Tek Hamlede Bilgi Güvenliği Security Unified Management for Governance, Risk Management and Compliance Security Unified Management for Governance, Risk Management and Compliance ISO27001, PCI-DSS, ADSIC İÇİN ENTEGRE TEK ÇÖZÜM Silikon Blok No: Bk37 ODTÜ Teknokent, 06531 Ankara - Türkiye
Tek Hamlede Bilgi Güvenliği DAHA AZ EMEK İLE DAHA KISA SÜREDE BİLGİ GÜVENLİĞİ www.sumgrc.com
Avantajlar Sum Avantajlar Yönetişim Üst yönetim Gerçek zamanlı varlık ve bölümlerin risk durumu, Organizasyonel yapı, sorumlu personel ve sahip olunan varlıkların net olarak izlenebilmesi, Bölüm bazında risk işleme, yatırım, olağanüstü durum ve iş sürekliliği planları, Bölüm bazında uyumluluk durumları, Gerçek zamanlı varlık envanteri. Risk Yönetimi Eğitim gerektirmeyen otomatik risk analizi sihirbazı, Risk seviyelerinin zamana bağlı değişimlerinin izlenebilmesi, Risk İyileştirme planlarının gerçekleşme durumunun izlenmesi, Entegre zafiyet taraması. Uyumluluk Tek analizle birden fazla standarda uyumluluk, Tüm uyumluluk sürecinde rehberlik eden kurulum sihirbazı yaklaşımı, Standartlarla ilgili çok az eğitim gerektiren anket bazlı yaklaşım, İş sürekliliği planlaması, Fark analizi. Denetim Anket bazlı uyumluluk denetimi, Olağanüstü durum planı denetimi. 3
Sum? Neden Sum? Sistem danışmanlar için bir dayanak oluşturarak, sistemin güvenilirliği artırır. Sum kurumların ISO27001 risk analizi ve uyumluluk işlemlerini otomatikleştirerek, sertifikasyon öncesi ön hazırlık faaliyetlerinin süresini kısaltır ve hızlı sonuca ulaşılmasını sağlar. Sistem esnek bir yapıya sahip olup, iyileştirme çalışmaları ile analiz sonuçlarının iyileştirilmesine olanak tanır. Sum ile, risk analizinin kurum personeli tarafından yapılması sayesinde danışmanın buna benzer rutin işlere harcayacağı vakti azaltır. Standardın gerektirdiği bir rapor olan Risk İşleme Planı ve Uyumluluk Bildirgesi(SOA) dokümanlarını hazırlamak çok zahmetlidir. Sum, Risk analizi sonuçları doğrudan Risk İşleme Planı ve Risk İşleme Planında uygulanmakta olan maddeler doğrudan Uyumluluk Bildirgesi maddelerini oluşturup ISO standardına uygun planların hazırlanmasını sağlar. Tüm süreçlerin Sum tarafından yönlendirilmesi sayesinde danışmanın sadece risk analizini doğrulama ve iç denetim aşamalarında bizzat sürece dâhil olması yeterlidir. Web tabanlı kullanıcı arayüzü sayesinde kurum yöneticileri ve danışmanlar sistemleri uzaktan izleyebilir, anlık varlık envanterini, analiz sonuçlarını ve raporları görüntüleyebilir. ISO 27001 Bilgi güvenliği sistemini kurmuş firmalarda, kurulum sonrası süreçleri devam ettirmede yaşanan zorluklar en aza indirilir ve sistemin kolay işletilmesi sağlanır. Sum ile bir önceki sene yapılan ISO27001 faaliyetleri, yapılması gereken işlemler rahatlıkla takip edilebilir. Böylece kurulan ISO 27001 Bilgi Güvenliği Yönetim Sisteminin devamlılığı uzmanlık gerektirmeden rahatlıkla sağlanır. Sum, tek analiz ile birçok standardın uyumu aynı anda sağlanır. Yeni standartlar ya da ihtiyaç duyulabilecek lokal standartlar modüller h a l i n d e e k l e n i p s i s t e m l e e n t e g r e edilebilmektedir. 4
