﻿ BT Denetimi Nedir? - BTRisk
BT Denetimi Nedir?hpolat2019-10-25T15:02:09+03:00
BT Denetimi Nedir?
BT Denetimi, bilgi teknolojileri altyapı ve süreçlerinin kendilerinden beklenen faydaları sağlayıp sağlayamayacaklarına dair güvence almayı hedefler. Bu faydalar; etkililik, yani iş ihtiyaçlarını karşılama gücü; etkinlik, yani kaynakların verimli kullanımı; güvenlik, yani bilgi varlıklarının gizlilik, bütünlük ve sürekliliğinin korunması ve bu faydaların türevleri olan güvenilirlik ve yasalara uyumdur.
Bilgi teknolojileri alanında yapılacak olan denetim faaliyetleri için genel olarak belirli faydalardan bahsetmek mümkündür. Ancak bu faydaları sektörel olarak değerlendirmek durumu çok daha kolay anlaşılır hale getirecektir. Buna göre BT denetimi ile aşağıdaki sektörlerde şu özel faydalar beklenebilir:
Holding Şirketi: Bilgi teknolojileri standardizasyonu ve desteğinde merkezi bir konumda bulunuyorsa bir holding şirketinde aşağıdaki konularda güvence sağlanabilir:
BT Mimari Yönetimi: Grup BT altyapı yatırımlarının gelecek öngörüleri ve mevcut yapılarına uygun biçimde yönlendirilmesi, bunun neticesinde daha hızlı ve esnek çözüm üretme, donanım, yazılım ve personel kaynaklarının yönetiminde ve satın almalarda optimizasyon
BT Proje ve Yatırım Yönetimi: Grup BT yatırımlarının grup iş stratejilerine uygunluğuna göre önceliklendirilmesi, yapılan yatırımların beklenen faydayı sağlayıp sağlamadığından emin olunması
Merkezi Güvenlik Danışmanlık ve Olay Müdahalesi Desteği: Güvenlik uzmanlığını barındırmak suretiyle iştiraklere güvenlik danışmanlık desteği ve gerçekleşen güvenlik ihlallerinde teknik destek sağlanması
Finans Sektörü: Sıkı biçimde düzenlenen, hem mali sonuçlara etkisi hem de çok miktarda kişisel bilgi barındıran BT sistemlerini yoğun olarak kullanan finans sektörü açısından aşağıdaki konularda güvence sağlanabilir:
Düzenlemelere Uyum: Kurumlar içinde düzenlemelere uyum için gerekli organizasyonel yapıların geliştirilmesi, BT ve bilgi güvenliği yönetişimi için gerekli süreçlerin oluşturulmuş olması
Hizmet Sürekliliği: Finansal hizmetlerin kesintisiz veya öngörülen sürelerde tekrar ayağa kaldırılabilecek biçimde sağlanması için gerekli yatırımların uygulanmış, süreçlerin geliştirilmiş ve personelin eğitilmiş olması
Kişisel Bilgilerin Güvenliği ve Kurum İtibarının Korunması: Veri sınıflarının belirlenmesi ve veri yaşam döngüsü üzerinde gerekli erişim kontrolleri, kriptolama kontrolleri, log yönetim kontrollerinin uygulanması
Finansal Varlıkların Saldırganlara Karşı Korunması: Tehlikeli ağlara açık kritik altyapıların, sunucuların ve uygulamaların güvenlik mimarilerinin sağlam biçimde tasarlanmış olması ve teknik uyum denetimlerinden geçirilmesi yoluyla kurum ve müşteri finansal varlıklarının korunması
Telekom Sektörü:Düzenleme iklimi açısından finans sektörüne benzeyen ancak ürettiği veişlediği kişisel verilerin hassasiyeti ve verilen hizmetin ulusal güvenlik ile de yakın ilgisi nedeniyle gizlilik ve süreklilik ihtiyacı telekom sektörü için oldukça yüksek düzeydedir. Rekabetin fazlalığı ve bu nedenle yeni teknolojilerin yoğun kullanımı, proje teslim süreleri üzerindeki yüksek baskı telekom sektörünü daha da kırılgan hale getirmektedir. Bu nedenlerle bu hassas sektör için aşağıdaki alanlarda yüksek güvence ihtiyacı bulunmaktadır:
Müşteri Trafik Bilgilerinin Güvenliği ve Düzenlemelere Uyum: Sektörel olarak kritik olan müşteri trafik ve iletişim içeriğinin korunması için gerekli önlemlerin alınması, bu önlemlerin etkinliğinden emin olunması için gerekli yönetim sistemleri ve süreçlerin uygulanması
Müşteri CRM Bilgilerinin Rekabetin Eline Geçmemesi: Rekabetin üst düzeyde olduğu bu sektör için bayilere, iş ortaklarına ve müşterilere açılan BT sistemleri üzerinden, kurum içinden müşteri CRM (ürün, paket, konum, profil) bilgilerinin sızmasının engellenmesi ve sızmaların izlenmesi
