ISO 27001’de risk değerlendirmesinin başlangıç noktası varlık envanteridir. Neyi koruduğunuzu bilmeden, neye karşı ve ne kadar koruyacağınıza karar veremezsiniz. ISO/IEC 27001:2022 Ek-A’daki 5.9 Bilgi ve diğer ilişkili varlıkların envanteri kontrolü bu nedenle sistemin temel taşlarından biridir.
Hangi Varlıklar Envantere Girer?
- Bilgi varlıkları: Müşteri ve çalışan verileri, sözleşmeler, finansal kayıtlar, kaynak kod, yedekler.
- Yazılımlar: İş uygulamaları, işletim sistemleri, lisanslı yazılımlar, bulut (SaaS) hizmetleri.
- Donanımlar: Sunucular, bilgisayarlar, mobil cihazlar, ağ cihazları, depolama birimleri.
- Hizmetler: İnternet bağlantısı, enerji, iklimlendirme, barındırma ve dış kaynaklı hizmetler.
- İnsanlar ve yetkinlikler: Kritik bilgiye sahip kişiler ve roller.
- Fiziksel alanlar: Sistem odası, arşiv, ofisler.
Envanterde Hangi Bilgiler Tutulmalı?
| No | Varlık | Tür | Sahibi | Konum | G | B | E | Kişisel veri |
|---|---|---|---|---|---|---|---|---|
| V-01 | Müşteri veritabanı | Bilgi | Satış Müdürü | Bulut sunucu | 5 | 4 | 4 | Evet |
| V-02 | Muhasebe yazılımı | Yazılım | Mali İşler | Şirket sunucusu | 4 | 5 | 3 | Evet |
| V-03 | Ana firewall | Donanım | BT Sorumlusu | Sistem odası | 3 | 4 | 5 | Hayır |
| V-04 | Abone sözleşmeleri (basılı) | Bilgi | Ofis Sorumlusu | Kilitli dolap | 4 | 3 | 2 | Evet |
G: Gizlilik, B: Bütünlük, E: Erişilebilirlik; 1 (düşük) – 5 (çok yüksek).
Adım Adım Hazırlık
- Birim bazında toplayın: Her birimden kullandığı bilgi, yazılım ve donanımları listelemesini isteyin.
- Varlık sahibi atayın: Her varlık için korunmasından sorumlu bir kişi belirleyin.
- Değerlendirin: Gizlilik, bütünlük ve erişilebilirlik açısından varlığın önemini puanlayın.
- Sınıflandırın: Kurumsal sınıflandırma şemanıza (örneğin gizli, hizmete özel, genel) göre etiketleyin.
- Risk analizine bağlayın: Yüksek değerli varlıklar için tehdit ve zafiyetleri değerlendirin.
- Güncel tutun: Yeni sistem, işe giriş-çıkış ve tedarikçi değişikliklerinde envanteri güncelleyin.
KVKK ile Ortak Çalışma
Varlık envanterinde “kişisel veri içeriyor mu?” sütununu tutmak, KVKK kişisel veri envanteriyle bağlantı kurmayı kolaylaştırır. İki envanteri birlikte yönetmenin yollarını ISO 27001 ile KVKK ve GDPR uyumu yazımızda anlattık.
ISO 27001 danışmanlığı kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
ISO 27001 Belgesi Nasıl Alınır? Süreç ve Süre
ISO 27001 sertifikası nasıl alınır? Kapsam, risk analizi, Uygulanabilirlik Bildirgesi, iç tetkik ve iki aşamalı belgelendirme denetimiyle adım adım süreç.
ISO 27001:2022 Maddeleri ve Ek-A Kontrolleri
ISO 27001 maddeleri nelerdir? 4–10. maddelerin şartları, Ek-A’daki 93 kontrolün 4 temaya göre dağılımı ve 2022 sürümüyle gelen 11 yeni kontrol.
ISO 27001, KVKK ve GDPR Uyumu Nasıl Birleşir?
ISO 27001 ile KVKK ve GDPR arasındaki ilişki: ortak gereklilikler, farklar ve tek bir yönetim sistemiyle üç alanda birden uyum sağlamanın yolu.Sıkça Sorulan Sorular
Varlık envanteri ISO 27001’de zorunlu mu?
Evet. Ek-A 5.9 kontrolü, bilgi ve diğer ilişkili varlıkların sahipleriyle birlikte envanterinin oluşturulmasını ve sürdürülmesini ister; risk değerlendirmesi de bu envantere dayanır.
Varlık envanteri Excel’de tutulabilir mi?
Evet. Küçük ve orta ölçekli kuruluşlar için iyi yapılandırılmış bir tablo yeterlidir. Önemli olan güncel tutulması ve değişikliklerin izlenebilmesidir.
