Siber Güvenlik Denetimi

Güvenlik duvarı kurallarının belirlenmesi gibi çok teknik kontroller, bir kontrol değerlendirmesinin (ilk seviye yönetimi), yüksek değerli bir varlığın risk değerlendirmesinin bir parçası olarak gözden geçirilebildiği (ikinci ve üçüncü seviye) gibi, makul güvence sağlanabilir. Bu denetimlerin ve gözden geçirmelerin bağımsız işlevler tarafından gerçekleştirilmesi, kontrol zayıflıklarının tespit edilme olasılığını arttırır ve daha fazla kontrol ve denge sağlar.

Kurumsal düzeyde ilk siber savunma hattı olarak, kurum genelinde yönetimin siber güvenlik kontrollerinin mevcut ve etkin bir şekilde yürütülmesini sağlama konusunda bir çıkar çatışması olmadığını güvenceye alması gerekir. Sorumluluk ve hesap verebilirlik genellikle kontrol öz değerlendirmeleri (CSA), saldırı ve ihlal sızma testleri, fonksiyonel ve teknik testler, sosyal / davranış testleri ve yönetim değerlendirmeleri gibi çeşitli test faaliyetlerini yürütmek üzere üst yönetimin dahliyle sağlanabilir. Üst yönetimin bu süreçlere önem vermesi gerekir. Bu süreçlerin her biri, tasarımın ya da kontrolün devam eden uygulamasında kontrol zayıflıklarını veya eksikliklerini tanımlamak için tasarlanmış iş süreçlerinin bir parçası olarak düşünülmelidir. Çünkü siber güvenlik süreçleri kendileri için bir değer ifade etmezlerken iş süreçleri ve kurumsal amaçların gerçekleştirilmesine hizmet etmektedir. Bu nedenle de iş süreçleriyle entegre bir şekilde işletilmeli ve iş süreç sahiplerinin öngörü ve ihtiyaçları dikkate alınmalıdır.

İşletmelerde, siber güvenlik ve kurumsal risk yönetimi süreçleri aracılığıyla iş süreçleri üzerinde bulunan siber riskler belirlenmelidir. İşletmelerde, işin sahibi, risk yönetimi ve iç denetim birlikte faaliyetlerini sürdürmesi için gerekli olan gizlilik, bütünlük ve erişilebilirlik (CIA) kontrollerinin seviyesinin nasıl belirleneceği konusunda birlikte çalışmalıdırlar. Şirketler, ayrıntılı, nicel bir yöntemden daha düşük bir maliyetle yeterli bir risk ölçümü sağlayabilecek niteliksel bir risk değerlendirme sürecinden yararlanarak, riskle ilgili kesin ölçümlerin veya parasal miktarlarının görünümünü sağlayabilir, ancak bu hesaplamalar genellikle çok hassas olmayan sübjektif olasılık ölçütlerine dayanır. Birçok işletme uzman, görüşüne dayanan niteliksel bir yaklaşım kullanmaktadır.

Tehditler, hasarı önlemek için yeterli kontroller mevcut değilse, CIA’yı etkileme potansiyeline sahip tehlikelerdir. Bunlar, insan tehditlerinden (örn. Dikkatsizlik, insan hatası, casusluk, hassas veri ifşası, sosyal medya istismarları, sabotaj, dolandırıcılık) çevresel tehditlere (örn. Güç / ısıtma, havalandırma, klima [HVAC] dalgalanması, kablo kesintileri) kadar uzanabilir. Teknik tehditlere (hırsızlık, hassas medya bertarafı, sunucu odaları, kırık su boruları, yangın), (örneğin, oturum açma, kötü amaçlı kod, yetkisiz erişim, oturum devralma, mobil medya kaybı, donanım / yazılım hatası, uzaktan erişim). İşletmeler iş süreçleri üzerinde bulunan kendilerine özgü siber riskleri tespit etmeleri gerekmektedir.

