ISO 27001 belgesi almak isteyen işletmelerin hazırlaması gereken temel çalışmalardan biri bilgi güvenliği risk analizidir. Özellikle ilk kez bilgi güvenliği yönetim sistemi kuran firmalar, risk analizinin nasıl yapılacağını, hangi risklerin değerlendirilmesi gerektiğini ve risk puanlarının nasıl belirleneceğini merak etmektedir.

ISO 27001 risk analizi, işletmenin bilgi güvenliğini etkileyebilecek risklerin belirlenmesi, analiz edilmesi ve değerlendirilmesi amacıyla gerçekleştirilen sistematik bir çalışmadır. Risk değerlendirmesi sonucunda hangi risklerin kabul edileceği, hangileri için ilave güvenlik önlemleri alınacağı belirlenir.

Risk analizi yalnızca Excel üzerinde hazırlanan bir tablo değildir. İşletmenin gerçek faaliyetlerini, bilgi varlıklarını, kullandığı teknolojileri ve bilgi güvenliği ihtiyaçlarını yansıtması gerekir.

ISO 27001 Risk Analizi Zorunlu mu?

Evet. ISO/IEC 27001:2022 standardının 6.1.2 maddesi kapsamında kuruluşların bilgi güvenliği risk değerlendirme sürecini tanımlaması ve uygulaması gerekir.

Bu süreçte risk kabul kriterleri ve risk değerlendirme kriterleri belirlenmelidir.

Risk değerlendirme yönteminin tutarlı, geçerli ve karşılaştırılabilir sonuçlar üretmesi beklenir.

Ayrıca bilgi güvenliği risklerinin belirlenmesi, risk sahiplerinin tanımlanması, risklerin analiz edilmesi ve değerlendirilmesi gerekir.

Risk değerlendirme sürecine ilişkin dokümante edilmiş bilgi oluşturulmalı ve risk değerlendirme sonuçları kayıt altına alınmalıdır.

Bu nedenle ISO 27001 belgelendirmesine hazırlanan işletmelerin yalnızca genel bir risk listesi hazırlaması yeterli değildir.

Risk değerlendirmesinin belirlenmiş bir yönteme göre gerçekleştirilmesi ve sonuçlarının bilgi güvenliği yönetim sistemi içerisinde kullanılması gerekir.

ISO 27001 Risk Analizinde Hangi Riskler Değerlendirilir?

ISO 27001 kapsamında bilgi güvenliğinin gizlilik, bütünlük ve erişilebilirlik boyutlarını etkileyebilecek riskler değerlendirilir.

Gizlilik, bilginin yetkisiz kişilere açıklanmamasını ifade eder.

Bütünlük, bilginin doğruluğunun ve tamlığının korunmasıyla ilgilidir.

Erişilebilirlik ise bilgiye ve ilgili sistemlere ihtiyaç duyulduğunda yetkili kişiler tarafından erişilebilmesini ifade eder.

Örneğin bir yazılım firmasında müşteri verilerinin yetkisiz kişiler tarafından görüntülenmesi gizlilik açısından risk oluşturabilir.

Yazılım kaynak kodlarının yetkisiz biçimde değiştirilmesi bütünlük açısından değerlendirilebilir.

Kritik sunucuların hizmet verememesi ise erişilebilirlik açısından risk oluşturabilir.

Risk değerlendirmesi yapılırken işletmenin faaliyetleri ve bilgi güvenliği yönetim sistemi kapsamı dikkate alınmalıdır.

ISO 27001 Risk Analizi Nasıl Hazırlanır?

ISO 27001 risk değerlendirmesi için öncelikle işletmenin kullanacağı yöntem belirlenmelidir.

Bu yöntemde risklerin nasıl tanımlanacağı, hangi kriterlere göre analiz edileceği ve hangi seviyelerde kabul edilebilir sayılacağı açıklanmalıdır.

Ardından işletmenin faaliyetleri ve bilgi güvenliği ihtiyaçları değerlendirilerek riskler belirlenir.

Örneğin müşteri verilerini bulut ortamında saklayan bir işletmede yetkisiz erişim, veri kaybı, hizmet kesintisi ve dış hizmet sağlayıcılarından kaynaklanan riskler ele alınabilir.

Belirlenen riskler, işletmenin kabul ettiği değerlendirme yöntemine göre analiz edilir.

Risk seviyeleri belirlendikten sonra hangi risklerin işleme alınması gerektiği değerlendirilir.

Son aşamada gerekli güvenlik kontrolleri ve risk işleme faaliyetleri planlanır.

ISO 27001 risk analizinin temel amacı yalnızca riskleri listelemek değil, işletmenin bilgi güvenliği açısından hangi önlemlere ihtiyaç duyduğunu belirlemektir.