Hizmet Sürekliliği: Gerekli altyapı yatırımlarının yapılması ve süreçlerin geliştirilmesi ile hizmet sürekliliğinin mümkün olan en üst düzeyde tutulması
Yeni Teknolojilerin Güvenli Adaptasyonu: Her geçen gün ortaya çıkan yeni teknolojilerde öncü uygulayıcı (early adaptor) olan telekom sektöründe gerekli risk analizlerinin yapılması ve güvenlik ihlallerine karşı önlemlerin alınması
Yatırım Etkinliği: En yüksek BT yatırımı gerçekleştiren telekom sektörü için yapılan yatırımlarda belli bir hata ve sapma payı bulunabilmekle birlikte yatırımların stratejik hedeflere ve rekabet koşullarına uygun biçimde gerçekleştirilmesi
Enerji Sektörü: Finans ve Telekom sektörleri kadar olmasa da toplum hayatı ve ekonomi açısından önemi nedeniyle sıkı düzenlemelere tabi olan Enerji sektöründe son yıllarda bilgi güvenliği de düzenlemelere konu olmaktadır. Düzenlemelerin yanı sıra sektörün bireysel kullanıcıya yönelik online işlem imkanlarını sağlaması nedeniyle de ilgili kurumların bilgi güvenliği problemlerini yönetmeleri gerekmektedir. Enerji sektörü açısından önemli güvence ihtiyaçları aşağıdaki alanlar olarak sayılabilir:
Endüstriyel Kontrol Sistemleri’nin (ICS / SCADA) Sabotaj ve Terörist Saldırılara Karşı Korunması: Son yıllarda enerji sektörünü devlet destekli seviyede hedef alan siber saldırılara karşı gerekli önlemlerin alınması
Tahsilat Sistem ve Entegrasyonlarının Sürekliliği ve Güvenliğinin Sağlanması: Faturalama ve tahsilat süreçlerindeki olası gecikme ve hizmet kesintilerine karşı gerekli süreklilik altyapı yatırımlarının yapılması ve süreçlerin geliştirilmesi, gerekli güvenlik kontrollerinin uygulanması
Müşteri CRM Bilgilerinin Rekabete Karşı Korunması: Yüksek rekabete konu enerji sektöründe müşteri CRM bilgilerinin rekabetin eline geçmesinin engellenmesi için gerekli erişim kontrolleri, log yönetimi ve izleme kontrollerinin uygulanması
Perakende Sektörü: Gıda, teknoloji, giyim v.d. alanlarda faaliyet gösteren perakende sektörü için bilgi güvenliğinden ziyade BT kaynaklarının etkin kullanımı neticesinde stok maliyetlerinin düşürülmesi ve karar destek sistemlerinin etkin kullanımı önem kazanmaktadır. Buna göre bu sektörde öncelikli olarak aşağıdaki konularda güvence ihtiyacı bulunmaktadır:
Etkili BT Proje Yönetimi ve BT Çözümleri Teslim Etme Kabiliyeti: Kurumun sahip olduğu iş gereksinimlerini karşılayabilecek bir BT organizasyonu / yönetimine sahip olup olmadığı, yazılım geliştirme sürecinin sağlıklı yürüyüp yürümediği
Yeterli Karar Destek Sistemlerinin Bulunması: Gerekli optimizasyonların sağlanması için maliyet ve diğer verilerin toplandığı ve gerekli araçlarla analiz edildiği ortamların sağlanması
Kredi Kartı Bilgileri Güvenliği: Kredi kartı ödemeleri ile ilgili risklerden kaçınılıp kaçınılmadığı veya bu risklerin ele alınıp alınmadığı
Üretim ve Taahhüt Sektörleri: Üretim sektörü açısından kaynakların etkin kullanımını destekleyecek ve entegre iş uygulamalarının varlığı rekabet ihtiyaçları açısından son derece önemlidir. Buna göre üretim ve taahhüt sektörlerinde (ör: Tekstil, Madencilik, İnşaat) aşağıdaki alanlarda güvence ihtiyacı yüksek düzeydedir:
Bunların dışında BT organizasyonları ve süreçleri açısından önemli hijyen kuralları (ör: olay yönetimi, değişiklik yönetimi, yedekleme, loglama, kapasite ve performans izleme, v.d. süreçler) gözden geçirilerek BT servislerinin sağlıklı biçimde gerçekleştirilmesine ilişkin güvence sağlanabilir.
BT denetimi bir iş riski olan bilgi teknolojileri riskleri için önemli bir güvence aracıdır. Bilgi teknolojileri kullanımı önemli olan tüm şirket ve sektörlerde mutlak ihtiyaç duyulan bir denetim türüdür. Ayrıca bilgi teknolojileri denetimi bilgi paylaşımının yüksek olduğu tedarikçi ve iş ortakları ile ilgili risklerin yönetilmesi açısından da vazgeçilmez bir araçtır.