Güvenlik açıkları risk değerlendirme süreci için son derece önemlidir. Özellikle, güvenlik açıkları bir istismarın gerçekleşmesi için fırsat sağlar; mantıksal olarak, bu nedenle ve tanım gereği, bir güvenlik açığı olmadan, herhangi bir risk yoktur, bir korunmasızlıkla risk potansiyel olarak çok büyük olabilir. Sistem yazılımı, prosedürleri ve dahili kontrollerdeki bu güvenlik açıklarının çoğu uygulanmayan bir kontrolün sonucudur. Birisi bir sanat müzesine gitme ve duvardan değerli bir resim çekmeyi arzulayabilir; ancak, ön kapıdan değerli bir sanat eseriyle çıkma yeteneğinin, bir dizi alarm ve hırsızlığı durduran güvenlik görevlileriyle karşılaşacağından şüphelenirdi. Bunlar uygun kontrollerle hafifletilen güvenlik açıklarıdır. Öyleyse, soru, zayıflıkların dürüst bir şekilde riski değerlendirmek için gözden geçirildiği örgüte sahip mi? Bu güvenlik açıkları yıldan yıla gözden geçirilmeksizin kabul edildi ve kabul edildi mi?

Tehditler, riskler ve etkileri tespit edildikten sonra mevcut süreçlerde ne tür kontrollerin olduğunu detaylı olarak tespit ederek bunların geçerliliklerini koruyup korumadıkları ve güncellenmeleri gerekip gerekmediği de değerlendirilmelidir. Yeni bir kontrol tasarlarken ve uygularken, amaç bilgi kaynaklarının CIA’sini sağlamak olmalıdır. Kontrol etkinliğini ve sürdürülebilirliği sağlamak genel yönetim sürecinin bir parçası olmalıdır. Kontrol tasarımı, izleme ve test etme, sahiplik dahil olmak üzere bu sürecin temel anahtarıdır.

Güvenlik açığının sömürüldüğünü ve kuruluşun yapılan zararı değerlendirip yanıtlayabileceğini varsayar. Finansal bir sistem kesintisi maliyetine ilişkin bilgi sağlayabilir veya veri ihlalleri konusunda deneyimli / harici kaynaklar, maliyetin kuruluş için yüksek olup olmadığına veya bir zarar yazımı olarak kabul edilip edilmeyeceğine karar verilebilir. Belirli ihlal senaryolarının gerçekleşmesi durumunda ne tür maliyetlerin olabileceği ve bunlara tahammül edilip edilemeyeceği yani risk profili ile risk iştahının belirlenmesi etki analizine dayanır. Etkiler, kurumsal veya kişisel veri veya bilginin yetkisiz bir şekilde ifşa edilmesine, verilerin imhasına, sistem kaybına, itibar kaybına, pazar payının kaybına, hisse değerinin düşmesine ve riskin atfedilen varlığın değerine etki edebilir. Bazen, yeni bir ürün projesi, pazarlama planları veya tasarım özelliklerinin çalışması gibi durumlarda, firmanın masrafları (müşteri gruplarının listesi veya dahili fiyatlandırma listeleri) arttıkça, etki kolayca bilinemeyebilir. Rakip firmaların araştırma ve tasarım maliyetleri olmaksızın çalıntı bilgilerle daha düşük bir maliyetle aynı ürünü inşa etmeleri de dikkate alınmalıdır. İstisnai bir güvenlik açığına cevap verecek düzeltici kontrollerin yapılması önemli olmakla birlikte, önleyici kontrollerin bir saldırının olasılığını azaltmak için etkin ve verimli bir şekilde çalışmasını sağlamak daha önemlidir. Bazen olay bittikten sonra düzeltmek çok zor veya imkânsız olabilir. Etkin bir risk değerlendirmesi, uygun kontrol düzeylerini belirlemede yönetimi yönlendirecektir. Ancak, çoklu değişkenlere bağlı olarak önleyici, dedektif ve düzeltici önlemleri uygulamaktan sorumlu olan yönetimdir. Etki değerlendirme sürecinin ne kadar objektif olduğu, projeksiyonların ne ölçüde makul olduğu konusunda denetim ekibinin değerlendirme yapmasında fayda vardır. Eğer afaki bir şekilde etki değerlendirmelerinin yapıldığı tespit edilirse risk yönetiminin etkin işlemediği kanısına varılabilir.

