Değerlendirmenin desteklediği kararla başlayın
Yararlı bir ISO 27001 risk değerlendirmesi örneği; inandırıcı bir olayı, etkilenen bilgiyi ve çalışmanın önceliklendirilme gerekçesini açıklar. Yalnızca kırmızı puanla işaretlenmiş bir siber saldırı satırı bunu sağlayamaz. Okuyucu ne olabileceğini, bunun neden hâlâ mümkün olduğunu ve hangi mevcut güvenlik önlemlerinin maruziyeti değiştirdiğini anlamalıdır. ISO, ISO/IEC 27001'i risk yönetimi etrafında yapılandırılmış bir bilgi güvenliği yönetim sistemi standardı olarak tanımlar.
Bu özgün ve kurgusal örnek, bulut tabanlı randevu hizmeti Marlow Appointments'ı ele alır. Değerlendirme, destek personelinin işlediği müşteri veri dışa aktarımlarını kapsar. Verilmesi gereken karar, mevcut dışa aktarma doğrulama sürecinin müşteri verilerini yeterince koruyup korumadığıdır. Değerlendirme tarihi 8 Eylül 2026'dır; R-32'nin sahibi destek sorumlusudur. Bulgular, işletmedeki bütün güvenlik risklerine değil bu iş akışına ilişkindir.
Puanlamadan önce yöntemde anlaşın
Marlow; RA-M01 yönteminin 2. revizyonunu, bir yıllık değerlendirme dönemini ve beş puanlı olasılık ve etki ölçeğini kullanır. Onaylı kriterleri, olasılık 3'ü gerçekleşme yolu gösterilmiş inandırıcı bir olay; etki 4'ü ise yönetici müdahalesi gerektiren önemli müşteri gizliliği zararı olarak tanımlar. Etki; gizlilik, bütünlük ve erişilebilirlik açısından değerlendirilir. Ciddi zararı ortalamayla azaltmak yerine ilgili en yüksek sonuç esas alınır.
Marlow'un örnek kurallarında 1–6 puan, sahibinin dokümante edilmiş kararıyla riskin tutulmasına izin verir; 8–12 puan risk işleme veya gerekçeli onay, 15–25 puan ise konunun hızla üst düzeye taşınmasını gerektirir. Bu eşikler, çarpma yöntemi ve gözden geçirme süreleri ISO şartı değil, kuruluşun tercihleridir. Bağlayıcı bir yükümlülük, düşük puanda da geçerlidir. Tek tek riskleri değerlendirmeden önce kriterleri iş sahipleriyle uyarlayın ve sonraki sonuçların karşılaştırılabilir olması için yöntem sürümünü koruyun.
Doldurulmuş kurgusal bir değerlendirme
Tablo, zorunlu bir kayıt düzeni değil, doldurulmuş açıklayıcı bir kesittir. Kanıt kimlikleri, uydurulmuş kontrollü kayıtlara atıf yapar. Mevcut değerlendirmede yalnızca değerlendirme tarihinde uygulanan güvenlik önlemleri dikkate alınır.
| Değerlendirme alanı | Doldurulmuş kayıt |
|---|---|
| Bilgi ve sonuç | Müşteri randevu verilerinin dışa aktarılması. Kimliğe bürünen bir kişiye açıklanması, iletişim bilgilerini ve randevu geçmişlerini açığa çıkarabilir; bütünlük ve erişilebilirlik, bu değerlendirmedeki başlıca sonuçlar değildir. |
| Tehdit ve olay | Dışarıdan bir kişi inandırıcı ve acil bir veri dışa aktarma isteği gönderir; destek personelini başka bir müşterinin dosyasını vermeye ikna eder. |
| Zayıflık | Personel, yetkiyi aynı istekte verilen iletişim bilgileriyle doğrulayabilir; dışa aktarma aracı, bağımsız bir kontrolün kaydını zorunlu tutmaz. |
| Mevcut kontrol ve kanıt | SW-32, personele istekte bulunanı doğrulama talimatı verir; TR-32 eğitimi kimliğe bürünmeyi ele alır. EX-32 örneklemi, ağustos ayındaki 12 dışa aktarma vakasını içerir: dokuzunda bağımsız teyit vardır, üçünde ise yalnızca e-posta yanıtı kaydedilmiştir. |
