Anasayfa›Hizmetler›Bilgi Güvenliği ve Sağlık›ISO 27001 Loglama ve İzleme (Ek A 8.15–8.16): Denetçi Log Kayıtlarında Ne Arar?
ISO 27001’de log kayıtları nasıl tutulur?
ISO 27001:2022 Ek A 8.15 (Loglama) ve 8.16 (İzleme faaliyetleri), log toplamayı değil, logların korunmasını ve düzenli olarak incelenmesini ister. Sunucularınız log üretiyor olabilir; ancak bu logları kimse okumuyorsa, kimsenin değiştiremediğinden emin değilseniz ve saklama süresi tanımlı değilse madde karşılanmamıştır.
Bilgi güvenliği ihlallerinde en can sıkıcı an, olayın fark edildiği an değil; “peki bu ne zaman başladı?” sorusunun sorulduğu andır. Cevap log kayıtlarındadır. Ve o kayıtlar ya iki hafta önce dönüp yazılmıştır, ya saat dilimi karışıktır, ya da saldırganın sildiği ilk şey olmuştur. Ek A 8.15 ve 8.16’nın tüm amacı, o sorunun cevaplanabilir kalmasıdır.
Standart kapalı bir liste vermez, riske göre belirlemenizi ister. Ancak denetimlerde fiilen aranan asgari küme bellidir: başarılı ve başarısız oturum açma denemeleri, ayrıcalıklı hesap kullanımı, yetki değişiklikleri, sistem ve güvenlik yapılandırma değişiklikleri, kritik veriye erişim, güvenlik yazılımı uyarıları ve logların kendisine yapılan müdahaleler.
Bu listedeki en çok atlanan kalem “başarısız denemeler”dir. Başarılı girişleri loglayıp başarısızları elemek, kaba kuvvet saldırısını görünmez kılar — yani tam olarak logun var olma sebebini ortadan kaldırır.
Logun değeri, değiştirilemez olmasından gelir. Bu nedenle loglar üretildikleri sistemde bırakılmaz; merkezi ve yalnızca ekleme yapılabilen bir depoya gönderilir. Sistem yöneticisi dahil hiç kimse kendi izini silememelidir. Görev ayrılığı burada teknik bir zorunluluktur: logu üreten ile logu saklayan aynı yetki alanında olmamalıdır.
Pratikte üç kontrol denetimde belirleyici oluyor:
Denetçi genelde log ekranını uzun uzun incelemez; kanıt zinciri arar. Tipik senaryo şudur: geçmiş bir tarih seçer, o gün ayrıcalıklı bir hesapla yapılan işlemi bulmanızı ister ve ardından “bu incelemeyi düzenli olarak kim yapıyor, çıktısı nerede?” diye sorar. Yani teknolojiyi değil, rutini denetler.
İkinci sorusu neredeyse her zaman aynıdır: “Bir alarm ürediğinde ne oluyor?” Alarmın olay yönetimi sürecine (Ek A 5.24-5.26) bağlanmadığı sistemlerde bulgu kaçınılmazdır. Log, olay kaydına dönüşmüyorsa döngü kapanmamıştır.
Şu soruyu sorun: “Bu sistem sessizce ele geçirilse, bunu başka nereden anlarım?” Eğer ikinci bir kaynak yoksa, o sistem loglanmalı ve merkezi depoya gönderilmelidir. Cevap “zaten şu sistemin logunda görünür” ise, ikincil kaynağı loglamak yeterlidir. Bu kural, her cihazı loglamaya çalışıp veri altında boğulmayı önler.
Ekip logları gerçekten inceliyor olabilir; ancak denetim, yapılan işi değil kanıtlanabilen işi ölçer. Haftalık log incelemesinin tarihi, incelemeyi yapan kişi, bakılan kaynaklar ve “anormal bulgu yok” ifadesi dahi kayda geçmelidir. Kaydı olmayan bir inceleme, olmamış bir inceleme sayılır.
Bu kaydı ağırlaştırmaya gerek yok: tarih, kişi, kapsam, sonuç ve varsa açılan olay numarasından oluşan beş sütunluk bir tablo, çoğu denetimde yeterli kanıttır.
Durumunuzu birkaç dakikada konuşalım; size özel süre ve yol haritası çıkaralım.
Hayır. Standart belirli bir ürün ya da teknoloji şart koşmaz. Küçük ölçekli kuruluşlar merkezi bir log sunucusu, tanımlı alarm kuralları ve kayıt altına alınmış düzenli inceleme rutini ile maddeyi karşılayabilir. Belirleyici olan araç değil, kontrolün işlediğine dair kanıttır.
Standart sabit bir süre vermez; süreyi risk değerlendirmeniz, sözleşmesel şartlarınız ve tabi olduğunuz mevzuat belirler. Önemli olan sürenin yazılı, gerekçeli ve fiilen uygulanıyor olmasıdır. Uygulamada saklama süresinin politikada yazandan kısa çıkması sık rastlanan bir bulgudur.
Loglar kullanıcı kimliği ve IP gibi kişisel veri içerebilir; bu nedenle log kayıtlarının da veri envanterinde yer alması, erişiminin sınırlandırılması ve saklama süresinin aşılmaması gerekir. Güvenlik amacıyla loglama meşru bir işleme gerekçesidir, ancak süresiz saklama gerekçelendirilemez.
Sorumluluk paylaşılır, ancak hesap verebilirlik sizde kalır. Sağlayıcının hangi logları ürettiğini, size nasıl aktardığını ve ne kadar sakladığını sözleşme aşamasında netleştirmeniz beklenir; bu Ek A 5.23 ve tedarikçi güvenliği kontrolleriyle doğrudan ilişkilidir.
Otomasyon gereklidir ama tek başına yetmez. Kural tabanlı alarmlar bilinen kalıpları yakalar; bilinmeyen davranışlar için periyodik insan incelemesi beklenir. Denetimlerde her iki katmanın da varlığı ve kayıtları aranır.