Büyük bir müşteri bizden siber güvenlik uyum belgesi istiyor — ISO 27001'den farkı nedir, hangisini hazırlayalım?

Geçen yıl Dubai'de benzer bir finans projesi için 85.000 AED harcayıp bağımsız uyum raporu aldık. Denetim 3,5 ay sürdü ve tam 64 teknik kontrolü tek tek kanıtlarıyla incelediler. ISO belgemiz vardı ama finans grubu regülasyon gereği ISO'yu tek başına kabul etmedi.

danismanlarin 120 bin aed dedigine hemen atlamayin derim. musteri sadece standart bi kontrol listesi doldurmanizi ve akredite bi denetciden onayli mektup getirmenizi istiyor olabilir. kpasami sormadan teklif imzalamayin

not: bunu kendi deneyimim olarak yazdım, herkeste böyle olmayabilir.

İlk iş olarak müşteriden tedarikçi güvenlik şartnamesini (third-party security policy) isteyin... ya şartnamenin referanslar kısmında yerel merkez bankası kuralları veya ulusal siber güvenlik kurulu standartları yazıyorsa ISO 27001 kurtarmaz doğrudan sektörel teknik denetime girmek zorundasınız.

Danışmanlık şirketleri bu terim karmaşasını çok sever. Şirketlerin kafası karışıkken en pahalı paketi satmaya çalışırlar. Müşterinin satın almacısı bile çoğu zaman aradaki farkı bilmez; risk biriminin önüne koyduğu metni iletir.

Abu Dabi finans kuruluşları üçüncü taraf veri işleyen firmalarda yerel veri koruma kanunlarına ve finansal regülasyonlara tam uyum arar. Yalnızca yönetsel bir çerçeve sunan ISO 27001 yerine, sistem seviyesinde denetim kanıtı içeren bir uygunluk beyanı istemeleri kurumsal standartları gereğidir.

askıya çıkan ISO belgesi maalesef masada kötü durur... müşteri kontrol ederse güvensizlik oluşabilir. ya bnc hemen müşteriye durumu açıkça sorup net cevabı alın ona göre bütçeyi yönlendirin.

not: bunu kendi deneyimim olarak yazdım, herkeste böyle olmayabilir.

Müşterinin işleyeceği veri grubunda bireysel kimlik veya finansal hesap hareketleri yer alacak mı? Eğer sadece anonimleştirilmiş kampanya verisi tutacaksanız bunu gerekçe gösterip denetim kapsamını daraltmayı denediniz mi?

Siber güvenlik uyum raporlarında genellikle verinin BAE sınırları içinde kalması (data residency), iletimde ve depolamada güçlü şifreleme ile ayrıntılı erişim loglarının en az bi yıl saklanması zorunludur. Altyapınız bulutta bu standartları karşılıyor mu?

ben de merak ediyorum... olayların çoğu zafiyetteen dgl sızmış bi paroladdan başlıyor.

hekresin yaptgi sey, dogru oldugu anllamina gelmiyor.

Ben de aynı kanıdayım. bu arada herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Bunu yaparken bakılacak üç şey var. Küçük bir deneme ile başlayın, tamamını bir anda bağlamayın.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Buradan gidecekseniz şunu baştan halledin. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Ben olsam bu yoldan giderdim.

İki yıl önce aynısını yaşadım. Herkesin yaptığı şey doğru olduğu anlamına gelmiyor.

Bunun cevabı sektöre göre çok değişiyor genel geçer bir kural yok. Bu kadar, uzattıysam kusura bakmayın.

Aynı hatayı yapmayın diye yazıyorum... işte yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Not olarak bırakayım, lazım olur.

burada bir tuzak var, söylemeden geçmeyeyim bir de açıkçası yazılı olmayan her madde ileride iki tarafın da farklı hatırladığı bir madde.

umarm işinize yarar.

kusura bakmayın da bu her durumda geçerli deil sonra ödeme biilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

kndi durumunuz farklıysa tabii değişir.

bunu yaparken çok düşülen bi hata var. yazılı olmayan her madde ilerride iki tarafın da farklı hatıraldığı bi madde.

olaylarin cogu zafiyeten degil sizmis bi paroladan basliyor bir de yani bennim gorusum bu kesin dogru diye yazmiyorum

deneyecegim. bi sorunu fark etme sureniz o sorunun maliyetini dogrudn belirliyor