Siber Güvenlik Risk Değerlendirmesi Nedir?

Siber güvenlik risk değerlendirmesi, bir kuruluşun veya potansiyel satıcının mevcut teknolojisinin, güvenlik kontrollerinin, politikalarının ve prosedürlerinin ve hangi potansiyel tehditlerin veya saldırıların şirketin en kritik varlıklarını ve verilerini etkileyebileceğinin incelenmesidir.

Kuruluşlar, hassas verileri, bilgileri ve kritik varlıkları siber saldırılardan koruma yeteneklerini anlamak için siber güvenlik risk değerlendirmelerini kullanabilir. Bu risk değerlendirmeleri, işletmelerin riskleri azaltmasına veya azaltmasına, hassas bilgileri ve müşteri verilerini korumasına yardımcı oldukları için önemlidir.

Risk değerlendirmeleri, üçüncü taraf satıcıların işletme tarafından belirlenen minimum güvenlik gereksinimlerini karşıladığını doğrulamak ve bu satıcıların kuruluş veya tedarik zinciri için bir risk oluşturmamasını sağlamak için de önemlidir.

UpGuard'ın risk değerlendirme özelliklerine bir göz atın >

Siber Güvenlik Risk Değerlendirmesi Neleri İçermelidir?

Firma hangi yerleşik risk değerlendirme çerçevesini kullanırsa kullansın, siber riskle ilgili aşağıdaki iş hedeflerine ulaşmayı hedefleyerek bilgi varlıklarına ve bilgi sistemlerine odaklanmalıdır:

• Kimlik
• Değerlendirme
• Önceliklendirme

Risk değerlendirmelerinin mevcut güvenlik tehditlerini ve kuruluşun nerede savunmasız olduğunu değerlendirmesi gerekir. Ek olarak, risk değerlendirmelerinin, bir iyileştirme planına karar verebilmeleri için kilit paydaşları belirlenen riskler hakkında bilgilendirmesi gerekir.

Bir siber güvenlik risk değerlendirmesi genellikle bir risk tahmini ve risk değerlendirmesi dönemini içerir. Her biri için risk değerlendiricileri, risk değerlendirmesi tarafından ortaya çıkarılan veya vurgulanan riskleri tedavi etmek için yollar geliştirmelidir.

Bir siber güvenlik değerlendirmesinin temel aşamaları aşağıdaki gibidir:

• Tehditlerin ve güvenlik açıklarının tanımlanması
• Açıklardan yararlanma olasılığını ve belirlenen güvenlik tehditlerinin ve güvenlik açıklarının olası etkisini belirlemek için sızma testi gibi teknikler kullanılarak risk ve güvenlik açığı değerlendirmesi
• Risklerin kontrol altına alınması
• Bulguların kaydedilmesi
• Güvenlik kontrollerini gözden geçirme

Bir risk değerlendirmesinin içermesi gereken bazı sorular şunlardır:

1. Kuruluşumuzun en önemli varlıkları veya verileri nelerdir?
2. Hangi tür bir veri ihlali, işimiz ve müşteri verilerimiz üzerinde en önemli etkiye sahip olur?
3. Tanımlanan her bir siber tehdidin etki düzeyi nedir?
4. Hangi güvenlik açıklarından yararlanma olasılığı en yüksektir ve bunlardan yararlanılırsa etkisi ne olur?
5. Kuruluşumun dahili ve harici olarak kabul edilen risk düzeyi veya toplam risk iştahı nedir?

Satıcı risk değerlendirme şablonunuzu indirin >

Siber Güvenlik Risk Değerlendirmesini Kim Yapar?

İşletme veya kuruluş sahibi, risk değerlendirmelerinin yapılmasını sağlamaktan sorumludur. Bununla birlikte, belirlenmiş bir kişi veya BT ekibi, özellikle küçük işletmelerde risk değerlendirme sürecinin sahipliğini üstlenebilir.

