ISO 27001 Büyük ve Küçük Uygunsuzlukları

 ISO 27001 Uygunsuzlukları

Büyük Uygunsuzluklar

Standardın bir maddesinin tamamen eksikliği durumlarıdır. Sistemi doğrudan etkileyen bir uygulamanın olmaması ya da uygulanmaması anlamına gelir.

·         Bilgi güvenliği politikası hazırlanmamış

·         Kapsam hazırlanmamış

·         Risk analizi ve değerlendirme işlemi yapılmamış

·         Planlama yapılmamış

·         İletişim planları yapılmamış

·         İç tetkik yapılmamış

·         YGG yapılmamış

 

Küçük Uygunsuzluklar

Sistemin işleyişini etkilemeyen uygunsuzluklardır.

 

Varlık envanterinden varlıkların gizlilik değeri Gizlilik sınıfıyla uyumlu olmaması (A.8.1.1)

Bilgisayar, yazıcı, ziyaretçi ve farklı birimler için farklı ağların (network, VLAN) kullanılmaması

Administrator ve diğer jenerik kullanıcı kayıtlarının değiştirilmeden kullanılması.

Otoriterlerle ve Özel İlgi Gruplarıyla İletişim dokümanları hazırlanmamış

Ayrıcalıklı haklara sahip kullanıcıların yönetimine dair bir düzenleme yapılmamış.  (A.9.2.3)

Elektronik mesajlaşma sisteminde “disclaimer” kullanılmıyor. (A.13.2.3)

Teçhizat ve donanımlara ilişkin bakım kayıtları tutulmamış. (A.11.2.2)

Kullanıcı hesaplarının oluşturulması ve yönetimine ilişkin bir sistem oluşturulmamış (A.9.2.1.)

Personelin işten ayrılması işlemleri varlıkların iadesi işlemleri yapılmıyor. FÇ adlı kişinin ayrılması sürecinde eksiklik var (A.7.3.1, A.8)

Faruk  Çubukçu

 

faruk@farukcubukcu.com

 

www.farukcubukcu.com

www.excelakademi.com

www.excelci.com

http://excelciler.blogspot.com.tr/

http://projeproje.blogspot.com.tr/

http://iso27001-bgys.blogspot.com.tr/

https://www.youtube.com/user/farukcubukcu

ISO 27001 Major ve Minor Uygunsuzlukları

 ISO 27001 Uygunsuzlukları

Major Uygunsuzluklar

Standardın bir maddesinin tamamen eksikliği durumlarıdır. Sistemi doğrudan etkileyen bir uygulamanın olmaması ya da uygulanmaması anlamına gelir.

·         Bilgi güvenliği politikası hazırlanmamış

·         Kapsam hazırlanmamış

·         Risk analizi ve değerlendirme işlemi yapılmamış

·         Planlama yapılmamış

·         İletişim planları yapılmamış

·         İç tetkik yapılmamış

·         YGG yapılmamış

 

Minor Uygunsuzluklar

Sistemin işleyişini etkilemeyen uygunsuzluklardır.

 

Varlık envanterinden varlıkların gizlilik değeri Gizlilik sınıfıyla uyumlu olmaması (A.8.1.1)

Bilgisayar, yazıcı, ziyaretçi ve farklı birimler için farklı ağların (network, VLAN) kullanılmaması

Administrator ve diğer jenerik kullanıcı kayıtlarının değiştirilmeden kullanılması.

Otoriterlerle ve Özel İlgi Gruplarıyla İletişim dokümanları hazırlanmamış

Ayrıcalıklı haklara sahip kullanıcıların yönetimine dair bir düzenleme yapılmamış.  (A.9.2.3)

Elektronik mesajlaşma sisteminde “disclaimer” kullanılmıyor. (A.13.2.3)

Teçhizat ve donanımlara ilişkin bakım kayıtları tutulmamış. (A.11.2.2)

Kullanıcı hesaplarının oluşturulması ve yönetimine ilişkin bir sistem oluşturulmamış (A.9.2.1.)

Personelin işten ayrılması işlemleri varlıkların iadesi işlemleri yapılmıyor. FÇ adlı kişinin ayrılması sürecinde eksiklik var (A.7.3.1, A.8)

Faruk  Çubukçu

 

faruk@farukcubukcu.com

 

www.farukcubukcu.com

www.excelakademi.com

www.excelci.com

http://excelciler.blogspot.com.tr/

http://projeproje.blogspot.com.tr/

http://iso27001-bgys.blogspot.com.tr/

https://www.youtube.com/user/farukcubukcu

Risk Analizi

KVKK Risk Analizi işlemi de ISO 27001 risk analizine benzer. 

•       Kişisel verilerin işlenmesi süreçlerini yönetimi risk tabanlı bir işlemdir. Kişisel verileri işleyen kurumlar risklerini tanımlamalı ve gerekli önlemleri almalıdır. Bu anlamda şu çalışmalar yapılabilir:

•       Risk yönetimi politikası ve prosedürü oluşturulmalıdır.

•       Kişisel veriler ve süreçler temelinde riskler tanımlanmalıdır.

•       Artık risklerin kabul kriterleri belirlenmelidir.

•       Risk işlem planı oluşturulmalıdır.

•       Risk iyileştirme çalışmaları / Aksiyonlar alınmalı ve takip edilmelidir.

 

NOT: Bu ve diğer bütün videolarımda anlatılan uygulamalar ve çalışmalar tümüyle uygulama ortamında yapılabilecek çalışmalara yönelik bir demo niteliğindedir kurumunuza uygun olmayabilir. Sizler kendi kurumunuza ve süreçlerinize uygun riskleri tanımlamanız ve ilgili yönetim süreçlerini yapmanız gerekir.

Video: 

https://youtu.be/NzYJM2xhAuI

KVKK envanter videosu:

 

https://youtu.be/Ck7KVOcrpOs