Kapsamlı ISO 27001 & 27701 Risk Değerlendirme Rehberi: Varlıklar, Tehditler ve 2026 Kriterleri
ISO 27001 ve 27701’de Bilgi Güvenliği Risk Değerlendirmesi
Bilgi Güvenliği Yönetim Sistemi (BGYS) içerisinde risk değerlendirmesi, tüm yapının temelini oluşturur. Öncelikle belirtmek gerekir ki; tutarlı ve geçerli bir risk analizi yapılmadan kurulan sistemler sadece kağıt üzerinde kalır. ISO 27001 (Madde 6.1.2) ve veri gizliliği odaklı ISO 27701 (Madde 5.4.1.2), kuruluşların karşılaştırılabilir sonuçlar üreten bir metodoloji kullanmasını şart koşar. Çünkü doğru analiz edilmeyen bir tehdit, kurumun gelecekteki itibarını ve yasal uyumunu riske atabilir.
Risk Kriterlerinin Belirlenmesi ve Tutarlılık
Kuruluşlar, riskleri tesbit etmeden önce analiz yapacakları teraziyi, yani risk kriterlerini belirlemelidir. Özellikle bu kriterlerin her analizde aynı sonucu vermesi (tutarlılık), sistemin güvenilirliğini kanıtlayan en büyük unsurdur.
Buna ek olarak, risk değerlendirme süreci şu temel gereksinimleri karşılamalıdır:
- Karşılaştırılabilirlik: Yapılan her analizin önceki yıllarla kıyaslanabilir olması gerekir.
- Geçerlilik: Analiz sonuçları gerçek dünyadaki tehditleri ve açıklıkları yansıtmalıdır.
- Süreklilik: Risk değerlendirmesi sadece bir kez yapılmamalı, düzenli aralıklarla sürdürülmelidir.
Teknik dökümantasyon standartları ve metodoloji detayları için ISO orijinal standartlarını inceleyerek temel bilgilere ulaşabilirsiniz.
Varlıklar, Tehditler ve GBE Analizi
Aslında, risk analizi yaparken sadece “hacker” saldırılarını düşünmek bir hatadır. Aksine, bilgi varlıklarının gizlilik, bütünlük ve erişilebilirlik (GBE) kaybıyla ilişkili tüm riskler masaya yatırılmalıdır.
- Varlık ve Risk Sahiplerinin Tanımlanması: BGYS kapsamındaki her varlığın (veri, donanım, yazılım) bir sahibi olmalıdır. Ayrıca, bu varlıklardan kaynaklanan riskleri üstlenecek bir “Risk Sahibi” de belirlenmelidir.
- Tehdit ve Açıklıkların Tespiti: Varlıklar üzerindeki mevcut tehditler ile bu tehditlerin faydalanabileceği sistem açıklarını tanımlamak gerekir.
- Etki Analizi: Gizlilik veya kullanılabilirlik kaybının kurum üzerinde yaratacağı mali ve yasal etkiler belirlenmelidir.
Bu süreci hatasız yönetmek için hizmetlerimiz sayfasından profesyonel envanter ve risk araçlarımıza göz atabilirsiniz.
Kişisel Veri Riskleri (ISO 27701 Uyumu)
ISO 27701 süreci, risk değerlendirmesini bir adım ileri taşıyarak kişisel verilerin korunmasını kapsama dahil eder. Özellikle kuruluşlar, kişisel verilerin gizlilik ve erişilebilirliğine dair riskleri belirlemelidir. Bu bağlamda, muhtemel veri sızıntılarının “ilgili kişiler” üzerindeki zararının etkisini belirlemek yasal bir zorunluluktur. Sonuç olarak, veri güvenliği ile veri gizliliği risklerini tek bir potada eritmek, denetimlerde büyük kolaylık sağlar.
2026 Güncellemesi: İklim Değişikliği ve Risk ve Fırsatlar
Buna ek olarak, 2026 yılı güncel standartlarına göre risk analizi yaparken iklim değişikliği hususları da dikkate alınmalıdır. Mesela, sel, aşırı sıcaklar veya fırtına gibi olayların veri merkezleriniz veya fiziksel arşivleriniz üzerindeki etkisini ölçtünüz mü?
Bu nedenle, iklim kaynaklı riskler artık risk değerlendirme tablonuzun ayrılmaz bir parçası olmalıdır. Böylece, doğa olaylarından kaynaklanacak iş sürekliliği kayıplarına karşı önceden önlem alabilirsiniz. Kısacası, iklim krizini hesaba katmayan bir risk planlaması artık modern dünyada eksik kabul edilmektedir.
Artık Risk Onayı ve Dökümantasyon
Özetle; risk değerlendirme süreci mutlaka yazılı bilgi olarak muhafaza edilmelidir. Analiz sonrasında, uygulanan kontrollerden sonra kalan riske “Artık Risk” denir. Sonuç olarak, bu artık risklerin yönetim tarafından onaylandığına dair resmi bir döküman (Artık Risk Onay Belgesi) oluşturulmalıdır.
Eğer siz de risklerinizi analiz ederken profesyonel bir metodoloji kullanmak ve 2026 standartlarını yakalamak isterseniz, ISO 27001 danışmanlık ekibimiz her adımda yanınızdadır. Bu yüzden, siber savunmanızı kurarken hiçbir detayı şansa bırakmayın.
👉 Değerlendirme Rehberi: Varlıklar, Tehditler ve 2026 Kriterleri ve Güvenlik Risk Yönetimi hakkında detaylı bilgi için ilgili sayfamıza göz atabilirsiniz.
🔗 +90 533 370 01 43 | info@iso27001danismanlik.com