ISO 27001 Risk Matrisi Nasıl Oluşturulur?

Risk matrisi, risklerin belirli kriterlere göre değerlendirilmesini kolaylaştıran yöntemlerden biridir.

Uygulamada olasılık ve etki kriterleri kullanılarak risk puanlaması yapılabilir.

Örneğin işletme olasılık ve etki için 1 ile 5 arasında puanlama yöntemi belirleyebilir.

Bu yöntemde risk puanı, olasılık ve etki değerlerinin çarpılmasıyla hesaplanabilir.

Ancak ISO 27001 standardı, bütün işletmelerin 5x5 risk matrisi kullanmasını zorunlu tutmaz.

İşletmeler faaliyetlerine uygun farklı risk değerlendirme yöntemleri kullanabilir.

Önemli olan yöntemin tanımlanmış olması, tutarlı sonuçlar üretmesi ve risklerin değerlendirilmesine uygun olmasıdır.

ISO 27001 Risk Puanı Kaç Olmalı?

ISO 27001 standardında bütün işletmeler için geçerli sabit bir risk puanı sınırı bulunmamaktadır.

Örneğin 5x5 risk matrisi kullanan bir işletme, kendi risk kabul kriterlerine göre düşük, orta ve yüksek risk seviyeleri belirleyebilir.

Başka bir işletme ise farklı puanlama yöntemi kullanabilir.

Bu nedenle risk puanının 10'un altında veya 15'in üzerinde olması tek başına standarda uygunluk ya da uygunsuzluk anlamına gelmez.

Risk kabul kriterlerinin işletmenin faaliyetlerine ve bilgi güvenliği ihtiyaçlarına uygun şekilde belirlenmesi gerekir.

Ayrıca risk değerlendirmesinde yalnızca sayısal puana odaklanılmamalıdır.

Örneğin düşük olasılıklı ancak çok ciddi sonuçlara neden olabilecek bir bilgi güvenliği olayı, işletmenin risk kabul kriterleri kapsamında özel değerlendirme gerektirebilir.

ISO 27001 Risk Analizi Örneği

Bir yazılım geliştirme firmasında müşteri verilerinin bulut ortamında saklandığını düşünelim.

İşletme, müşteri verilerine yetkisiz erişim riskini belirlemiş olabilir.

Bu risk için örnek değerlendirme aşağıdaki şekilde hazırlanabilir.

Bu tablo yalnızca örnek niteliğindedir.

Gerçek risk değerlendirmesinde işletmenin mevcut kontrolleri, risk kriterleri ve faaliyetleri dikkate alınmalıdır.

Ayrıca seçilen kontrollerin uygulanması ve risk işleme sonuçlarının değerlendirilmesi gerekir.

ISO 27001 Risk İşleme Planı Nedir?

Risk işleme planı, bilgi güvenliği risklerinin nasıl yönetileceğini gösteren çalışmadır.

ISO 27001 kapsamında risk değerlendirmesi sonucunda belirlenen riskler için uygun risk işleme seçenekleri değerlendirilir.

Risk işleme seçenekleri arasında riskin azaltılması, riskten kaçınılması, riskin paylaşılması veya riskin kabul edilmesi gibi yaklaşımlar bulunabilir.

Örneğin müşteri verilerine yetkisiz erişim riskinin azaltılması amacıyla çok faktörlü kimlik doğrulama uygulanabilir.

Veri kaybı riskinin azaltılması için yedekleme ve geri yükleme kontrolleri geliştirilebilir.

Risk işleme planında uygulanacak faaliyetlerin, sorumlulukların ve gerekli kaynakların belirlenmesi uygun bir yaklaşımdır.

Ayrıca risk sahiplerinin risk işleme planını ve kalan risklerin kabulünü onaylaması gerekir.

Risk analizi, risklerin belirlenmesini ve değerlendirilmesini sağlarken risk işleme planı bu risklere karşı hangi faaliyetlerin gerçekleştirileceğini ortaya koyar.

ISO 27001 Risk Analizi ile SOA Arasındaki İlişki Nedir?

ISO 27001 risk değerlendirmesi ile Uygulanabilirlik Bildirgesi (SOA) birbiriyle ilişkili çalışmalardır.

Risk değerlendirmesi sonucunda işletmenin bilgi güvenliği riskleri belirlenir.

Risk işleme sürecinde ise bu risklerin yönetilmesi için gerekli kontroller seçilir.

Seçilen kontroller ISO/IEC 27001 standardının Ek-A bölümündeki kontrollerle karşılaştırılarak gerekli kontrollerin gözden kaçırılmadığı doğrulanır.

