Olay Yönetim Prosedürü

1. Amaç

Bu prosedürün amacı, ISO 27001:2022 Bilgi Güvenliği Yönetim Sistemi (BGYS) çerçevesinde meydana gelen güvenlik olaylarının etkili bir şekilde tespit edilmesi, sınıflandırılması, raporlanması, yönetilmesi ve çözülmesidir. Olayların hızlı bir şekilde yönetilmesi, şirketin bilgi güvenliği risklerini en aza indirgemek için önemlidir.

2. Kapsam

Bu prosedür, tüm organizasyonda bilgi güvenliği ile ilgili olarak ortaya çıkan güvenlik olaylarını kapsar. Olay yönetimi, çalışanlar, tedarikçiler, üçüncü taraflar ve diğer ilgili paydaşlar tarafından gerçekleştirilen faaliyetleri içerir.

3. Tanımlar

• Güvenlik Olayı: Bilgi güvenliğini tehdit eden, istem dışı bilgi sızıntısı, erişim ihlali, kötü amaçlı yazılım enfeksiyonu veya benzeri durumları içeren olaylardır.

• Olay Müdahale Ekibi: Güvenlik olaylarının yönetilmesinden sorumlu olan grup veya bireylerdir.

• Olay Kategorisi: Olayların sınıflandırılması ve önceliklendirilmesinde kullanılan kategorilerdir (örneğin, yüksek, orta, düşük öncelikli).

4. Olay Yönetim Süreci

4.1. Olay Tespiti

• Tüm çalışanlar, tedarikçiler ve üçüncü taraflar güvenlik olaylarını tespit ettiğinde, olayın doğasına göre İnsan Kaynakları, BT Güvenlik, Sistem Yönetimi veya ilgili birimlere bildirimde bulunmalıdır.

• Güvenlik olayları tespit edildiğinde, olayın doğru bir şekilde kaydedilmesi ve olaya dair ayrıntıların toplanması gereklidir.

4.2. Olay Bildirimi

• Güvenlik olayı, tespit edildiği anda Olay Yönetim Sistemi üzerinden derhal raporlanmalıdır.

• Olay bildirimi aşağıdaki bilgileri içermelidir:

  • Olayın ne zaman tespit edildiği.

  • Olayın türü ve doğası.

  • Olayın gerçekleştiği sistem veya uygulama.

  • Etkilenen kullanıcılar veya veriler.

  • Başlangıç ve bitiş zamanı (varsa).

  • Başlatıcı kişi veya ekip.

4.3. Olay Değerlendirme ve Sınıflandırma

• Olayın ciddiyeti İnsan Kaynakları, Bilgi Güvenliği Ekibi ve ilgili diğer departmanlarla birlikte değerlendirilmeli ve aşağıdaki sınıflara ayrılmalıdır:

  • Yüksek Öncelik: Organizasyonun iş sürekliliğini ciddi şekilde etkileyen, kritik veri kaybı, sızdırma veya zarar gibi olaylar.

  • Orta Öncelik: Bir dizi sistemin etkilendiği, ancak anlık iş sürekliliğini tehdit etmeyen olaylar.

  • Düşük Öncelik: Küçük güvenlik ihlalleri veya sistemdeki düşük riskli olaylar.

4.4. Olay Müdahalesi ve Çözümü

• Olay Müdahale Ekibi, olayın çözülmesi için derhal müdahale etmelidir.

• Olayın çözümü için atılacak adımlar şunları içerebilir:

  • Olayın kaynağını tespit etmek ve önlemek.

  • Etkilenen sistemleri geçici olarak devre dışı bırakmak veya izole etmek.

  • Veri kaybı veya sızdırma durumunda zarar tespiti yapmak.

  • Bilgiyi korumak için gerekli önlemleri almak.

  • Durumun geri alınması için adımlar atmak.

4.5. İzleme ve İyileştirme

• Olay sonrası, olayın etkileri ve çözüm süreci dikkatlice izlenmelidir.

• Olayın neden olduğu zayıf noktalar belirlenmeli ve aynı türdeki olayların tekrarlanmasını önlemek için BGYS‘de iyileştirmeler yapılmalıdır.

• Olay sonrası Olay Yönetim Raporu oluşturulmalı ve olayın etkileri, alınan önlemler ve uygulanan düzeltici aksiyonlar raporlanmalıdır.

4.6. Raporlama ve İletişim

• Olay Yönetim Raporu, olayın çözülmesinin ardından, üst yönetime ve ilgili paydaşlara raporlanmalıdır.

• Olayın ciddiyetine bağlı olarak, dış paydaşlara (müşteriler, tedarikçiler, denetçiler vb.) gerekli bilgilendirme yapılmalıdır.

4.7. Düzeltici ve Preventif Aksiyonlar (DPA)

• Olaydan elde edilen öğrenimler doğrultusunda düzeltici ve preventif aksiyonlar alınmalıdır.

• Olayla ilgili tüm incelemeler sonrasında, sistemsel zayıflıklar, kullanıcı hataları veya dış tehditler analiz edilerek uygun güvenlik önlemleri geliştirilmelidir.

• Bu süreç, bilgi güvenliği politikalarının, prosedürlerinin ve teknolojilerinin iyileştirilmesini sağlar.

5. Olay Kapanışı ve Kayıtların Saklanması

• Olay tamamen çözüme kavuşturulduktan sonra olay kaydının sonlandırılması gerekir.

• Olay yönetimi kayıtları, yasal gereklilikler ve iç denetim süreçleri için belirli bir süre boyunca saklanmalıdır (örneğin, 2 yıl).

6. Görev ve Sorumluluklar

• Olay Müdahale Ekibi: Olayın çözülmesinden ve raporlanmasından sorumludur.

• Bilgi Güvenliği Yöneticisi: Olayların doğru şekilde sınıflandırılmasını ve uygun düzeltici adımların atılmasını sağlar.

• Çalışanlar: Güvenlik ihlali veya olayı derhal bildirmekle yükümlüdür.

7. Eğitim ve Farkındalık

• Olay yönetim prosedürü tüm çalışanlara düzenli aralıklarla eğitimle aktarılmalı, olaylara hızlı ve doğru tepki verme yetkinlikleri artırılmalıdır.

• Güvenlik bilinci eğitimleri, çalışanların olayları daha etkili bir şekilde tespit etmelerini sağlamak için önemlidir.

8. Sonuç

Bu prosedür, güvenlik olaylarının etkili bir şekilde yönetilmesini sağlayarak organizasyonun ISO 27001:2022 BGYS gereksinimlerine uyumlu bir şekilde bilgi güvenliği risklerini minimize etmeyi hedefler.

Prosedürün Güncellenmesi ve İzlenmesi

Bu prosedür, yılda bir kez gözden geçirilmeli ve gerektiğinde güncellenmelidir. Güncellenmiş prosedürlerin tüm çalışanlara bildirilmesi sağlanmalıdır.

Hazırlayan: [Adı]
Onaylayan: [Adı]
Tarih: [Tarih]

Bu Olay Yönetim Prosedürü, ISO 27001:2022 Bilgi Güvenliği Yönetim Sistemi (BGYS) gereksinimlerine uygun olarak, güvenlik olaylarının etkin bir şekilde yönetilmesi amacıyla oluşturulmuştur.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi: Kapsamlı Uygulama Rehberi