Sum? Neden Sum? Zengin Ön Tanımlı Değerler, Yönlendirici Soru ve Kriterler Kitaplığı Varlık değerlendirme soru setleri 14 adet varlık üst grubu 102 adet varlık alt grubu 99 adet tehdit ifadesi 200 den fazla tehdit olasılığı yönlendirme sorusu 328 adet zaafiyet ifadesi Her bir zaafiyet ile ilişkilendirilmiş ilgili ISO27002 Maddesi 160 dan fazla hazır risk cümlesi (tehdit, zaafiyet ve ISO 27002 maddeleri ile ilişkilendirilmiş) 1097 adet ISO27002 maddeleri ile ilişkilendirilmiş İç denetim rehber soru seti Sum sayesinde kullanıcılar birden fazla standarda ait raporları ve belgeleri tek kullanıcı arayüzünden kolaylıkla alabilmekte, böylece firmaların standartlara uyumluluk çalışmaları merkezi bir yapı halinde yönetilebilmektedir. Bilgi güvenliği yönetim sistemlerinin yazılım y a r d ı m ı o l m a d a n k u r u l u m s o n r a s ı devamlılıklarının sağlanamaması, karşılaşılan en önemli problemlerden biridir. Sum çözümü ile kullanıcılar kullanımı kolay kurulum sihirbazı yapısı ile uzmanlık ve ileri seviye eğitim gerektirmeden risk analizi ve risk değerlendirme yapabilmektedirler. Sum daha az emek ile daha kısa sürede kurulum sağlayarak müşteri memnuniyetini artırır. Sum ile tüm risk analizi, standarda uyumluluk çalışmaları ve kurulan BGYS nin işletilmesi düşük maliyet ile uzman olmayan personel tarafından gerçekleştirilebilmektedir. Bu ç a l ı ş m a l a r ı f i r m a i ç i p e r s o n e l gerçekleştirebileceği için zamandan ve maliyetten büyük ölçüde tasarruf edilir. Sum ürünü 27001 standardına uygun risk analizi ve bilgi güvenliği yönetim sistemi çözümü sunduğu gibi diğer standartları da içerecek şekilde yapılandırılabilmektedir. Böylece tek çalışma ile pek çok standardın sertifikasyonu yapılabilmektedir. Sum, kullanıcılar için bir yol haritası niteliğinde olup, çok detaylı ya da hatalı risk analizi sonucu sistemin karmaşık ve yönetilemez hale gelmesini engeller. Manuel risk analizi çalışmaları sırasında en çok karşılaşılan problemlerden biri, risk analiz çalışmalarının yapılması aşamasında çok fazla dallanarak dağınık, sonuca ulaşılamaz ve yönetilemez bir risk analizi çalışmasının ortaya çıkmasıdır. 5
Nedir? Sum Nedir? Sum, yönetişim, bilgi güvenliği, uyumluluk yönetimlerini ve denetim sistemlerini içeren, kurumun bilgi güvenliği yönetim sisteminin (BGYS) otomasyonunu sağlayan bütünleşik bir yazılım çözümüdür. Sum, Bilgi güvenliği yönetim sisteminin kurulum, uyumluluk, sertifikasyon ve denetleme süreçlerini kolaylaştırır. Sum aşağıdaki modüllerden oluşmaktadır: Sum Sum Risk Yönetimi, bilgi sistemleri üzerinde (manüel ve otomatik olarak sisteme girişi yapılmış varlıklar) oluşabilecek risklerin belirlenmesinde ve risk işleme planının hazırlanmasında kullanılır. Sum Bilgi sistemlerinin bilgi güvenliği sertifikasyon (ISO 27001, PCI) uyumluluklarının kontrolünün yapılması ve ilgili raporların üretilmesi Uyumluluk Modülü ile sağlanır. Dokümanların saklanması, versiyonlanması, onaylanması, takibi, erişim kontrolü gibi doküman yönetimi işlemleri Sum Uyumluluk ile yapılmaktadır. Sum Risk Yönetimi Uyumluluk Denetim Sum Denetim, bilgi sistemlerinin bilgi güvenliği yeterlilik seviyesinin ISO 27001 ve PCI uyumluluğu açısından denetleyerek, sürekli olarak güncel tutulması ve geliştirilmesini sağlar. 6