SOA içerisinde gerekli kontrollerin seçilme gerekçeleri, uygulanma durumları ve hariç tutulan Ek-A kontrollerinin gerekçeleri gösterilir.

Örneğin risk değerlendirmesinde yetkisiz erişim riski belirlenmişse erişim kontrolüyle ilgili güvenlik önlemleri gerekli görülebilir.

Bu kontrollerin seçilme gerekçeleri ve uygulanma durumları SOA içerisinde açıklanır.

Dolayısıyla risk değerlendirmesi, risk işleme planı ve SOA arasında tutarlılık bulunmalıdır.

ISO 27001 Risk Analizi Kim Tarafından Yapılır?

ISO 27001 risk değerlendirmesi, işletmenin faaliyetlerini ve bilgi güvenliği risklerini bilen, gerekli yeterliliğe sahip kişiler tarafından gerçekleştirilmelidir.

Bu çalışmaya bilgi teknolojileri sorumluları, süreç sahipleri, ilgili yöneticiler ve gerektiğinde dış uzmanlar katılabilir.

Örneğin yazılım geliştirme faaliyetlerine ilişkin risklerin değerlendirilmesinde yazılım geliştirme sorumlusunun görüşleri önemli olabilir.

İnsan kaynakları süreçlerindeki bilgi güvenliği risklerinin belirlenmesinde ise ilgili süreç sorumlusunun katkısı gerekebilir.

Risk değerlendirmesi için dışarıdan danışmanlık hizmeti alınması mümkündür.

Ancak risklerin değerlendirilmesi, risk işleme kararları ve kalan risklerin kabulü konusunda kuruluşun sorumlulukları devam eder.

Bu nedenle risk analizinin yalnızca danışman tarafından hazırlanmış bir Excel dosyası olarak görülmemesi gerekir.

ISO 27001 Risk Analizi Ne Zaman Güncellenmeli?

ISO 27001 risk değerlendirmesinin planlanan aralıklarla ve önemli değişiklikler meydana geldiğinde gerçekleştirilmesi gerekir.

Örneğin işletmenin yeni bir bulut hizmeti kullanmaya başlaması bilgi güvenliği risklerini değiştirebilir.

Yeni bir müşteri projesi kapsamında hassas bilgilerin işlenmesi veya dış hizmet sağlayıcısının değiştirilmesi de risk değerlendirmesinin gözden geçirilmesini gerektirebilir.

Benzer şekilde ciddi bir bilgi güvenliği olayı yaşanması, mevcut risk değerlendirmesinin yeniden ele alınmasını gerektirebilir.

ISO 27001 standardı bütün işletmeler için geçerli sabit bir yıllık risk analizi güncelleme tarihi belirlemez.

İşletme, risk değerlendirme sürecinde uygun aralıkları ve değişikliklere bağlı değerlendirme ihtiyaçlarını belirlemelidir.

Önemli olan risk değerlendirmesinin işletmenin mevcut faaliyetlerini ve bilgi güvenliği koşullarını yansıtmasıdır.

ISO 27001 Denetiminde Risk Analizi Nasıl Kontrol Edilir?

ISO 27001 belgelendirme denetimlerinde risk değerlendirme yöntemi ve risk değerlendirme sonuçları incelenebilir.

Denetçi, işletmenin riskleri hangi kriterlere göre değerlendirdiğini ve risk sahiplerini nasıl belirlediğini sorgulayabilir.

Ayrıca risk işleme kararları, seçilen güvenlik kontrolleri ve SOA arasındaki ilişki değerlendirilebilir.

Örneğin risk analizinde müşteri verilerinin kaybolması riski belirlenmişse bu risk için hangi önlemlerin uygulandığı incelenebilir.

İşletme yedekleme kontrolünü uyguladığını belirtiyorsa yedekleme kayıtları veya geri yükleme testleri değerlendirilebilir.

Risk değerlendirmesinde önemli faaliyetlerin gözden kaçırılması veya risk işleme kararlarının uygulamalarla uyumsuz olması denetim bulgularına neden olabilir.

Bu nedenle risk analizinin işletmenin gerçek faaliyetlerini yansıtması önemlidir.

ISO 27001 Risk Analizinde Yapılan Hatalar

ISO 27001 risk değerlendirmesinde karşılaşılan sorunlardan biri, başka işletmeler için hazırlanmış risk analizlerinin değiştirilmeden kullanılmasıdır.

Örneğin yazılım geliştirme hizmeti sunan bir işletmenin riskleriyle fiziksel üretim yapan bir işletmenin riskleri aynı değildir.

Bir diğer sorun, risk puanlarının belirlenmiş kriterler kullanılmadan verilmesidir.

