Anasayfa›Hizmetler›Bilgi Güvenliği ve Sağlık›ISO 27001 Tedarikçi ve Bulut Güvenliği: Dış Hizmet Riskleri Nasıl Yönetilir?
Bulut ve tedarikçi bilgi güvenliği riskleri nasıl yönetilir?
ISO 27001’de tedarikçi ve bulut hizmeti güvenliği, sözleşmeye “gizlilik” cümlesi eklemekle bitmez. Her dış hizmet için risk seviyesine göre erişim sınırları, veri konumu, olay bildirim süresi ve çıkış (exit) planı yazılı olarak tanımlanmalı; kritik tedarikçiler düzenli olarak yeniden değerlendirilmelidir.
Bir bilgi güvenliği ihlallerinin önemli kısmı artık şirketin kendi ağında değil, kullandığı SaaS panelinde, muhasebe bulutunda ya da yazılım geliştiricinin dizüstünde başlıyor. ISO 27001’in 2022 sürümü bu gerçeği A.5.19–A.5.23 kontrolleriyle merkeze aldı: dış tedarikçi artık sınırın dışında değil, kapsamın içinde.
Kritiklik, faturanın büyüklüğüyle değil, tedarikçinin verinize ve süreçlerinize erişim derecesiyle ölçülür. Müşteri veritabanınızı barındıran küçük bir yazılım firması, ofis temizliği yapan büyük bir şirketten çok daha yüksek risklidir. Sınıflandırmayı erişilen veri türü ve iş sürekliliği etkisi belirler.
Pratik bir yol, tedarikçileri üç kovaya ayırmaktır: kişisel/gizli veriye erişenler, sistemlere teknik erişimi olanlar ve yalnızca genel hizmet verenler. İlk iki grup için sözleşmeye güvenlik ekleri ve düzenli gözden geçirme şarttır.
Verinizin fiziksel olarak hangi ülkede tutulduğu, hem KVKK yurt dışı aktarım yükümlülüğünü hem de olay anında hangi hukukun geçerli olacağını belirler. ISO 27001, bulut kullanımında (A.5.23) veri konumu, şifreleme ve sorumluluk paylaşımının açıkça bilinmesini bekler.
Çoğu bulut sağlayıcı “paylaşılan sorumluluk modeli” ile çalışır: altyapının güvenliği onlarda, verinin yapılandırması ve erişim yönetimi sizde kalır. Bu sınırı bilmeyen firmalar, sağlayıcının güvenli olduğunu varsayıp kendi tarafındaki yetki ayarlarını açık bırakır.
Denetçi önce güncel tedarikçi envanterini, sonra kritik tedarikçilerle imzalı güvenlik/gizlilik eklerini, en son da son bir yılda yapılmış yeniden değerlendirme kayıtlarını ister. Sözleşme var ama takip yoksa, sistem kağıt üstünde kalmış demektir.
Mini karar kuralı: Bir tedarikçi sizin gizli verinize erişiyor ve sözleşmesinde ihlal bildirim süresi yazmıyorsa, o boşluk kapatılana kadar o tedarikçi denetimde açık bir bulgudur.
Durumunuzu birkaç dakikada konuşalım; size özel süre ve yol haritası çıkaralım.
Hayır. Yalnızca gizli veriye veya kritik sistemlere erişen tedarikçilerde bağımsız güvence (ISO 27001, SOC 2) beklemek makuldür. Düşük riskli tedarikçilerde sözleşme maddeleri yeterli olabilir.
Bitmez. Paylaşılan sorumluluk modelinde erişim yetkileri, şifreleme ayarları ve yapılandırma sizde kalır. İhlallerin çogu sağlayıcıdan değil, müşteri tarafındaki hatalı yapılandırmadan doğar.
Kritik tedarikçiler için yılda en az bir kez, ayrıca sözleşme yenileme ve önemli bir güvenlik olayı sonrasında yeniden değerlendirme önerilir. Kayıtları tarihli tutmak denetimde kanıt olur.
Ödeme ve fatura kayıtlarını BT tedarikçi envanteriyle çapraz kontrol edin, ağ trafiğinde bilinmeyen SaaS alan adlarını izleyin. Çalışanların araç talep sürecini kolaylaştırmak, kayıt dışı kullanımı azaltır.
Hizmet sona erdiğinde verinizin güvenli iadesi ve tedarikçideki kopyaların silinmesi garanti altına alınmalıdır. Aksi halde eski bir tedarikçide kalan veri, ileride sizin ihlalinize dönüşebilir.