Risk genellikle, ortaya çıkma olasılığını ve etki değerleriyle birlikte derecelenerek belirlenir ve mevcut tehdit, güvenlik açıkları ve kontrol ortamı durumunu kabul ederek bir risk seviyesinin tespit edilmesine olanak sağlar. Organizasyon ek kontrollerin uygulanması yoluyla riski azaltma fırsatına sahiptir. Bu kontroller uygulandıktan sonra kontrol edilmeyen risk, kalan (residual) risk olarak tanımlanmaktadır. Kuruluş, kalan bakiye risk kabul edilebilir düzeye inene kadar kontrolleri uygulamalı ve yönetim riski resmi olarak kabul etmeye istekli olmalıdır. Her şeyde risk vardır ve makul olan ise kabul edilebilir maliyetle orantılı bir fayda sağlayan bir risk düzeyi bulmaktadır. Yani kabul edilebilir risk düzeyindeki fırsatları değerlendirmek gerekir. Örneğin, sanal özel ağlar (VPN’ler) ve iki faktörlü kimlik doğrulaması gibi BT kontrollerinin uygulanması, uygulanmayan güvenlik açıklarını kaldırarak, çoğu kuruluş için kabul edilebilir bir düzeye erişebilmeleri için, araya girme (in-themiddle) veya gizlice dinleme (sniffing) saldırıları riskini azaltır. Oldukça gizli ve stratejik bir devlet kurumu için bu kontrol yeterli olmayabilir ve özel ağlara ve artırılmış erişim yetkisine yönelik kısıtlamalar bilgi sisteminin ve varlıkların CIA gereksinimlerine dayanan gerekli bir kontrol olabilir. Denetçiler tarafından risk seviyesi belirleme sürecinin işleyişi değerlendirilmelidir.

Risk, dikkatin gerekli olduğu seviyeye yükseldiğinde (örneğin, yüksek veya orta riskli ya da birden fazla düşük riskli bir kombinasyonda), yönetim, hangi yaklaşımı benimseyeceğine karar vermelidir. En belirgin yaklaşım, riski azaltmak için insanlara, teknolojiye veya süreçlere yatırım yapmaktır. Ancak, bu organizasyonun sahip olmadığı kaynak ve para gerektirir. Organizasyon ayrıca bu süreçte birçok risk alanını ortaya çıkarmış olabilir ve birkaç yıl boyunca fonların izin verdiği ölçüde (büyük olasılıkla) öncelikli olarak azaltılması planlanmalıdır. Risk, şirketin risk iştahına uyuyorsa olduğu gibi kabul edilebilir. Diğer bir deyişle şirket, olayın gerçekleşmeyeceği ihtimalini, muhtemelen etkinin düşük olması ya da tehdit olasılığının önemsiz olması ihtimalini göz önünde bulundurmak istemektedir. Örneğin, bir kuruluş fidye yazılımını hedefleyen yeni bir kötü amaçlı yazılım son nokta koruma ürününe yatırım yapamayabilir çünkü düşük maliyet olarak algılamış olabilir (yedekleme bantlarından geri yükleme, iş istasyonu bölümlere ayrılmış bir ağ üzerindedir) veya diğer tehdit önleme mekanizmaları vardır. Bunlara örnek olarak son kullanıcı kimlik avı eğitimi bilinci ve e-posta taraması teknolojisi olarak kötü amaçlı bağlantılar için yeniden yazma ve test etme gibi kontroller verilebilir. Riskin kabul edildiği durumlarda, etkin bir yöntem, üst düzey yönetim seviyesinde birisinin iş gerekçeleri, gelecekteki etki azaltma planları ve imzanın desteklediği riskleri kabul etmesidir.