RİSK ANALİZİ SİHİRBAZ RİSK İŞLEME PLANI SİHİRBAZ UYGULANABİRİLİRLİK (SOA) BİLDİRGESİ OTOMATİK FARK ANALİZİ OTOMATİK Süreçlerin büyük bir bölümü otomatik yürütülüp, kalan süreçler de sihirbaz yardımı ile yönlendirildiği için eğitim v e u z m a n l ı ğ a g e r e k duyulmadan kısa sürede ve az emekle ISO27001 süreci tamamlanabilmektedir. DENETİM SİHİRBAZ 7
Risk Yönetimi Sum Risk Yönetimi Sum Risk Yönetimi, bilgi sistemleri üzerinde (manüel ve otomatik olarak sisteme girişi yapılmış varlıklar) oluşabilecek risklerin belirlenmesinde kullanılır. Zafiyet ve riskler ile ilgili raporların hazırlanarak, bu raporlara göre zafiyeti giderilen ve giderildiği bildirilen sistemler üzerinde tekrar gerekli kontrollerin yapılmasını sağlar. Eğitim gerektirmeyen soru bazlı risk analizi, Ön tanımlı varlık-tehdit-zafiyet ağacı ile uzmanlık ihtiyacının azaltılması, Çok sayıda risk analistinin paralel ve esnek çalışabilmesi, Risk analizi çalışmalarının merkezi olarak izlenebilmesi, Risk analiz tarihçesini tutabilme, farklı zamanlar ve birimler arasında karşılaştırma yapabilme, Teknik açıklıklarla (zafiyetlerle) IP tabanlı varlıkları ilişkilendirerek risk analizini somutlaştırma ve kolaylaştırma, Ön tanımlı riskler için seçilmiş bilgi güvenliği kontrolleri ile risk işleme planı ve uygulanabilirlik bildirgesi elde etme, Risk işleme planı sorumluluklarının atanması ve merkezi takip olanağı, Varlık ve risk bilgilerine erişim için kısıtlanabilir erişim hakları, Verimli kontrol yatırım stratejilerinin belirlenebilmesi için analiz sonuçlarının farklı perspektiflerden raporlanması. 8
Uyumluluk Sum Uyumluluk Bilgi sistemlerinin bilgi güvenliği sertifikasyon (ISO 27001, PCI) uyumluluklarının kontrolünün yapılması ve ilgili raporların üretilmesi Uyumluluk Modülü ile sağlanır. Dokümanların saklanması, versiyonlanması, onaylanması, takibi, erişim kontrolü gibi doküman yönetimi işlemleri Sum Uyumluluk ile yapılmaktadır. Risk işleme amacıyla seçilen ISO27002 maddeleri için hazır jenerik politika ifadeleri ile hızlı politika geliştirme, Doküman ve kayıt yönetim altyapısı Doküman değişiklik talep yönetimi Güvenlik olay ve güvenlik zafiyetlerinin yönetimi Güvenlik olay ve güvenlik zafiyetleri ile ilgili görev ataması, DÖF takibi Güvenlik olay ve güvenlik zafiyetlerinin varlıklarla ilişkilendirilebilmesi ve risk analizi ne girdi sağlaması Temel BGYS aktivitelerinin ve ISO27001 gerekliliklerinin takibi ile standarda uyum güvencesi Temel PCI gerekliliklerinin takibi ile standarda uyum güvencesi Test prosedürleri ve yapılacak işlerin ilgili personele atanması Görevlerin zamanında yapılıp yapılmadığının izlenebilmesi Güvenlik politika değişikliklerinde ilgili personeli otomatik bilgilendirme Anket yöntemi ile politika belirlenmesinde personel katılımının sağlanması 9
