ISO 27001 risk değerlendirmesi; risk kabul ve değerlendirme kriterlerinin tanımlanması, gizlilik, bütünlük ve erişilebilirlik kaybına yol açabilecek risklerin ve risk sahiplerinin belirlenmesi, olasılık ve etkinin analiz edilmesi ve risklerin kriterlere göre önceliklendirilmesinden oluşur. Sonuçlar risk işleme kararlarına, seçilen kontroller de uygulanabilirlik bildirgesine dönüşür; süreç tekrarlandığında tutarlı ve karşılaştırılabilir sonuç vermelidir.
ISO 27001 risk değerlendirmesi, bilgi güvenliği yönetim sisteminin merkezindeki süreçtir. Hangi kontrollerin uygulanacağı, bütçenin nereye harcanacağı ve hangi risklerin bilinçli olarak kabul edileceği bu değerlendirmenin sonucuna göre belirlenir. Bu yüzden risk değerlendirmesi zayıf olan bir sistemde, diğer dokümanlar ne kadar iyi hazırlanmış olursa olsun, denetimde temel bir soru cevapsız kalır: Bu kontrolleri neden seçtiniz?
Bu rehberde ISO/IEC 27001:2022’nin 6.1.2 ve 8.2 maddelerinin neyi istediğini, risk değerlendirme yöntemini nasıl tasarlayacağınızı, örnek bir risk tablosunu ve risk işleme kararlarını anlatıyoruz. Risk yönetimi için ayrıntılı rehberlik sağlayan ISO/IEC 27005:2022’deki yaklaşımları da dikkate alıyoruz.
ISO 27001 Risk Değerlendirmesinden Ne İster?
Madde 6.1.2’ye göre işletme bir bilgi güvenliği risk değerlendirme süreci tanımlamalı ve uygulamalıdır. Bu süreç:
- Risk kabul kriterlerini ve risk değerlendirmesinin yapılacağı kriterleri belirlemeli ve sürdürmeli,
- Tekrarlandığında tutarlı, geçerli ve karşılaştırılabilir sonuçlar vermeli,
- BGYS kapsamındaki bilginin gizlilik, bütünlük ve erişilebilirlik kaybıyla ilişkili riskleri belirlemeli,
- Risk sahiplerini belirlemeli,
- Risklerin gerçekleşmesi halinde olası sonuçlarını ve gerçekçi olasılığını analiz etmeli,
- Risk seviyelerini belirlemeli ve riskleri kriterlerle karşılaştırarak işleme için önceliklendirmelidir.
Madde 8.2 ise risk değerlendirmesinin planlı aralıklarla ve önemli değişiklikler önerildiğinde veya gerçekleştiğinde tekrarlanmasını ve sonuçların saklanmasını ister. Standart belirli bir yöntem dayatmaz. Önemli olan yöntemin yazılı, tutarlı ve işletmenin gerçeğine uygun olmasıdır.
Yaklaşım Seçimi: Varlık Bazlı mı, Senaryo Bazlı mı?
| Varlık bazlı yaklaşım | Senaryo (olay) bazlı yaklaşım | |
|---|---|---|
| Başlangıç noktası | Bilgi varlıkları, tehditler ve açıklıklar | Olası olay senaryoları ve bunların iş etkisi |
| Avantaj | Ayrıntılı ve sistematik; teknik kontrollerle eşleştirmesi kolay | Üst yönetimin anlayacağı dilde; iş etkisine odaklı |
| Dezavantaj | Büyük işletmelerde çok sayıda satır üretir | Bazı teknik riskler gözden kaçabilir |
| Uygun olduğu durum | Ayrıntılı varlık envanteri olan, BT ağırlıklı yapılar | Hızlı başlangıç, yönetim odaklı değerlendirme |
Birçok işletme iki yaklaşımı birlikte kullanır: Üst seviyede senaryo bazlı bir değerlendirme yapar, kritik varlıklar için ise ayrıntılı varlık bazlı analize iner. Varlık bazlı yaklaşımı seçecekseniz, sağlam bir varlık envanteri şarttır. Bunun nasıl hazırlanacağını varlık envanteri nedir ve ISO 27001 varlık envanteri örneği yazılarımızda anlattık.