Risk değerlendirme yöntemi açıklanmadan oluşturulan puanlar, risklerin neden belirli seviyelerde değerlendirildiğinin anlaşılmasını zorlaştırabilir.

Ayrıca risk sahiplerinin belirlenmemesi, risk işleme kararlarının uygulanmaması ve SOA ile risk değerlendirmesi arasında tutarsızlık bulunması da sorun oluşturabilir.

Risk analizinin yalnızca belgelendirme denetimi öncesinde hazırlanması ve daha sonra güncellenmemesi de yönetim sisteminin etkinliğini olumsuz etkileyebilir.

Bu nedenle risk değerlendirmesi işletmenin bilgi güvenliği yönetim sisteminin aktif bir parçası olarak kullanılmalıdır.

ISO 27001 Risk Analizi Hakkında Sık Sorulan Sorular

ISO 27001 risk analizi zorunlu mu?

Evet. ISO/IEC 27001 standardının 6.1.2 maddesi kapsamında bilgi güvenliği risk değerlendirme sürecinin tanımlanması ve uygulanması gerekir.

ISO 27001 risk analizi Excel ile yapılabilir mi?

Evet. Risk değerlendirme yöntemi ve sonuçları uygun şekilde yönetildiği sürece Excel kullanılabilir. Standart belirli bir risk analizi yazılımını zorunlu tutmaz.

ISO 27001 risk analizi kaç maddeden oluşur?

ISO 27001 standardı bütün işletmeler için sabit bir risk sayısı belirlemez. Değerlendirilecek riskler işletmenin faaliyetlerine, bilgi varlıklarına ve bilgi güvenliği yönetim sistemi kapsamına göre değişir.

ISO 27001 risk matrisi 5x5 olmak zorunda mı?

Hayır. ISO 27001 standardı 5x5 risk matrisi kullanılmasını zorunlu tutmaz. İşletmenin faaliyetlerine uygun ve tutarlı sonuçlar üreten farklı yöntemler kullanılabilir.

ISO 27001 risk analizi her yıl yenilenmeli mi?

Risk değerlendirmesi planlanan aralıklarla ve önemli değişiklikler meydana geldiğinde gerçekleştirilmelidir. Bütün işletmeler için geçerli sabit bir yıllık yenileme şartı bulunmamaktadır.

ISO 27001 risk analizi ile SOA aynı şey mi?

Hayır. Risk analizi bilgi güvenliği risklerinin değerlendirilmesini sağlar. SOA ise gerekli kontrollerin gerekçelerini ve uygulanma durumlarını gösterir.

ISO 27001 risk analizi danışman tarafından hazırlanabilir mi?

Evet. Risk değerlendirmesi için danışmanlık desteği alınabilir. Ancak risklerin değerlendirilmesi ve risk işleme kararlarına ilişkin kuruluşun sorumlulukları devam eder.

ISO 27001 risk analizi denetimde istenir mi?

Evet. Risk değerlendirme süreci ve sonuçları, ISO 27001 belgelendirme denetiminde değerlendirilen temel konular arasındadır.

ISO 27001 Risk Analizi ve Danışmanlık Hizmetleri – YYS Danışmanlık

ISO 27001 belgelendirme sürecinde risk değerlendirmesinin işletmenin faaliyetlerine uygun hazırlanması, bilgi güvenliği yönetim sisteminin etkinliği açısından önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği risk değerlendirmesi, risk işleme planı, SOA hazırlanması, dokümantasyon, eğitim, iç tetkik ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut risk değerlendirme çalışmalarını güncellemek isteyen işletmelerin faaliyetlerine uygun risk yönetimi süreçlerinin oluşturulmasına destek sağlıyoruz.

ISO 27001 risk analizi hazırlanması, bilgi güvenliği yönetim sistemi kurulumu veya belgelendirme danışmanlığı hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 risk analizi, işletmenin bilgi güvenliği risklerini belirlemesi, analiz etmesi ve değerlendirmesi amacıyla gerçekleştirilen temel yönetim sistemi çalışmalarından biridir.

Risk değerlendirmesinde işletmenin faaliyetleri, bilgi varlıkları, kullanılan teknolojiler ve bilgi güvenliği ihtiyaçları dikkate alınmalıdır.

Belirlenen riskler için uygun risk işleme kararları verilmeli ve gerekli güvenlik kontrolleri uygulanmalıdır.

ISO 27001 belgelendirmesinde doğru yaklaşım, yalnızca risk puanlarından oluşan bir tablo hazırlamak değil, işletmenin gerçek bilgi güvenliği risklerini yönetebileceği uygulanabilir bir risk değerlendirme sistemi oluşturmaktır.