BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ
GİRİŞ
Bilgi, tüm kuruluşların can damarıdır. Bilgi değişik formlarda bulunabilir. Yazıcıda bastırılmış bir doküman olabildiği gibi ufak tefek notların alındığı bir kağıt parçası da olabilir. Toplantı odasındaki tahtadaki yazı, masanızdaki post-it’deki not, bir sohbette konuşulanlar bilgidir. Elektronik ortamda saklanabilir, posta veya elektronik yolla iletilebilir, filmlerde gösterilebilir, ya da sohbet esnasında konuşulabilir.
Günümüzün rekabete dayanan iş ortamında, bu tür bilgiler devamlı olarak birçok kaynağın tehdidi altındadır. Bu tehditler dahili, harici, rastlantısal veya kötü niyet şeklinde olabilir. Bilginin saklanması, iletilmesi ve alınması için yeni teknolojinin artan bir şekilde kullanılmasıyla, artan sayıdaki tehditlere ve tehdit tiplerine açık hale gelinmektedir.
Farklılık ve rekabet avantajı sağlayan varlıklar, organizasyonlar için çok değerlidir. Birçok varlığın kaybedilmesi durumunda telafisi mümkün iken kurumların yaşam deneyimlerini de yansıtan “bilgi” para karşılığı kolaylıkla yerine konamamaktadır. Bilgiyi korumak, bilginin güvenliğini sağlamak artık bir zorunluluktur. Çünkü bilgi güvenliği, iş sürekliliğini yani aksamaların ve durmaların yaşanmamasını sağlamaktadır.
BİLGİ GÜVENLİĞİ
Bilgi, günümüzde üretim faktörü olarak değerlendirilebilmektedir. Kurumlar için vazgeçilemez, önemli bir değerdir. Kurumlar için en kritik varlık bilgidir ve kurumların değerleri, sahip oldukları bilgiye bağlıdır. Bilgi, sadece bilgi teknolojileriyle işlenen bir varlık değildir. Bilgi, bir kurum bünyesinde çok değişik yapılarda bulunabilir. Bu nedenle bilgi güvenliği, bilgi teknolojileri ile sınırlı değildir. Kurumlar için bu kadar öneme sahip ve her ortamda bulunan bir varlığın korunması, güvenliğinin sağlanması gerekmektedir.
Bilgi güvenliği, bilginin gizliliğinin, bütünlüğünün ve erişilebilirliğinin sağlanmasını anlamına gelir ve temel unsurları:
• Gizlilik: Bilginin yetkisiz kişilerce erişilememesidir.
• Bütünlük: Bilginin doğruluğunun ve tamlılığının sağlanmasıdır. Bilginin içeriğinin değiştirilmemiş ve hiçbir bölümünün silinmemiş ya da yok edilmemiş olmasıdır.
• Erişilebilirlik: Bilginin bilgiye erişim yetkisi olanlar tarafından istenildiği anda ulaşılabilir, kullanılabilir olmasıdır.
Bu unsurlara ek olarak bilgi güvenliği açıklanabilirlik, inkar edememe ve güvenilirlik gibi özellikleri de kapsar.
KURUMSAL BİLGİ GÜVENLİĞİ
Kurumsal bilgi güvenliği, kurumların bilgi varlıklarının tespit edilerek zaafiyetlerinin belirlenmesi ve istenmeyen tehdit ve tehlikelerden korunması amacıyla gerekli güvenlik analizlerinin yapılarak önlemlerinin alınmasıdır.
Bilgi varlığı, kurumun sahip olduğu, kurumun işlerini aksatmadan yürütebilmesi için önemli olan varlıklardır. Bu, kurumun bilgi sistemlerinde yer alan bir veri olabileceği gibi çalışanların veya yöneticilerin masasının üzerinde bulunan bir kağıt ya da bilgisayarında kayıtlı bir dosya olabilir.
Yani bilgi güvenliği sadece bir Bilgi Teknolojisi (BT) ya da Bilgi Sistemleri işi değildir; kurumun her bir çalışanının katkısını ve katılımını gerektirir.