Risk Kriterlerini Tanımlamak
Olasılık ölçeği (örnek)
| Puan | Seviye | Açıklama |
|---|---|---|
| 1 | Çok düşük | Birkaç yılda bir bile beklenmiyor |
| 2 | Düşük | Birkaç yılda bir olabilir |
| 3 | Orta | Yılda bir olabilir |
| 4 | Yüksek | Yılda birkaç kez olabilir |
| 5 | Çok yüksek | Aylık veya daha sık olabilir |
Etki ölçeği (örnek)
| Puan | Finansal | Operasyonel | Yasal ve itibar |
|---|---|---|---|
| 1 | İhmal edilebilir | Etki yok veya birkaç dakikalık aksama | Dışarıya yansımaz |
| 2 | Küçük | Birkaç saatlik aksama | Sınırlı müşteri şikâyeti |
| 3 | Orta | Bir iş günü kesinti | Müşteri kaybı riski, düzenleyiciye bildirim ihtimali |
| 4 | Büyük | Birkaç günlük kesinti | Düzenleyici yaptırım, basına yansıma |
| 5 | Kritik | Faaliyetin sürdürülemez hale gelmesi | Ciddi yaptırım, kalıcı itibar kaybı |
Finansal etki ölçeğini kendi işletmenizin büyüklüğüne göre TL aralıklarıyla tanımlamanız, değerlendirmenin tutarlılığını artırır.
Risk seviyesi ve kabul kriteri
Risk seviyesi genellikle olasılık ile etkinin çarpımıyla hesaplanır (1–25). Örneğin: 1–6 düşük (kabul edilebilir), 8–12 orta (işleme planı gerektirir), 15–25 yüksek (öncelikli işleme ve üst yönetim onayı gerektirir). Kabul kriterini kimin onaylayacağı, kalan riskin kim tarafından kabul edileceği de yazılı olmalıdır.
Risk değerlendirmenizi tamamladıysanız belgelendirme sürecini planlayalım. TÜRKAK akreditasyonu kapsamında ISO 27001 teklifimiz için kapsam ve çalışan bilgilerinizi iletin.
Risk Değerlendirmesi Adım Adım
- Kapsamı ve bağlamı belirleyin: BGYS kapsamını, iç ve dış hususları ve ilgili tarafların şartlarını netleştirin.
- Kriterleri yazın: Olasılık ve etki ölçeklerini, risk seviyesi hesabını, kabul kriterini ve onay yetkilerini metodoloji dokümanına yazın.
- Varlıkları veya senaryoları belirleyin: Varlık bazlı yaklaşımda bilgi varlıklarını ve sahiplerini, senaryo bazlı yaklaşımda olası olayları listeleyin.
- Tehditleri ve açıklıkları eşleştirin: Her varlık için gerçekçi tehditleri (fidye yazılımı, yetkisiz erişim, donanım arızası, çalışan hatası) ve bunları mümkün kılan açıklıkları (yama eksikliği, zayıf parola, yedek yokluğu) belirleyin.
- Risk sahiplerini atayın: Her risk için riski yönetme yetkisi ve sorumluluğu olan kişiyi belirleyin.
- Olasılık ve etkiyi puanlayın: Mevcut kontrolleri dikkate alarak her risk için olasılık ve etkiyi belirleyin, risk seviyesini hesaplayın.
- Riskleri değerlendirin: Risk seviyelerini kabul kriteriyle karşılaştırın ve işleme gerektiren riskleri önceliklendirin.
- Risk işleme kararlarını verin: Azaltma, kaçınma, transfer veya kabul seçeneklerinden birini seçin; gerekli kontrolleri belirleyip Ek A ile karşılaştırın.
- Kalan riski hesaplayın ve onaylatın: Planlanan kontroller uygulandıktan sonraki beklenen risk seviyesini belirleyin ve risk sahiplerinin onayını alın.
Örnek Risk Tablosu
| No | Varlık | Tehdit / açıklık | Sahip | O | E | Seviye | İşleme | Kontroller | Kalan |
|---|---|---|---|---|---|---|---|---|---|
| R-01 | Müşteri veritabanı | Fidye yazılımı / çevrim dışı yedek yok | BT Müdürü | 3 | 5 | 15 | Azaltma | 8.13 yedekleme (değiştirilemez yedek), 8.7 zararlı yazılım koruması, 8.8 açıklık yönetimi | 6 |
| R-02 | E-posta hesapları | Oltalama ile kimlik bilgisi ele geçirme / çok faktörlü doğrulama yok | BT Müdürü | 4 | 4 | 16 | Azaltma | 5.17 kimlik doğrulama bilgisi, 8.5 güvenli kimlik doğrulama, 6.3 farkındalık | 6 |
| R-03 | Muhasebe dizüstü bilgisayarları | Kayıp veya çalınma / disk şifreleme yok | Mali İşler Müdürü | 3 | 3 | 9 | Azaltma | 8.1 kullanıcı uç noktası cihazları, 8.24 kriptografi kullanımı | 3 |
| R-04 | Barındırma hizmeti | Tedarikçi kesintisi / sözleşmede hizmet seviyesi yok | Genel Müdür Yardımcısı | 2 | 4 | 8 | Transfer ve azaltma | 5.20 tedarikçi sözleşmeleri, 5.30 iş sürekliliği için BİT hazırlığı | 4 |
| R-05 | Eski arşiv dosyaları | Yetkisiz fiziksel erişim / kilitli dolapta | İdari İşler | 1 | 2 | 2 | Kabul | Mevcut kontroller yeterli | 2 |
Tablodaki kontrol numaraları ISO 27001:2022 Ek A’ya aittir. Seçilen kontroller daha sonra uygulanabilirlik bildirgesinde ilgili risk numaralarıyla gerekçelendirilir. Bu bağlantının nasıl kurulacağını uygulanabilirlik bildirgesi rehberimizde anlattık.
