Siber Risk Değerlendirmesi

Her güvenlik açığı aynı derecede önemli değildir. Risk değerlendirmesi, sınırlı bütçe ve ekip kapasitesini iş açısından en kritik konulara yönlendirmeyi sağlar.

Ayrıca ISO/IEC 27001 ve sektörel düzenlemelerin çoğu, düzenli ve belgelenmiş bir risk analizini zorunlu tutar.

Yaklaşımımız ISO/IEC 27005 ve NIST SP 800-30 gibi yaygın kabul gören risk yönetimi rehberlerine dayanır. Risk; bir tehdidin bir zafiyeti kullanma olasılığı ile bunun işinize etkisinin birlikte değerlendirilmesiyle hesaplanır.

1. Kritik iş süreçlerinin ve bunları destekleyen bilgi varlıklarının belirlenmesi
2. Sektörünüze ve yapınıza uygun tehdit senaryolarının çıkarılması
3. Mevcut kontrollerin görüşme, doküman incelemesi ve teknik kontrollerle değerlendirilmesi
4. Olasılık ve etki puanlamasıyla risk seviyelerinin hesaplanması
5. Risk işleme seçeneklerinin (azaltma, transfer, kabul, kaçınma) maliyet ve faydaya göre önerilmesi

• Yıllık güvenlik planlaması ve bütçe dönemi öncesinde
• Yeni bir sistem devreye alınırken veya buluta geçişte
• Birleşme, satın alma ya da yeni bir iş ortaklığı öncesinde
• Ciddi bir güvenlik olayından sonra
• ISO 27001 belgelendirmesi veya sektörel denetim öncesinde

Risk değerlendirmesini yalnızca anketlere dayandırmıyoruz. Gerektiğinde dış saldırı yüzeyi incelemesi, yapılandırma kontrolleri ve hedefli testlerle varsayımları doğruluyoruz; böylece puanlar gerçek durumu yansıtır.

• Risk envanteri (risk kaydı) ve risk sahipleri
• Isı haritası ve yönetime yönelik özet
• Önceliklendirilmiş ve bütçelendirilebilir iyileştirme planı
• Kalan (artık) risk değerlendirmesi
• Düzenleyici ve standart gerekliliklerine referanslar

Güvenlik yatırımlarını önceliklendirmek isteyen yönetim ekipleri, ISO 27001 veya sektörel denetime hazırlanan kurumlar ve yeni bir iş ortaklığı ya da satın alma öncesinde risk tablosunu görmek isteyen şirketler için uygundur.