Kuruluş, sunucunun artık yamaları almayan veya üretici tarafından desteklenmeyen bir işletim sisteminin hizmetten çıkarılması riskini ortadan kaldırmaya karar verebilir. Riski azaltmak için diğer tespit edici veya önleyici kontrolleri ekleyerek riski sınırlandırmaya karar verebilir. Cihazda veri sızması göründüğünde uyarı vermek için ağ günlüklerinde bulunan süreç alarmlarına eklenebilir. Siber sigorta yaptırmak, riski başka bir tarafa aktarma yoluyla azaltmanın başka bir yoludur. Bu, riski azaltmayacak veya nihai sorumluluğu transfer etmeyecek olsa da, meydana geldiğinde olayın mali etkisini azaltabilir. Yeterli finansmanı sağlamak için, siber güvenlik iyileştirme planlarının tipik olarak bir süre içinde yürütülmesi gerekmektedir.

Siber güvenlik süreçleri hem iç denetçiler ve hem de dış denetçiler tarafından denetimin amaç ve kapsamlarına göre dikkate alınmalıdır. Çünkü artık siber risk taşımayan hiçbir iş süreci neredeyse kalmamıştır. Endüstri 4.0, akıllı şehirler, yapay zeka ve büyük verinin her alanı etkilediği göz önüne alınmalıdır. Finansal, teknik, operasyonel veya sistematik her süreçte siber risk bulunmaktadır. Tanımlanmış süreçlere sahip olmanın önemi, eğitimli ve yetkin siber güvenlik kaynakları ve üst düzey liderlik tarafından uygun eylemlerin gerçekleştirilmesini sağlamakla anlaşılır. Bunun yanı sıra, güncel ortaya çıkan tehditleri ele almak ve günlük olarak etkin bir şekilde yönetilmesini sağlamak için bir yönetişim çerçevesinin işler halde olması gerekir. Siber güvenlik denetim sürecinin yapılandırılmış olması, denetlenen birim veya kurumda ek olarak hesap verebilirlik oluşturur ve kontrol ortamını daha güçlü da kılar.

Siber güvenlik denetimleri, iş çevrimlerinin göz önünde bulundurulması, iş faaliyetlerinde asgari kesintiye yol açması ve bilişim teknolojisinin (BT), yasal, insan kaynaklarının (İK) tam katılım şansının artırılması ve iş çevrelerinin dikkate alınması şeklinde yıllık bir döngüde denetim için gerekli iş alanları planlanmalıdır. Departmanların kanıtlarının toplaması için uygun planlama ve zaman ile, denetim sorun alanlarını keşfetmeye ve riski değerlendirmek için beklemeye ve tekrar tekrar bilgi talep etmeye odaklanabilir. Denetimler kapsamında giriş, günlük güncelleme ve çıkış toplantıları ile aktiviteler planlanmalı ve her bir aşama için kesin beklentiler açıkça bildirilmelidir. Test faaliyetleri genellikle hesap kurulumu ve faaliyetlerin yürütülmesine erişim gerektirir ve bunları zamanında temin edememek, denetimin uzamasını sağlayabilir.

Denetimler birçok şekil alabilir ve siber güvenliğe genel yönetişim veya teknik test ile ilgili farklı odaklara sahip olabilir. Politika, prosedürler, standartlar ve kılavuz ilkelerin uygun olması, yönetim tarafından onaylanması ve iş değişikliklerine cevap olarak sıklıkla güncellenen ve gözden geçirilmesi sağlanması gerekir. Günümüzde dikkatin tespit ve müdahaleye daha çok kaymasıyla organizasyon, bir ihlal durumunda ne kadar iyi hazırlandığını belirlemek için denetleme yapmak isteyebilir. İşletmenin tüm alanlarını denetlemek imkansız olduğundan, denetlemek için yüksek değerli alanlara ve riskin fazla olduğu süreçlere bakmak şarttır.

Denetim planı kapsam belirleme;