Risk İşleme Seçenekleri
- Azaltma: Olasılığı veya etkiyi düşüren kontroller uygulamak. En sık kullanılan seçenektir.
- Kaçınma: Riski doğuran faaliyeti tamamen bırakmak. Örneğin kişisel verilerin gereksiz bir sistemde tutulmasına son vermek.
- Transfer (paylaşma): Riskin bir kısmını sigorta veya sözleşme yoluyla üçüncü bir tarafa aktarmak. Transfer edilen riskin sorumluluğu tamamen ortadan kalkmaz; özellikle yasal sorumluluklar işletmede kalır.
- Kabul: Risk seviyesi kabul kriterinin altındaysa veya işleme maliyeti beklenen kayıptan yüksekse riski bilinçli olarak kabul etmek. Kabul kararı risk sahibi tarafından onaylanmalıdır.
Denetimde En Sık Görülen Risk Değerlendirmesi Bulguları
- Metodolojinin yazılı olmaması veya uygulamanın metodolojiyle uyuşmaması
- Risk sahiplerinin belirlenmemesi veya tüm risklerin tek bir kişiye atanması
- Bulut hizmetleri, uzaktan çalışma ve tedarikçiler gibi güncel risk alanlarının değerlendirilmemesi
- Risk değerlendirmesinin bir kez yapılıp güncellenmemesi
- Kalan risklerin onaylanmaması
- Risk değerlendirmesi ile uygulanabilirlik bildirgesi arasında bağlantı olmaması
- Gerçekçi olmayan puanlama: tüm risklerin “düşük” çıkması veya tüm risklerin “yüksek” çıkması
Risk Değerlendirmesi Ne Sıklıkla Güncellenmeli?
Uygulamada çoğu işletme yılda en az bir kez tam gözden geçirme yapar. Bunun yanında şu durumlarda değerlendirmenin güncellenmesi gerekir: yeni bir sistemin veya bulut hizmetinin devreye alınması, önemli bir organizasyon değişikliği, yeni bir lokasyon, önemli bir bilgi güvenliği olayı, yeni bir yasal düzenleme veya müşteri şartı.
Risk değerlendirmesi, ISO 27001 doküman listesi içindeki zorunlu dokümanlı bilgilerden biridir. Maddelerin tamamını görmek için ISO 27001 standart maddeleri yazımıza, kontrollerin listesi için ISO 27001 Ek A kontrolleri yazımıza bakabilirsiniz.
Sık Sorulan Sorular
ISO 27001 risk değerlendirmesi zorunlu mu?
Evet. ISO 27001 madde 6.1.2 bir bilgi güvenliği risk değerlendirme sürecinin tanımlanmasını ve uygulanmasını, madde 8.2 ise değerlendirmenin planlı aralıklarla ve önemli değişikliklerde tekrarlanmasını ve sonuçların saklanmasını zorunlu tutar.
ISO 27001 risk değerlendirmesi için hangi yöntem kullanılmalı?
Standart belirli bir yöntem dayatmaz. Varlık bazlı, senaryo bazlı veya karma bir yaklaşım kullanılabilir. Önemli olan yöntemin yazılı olması, kriterlerin tanımlı olması ve tekrarlandığında tutarlı ve karşılaştırılabilir sonuç vermesidir.
Risk sahibi ile varlık sahibi aynı kişi mi olmalı?
Olmak zorunda değildir. Risk sahibi, riski yönetme yetkisi ve sorumluluğu olan kişidir. Küçük işletmelerde genellikle aynı kişi olur, büyük işletmelerde ise farklı kişiler olabilir.
ISO 27005 kullanmak zorunlu mu?
Hayır. ISO/IEC 27005, bilgi güvenliği risk yönetimi için rehberlik sağlayan bir standarttır ve belgelendirme şartı değildir. Ancak metodoloji tasarlarken yararlı bir başvuru kaynağıdır.
Kalan risk nedir?
Kalan risk, planlanan kontroller uygulandıktan sonra geriye kalan risk seviyesidir. ISO 27001, risk sahiplerinin risk işleme planını ve kalan bilgi güvenliği risklerini onaylamasını ister.
Risk değerlendirmesi ne sıklıkla güncellenmeli?
Planlı aralıklarla ve önemli değişiklikler önerildiğinde veya gerçekleştiğinde güncellenmelidir. Uygulamada yılda en az bir kez tam gözden geçirme yapılır; yeni sistemler, organizasyon değişiklikleri ve önemli olaylar sonrasında da değerlendirme yenilenir.