıcılarında yaygın olan ve AICPA Güven Hizmetleri Kriterleri temelindeki bir tasdik raporudur: güvenlik, kullanılabilirlik, işleme bütünlüğü, gizlilik ve mahremiyet.

• Tür I: kontrollerin belirli bir andaki tasarımı.
• Tür II: kontrollerin belirli bir dönem boyunca etkili biçimde çalışması.

PCI DSS (Ödeme Kartı Sektörü Veri Güvenliği Standardı), kart sahibi verilerini saklayan, işleyen veya aktaran tüm kuruluşlar için geçerlidir. Bağlayıcı kurallara dayanır ve somut gereklilikler içerir.

• Kart sahibi verilerini şifreleyin ve ağ bölümlendirmesi kullanın.
• Erişimi bilmesi gerekenler ilkesi temelinde sınırlayın.
• Düzenli olarak sınayın ve izleyin.

Ayrıca şunlarla karşılaşırsınız:

• GDPR: EU veri koruması ve mahremiyeti.
• HIPAA: US sağlık verileri.
• NIST CSF / 800-53: US çerçevesi ve kontrol kataloğu.

Birçoğu örtüşür; bu nedenle kontroller farklı çerçeveler arasında eşleştirilebilir.

Çerçeveler bir yelpazeye yayılır:

• Risk tabanlı (ISO 27001): risklerinizle orantılı kontrolleri siz seçersiniz.
• Kuralcı (PCI DSS): bağlamdan bağımsız belirli zorunlu gereklilikler vardır.

Türü bilmek, kontrolleri uyarlamak için ne kadar alanınız olduğunu gösterir.

Kapsamı tanımlamak, uygulamadaki ilk adımdır. Kapsam, çerçevenin hangi sistemlere, verilere ve süreçlere uygulanacağını belirler.

PCI DSS kapsamında bölümlendirme, kart sahibi sistemlerini ağın geri kalanından yalıtarak kapsamı (ve maliyeti) küçültebilir.

Çerçeveler gereklilikleri; erişim denetimi, kriptografi, günlükleme ve olaylara müdahale gibi aileler altında gruplanan kontroller hâlinde düzenler.

Her kontrol için bir sorumlu, bir uygulama ve işe yaradığını gösteren kanıt gerekir.

Çıktılar çerçeveye göre farklılık gösterir:

• Sertifikasyon (ISO 27001): akredite bir kuruluştan alınan, geçme veya kalma durumunu belirten sertifika.
• Tasdik (SOC 2): NDA kapsamında paylaşılan denetçi görüş raporu.
• Doğrulama (PCI DSS): bir QSA tarafından hazırlanan AOC ve/veya ROC.

Uyumluluk tek seferlik bir olay değildir. Standartlar sürekli işletim, dönemsel yeniden değerlendirme ve iyileştirme bekler.

• ISO 27001 gözetim denetimleri gerektirir.
• SOC 2 Tür II, aylar süren bir dönemi kapsar.
• PCI DSS üç aylık taramalar ve yıllık değerlendirme gerektirir.

Çoğu kuruluş aynı anda birden fazla çerçeveyle karşılaşır. Kontrol eşlemesi oluşturarak iyi uygulanmış tek bir kontrolün (ör. MFA), ISO 27001, SOC 2 ve PCI DSS kapsamındaki karşılık gelen gerekliliği aynı anda karşılamasını sağlayın ve yinelenen çalışmalardan kaçının.

Çerçeveyi niteliğiyle eşleştirin.

Uyumluluk çerçeveleri güvenliği yapılandırır ve kanıtlar:

• ISO 27001 = risk tabanlı ISMS sertifikasyonu.
• SOC 2 = hizmet sağlayıcıları için Güven Hizmetleri tasdiki.
• PCI DSS = kart sahibi verileri için kuralcı standart.
• Kapsamı tanımlayın, kontrol sorumluları atayın ve verimlilik için örtüşen kontrolleri eşleştirin.