Varlık envanteri

Açılış

Üç projeyi ölçmek için ortak bir cetvel kurduktan sonra teknisyen, Defne Hanım'dan bir liste istedi: büronun koruması gereken her şey. Defne Hanım birkaç dakikada yazdı: altı bilgisayar, iki yazıcı, ağ depolama cihazı, yedek cihazı, kablosuz ağ kutusu. Listeyi gururla uzattı.

Teknisyen listeye baktı ve soru sormaya başladı. Müşterilerin beyanname dosyaları nerede duruyordu? Bilgisayarlarda, ağ depolama cihazında ve muhasebe programının bulut hizmetinde. Bordro yazılımı kimin hizmetiydi? Bir dış sağlayıcının. Mali mühürler ve elektronik imzalar nerede, kimin elindeydi? Kıdemli çalışanın çekmecesinde. Vergi idaresinin sistemine hangi şifrelerle giriliyordu ve o şifreleri kimler biliyordu?

Sonra iki soru daha geldi ve Defne Hanım ikisine de cevap veremedi. Stajyerin kişisel telefonunda, müşterilerle yazıştığı bir mesajlaşma grubu vardı; içinde müşterilerin kimlik fotoğrafları duruyordu. Yıllar önce bir müşteriyle paylaşılan bir bulut klasörü, müşteri gittikten sonra da açık kalmıştı ve içinde hâlâ dosyalar vardı.

Defne Hanım'ın listesinde bunların hiçbiri yoktu. Listesi cihazlardan ibaretti. Soru şuydu: bir büronun koruması gereken "her şey" tam olarak nedir, ve listede olmayan bir şeyin riski nasıl ölçülür?

Tek fikir

Bir risk değerlendirmesi, ancak neyin korunduğu biliniyorsa başlayabilir; listede olmayan bir varlığın riski ölçülmez, korunmaz ve kaybolduğunda fark edilmez. Varlık envanteri yalnız cihazları değil, yazılımı, hizmetleri, veriyi, tedarikçileri ve insanları kapsar ve her birinin bir sahibi ve bir önem derecesi olur.

Nasıl çalışır

Modül 1'de envanteri, sahip olunan varlıkların nerede bulundukları ve kime ait oldukları bilgisiyle tutulan listesi olarak tanımlamıştık; Modül 2'de de kendi cihazlarının envanterini çıkarmıştın. Risk yönetiminde envanter iki adım öteye gider: cihazların ötesine geçer ve her varlığı önemine göre sıralar.

Bir kurumun varlıklarının neler olduğunu en geniş biçimde sayan çerçevelerden biri, Modül 2'de cihaz envanteri için başvurduğumuz çerçevenin aynı bölümüdür.

Bu çerçevenin varlık sayımı, Defne Hanım'ın listesindeki boşlukları tek tek adlandırır. Muhasebe programının bulut hizmeti ve bordro yazılımı, tedarikçi hizmetleridir. Müşteri dosyaları ve kimlik fotoğrafları veridir. Mali mühürler ve şifreleri bilen kıdemli çalışan, insan varlığıdır: bir kişinin bildiği ve elinde tuttuğu şey, kurumun koruması gereken bir varlıktır ve o kişinin yokluğu bir risktir.

Envanterin ilk iş gören sütunu sahipliktir.

Sahibi olmayan bir varlık, kimsenin işi değildir. Yıllar önce paylaşılıp açık kalan bulut klasörü buna örnektir: onu açan kişi işini bitirmiş, kapatmak kimsenin görevi olmamıştı.

İkinci sütun önemdir.

Kritiklik, her varlığa aynı özeni göstermenin mümkün olmadığı gerçeğinden doğar. Bir yazıcı ile müşterilerin beyanname arşivi aynı listededir ama aynı kritiklikte değildir. Kritikliği yüksek varlıklar, risk değerlendirmesinin ilk satırlarını oluşturur.

Üçüncü sütun, çerçevenin ayrıca andığı veri envanteridir.

Türkiye'de kişisel veri işleyen birçok kurum için bu liste bir tercih değil, yasal bir belgedir.

Bu tanımdaki sütunlar, bir güvenlik envanterinin veri satırına da doğrudan taşınabilir: hangi veri, hangi amaçla, kimden, kime aktarılıyor, ne kadar saklanıyor ve hangi tedbirlerle korunuyor.

Sahada

Savunma

Varlık envanteri, risk yönetiminin önleme katmanıdır: korunacak şeyin ne olduğunu belirler. Bir envanterin iyi olup olmadığını ise dört soru belirler.

Kapsam: envanter yalnız cihazları mı içeriyor, yoksa yazılımı, tedarikçi hizmetlerini, veriyi ve insanları da mı? Defne Hanım'ın ilk listesi birinci gruptan öteye geçmiyordu. NIST'in çerçevesindeki varlık sayımı, kapsamı kontrol etmek için iyi bir başlangıçtır.

Sahiplik: her satırın bir sahibi var mı? Sahibi olmayan bir satır, Kaan'ın unutulmuş sunucusu gibi, bir gün izlenmeyen bir kapıya dönüşür.

Önem: her satırın kritikliği yazılmış mı? Kritiklik, sınırlı zamanı ve bütçeyi önce nereye harcayacağını söyler.

