Anasayfa›Hizmetler›Bilgi Güvenliği ve Sağlık›ISO 27001 Bilgi Güvenliği İhlal Olayı Yönetimi: Olay Anında Ne Yapılır?
Bilgi güvenliği ihlali anında ne yapılmalı?
ISO 27001’de olay yönetimi, bilgi güvenliği ihlallerinin raporlanması, değerlendirilmesi, müdahalesi ve olaydan öğrenme adımlarını kapsayan bir döngüdür (Ek A 5.24–5.28). Amaç ihlali sıfırlamak değil; olay olduğunda kimin ne yapacağının önceden belli olması ve her olaydan sisteme bir iyileştirme dönmesidir.
Olay yönetimi prosedürü, ISO 27001 dokümanları içinde en çok yazılıp en az çalıştırılanıdır. Kağıt üzerinde akış şeması kusursuzdur; ama ilk gerçek olayda personel yanlış kişiye haber verir, deliller silinir ve olay kaydı olaydan üç gün sonra geriye dönük doldurulur. Denetçiler bunu bilir ve bu yüzden prosedürü değil, kayıtları ve tatbikatı sorar.
Standart iki kavramı ayırır: olay (event), güvenlikle ilgili her şüpheli durumdur; ihlal (incident), bilginin gizliliğine, bütünlüğüne veya erişilebilirliğine gerçekten zarar veren ya da verme olasılığı yüksek olandır. Yanlış alıcıya giden e-posta, kaybolan dizüstü, fidye yazılımı şüphesi ve yetkisiz erişim denemesi tipik örneklerdir.
Sık yapılan hata, yalnızca “büyük” olayları kayda almaktır. Yanlış alıcıya giden tek bir e-posta kaydedilmiyorsa, denetçi olay kayıt eşiğinizin gerçekçi olmadığını düşünür; yılda sıfır olay kaydı olan bir firma denetimde güven vermez, şüphe uyandırır.
İlk adım müdahale değil raporlamadır: olayı gören kişi, önceden ilan edilmiş tek bir kanala (e-posta adresi, dahili hat veya form) haber verir. Ardından olay sorumlusu etkiyi sınıflandırır, yayılmayı durdurur, delilleri korur ve gerekiyorsa KVKK kapsamında 72 saatlik kurul bildirimi süresini işletir.
Ek A 5.27, olaylardan elde edilen bilginin kontrolleri güçlendirmek için kullanılmasını ister. Kanıt zinciri şudur: olay kaydı → kök neden → alınan aksiyon → güncellenen kontrol veya risk kaydı. Denetçi rastgele bir olay seçip bu zinciri uçtan uca izler; zincir koptuğu yerde bulgu yazılır.
Mini karar kuralı: aynı türden olay altı ay içinde ikinci kez tekrarlandıysa, bunu artık münferit olay değil, risk değerlendirmesine girmesi gereken sistemik bir zafiyet olarak işleyin.
Ölçekle orantılı olmalıdır. On kişilik bir firmada SOC ekibi beklenmez; tek sayfalık akış, bir olay kayıt formu, atanmış bir sorumlu ve yılda bir masabaşı tatbikat yeterli bir başlangıçtır. Denetçinin aradığı hacim değil işlerliktir: küçük ama çalışan sistem, büyük ama ölü prosedürden her zaman iyi puan alır.
Durumunuzu birkaç dakikada konuşalım; size özel süre ve yol haritası çıkaralım.
Hayır. Bildirim yükümlülüğü yalnızca kişisel veri ihlali oluşan olaylar içindir ve öğrenilmesinden itibaren en kısa sürede (kurul kararlarına göre 72 saat esas alınır) yapılır. Kişisel veri içermeyen olaylar iç kayıtta kalır.
Değildir. Denetimde aranan araç değil kayıttır; numaralandırılmış bir form veya paylaşımlı tablo yeterlidir. Olay hacmi arttıkça yardım masası yazılımına geçmek işi kolaylaştırır.
Sabit bir sayı yoktur; ancak sıfır kayıt, sistemin çalışmadığına işarettir. Sağlıklı sistemlerde küçük olaylar (yanlış alıcı, şüpheli e-posta, kayıp cihaz) düzenli olarak kayda girer.
Standart açıkça “tatbikat” kelimesini şart koşmaz; ancak müdahale planının çalıştığını göstermenin pratik yolu tatbikattır. Denetçiler işlerlik kanıtı olarak tatbikat kaydını sıkça ister.
Değildir. Olay yönetimi ihlalin kendisini ele alır; iş sürekliliği, kesinti durumunda faaliyetin nasıl süreceğini planlar. Büyük bir olay iş sürekliliği planını tetikleyebilir; iki süreç birbirine bağlı ama ayrıdır.