| Mevcut puan ve gerekçe | Olasılık 3: kötüye kullanım teyit edilmemiş olsa da doğrulama zayıflığı gösterilmiştir. Etki 4: tam bir müşteri dışa aktarımı hassas hizmet geçmişini içerir. Puan 12; risk işleme veya gerekçeli onay gerekir. |
| Belirsizlik ve sınırlama | Yalnızca bir ay ve 12 vaka; bütün dışa aktarımlar hakkında iddia yoktur. E-posta hesabının ele geçirilmesi ve otomatik self servis dışa aktarımlar ayrı senaryolar gerektirir. |
| Değerlendirme ve gözden geçirme | Destek sorumlusu 8 Eylül 2026'da risk işleme önerir. Gözden geçirme tarihi 8 Ekim 2026'dır; kimliğe bürünme şüphesi, dışa aktarma aracında değişiklik veya yeni sözleşme şartları oluşursa daha erken yapılır. |
| Değerlendirme onayı | Risk sahibi: destek sorumlusu. Değerlendirme 8 Eylül'de güvenlik sorumlusuyla gözden geçirilmiş ve karar AP-32 onayına kaydedilmiştir. Risk işleme planının onayı ve artık riskin kabulü ayrı kayıtlı kararlar olarak kalır. |
| Önerilen müdahale; mevcut kontrol değildir | TP-32, önceden kayıtlı bir kanal üzerinden teyit ve zorunlu doğrulama kaydı önerir. Beklenen iyileşme henüz doğrulanmamıştır. |
Mevcut kontrol iddiasını sınayın
Onaylı bir talimat, amaçlanan süreci belirler; her dışa aktarmada buna uyulduğunu göstermez. Marlow, talimatı vaka kayıtlarıyla karşılaştırır ve üç istisnayı işleyen personelle görüşür. Değerlendirici, müşteri bilgilerini genel risk listesine kopyalamadan kaynak sistemi, örnekleme yöntemini ve kanıtın yerini kaydeder. Özgün vakalara erişim sınırlı kalır.
Üç zayıf kayıt, bağımsız doğrulamanın tutarlı biçimde gösterilmediğini ortaya koyar. Üç veri ifşası olduğunu göstermez; personelin kontrolleri atladığını kanıtlamaz veya saldırı olasılığını ölçmez. İstisnaları başka kanıtların açıklayıp açıklamadığını kontrol edin ve kanıt eksikliğini teyit edilmiş başarısızlıktan ayırın. Bir prosedür, eğitim kaydı ve tamamlanmış vaka farklı soruları yanıtlar; değerlendirme bunların birlikte nasıl kullanıldığını göstermelidir.
Puanı ve belirsizliği açıklayın
Sayı bir yargıyı özetler; gerekçe ise onu gözden geçirilebilir kılar. Olayın neden inandırıcı olduğunu, maruziyeti neyin sınırladığını ve sonucu hangi etkinin belirlediğini açıklayın. Marlow, personel eğitiminin bir ölçüde koruma sağladığını, ancak iş akışının belirli bir doğrulama atlatmasına izin verdiğini kaydeder. Bildirilmiş olay olmamasını, bu zayıflığın kullanılamayacağına kanıt saymaz.
NIST'in risk değerlendirmesi rehberi tehditleri, zayıflıkları, olasılığı, etkiyi ve belirsizliği ele almak için yararlı bir başvuru kaynağıdır. Federal rehberliği, ek bir ISO belgelendirme şartı değildir. Bu örnekte Marlow'un sınırlı örneklemi, mevcut puan görünür tutulurken dışa aktarma türlerinin daha geniş incelenmesini gerektirir. Bilinmeyenler sessizce en düşük puanı almak yerine sorumlusu atanmış inceleme faaliyetlerine dönüşür.
Planlanan risk işlemeyi ayrı tutun
R-32, kabul kriterlerine göre yapılan bir değerlendirmeyle sona erer. TP-32 daha sonra seçilen risk işlemeyi geliştirir: sorumluluklar, kaynaklar, terminler, gerekli kontroller, onay ve değişikliğin işe yaradığını gösteren kontroller. Öngörülen artık risk, bu varsayımlarla birlikte ele alınır. Yalnızca risk işleme planlandığı için mevcut puan düşmez; araç satın almak veya eğitim planlamak tek başına düşüşü gerekçelendirmez.