Denetim Sum Denetim SumGrc Denetim, bilgi sistemlerinin bilgi güvenliği yeterlilik seviyesinin ISO 27001 ve PCI uyumluluğu açısından denetleyerek, sürekli olarak güncel tutulması ve geliştirilmesini sağlar. BGYS iç tetkikleri için kapalı uçlu soruları barındırması ve ilgili kişilere atanmasını destekler, bu şekilde uzaktan iç tetkik (ya da iç tetkike hazırlık) gerçekleştirilebilmesini sağlar, tetkik maliyetini azaltır, İç tetkikler sırasında kapsam içindeki ilgili süreçlere ilişkin doküman ve kayıtların yüklenmesini destekler, bu şekilde hem iç tetkikin güvenilirlik düzeyini artırır hem de dış tetkike hazırlık konusunda güvence sahibi olunmasını sağlar, İç tetkikler sırasında belirlenen uyumsuzlukların gerektirdiği düzeltici / önleyici faaliyetlerin belirlendikten sonra ilgili kişilere atanmasını destekler, bu şekilde düzeltici önleyici faaliyet durumlarının merkezi olarak izlenmesine imkân tanır, Uyumlu ve uyumsuz cevapları katılımcı, kontrol kategorisi, kontrol bazında listelemeyi, yönetici özeti oluşturmayı kolaylaştırmak için grafik raporlamayı destekler, bu şekilde iç tetkik raporlamasını pratikleştirir. 10
Nedir? ISO27001 Nedir? ISO 27001 standardı, firmanın mevcut iş riskleri bağlamında Bilgi Güvenliği Yönetim Sisteminin (BGYS) kurulması, işletilmesi, izlenmesi, gözden geçirilmesi, sürdürülmesi ve iyileştirilmesi ile ilgili gereklilikleri tanımlar. Firmalar için BGYS sistemini kurmak, güncelliğini sağlamak ve tutarlı olarak sürdürebilmek oldukça karmaşık ve zaman alıcı bir süreçtir. Yazılımla, bu sürecin kolaylaştırılması, hızlandırılması ve tutarlı bir şekilde sürdürülmesi hedeflenmiştir. Bilgi güvenliği, bilgileri izinsiz erişimlerden, kullanımından, ifşa edilmesinden, yok edilmesinden, değiştirilmesinden veya hasar verilmesinden koruma işlemidir. Yönetim sistemi, kurumsal yapıyı, politikaları, planlama faaliyetlerini, sorumlulukları, uygulamaları, prosedürleri, prosesleri ve kaynakları içerir. BGYS, bilgi güvenliğini kurmak, gerçekleştirmek, işletmek, izlemek, gözden geçirmek, sürdürmek ve geliştirmek için, iş riski yaklaşımına dayalı tüm yönetim sisteminin bir parçasıdır. ISO 27001 standardı, tüm kuruluş türlerini (örneğin, ticari kuruluşlar, kamu kurumları, kar amaçlı olmayan kuruluşlar) kapsar. Bu standart, dokümante edilmiş bir BGYSyi kuruluşun tüm ticari riskleri bağlamında kurmak, gerçekleştirmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek için gereksinimleri kapsar. Bağımsız kuruluşların ya da tarafların ihtiyaçlarına göre özelleştirilmiş güvenlik kontrollerinin gerçekleştirilmesi için gereksinimleri belirtir. 11
Kimdir? BTT Kimdir? BTT Bilgi Teknoloji Tasarım Limited Şirketi 1999 yılından bu yana Ar-Ge tabanlı ürün geliştirmekte olup, kuruluşundan bu yana Yasal Uygulama Birimleri, Hükümet İstihbarat Ajansları, Acil Servisler ve Finansal kuruluşlar için çeşitli ürünler geliştirmiştir. Firmamızın gücü kuruluşundan bu yana sahip olduğu yenilikçi yaklaşımına, işbirlikçi kültürüne, ekonomik ürün stratejisine ve yüksek müşteri memnuniyeti hedefine dayanmaktadır. AR-GE faaliyetleri için üniversite ile işbirliği konusunda uygun bir bölge olan ODTÜ Teknokent'te faaliyet göstermektedir. www.sumgrc.com Silikon Blok No: Bk37 ODTÜ Teknokent, 06531 Ankara - Türkiye