Kurumsal bilgi güvenliğinin sağlanmasının başlıca avantajları aşağıdaki gibidir:
• Güvenlikle ilgili tehdit ve risklerin belirlenerek etkin bir risk yönetiminin sağlanması ve kurumsal itibarın korunması.
• Yasalar karşısında güçlü ve güvenli duruş.
• İş sürekliliğinin sağlanması.
• Bilgi kaynaklarına erişimin denetlenmesi.
• Personelin, yüklenicilerin ve alt yüklenicilerin güvenlik konusunda bilinç düzeyinin yükseltilmesi ve önemli güvenlik konularında bilgilendirilmesi.
• Bilgi varlıklarının gizliliğinin, bütünlüğünün ve doğruluğunun sağlanması.
• Kurumsal bilgi varlıklarının kötü amaçlı olarak kullanma ve/veya suistimal edilmesinin engellenmesi,
• Bilgilerin güvenli bir şekilde üçüncü taraflara ve denetçilere açık olmasının sağlanması.
• Bilgi sistemlerini kullanan kişilerin, umursamazlığından, planlanmış taciz, bilinçsiz kullanım veya bilmeden yanlışlıkla suistimal etme gibi nedenlerden dolayı oluşabilecek donanım, yazılım ya da bilgisayar ağlarında meydana gelebilecek arızalara karşı korunması.
Kurumsal bilgi güvenliğinin sağlanabilmesi için kurumun öncelikle bilgi varlıklarını tespit etmesi yani varlık envanterini çıkarması gerekir. Çünkü ancak bu sayede kurum neye sahip olduğunu görür ve sahip olduğu varlıkların önemini ve karşı karşıya olduğu riskleri ve bu varlığın yok olması durumunda faaliyetlerinin ne kadar aksayacağını ya da faaliyetini yürütüp yürütemeyeceğini görür. Böylece, neyi neye karşı ve ne ölçüde koruyacağını belirleyebilir.
ISO 27001 VE BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ (BGYS)
İletişim ortamlarının yaygınlaşması ve kullanımının artması sonucunda bilgi güvenliğinin sağlanması ihtiyacı her geçen gün katlanarak artmaktadır. Sadece teknik önlemlerle (güvenlik duvarları, saldırı tespit sistemleri, antivirüs yazılımları, şifreleme, vb.) kurumsal bilgi güvenliğinin sağlanmasının mümkün olmadığı görülmüştür. Bu nedenle teknik önlemlerin yanında, insanları, süreçleri ve bilgi sistemlerini içine alan ve üst yönetim tarafından desteklenen bir yönetim sisteminin gerekliliği ortaya çıkmıştır.
Bilgi Güvenliği Yönetim Sistemi (BGYS), organizasyonların bilgi güvenliğini ve iş sürekliliğini sağlamak için, teknik ve teknik olmayan (insan faktörü, prosedürel faktörler, vb.) önlemleri içeren, insanları, iş süreçlerini ve bilişim teknolojilerini kapsayan, süreçlerin devamlılığının sağlandığı ve bilgi güvenliği standartlarına uygun olarak yönetilen bir sistemdir.
Bilgi varlıklarının korunabilmesi, kurumların karşılaşabileceği risklerin en aza indirgenmesi ve iş sürekliliğinin sağlanması BGYS’nin kurumlarda üst yönetim desteğiyle hayata geçirilmesiyle mümkündür.
BGYS, bilgi güvenliğini kurmak, gerçekleştirmek, işletmek, izlemek, gözden geçirmek, sürdürmek ve geliştirmek için, iş riski yaklaşımına dayalı tüm yönetim sisteminin bir parçasıdır. Kurumsal yapıyı, politikaları, planlama faaliyetlerini, sorumlulukları, uygulamaları, prosedürleri, prosesleri ve kaynakları içerir.
Bir kuruluş için BGYS’nin benimsenmesi stratejik bir karar olmalıdır. BGYS tasarımı ve gerçekleştirmesi, kuruluşun ihtiyaçları ve amaçları, güvenlik gereksinimleri, kullanılan prosesler ve kuruluşun büyüklüğü ve yapısından etkilenir.
