ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürü

ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürü, kuruluşun bilgi varlıklarının tespit edilmesi, sınıflandırılması ve bu varlıklara yönelik risklerin gizlilik-bütünlük-erişilebilirlik ekseninde değerlendirilmesini tanımlayan dokümandır. Örnek ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürü’nü bu sayfadan inceleyebilir, bilgisayarınıza indirip Word formatında kendi kuruluşunuza göre düzenleyebilir, PDF’e çevirerek denetim dosyanızda saklayabilirsiniz.

ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedürünün Amacı

Bu prosedürün amacı, ISO 27001 Madde 8.2-8.3 kapsamında iş sürekliliği açısından değerli varlıklara gelebilecek tehditlerin tespit edilmesi ve gerekli önlemlerin planlanması için izlenecek yolu belirlemektir. Uygulamadan Genel Müdür ve Bilgi Güvenliği Ekibi başta olmak üzere tüm çalışanlar sorumludur.

ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedüründe Varlık Sınıflandırması

Kuruluş varlıkları; insan kaynağı, yazılım, donanım, altyapı ekipmanı, şirket bilgileri, müşteri bilgileri, üçüncü şahıs bilgileri ve finansal kaynaklar olmak üzere sınıflandırılır. Varlıklar gizlilik derecelerine göre Çok Gizli, Gizli, İç Kullanım, Halka Açık ve Önemsiz Bilgi olarak beş sınıfa ayrılır ve her sınıf kendi kurallarına göre saklanır, etiketlenir ve iletilir.

ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedüründe Risk Hesaplama Yöntemi

• Her varlık için Gizlilik, Bütünlük ve Erişilebilirlik etki seviyeleri 1-5 arası puanlanır; ortalaması Varlık Değerini (A) belirler.
• Risk Değeri (R) = Varlık Değeri (A) × Olasılık (B) × Etki (C) formülüyle hesaplanır.
• Risk değeri; Çok Yüksek (Kırmızı), Yüksek (Mavi), Dikkate Değer (Sarı) ve Kabul Edilebilir (Yeşil) olmak üzere sınıflandırılır.
• Tehdit Listesi ve Zayıflık Listesi, varlıklara yönelik risklerin tespitinde referans olarak kullanılır.

ISO 27001 Varlık Belirleme ve Risk Yönetim Prosedüründe Risk İşleme Seçenekleri

Kabul edilebilir seviyenin üzerindeki riskler için dört işleme yöntemi uygulanır: Azaltma (ISO 27001 Ek-A kontrollerinin uygulanması), Kaçınma (risk kaynağı uygulamanın devre dışı bırakılması), Transfer (sigorta, itfaiye gibi üçüncü taraflara aktarım) ve Kabul (kabul edilebilir seviyeye yakın risklerin yönetim onayıyla kabulü). Kabul edilebilir seviyeye çekilemeyen riskler “Artık Risk” olarak Artık Risk Onay Belgesi ile onaylanır.

Bu prosedür, ISO 27001 belgesi denetimlerinde varlık envanterinin ve risk değerlendirme metodolojisinin sistematik yürütüldüğünün kanıtıdır.

DM Belgelendirme — Huzur Mahallesi 1218 Cadde No:13/B, Öveçler / Çankaya / Ankara
dmbelgelendirme@gmail.com