Güncellik: envanter ne zaman güncellendi ve neyle karşılaştırıldı? Tespit tarafında asıl araç karşılaştırmadır. Selin'in yaptığı gibi satın alma kayıtlarını, Kaan'ın yaptığı gibi ağdaki gerçek trafiği ve Bora'nın yaptığı gibi servislerdeki gerçek kullanımı envanterle yan yana koymak, listede olmayanı ortaya çıkarır. Bir envanter, bir kez yazılıp bırakılırsa, gerçeklikten her geçen ay biraz daha uzaklaşır.

Müdahalede envanter, bir olay anında ilk bakılacak yerdir. Bir sunucu ele geçirildiğinde ya da bir veri sızdığında, o varlığın sahibinin kim olduğu, içinde hangi verinin durduğu ve hangi sistemlere bağlı olduğu envanterde yazılıysa, ilk saatler arayışla değil müdahaleyle geçer.

Uygulama

Kendi dijital hayatın için, cihazların ötesine geçen bir varlık envanteri çıkaracaksın.

Envanteri çıkarırken listende olmayan bir şeyi hatırlarsan, bu derse en iyi cevabı vermiş olursun.

Defter: Risk bölümüne varlık envanteri: cihazlar (Modül 2'deki tabloya bağlantı), yazılım ve hizmetler, veri, tedarikçiler, insanlar; her satırda sahip ve kritiklik. Kapatılacak eski hesapların listesi. Envanterin bir sonraki karşılaştırma tarihi.

Hata köşesi

Etik ve sınırlar

Bir varlık envanteri, bir kurumun en değerli şeylerini ve nerede durduklarını gösteren bir haritadır; bir saldırganın elinde de aynı işi görür. O yüzden envanterin kendisi de envantere girer: bir sahibi olur ve onu görebilecek kişiler, görevleri neyi gerektiriyorsa o kadarını görecek biçimde sınırlanır. İnsan varlıklarını listelerken dikkatli olmak gerekir: bir çalışanın hangi şifreleri bildiğini ya da hangi sistemlere eriştiğini yazmak, onun kişisel bilgilerini toplamak anlamına gelmez; envanter rolü ve erişimi yazar, kişinin özel hayatını değil. Bir kurumun envanterini çıkarırken ağda bulunan bilinmeyen bir cihazı incelemek, kurumun yetkisi içinde yapılır; aynı taramayı başka bir kurumun ağında, onun izni olmadan yapmak yetkisiz erişim girişimidir. Kişisel veri envanterinde ise yasa, verinin kimler hakkında ve hangi amaçla işlendiğini dürüstçe yazmayı ister.

Kapanış

1. Bir risk değerlendirmesi ancak neyin korunduğu biliniyorsa başlar; listede olmayan bir varlığın riski ölçülmez, korunmaz ve kaybı fark edilmez.
2. NIST'in çerçevesi varlıkları veri, donanım, yazılım, sistemler, tesisler, hizmetler ve insanlar olarak sayar; her satırın bir sahibi ve bir kritikliği olmalıdır, ve Türkiye'de kişisel veri envanteri yasal bir belgedir.
3. Envanter bir kez yazılıp bırakılmaz; satın alma kayıtlarıyla, ağdaki gerçek durumla ve gerçek kullanımla düzenli olarak karşılaştırılır, çünkü en tehlikeli varlık listede olmayandır.

Üç soru

1. Defne Hanım'ın ilk listesi neden eksikti ve teknisyenin soruları hangi varlık türlerini ortaya çıkardı?
2. Kaan'ın bulduğu sunucunun riski neden hiç ölçülmemişti?
3. Kişisel veri işleme envanteri, bir güvenlik envanterinin veri satırına hangi sütunları kazandırır?

Yanıtlar

1. Liste yalnız cihazlardan oluşuyordu. Teknisyenin soruları; müşteri dosyaları ve kimlik fotoğrafları gibi veriyi, muhasebe programının bulut hizmeti ve bordro yazılımı gibi tedarikçi hizmetlerini, mali mühürleri ve şifreleri bilen kıdemli çalışan gibi insan varlıklarını ve yıllar önce paylaşılıp açık kalan bir bulut klasörünü ortaya çıkardı.
2. Sunucu envanterde yoktu ve bir sahibi yoktu; iki yıl önce bir proje için kurulmuş, proje bitince unutulmuştu. Envanterde olmayan ve sahibi olmayan bir varlığın riskini kimse ölçmez, güncellemelerini kimse yapmaz ve onu kimse izleme listesine almaz.
3. Yönetmeliğin tanımı; işleme amacını, veri kategorisini, verinin aktarıldığı alıcı grubunu, veri konusu kişi grubunu, verinin saklanacağı azami süreyi, yurt dışına aktarımı ve alınan güvenlik tedbirlerini ister. Bu sütunlar, bir güvenlik envanterinde bir veri satırının nerede durduğunu, kime gittiğini, ne kadar kalacağını ve nasıl korunduğunu gösterir.

Sonraki derse köprü

Envanter neyin korunduğunu söyler, ama neye karşı korunduğunu söylemez. Risk değerlendirmesi dersi bu iki listeyi birleştiriyor: tehditleri ve zafiyetleri varlıklarla eşleştirmeyi, ve sonuçları gösteren ısı haritalarının neyi gösterip neyi sakladığını ele alıyor.