DDO Uyum Danışmanlığı ve Denetimi

Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberine Uyum Nedir?

Kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet veren işletmelerin bilgi ve iletişim güvenliği kapsamında alması gereken tedbirleri belirlemek için 06.07.2019 tarihli ve 30823 sayılı Resmi Gazete’de Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi yayımlanmıştır. Yayımlanan Genelge doğrultusunda Cumhurbaşkanlığı DDO (Dijital Dönüşüm Ofisi) koordinasyonunda paydaşların katılımıyla Bilgi ve İletişim Güvenliği Rehberi hazırlanarak, uygulamaya sunulmuştur.

Rehberin temel amacı; bilgi güvenliği risklerinin azaltılması, ortadan kaldırılması ve özellikle gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda milli güvenliği tehdit edebilecek veya kamu düzeninin bozulmasına yol açabilecek kritik bilgi ve verinin güvenliğinin sağlanması için asgari güvenlik tedbirlerinin belirlenmesi ve belirlenen tedbirlerin uygulanması için yürütülecek faaliyetlerin tanımlanmasıdır.

Mevcut Durum ve Boşluk Analizi / DANIŞMANLIK

Temelde uygulanacak olan varlık gruplarına yönelik tedbirler üç ana başlık altında değerlendirilecektir.

Sıkılaştırma faaliyetlerine yönelik güvenlik tedbirleri ana başlıkları:

• İşletim Sistemi Sıkılaştırma Tedbirleri

• Veri Tabanı Sıkılaştırma Tedbirleri

• Sunucu Sıkılaştırma Tedbirleri

Varlık gruplarına yönelik güvenlik tedbirleri ana başlıkları:

• Ağ ve Sistem Güvenliği

• Uygulama ve Veri Güvenliği

• Taşınabilir Cihaz ve Ortam Güvenliği

• Nesnelerin İnterneti (IoT) Cihazlarının Güvenliği

• Personel Güvenliği

• Fiziksel Mekânların Güvenliği

Uygulama ve teknoloji alanlarına yönelik güvenlik tedbirleri ana başlıkları:

• Kişisel Verilerin Güvenliği

• Anlık Mesajlaşma Güvenliği

• Bulut Bilişim Güvenliği

• Kripto Uygulamaları Güvenliği

• Kritik Altyapılar Güvenliği

Yeni Geliştirmeler ve Tedarik Varlık grupları için belirlenen tüm tedbirler ile ilgili mevcut durum analiz edilir ve varlık grubu mevcut durum analiz raporu hazırlanır. Mevcut durum analizi çalışmaları kapsamında teknik çalışma, toplantı, otomatik araç ile durum tespiti, dokümantasyon inceleme vb. faaliyetler gerçekleştirilebilir. Varlık grubuna bir tedbirin uygulanıp uygulanmadığı tespit edilirken öncelikle aşağıdaki sınıflandırmaya göre uygulama durumuna karar verilir ve mevcut durum ile ilgili açıklayıcı bilgi yazılır.

• Tedbir varlık grubunda yer alan tüm varlıklara uygulanmakta ise “tamamen”
• Tedbir varlık grubunda yer alan varlıkların çoğuna uygulanmakta fakat bazı varlıklara kısmen uygulanmakta veya henüz uygulanmamakta ise “çoğunlukla”
• Tedbir varlık grubunda yer alan bir kısım varlığa uygulanmakta veya tedbir kısmen uygulanmakta ise “kısmen”
• Tedbir hiç uygulanmamakta ise “hiç”
• Tedbirin teknik olarak uygulanma ihtimali bulunmuyorsa “uygulanamaz”

Her bir varlık grubu için yapılan değerlendirmelerin Bilgi ve İletişim Güvenliği Rehberinde bulunan EK-C.3’te yer alan form ile kayıt altına alınacaktır.

Yapılacak çalışmalar belirlendikten sonra her çalışma için 2-3 aylık dönemler halinde hedefler belirlenmeli ve gerekli kaynakların tahsisi (personel, bütçe, fiziksel ortam vb.) için planlama yapılmalıdır. Uygulama yol haritası kapsamında yapılan planlamalar Bilgi ve İletişim Güvenliği Rehberi EK-C.4’te yer alan form (VARLIK GRUBU VE KRİTİKLİK DERECESİ TANIMLAMA FORMU) ile kayıt altına alınmalıdır.

Rehber uyum denetiminde uygulanacak metodoloji; denetimin planlanması, denetim prosedürlerininuygulanması ve denetim sonuçlarınınraporlanması olmak üzere üçana süreçekseninde ilerlemektedir. Denetimin temel hedefi aşağıdayer verilen kriterlerin ölçülmesidir.

Bilgi ve İletişim Güvenliği Denetim Metodolojisi

Rehber uyum denetiminde uygulanacak metodoloji; denetimin planlanması, denetim prosedürlerinin uygulanması ve denetim sonuçlarının raporlanması olmak üzere üç ana süreç ekseninde ilerlemektedir.

Denetimin temel hedefi, Rehber uygulama süreci ve varlık gruplarına uygulanan tedbirlerin etkinliğinin ölçülmesidir.

Dijital dönüşüm danışmanlık hizmetleri, organizasyonların dijital çağda rekabet avantajı elde etmelerine yardımcı olur. Kullanılan teknolojilerin ve stratejilerin etkinliğini artırarak, iş süreçlerinin daha verimli hale gelmesini sağlar. Kurumların bu süreçteki ihtiyaçları doğrultusunda özelleştirilmiş çözümler sunmak, dönüşüm sürecinin başarısı için kritik öneme sahiptir.