Güvenlik Denetimleri

Güvenlik denetimi, bir kuruluşun güvenlik kontrollerini ve ilkelerini ne ölçüde karşıladığını sistematik olarak değerlendirmektir. Mevcut durumu tanımlanmış bir standartla karşılaştırır ve eksiklikleri belgeler.

Denetimler kontrolleri değerlendirir; tek başlarına sorunları düzeltmez.

Bu terimler örtüşür ancak birbirlerinden farklıdır:

• Denetim: kontrolleri kanıtlarla birlikte bir standarda göre inceler.
• Sızma sınaması: etkiyi kanıtlamak için zayıflıkları etkin biçimde istismar eder.
• Risk değerlendirmesi: tehditlerin olasılığını ve etkisini tahmin eder.

Denetimler iki kaynaktan gelir:

• İç: sürekli güvence ve hazırlık amacıyla kendi ekibiniz tarafından yürütülür.
• Dış: bağımsız denetçiler tarafından yürütülür; sertifikasyon için ve paydaşlara güven vermek amacıyla gereklidir.

Tipik bir denetim, açık aşamaları izler:

• Planlama: kapsamı ve hedefleri tanımlayın.
• Saha çalışması: kanıtları toplayın ve sınayın.
• Raporlama: bulguları ve önem derecelerini belgeleyin.
• Düzeltme: eksiklikleri giderin ve doğrulayın.

Kapsam, denetimin odaklanmasını ve sınırlarının belirli olmasını sağlar. Hangi sistemlerin, konumların, süreçlerin ve zaman aralığının kapsama girdiğini belirtin.

Açık hedefler (ör. ISO 27001 Ek A kontrollerini doğrulamak), denetçilere hangi kanıtları toplayacaklarını ve uygun sonucun nasıl olması gerektiğini gösterir.

Denetçiler, kontrollerin var olduğunu ve çalıştığını kanıtlayan verileri toplar:

• Yapılandırma dışa aktarımları ve ekran görüntüleri.
• Günlükler ve erişim incelemeleri.
• İlkeler ve imzalı onaylar.
• Kontrol sorumlularıyla görüşmeler.

Denetçiler iki şekilde sınama yapar:

• Tasarım: kontrol, hedefini karşılayabilecek nitelikte mi?
• Çalışma etkililiği: kontrol dönem boyunca gerçekten çalıştı mı?

Örnekleme yaygındır: tüm kayıtları incelemek yerine kayıtların temsil niteliği taşıyan bir alt kümesi incelenir.

Her eksiklik, riskine göre derecelendirilen bir bulguya dönüşür. Tutarlı bir ölçek, önceliklendirmeye yardımcı olur.

• Kritik / Yüksek: acil, istismar edilebilir veya uyumluluğu engelleyen.
• Orta: kısa süre içinde düzeltilmeli.
• Düşük / Gözlem: küçük bir sorun veya sağlamlaştırma önerisi.

Bulgular eyleme dönüşmelidir. Her bulguyu bir düzeltme kaydında sorumlu kişi, plan ve son tarihle izleyin.

• Sorumluluk atayın.
• Önem derecesine göre gerçekçi son tarihler belirleyin.
• Kapatmadan önce düzeltmeyi doğrulayın (yeniden sınayın).

Çıkar çatışmalarını önlemek için bir denetçi kendi yaptığı çalışmayı değerlendirmemelidir. Özellikle dış denetimlerde bağımsızlık, sonucun müşteriler ve düzenleyici kurumlar açısından güvenilir olmasını sağlar.

Modern programlar, dönemsel denetimleri sürekli izlemeyle tamamlar: güvenli temel durumdan sapmaları gerçeğe yakın zamanlı olarak işaretleyen otomatik denetimler, resmî denetimdeki sürprizleri azaltır.

Denetim ile sızma sınamasını birbirinden ayırt edin.

Güvenlik denetimleri, kontrollerin bir standardı ne ölçüde karşıladığını değerlendirir:

• Denetimler sızma sınamalarından ve risk değerlendirmelerinden farklıdır.
• Yaşam döngüsünü izleyin: planlayın, saha çalışması yapın, raporlayın ve düzeltin.
• Kanıt toplayın, tasarımı ve çalışmayı sınayın, bulguları derecelendirin.
• Düzeltmeleri izleyin ve denetçilerin bağımsızlığını koruyun.