Müşteri BSI kurallarına göre zafiyet yönetimi istiyor — Almanya'da somut olarak ne kurmalıyız?

Küçük ekipler genelde BSI adını duyunca yüzlerce sayfalık IT-Grundschutz kılavuzlarında boğuluyor. işte müşterinin kastı büyük ihtimalle tam sertifika deil denetim sırasında gösterebilecekleri bi işletim kanıtı. Eğer sözleşmede doğrudan ISO 27001 veya BSI sertifikası zorunluluğu yoksa, sadece süreç belgesi ve tarama raporu vererek bütçeyi tüketmeden ilerleyin.

Teknik tarafta işi kolaylaştırmak için sürekli açık kaynak bağımlılık tarayıcıları ve sunucu seviyesinde zafiyet tarama araçları entegre edin. Çıkan CVE kayıtlarını doğrudan bilet sistemine aktaran bir web kancası kurarsanız, sistem yöneticisinin manuel liste tutmasına gerek kalmaz. BSI denetçileri genelde taranmayan gölge sunuculara bakar, alan adındaki tüm alt makineleri kapsama alın.

Biz benzer bir kamu projesinde yıllık 2.200 EUR lisanslı bir zafiyet tarayıcı aldık. Sistemin kurulumu 3 haftamızı aldı. Sistem yöneticimiz her pazartesi 2 saatini BSI ve CERT duyurularını taramaya, ayda 6 saatini de rapor hazırlamaya ayırıyor. Bu rutin sayesinde son iki müşteri denetiminden sıfır eksikle geçtik.

Hemen yarın yapabileceğiniz en hızlı şey: 1) Sunucu ve kütüphane listenizi net bir tabloya dökün. 2) Ücretsiz CERT-Bund e-posta bültenine abone olun. 3) Yama sürelerini belirten iki sayfalık bir Güvenlik Politikası yazıp şirket içine imzalattırın. Müşteri denetime geldiğinde ilk bu kağıdı soracaktır.

Münih'te benzer bi sağlık yazılımı ihalesinde aynı taleple karşılaştık. İlk denetimde bize 'Geçen ay çıkan kritik bi çekirdek zafiyetini ne kdr sürede kapattınız, kaydı nerede?' diye sordular. Canlıya yamayı 4 saatte geçmişiz ama bilet açıp saat kaydetmediğimiz için uyarı aldık. İşin sırrı gerçekten doğru kayıt tutmakta bitiyor.

Müşteriniz şartnamede BSI IT-Grundschutz Yapı Taşı OPS.1.1.3 (Patch- und Änderungsmanagement) maddesine doğrudan atıf yapıyor mu? bu arada eğer bu modül şart koşulmuşsa, değişiklik yönetimi (Change Management) ile yama onay sürecini birbirine bağlamanız gerekir.

biz de benzre surecten gectik git deponuza otomatik zafiyet kontrol botlari ekleyin. her derlemede kutuphaneleri tarasin bir de test ortaminda yesiil yanmadan canliya kod cikarmadiginizi gosteren bi akis semasi bile musteriyi ikna etmyee yetiyor.

Müşteriniz kamu ile ilişkili olduğu için BSI standartlarına uyumu alt yüklenici sözleşmesinde garanti altına almak zorundadır. Hazırlayacağınız dokümantasyonda sorumluluk matrisi (RACI), acil durum yama prosedürü ve yıllık harici denetim taahhüdü yer almalıdır. Bu belgelerin şirket yönetimi tarafından onaylanmış olması esastır.

Bir ayrım yapmak gerekiyor burada. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Bu kadar, uzattıysam kusura bakmayın.

Peki şunu nasıl çözdünüz? Asıl mesele rakam dgl o rakamın neye göre çıktığı.

Kusura bakmayın da bu her durumda geçerli değil. Olayların çoğu zafiyetten değil, sızmış bi paroladan başlıyor.

Kolay gelsin.

Uzun süre bu işle uğraştım. bsi zafiyet yönetimi konusunda acele eden herkes aynı yerde takılıyor.

Sonucu yazarsanız sevinirim. Küçük bir deneme ile başlayın, tamamını bir anda bağlamayın.

Not olarak bırakayım, lazım olur.

Takipteyim.

Anlamadığım bir yer var. Otomatik tarama raporu ile sızma testi aynı şey değil.

Kolay gelsin.

Tam olarak böyle. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Tartışma dağıldı toparlayayım. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Bunun cevabı sektöre göre çok değişiyor, genel geçer bi kural yok. Umarım işinize yarar.

doğru söylüyorsnuuz sonra acele karar altı ay snra düzeltilen karar oluyor.

otomatik tarama raporu ile sızma testi aynı şey değl bir de sonucu buraya yazarsanız başkalarına da faydası olur.