İzleme ve ÖlçmeAşama: Uygula
Olay bildirimini tek kapıdan alıp müdahaleyi kanıtla yürütmek
Bildirilen her şüpheyi tek kayda düşürme, ağırlığına göre kimin haberdar olacağını ve kaydın hangi koşulda kapanacağını baştan yazma yöntemi. Müdahale sırasında kanıtın korunması ilk temizlik refleksinin önüne alınır.
Ne zaman kullanılır?
Olaylar sözlü konuşuluyor ve kayda girmiyor; ya da her küçük uyarı en ağır seviyeymiş gibi ele alınıp ekip boğuluyor, gerçek olaylar arada kaynıyor.
Nasıl yapılır
- 1Tek giriş kapısı kur ve herkese aynı cümleyle duyur: şüphelendiğin şeyi şu adrese/şu forma yaz. İki kanal olursa kayıt bütünlüğü ilk haftada bozulur.
- 2Olay ile ihlal olayı arasındaki karar kriterini yazılı hale getir: hangi belirtiler doğrulama gerektirir, hangi eşikten sonra kayıt ihlal olayı olarak açılır. Kararı kişinin sezgisine bırakma.
- 3Şiddet ölçeğini ve tırmandırma eşiğini birlikte yaz: hangi seviyede kimin telefonu çalar, hangi seviyede üst yönetim aynı gün bilgilenir. Mesai dışı yedek isimleri de yaz.
- 4Müdahaleye başlarken kanıtı koru: log dondurma, disk imajı, ekran kaydı ve kim ne zaman ne yaptı kütüğü. Sistemi hemen temizlemek ilk refleks olur ve kanıtı yok eder.
- 5Kayıt içinde kişisel veri bulunduğu anlaşılırsa gizlilik hattını ayrıca tetikle; bilgi güvenliği müdahalesinin kapanması bildirim yükümlülüğünü kapatmaz.
- 6Kapatma koşulunu tek cümleyle sabitle: kök neden yazılmadan, düzeltici faaliyet açılmadan ve ilgili kontrol güncellenmeden kayıt kapanmaz.
Tetkikçi ne sorar
- Son bir yılda kaç olay kaydı açtınız ve bunlardan kaçı ihlal olayı olarak sınıflandırıldı, kriteriniz nedir?
- Şu olayda kanıtı nasıl koruduğunuzu gösterin; kim, ne zaman, hangi sistemde ne yaptı?
- Kapattığınız olaylardan öğrenilenler hangi kurala, ayara ya da eğitime yansıdı? Bir örnek üzerinden gösterin.
Sahada sık yapılan hatalar
- Olaylar bilgi işlem sorumlusunun kişisel e-postasında çözülmüş, hiçbir kayıt açılmamış; yıl sonunda gösterilecek tek bir olay kaydı yok.
- Sunucu hemen yeniden kurulmuş, kanıt kalmamış; aynı yöntemle tekrar giren saldırgan haftalar sonra fark edilmiş.
- Her uyarı yüksek şiddetle açılmış; ekip alarm yorgunluğuna girmiş, gerçek olayda kimse telefona bakmamış.
- Olay kapatılmış ama öğrenilenler hiçbir kurala, ayara veya eğitime yansımamış; üç ay sonra aynı olay tekrar etmiş.
İlgili maddeler
ISO/IEC 27001 · A.5.24ISO/IEC 27001 · A.5.25ISO/IEC 27001 · A.5.26ISO/IEC 27001 · A.5.28ISO/IEC 27001 · A.5.27
Yalnız madde numaralarına atıf yapılır; standart metni yayımlanmaz. Bu maddelerin yürürlükteki baskısını kendi standart nüshanızdan doğrulayın.