Kurumsal bilgi güvenlik politikalarının oluşturulması, BGYS kapsamının belirlenmesi, varlıkların yönetimi, risk yönetimi, dokümantasyon oluşturma, denetim kontrollerinin seçilmesi, uygulanabilirlik beyannameleri ve yönetimin gözden geçirmesi BGYS’nin kurulum adımlarıdır.
BGYS’nin kurulması; varlık envanterinin yapılması, bu varlıklara karşı olası risk ve tehditlerin tespit edilmesi, güvenlik politikalarının oluşturulması, denetimlerin ve uygulamaların kontrolü, uygun çözümlerin geliştirilerek sistemin iyileştirilmesi gibi birbirini izleyen ve tamamlayan denetimlerin gerçekleştirilmiş olması demektir.
ISO 27001’in öngördüğü BGYS kurma adımlarının izlenmesi sonucunda kurum, hangi varlıkları olduğunun ve bu varlıkların önemini anlar. Risklerini belirleyip yöneterek en önemli unsur olan iş sürekliliğini sağlayabilir. İş sürekliliğinin sağlanması kurumun faaliyetlerine devam edebilmesi anlamına gelir.
Bilgilerin korunacağından, kurumun iç ve dış paydaşlarında bir güven duygusu oluşturur, motivasyon sağlar. Daha iyi bir çalışma ortamı yaratılmasına katkı sağlar. Aynı zamanda kurum açısından prestij sağlar. Bilgilerin bir sistematik içerisinde güvenliği sağlanmış olur. Bilgi güvenliği ihlalinin hangi nedenden kaynaklandığı daha hızlı bir şekilde belirlenir ve ne önlem alınacağı kararı etkin ve hızlı bir biçimde verilebilir.
Gümrük İşlemlerini Kolaylaştırma Yönetmeliği ISO 27001 ve ISO 9001 Belgesi Olan Firmalara Yeni Kolaylıklar Getiriyor
T.C. Gümrük ve Ticaret Bakanlığı tarafından, 10 Ocak 2013 tarihli Resmi Gazete’de yayımlanan yeni gümrük yönetmeliği, ihracat firmaları için yeni gümrük avantajları getiriyor.
Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği kapsamında hayata geçirilen Yetkilendirilmiş Yükümlü Uygulaması ile hedef Türkiye’nin dış pazardaki lokomotifi olan ihracatın teşvik edilmesi.
Firmanın Yetkilendirilmiş Yükümlü Statüsü, bakanlık tarafından sadece ISO 27001 (Bilgi Güvenliği Yönetim Sistemi) ve ISO 9001 (Kalite Yönetim Sistemi) sertifikasyonlarını tamamlamış olan firmalara veriliyor.
Başvuruda ISO 27001 ve ISO 9001 isteniyor
İhracat eşyasının ve transit eşyanın, hareket etmeden önce ihracat gümrük idaresine sunulması nedeniyle ortaya çıkan zaman ve maliyet kaybının üstesinden gelen Yetkilendirilmiş Yükümlü Statüsü’nü elde etmek için firmaların birtakım yükümlülükleri yerine getirmesi bekleniyor.
10 Ocak 2013 tarihli “Gümrük İşlemlerini Kolaylaştırma Yönetmeliği” bu 2 standart ile ilgili tüm ihracat ve ithalatçıları ilgilendiren maddeler içermektedir. Bu yönetmeliğin 10.maddesinde yer alan “Başvuru için aranacak belgeler” kısmında aşağıdaki ifade yer alıyor:
e) “Avrupa Akreditasyon Birliğinin karşılıklı tanıma anlaşmalarına imza atmış akreditasyon kurumları tarafından akredite edilmiş uygunluk değerlendirme kuruluşlarınca düzenlenecek ve akreditasyon kurumunun markasını taşıyan güncel ISO 9001 ve ISO 27001 sertifikalarının aslı veya düzenleyen kuruluş tarafından onaylı örneği.”
Bu nedenle ihracat firmalarının Yetkilendirilmiş Yükümlü Statüsü’ne ulaşabilmeleri için öncelikle gerek duydukları ISO 27001 ve ISO 9001 sertifikaları için güvenilir bir iş ortağına ihtiyaçları var.
