Güvenlik Çerçeveleri Neden Vardır

Birçok kuruluş güvenliğe tepkisel bir şekilde başlar: korkutucu bir olaydan sonra güvenlik duvarı satın alır, antivirüs ekler ve bir şey bozulduğunda yama uygular. Bunun sonucunda, önemli bir şeyin eksik olup olmadığını anlamanın mümkün olmadığı, birbiriyle bağlantısız denetimlerden oluşan bir yığın ortaya çıkar.

Bir güvenlik çerçevesi, güvenlik programını düşünmek, oluşturmak ve kanıtlamak için yapı ve ortak, düzenli bir yöntem sağlar. Her liderin sonunda sorduğu şu soruyu yanıtlar: Gerçekten güvende miyiz ve bunu nereden biliyoruz?

Güvenlik çerçevesi, kategoriler hâlinde düzenlenmiş seçilmiş bir denetimler, uygulamalar ve süreçler kümesidir. Size şunları sağlar:

• Ekiplerin, denetçilerin ve tedarikçilerin aynı şeyi ifade etmesini sağlayan ortak bir terminoloji.
• Eksikleri şansa bağlı olarak değil, sistematik biçimde fark etmenizi sağlayan kapsam.
• Plansız uygulamalardan yönetilen ve en iyi duruma getirilmiş uygulamalara uzanan bir olgunluk yolu.
• Düzenleyici kurumlara ve müşterilere kabul görmüş uygulamaları izlediğinizi göstermenizi sağlayan savunulabilirlik.

Bu terimler sıkça birbirine karıştırılır, ancak aralarında fark vardır:

• Çerçeve (ör. NIST CSF) — bağlamınıza uyarladığınız esnek bir uygulama yapısıdır. Genellikle gönüllülük esasına dayanır.
• Standart (ör. ISO 27001) — akredite bir denetçi tarafından uygunluğu belgelendirilebilen resmi bir belirtimdir.
• Düzenleme (ör. GDPR, HIPAA) — uyulmaması durumunda yaptırımlar bulunan yasal bir gerekliliktir.

Bunlar örtüşebilir: Bir çerçeve genellikle bir düzenlemenin gerekliliklerini karşılamanıza yardımcı olur ve bir standart için belgelendirme alınabilir.

Modern çerçeveler kontrol listesi odaklı değil, risk odaklıdır. Her şeyi eşit ölçüde koruyamazsınız; bu nedenle önceliklerinizi riske göre belirlersiniz.

Risk üç faktörü birleştirir:

Envanterini çıkarmadığınız şeyleri koruyamazsınız. Her çerçeve varlıklarınızı tanımakla başlar: veriler, sistemler, uygulamalar, insanlar ve bunların işletme açısından değeri.

• Hangi verileri tutuyoruz ve bunlar ne kadar hassas?
• Hangi sistemler operasyonlar için kritik?
• Kim hangi varlıklara erişebiliyor?

Varlık ve veri envanteri temeldir; bu envanter olmadan uygulanan denetimler tahminden ibarettir.

Adları farklı olsa da çoğu çerçeve aynı denetim ailelerini kapsar:

• Erişim denetimi — kimlik doğrulama, yetkilendirme, en az ayrıcalık.
• Varlık ve yapılandırma yönetimi.
• Günlük kaydı ve izleme.
• Olay müdahalesi.
• Veri koruma — şifreleme, yedekleme, saklama.
• Tedarikçi ve tedarik zinciri riski.

Aileleri bir kez öğrenirseniz, herhangi iki çerçeve arasında eşleme yapabilirsiniz.

Çerçeveler yönetişim konusunda ısrarcıdır: Güvenlik sonuçlarının sorumluluğunu biri üstlenmelidir. Sahibi olmayan bir denetimin bakımı yapılmaz.