Her iki durumda da, risk değerlendirmeleri, paydaşların iş operasyonlarını ve siber güvenliği yönetme konusunda bilinçli kararlar almalarına ve belirlenen riskleri azaltmalarına yardımcı oldukları için önemli olmaya devam etmektedir.

Kurumsal siber güvenlik risk değerlendirmesi için normalde bir güvenlik ekibi gereklidir. Bu ekip üyelerinin kuruluş içindeki farklı departmanlardan olması yardımcı olabilir, çünkü bu, tüm bilgi güvenliği risklerini kapsamayı daha olası hale getiren geniş bir bakış açısını teşvik eder. Ekibin üyeleri şunları içerebilir:

• İnsan kaynakları
• Departman yöneticileri
• Baş Teknoloji Sorumlusu (CTO)
• Baş Bilgi Güvenliği Sorumlusu (CISO)

Siber güvenlik risk değerlendirme süreci, bir kuruluşun bilgi güvenliği sistemlerinin mevcut siber tehdit ortamına karşı etkinliğinin kapsamlı bir resmini sağlamak için deneyim, uzmanlık ve uyumluluk anlayışına sahip oldukları için genellikle sanal bir CISO ve/veya diğer dış kaynaklı siber güvenlik uzmanları tarafından yürütülür.

Siber güvenlik uzmanları, riskle ilgili standartlaştırılmış kriterler oluşturmak için genellikle Ulusal Standartlar ve Teknoloji Enstitüsü Siber Güvenlik Çerçevesi (NIST) veya Uluslararası Standardizasyon Örgütü/Uluslararası Elektroteknik Komisyonu (ISO/IEC) TS 27110 gibi yerleşik bir çerçeve kullanır.

Ayrıca, ISO 27001, kuruluşların bilgi güvenliği risklerini nasıl ele aldıklarını yapılandırmalarına yardımcı olabilecek yararlı bir standartlar dizisidir, ancak bunlara birazdan daha fazla değineceğiz.

UpGuard'ın işletmelerin siber risk değerlendirmeleri yapmasına nasıl yardımcı olduğunu öğrenin >

Siber Güvenlik Risk Değerlendirmesi Ne Sıklıkla Yapılmalı?

ISACA'ya göre, en az iki yılda bir kapsamlı bir kurumsal güvenlik riski değerlendirmesi gereklidir.

Bir işletme, güncellenmiş bir sistem veya bilgisayar ağlarının yeniden yapılandırılması gibi önemli bir bilgi teknolojisi değişikliğine uğradığında, bir siber güvenlik risk değerlendirmesi yapılması önerilir. Organizasyonel değişiklikler ve siber tehdit ortamındaki değişiklikler, kuruluşun risk seviyesini etkileyecektir.

İdeal olarak, risk ortamı sürekli olarak izlenecek ve gözden geçirilecektir. Kimlik avı, kötü amaçlı yazılım, fidye yazılımı ve sosyal mühendislik gibi siber saldırılardan kaynaklanan tehditler sürekli olarak gelişmektedir, bu nedenle siber güvenlik kontrollerinin de gelişmesi gerekir.

Bir kuruluşun güvenlik kontrollerini düzenli olarak gözden geçirmek çok önemlidir çünkü zaman içinde etkinliklerini kaybedebilirler. Örneğin, yalnızca parola kimlik doğrulamasından iki faktörlü ve çok faktörlü kimlik doğrulamaya yönelik mevcut eğilimi göz önünde bulundurun. Başka bir örnek, çevrimiçi şifreleme protokollerinin artan kullanımı ve Genel Veri Koruma Yönetmeliği'nin (GDPR) çevrimiçi olarak daha katı veri koruma prosedürlerine ve politikalarına nasıl yol açtığıdır.

Neden Siber Güvenlik Risk Değerlendirmesi Yapmalısınız?

Siber risk değerlendirmesi, daha sağlam siber güvenlik kontrollerine ihtiyaç duyan alanları belirler ve bir kuruluşun iş hedeflerine ve hangi siber güvenlik tehditlerinin en olası ve en şiddetli olduğuna göre öncelik vermesine yardımcı olur. Bir kuruluş, risk değerlendirme süreci aracılığıyla risk tolerans seviyesini tanımlayabilir.

