Güvenlik Denetimi Seçimi ve Boşluk Analizi

Önleyici denetimler, tehditleri başarılı olmadan önce engeller (güvenlik duvarları, erişim denetimi, şifreleme). Tespit edici denetimler, meydana gelmiş tehditleri belirler (IDS, günlükleme, denetimler). Düzeltici denetimler, bir olaydan sonra etkisini azaltır (yedekler, IR planları, yamalar). Katmanlı savunma, her üç türü de gerektirir.

Denetimler birden çok boyuta yayılır: Fiziksel (kilitler, kameralar), Teknik (güvenlik duvarları, MFA), İdari (politikalar, eğitim). Belirli bir risk için kategoriler arasında birbirini tamamlayan denetimler seçin; idari bir politikayla ve fiziksel güvenlikle desteklenen teknik bir denetim, gerçek anlamda derinlemesine savunma oluşturur.

Riskle orantılı denetimler seçin. Artık riski hesaplayın: doğal risk eksi denetim etkililiği. Yüksek olasılıklı ve yüksek etkili riskler pahalı denetimleri haklı çıkarır. Düşük olasılıklı ve düşük etkili riskler, denetim uygulanmadan kabul edilebilir. Riskin nasıl ele alındığına ilişkin gerekçeyi belgeleyin.

NIST 800-53 Rev 5, 20 ailede düzenlenmiş 1.000'den fazla denetim içerir (AC, AU, CA, CM vb.). Federal kurumlar ve yükleniciler, belirtilen tabanları (Düşük/Orta/Yüksek) uygulamalıdır. Bu katalog, mevcut en kapsamlı teknik denetim başvuru kaynağıdır.

Boşluk analizi, mevcut güvenlik durumunuzu hedef çerçeve tabanıyla karşılaştırır. Adımlar: (1) Uygulanan mevcut denetimleri belgeleyin, (2) Bunları çerçeve denetimleriyle eşleyin, (3) Uygulanmayan veya kısmen uygulanan denetimleri belirleyin, (4) Boşlukları riske göre önceliklendirin, (5) Bir düzeltme yol haritası oluşturun.

İdeal bir denetim uygulanabilir olmadığında (maliyet, operasyonel kısıtlar, eski sistemler), alternatif yollarla eşdeğer risk azaltımı sağlayan telafi edici denetimler uygulayın. Denetçiler ve risk kabulü için telafi edici denetimin gerekçesini belgeleyin.

Denetimler işe yaradığı varsayılarak değil, sınanarak değerlendirilmelidir. Önleyici denetimleri, engellenen eylemi gerçekleştirmeye çalışarak sınayın. Tespit edici denetimleri, olayı taklit ederek ve tespit edildiğini doğrulayarak sınayın. Düzeltici denetimleri, masa başı tatbikatları ve kurtarma tatbikatları gerçekleştirerek sınayın.

CIS Kritik Güvenlik Denetimleri (18 denetim), önceliklendirilmiş ve pratik güvenlik önlemleridir. Uygulama Grupları (IG1/IG2/IG3), küçük kuruluşlara yönelik temel güvenlik hijyeninden kurumsal yapılar için gelişmiş denetimlere kadar ölçeklenir. IG1, asgari uygulanabilir güvenlik için en yüksek etkili temel korumaları sağlar.

Boşluk analizi çıktıları bir olgunluk yol haritasına dönüşür: harcanan her dolar başına risk azaltımına göre önceliklendirin, denetimleri üç aylık çalışma döngüleri halinde gruplayın, ilerlemeyi olgunluk kilometre taşlarına göre izleyin ve ilerlemeyi teknik jargon yerine iş riski diliyle yönetici paydaşlara raporlayın.

Üçüncü taraf risk yönetimi, tedarik zincirinizdeki denetimlerin değerlendirilmesini gerektirir. Güvenlik anketleri, SOC 2 raporları, ISO 27001 sertifikaları ve sızma sınaması özetleri, tedarikçi denetimlerinin etkililiğine ilişkin kanıt sağlar. Yüksek riskli tedarikçiler için yerinde değerlendirmeler gerekebilir.

Denetimler zamanla zayıflar; yama düzeyleri geriler, yapılandırmalar sapar ve erişim hakları birikir. Otomatik uyumluluk araçlarıyla (AWS Config, Azure Policy, SCC) sürekli denetim izleme, yıllık denetimlerden elde edilen belirli bir andaki anlık görüntü yerine gerçek zamanlı bir denetim durumu sağlar.

Önleyici ve tespit edici güvenlik kontrolleri arasındaki fark nedir?

Kontrol seçimi, belirlenen riskleri fiziksel, teknik ve idari kategorilerdeki uygun önleyici, tespit edici ve düzeltici kontrollerle eşleştirir. Boşluk analizi, çerçeve temel ölçütlerine göre eksik kontrolleri belirler; risk öncelikli yol haritası ise ölçülebilir güvenlik olgunluğuna ulaşmak için sistematik iyileştirmeyi yönlendirir.