İlgili risk değerlendirme dokümanı genel bakışı değerlendirme ve risk işleme kayıtlarının ayrılmasına yardımcı olur. Daha geniş ISO 27001 yönetim sistemi bu kararları kuruluşun ihtiyaç duyduğu kontrollere ve Uygulanabilirlik Bildirgesine de bağlar. Gerekli bir kontrolün gözden kaçmadığını kontrol etmek için gerekli kontrolleri Ek A ile karşılaştırın. Uygulanabilirlik Bildirgesi; bu gerekli kontrolleri, dahil edilme gerekçelerini, uygulama durumlarını ve Ek A kontrollerinden dışlananlar için gerekçeleri kaydeder. Risk sahiplerinin risk işleme planını onaylamasını ve artık bilgi güvenliği risklerini kabul etmesini sağlayın. Aşağıdaki EASA kaynağı, havacılık bağlamında hazırlanmış bir ISO/IEC 27001 karşılaştırma tablosudur; ilave havacılık şartları bu kurgusal örneğin kapsamı dışındadır.
Şu kaynağı kullanın: eksiksiz ISO 27001 şablon seti Risk listenizi ve ayrı risk işleme kayıtlarınızı düzenleyin; yönteminizin gerektirdiği yerlere kanıt ve gerekçe alanları ekleyin. ISO 27001 prosedür paketi değerlendirme ve risk işleme için Word yöntemleri sağlar; Excel kayıtları eksiksiz sete dahildir.
Kullanılabilir bir kaydı gözden geçirin ve onaylayın
Bir değerlendirmeyi onaylamadan önce senaryoyu şu kontroller üzerinden izleyin:
- Bilgiyi, iş faaliyetini, risk sahibini ve değerlendirme tarihini belirtin.
- Tehdidi, kullanılabilecek zayıflığı ve ortaya çıkacak iş sonucunu birbirinden ayırın.
- Mevcut güvenlik önlemlerini tarihli kanıtlara bağlayın ve kapsam sınırlamalarını belirtin.
- Olasılığı ve etkiyi onaylı kriterlere ve değerlendirme dönemine göre açıklayın.
- Değerlendirmeyi, çözümlenmemiş varsayımları ve riski tutma kararının yetkisini kaydedin.
- Önerilen faaliyetleri risk işleme planlamasına bağlayın ve gözden geçirmeyi tetikleyecek durumları tanımlayın.
Önceki revizyonları saklayın; böylece gözden geçiren kişi neyin, neden değiştiğini görebilir. Yeniden değerlendirme; yeni kanıtları, değişen varsayımları veya farklı maruziyeti belirtmelidir. Dışa aktarma iş akışı değiştiğinde önceki sonucu değiştirmeden önce uygulamayı inceleyin. Bu geçmiş, kayıt listesini tamamlandığı günün ötesindeki kararlar için de yararlı kılar.
Destekleyici kanıtların denetimi için ücretsiz denetim kanıtı paketi uygulanmış bir kanıt zinciri ve düzenlenebilir kanıt kaydı sağlar. Örneklenen vakayı kaynak kayda, değerlendirme sonucuna ve takibe bağlamak için kullanın.
Sık sorulan sorular
ISO 27001, beşe beş risk matrisi kullanılmasını ister mi?
Belirli bir matris öngörülmez. Kuruluşunuz için uygun ve tekrarlanabilir bir değerlendirme yöntemi ile risk kabul kriterleri tanımlayın. Bu örnekteki sayısal ölçek ve eşikler, kurgusal kuruluşun tercihleridir.
Planlanan güvenlik önlemleri mevcut risk puanını düşürmeli mi?
Mevcut maruziyeti, zaten uygulanan güvenlik önlemlerine ve eldeki kanıtlara göre değerlendirin. Önerilen önlemlerin beklenen etkisini risk işleme planlamasında bir öngörü olarak kaydedin; ardından uygulama ve etkililik kanıtlarını kullanarak yeniden değerlendirin.
Bu değerlendirme tamamlanmış bir risk işleme planı mıdır?
Hayır. Tek bir senaryoyu belirler ve değerlendirir. Risk işleme planı; seçilen müdahaleyi, gerekli kontrolleri, sorumlulukları, kaynakları, onayı, uygulama kontrollerini ve risk kabul kararlarını ekler.
Kaynaklar ve ek okumalar
Örneği uygulamaya geçirin
Yapacağınız işe uygun doküman setini seçin, kapsamını kontrol edin ve kendi süreçlerinizle ve kanıtlarınızla uyarlayın.
ISO 27001 şablonları
Eksiksiz bilgi güvenliği yönetim sistemi seti, uyarlayabileceğiniz risk kayıtlarını, risk işleme planı sayfasını ve uygulanabilirlik araçlarını içerir.
ISO 27001 prosedürleri
Risk değerlendirme ve işleme yönteminizi tanımlamak ve uygulamak için Word prosedür dokümanları.