Kuruluşlar, bir siber güvenlik risk değerlendirmesi gerçekleştirdikten sonra personel, hissedarlar, iş ortakları, üçüncü taraf satıcılar, dış kaynaklı BT güvenliği ve müşteriler dahil olmak üzere paydaşlarla net bir şekilde iletişim kurabilir. Daha sonra her iki taraf da BT altyapıları ve mevcut siber güvenlik programları hakkında bilinçli kararlar alma bilgisine sahip olacaktır.

Siber güvenlik risk değerlendirmesinin bir parçası, kuruluşun bilgi güvenliği hakkında belgeler oluşturmaktır. Bu belge, aşağıdakiler de dahil olmak üzere çeşitli şekillerde yararlıdır:

Risk Yönetiminin Stratejik Hale Getirilmesi

Bir kuruluşun güvenlik duruşu hakkında doğru ve güncel bilgilerle, güvenlik ekibi veya diğer paydaşlar risk hakkında bilinçli kararlar alabilir ve buna göre plan yapabilir. Uygun risk azaltma ve iyileştirme planları, bir kuruluşun genel güvenlik programını ve siber olgunluğunu iyileştirmek için temel stratejilerdir.

Siber Sigorta Primlerinin Düşürülmesi

Bir risk değerlendirme raporu, siber sigortacılara kuruluşun risklerini anladığını ve bunları azaltmak için gerekli adımları attığını, risk olasılığını ve potansiyel etkilerini azalttığını gösterir. Riskin azaldığına dair kanıtlar, siber sigortacıların daha düşük primler sunmasına izin verme eğilimindedir.

Olay Müdahale Planlarının Oluşturulması

Bir olay müdahale planı, bir kuruluşun bir siber saldırı veya başka bir siber güvenlik olayıyla başa çıkmasına yardımcı olur. Bir firmanın bir olaya yanıt verme hızı, itibarının ne kadar iyi hayatta kaldığını ve bir veri ihlalinin neden olduğu mali zararın boyutunu belirleyebilir.

Olay müdahale planlarına sahip işletmeler, veri ihlali hasar maliyetlerini küresel ortalamaya kıyasla %60'tan fazla azalttı. Bir olay müdahale planı geliştirmek, bir kuruluşa yönelik potansiyel tehditlerin tam olarak değerlendirilmesini gerektirir ve bu da risk değerlendirmesini paha biçilmez hale getirir.

İş Ortaklarına ve Müşterilere Hazır Olduğunu Gösterme

Tamamlanmış bir risk değerlendirmesi ile bir firma üçüncü şahısların incelemesiyle karşı karşıya kalabilir. İşletme sahipleri, üçüncü taraf çözüm sağlayıcıların ve diğer iş ortaklarının saldırı yüzeylerini artırdığını giderek daha fazla fark ediyor. Aynısı diğer yön için de geçerlidir. İşletmeler, riski belirleyerek, ölçerek ve değerlendirerek güvenliği artırmak için uygun önlemleri alabilir ve bu da onları daha uygun iş ortakları haline getirebilir.

Düzenleyici Cezalardan Kaçının

HIPAA gibi uyumluluk standartlarına yönelik cezalar, Sivil Haklar Ofisi'nin (OCR) kuruluşun bir veri ihlalini önlemek için yeterli risk değerlendirmesi yapmadığını tespit etmesi durumunda önemli ölçüde daha cezalandırıcı olabilir.

Sağlık sektörü için HIPAA gibi, Ödeme Kartı Endüstrisi Veri Güvenliği Standardı (PCI DSS) da banka ve kredi kartıyla ödeme kabul eden şirketler için resmi bir siber güvenlik risk değerlendirmesinin tamamlanmasını gerektirir. Kuruluş ayrıca en son risk değerlendirmesinin ardından önerilerini, metodolojilerini ve güvenlik politikalarını açıkça belirtmelidir.