İyi yönetişim politikaları (kuralları) tanımlar, sorumluluk atar (bunları kimin uygulayacağını belirler) ve bir gözden geçirme takvimi oluşturur (ne zaman yeniden değerlendirileceklerini belirler). Gerçek bir programı, kimsenin okumadığı belgeler klasöründen ayıran şey budur.

Yaygın bir hata, çerçeveyi denetçiyi yılda bir kez memnun etmek için kullanılacak bir kontrol listesi olarak görmektir. Uyumluluk güvenlikle aynı şey değildir.

Tüm kutuları işaretleseniz bile denetimler yalnızca kâğıt üzerinde varsa yine de saldırıya uğrayabilirsiniz. Çerçeve gerçek bir yetkinlik oluşturmak için kullanılan bir araçtır; sertifika amaç değil, yan üründür. Uygulamada işe yarayan ve düzenli olarak sınanan denetimleri hedefleyin.

Hangi çerçeveyi benimseyeceğiniz bağlama bağlıdır:

• NIST CSF — esnektir, US içinde yaygın olarak kullanılır ve bir programı sıfırdan yapılandırmak için çok uygundur.
• ISO 27001 — uluslararası kabul görür, belgelendirilebilir ve B2B ile EU müşterileri için çoğu zaman gereklidir.
• SOC 2 — hizmet olarak yazılım sağlayıcılarının müşterilerine güven verdiğini kanıtlamasında yaygındır.
• Sektöre özgü olanlar: PCI DSS (ödemeler), HIPAA (US sağlık hizmetleri).

Birçok olgun kuruluş, müşteriler ve düzenleyici kurumlar farklı çerçeveler talep ettiği için aynı anda birden çok çerçeveyle eşleme yapar.

Tehditler, sistemler ve işletmenin kendisi sürekli değişir. Bir çerçeve sürekli bir döngü oluşturur: riski değerlendirin, denetimleri uygulayın, etkinliği izleyin, iyileştirin ve tekrarlayın.

Standartların gözden geçirme döngülerini ve denetimleri içermesinin nedeni budur. İki yıl önce belgelendirilmiş ve bir daha gözden geçirilmemiş bir güvenlik duruşu muhtemelen güncelliğini yitirmiştir. Çerçeve, programı belirli bir anda dondurmak yerine canlı tutar.

Çerçeveler ihlal riskini azaltmaktan daha fazlasını yapar; somut iş değerlerinin önünü açar:

• Satış desteği — kurumsal ve kamu alıcıları, sözleşme imzalamadan önce genellikle kabul görmüş bir çerçeveyi uyguladığınıza dair kanıt ister.
• Güven ve itibar — bir belgelendirme, müşterilere ve iş ortaklarına olgunluk sinyali verir.
• Operasyonel netlik — tanımlanmış roller ve süreçler, olaylar sırasında yaşanan karmaşayı azaltır.
• Daha düşük sigorta maliyeti — siber sigortacılar primleri giderek daha fazla çerçeve benimsenmesine göre belirler.

Güvenliği yalnızca bir maliyet olarak değil, işin önünü açan bir unsur olarak konumlandırmak, programların finansman kazanmasını sağlar.

Uyumluluk ile güvenlik arasındaki ayrımı sınayın.

Güvenlik çerçevelerinin var olma nedenleri:

• Önceden planlanmamış, tepkisel güvenliği yapıyla değiştirirler: ortak terminoloji, kapsam, olgunluk ve savunulabilirlik sağlarlar.
• Çerçeveleri (esnek yapılar), standartları (belgelendirilebilir belirtimler) ve düzenlemeleri (yasal gereklilikler) birbirinden ayırırlar.
• Modern çerçeveler risk odaklıdır ve varlık ile veri envanteriyle başlar.
• Çoğu aynı denetim ailelerini kapsar; yönetişim sahipliği ve gözden geçirme takvimini belirler.
• Uyumluluk güvenlik değildir; çerçeveyi tek seferlik bir kontrol listesi olarak değil, sürekli bir iyileştirme döngüsü olarak ele alın.