Varlık Risk Değerlendirmesi
Varlık risk yönetimi tek bir soruyu cevaplar: bu bilgi varlığı bizim için ne değerinde?
Cevap, varlığı üç güvenlik boyutunda — gizlilik, bütünlük ve erişilebilirlik — derecelendirerek ulaşılan bir sayı ve bir sınıflandırmadır. Modüldeki her şey, o cevabı tutarlı biçimde üretmek ve buna kimin karar verdiğinin kaydını tutmak için vardır.
Bu modül bir varlığa ne olabileceğini değerlendirmez. O, bilgi güvenliği riskidir ve bu modülün cevabını başlangıç noktası olarak okur. Buradaki konu, varlığın kendi değeridir.
Modül varlık envanteri tutmaz
Varlıklar varlık envanterinden gelir; buradaki bir kayıt onlardan birinin değerlendirmesidir. Bu modülde "yeni varlık" ekranı, varlık kategorisi listesi veya varlık tipi listesi yoktur.
Bu ayrım, iki işi birbirinden ayrı tutan şeydir. Envanter "neyimiz var" sorusunu cevaplar; bu modül "ne değerinde" sorusunu cevaplar ve aynı varlık, envanter hiç değişmeden tekrar tekrar değerlenebilir.
Varlık başına yürürlükte tek değerlendirme
Bu, modülün merkezî kuralıdır.
Bir varlık aynı anda tam olarak bir yürürlükteki değerlendirme taşır. Dolayısıyla yeni değerlendirme seçicisi yalnızca yürürlükteki değerlendirmesi olmayan operasyonel varlıkları sunar ve yine denendiğinde nedenini açıklayan bir cümleyle reddedilir.
Nedeni akışın ilerisindedir. Bir bilgi güvenliği riski, bir varlığın sınıflandırmasını ve değerini yürürlükteki değerlendirmeden okur. Bir varlığın iki değerlendirmesi olsaydı, güvenlik modülünün hangisini okuyacağını söyleyecek hiçbir şey olmazdı — bu yüzden bu değişmez kural teamüle bırakılmaz, zorunlu tutulur.
Bir varlığın yeniden değerlendirilme yolu revizyondur. Revizyon sırasında zincir, hazırlanan turu yürürlükteki turun yanında kısa süre taşır ki bu beklenen durumdur — olmaması gereken, iki turun yürürlükte olmasıdır.
Yapı taşları
| Kavram | Amaç |
|---|---|
| Varlık grubu | Değerlendirmelerin açıldığı kayıt defteri. Kod şablonunun ve yetki matrisinin sahibi. Bkz. Varlık Grupları. |
| Varlık risk değerlendirmesi | Kayıt: varlık bağı, üç derecelendirme, ortaya çıkan değer ve bant, sınıflandırma etiketi. |
| Skorlama listeleri | Gizlilik, bütünlük, erişilebilirlik ve varlık değeri bantları. Bkz. Skorlama. |
| Sınıflandırma etiketi | Varlığın taşıdığı işleme etiketi — Herkese Açık'tan Kesinlikle Gizli'ye. Bkz. Sınıflandırma Etiketleri. |
Kayıt
- Kod — varlık grubunun kod şablonundan üretilir. Grubu içinde tekildir, sistem genelinde değil.
- Varlık grubu — bu değerlendirmenin ait olduğu kayıt defteri. Oluşturmada seçilir, sonrasında salt okunur.
- Varlık — değerlendirilen varlık. Yine yalnızca oluşturmada seçilir.
- Revizyon numarası — ilk değerlendirme için
0, her revizyonda artar. - Tarih — değerlendirmenin yapıldığı tarih.
- Sorumlular — kimin hesap verdiği. Onay adımı görevini buradan üretir.
- Gizlilik / bütünlük / erişilebilirlik — üç derecelendirme. Bkz. Skorlama.
- Varlık değeri skoru / bandı — hesaplanır ve saklanır, asla yazılmaz.
- Sınıflandırma etiketi — gizlilik derecesinden önerilir, sonra bir insan karar verir.
- Kişisel veri içerir / özel nitelikli kişisel veri içerir — iki veri koruma bayrağı.
- Notlar ve ekler — serbest metin ve destekleyici materyal.
Kod, sistem genelinde değil grubu içinde tekildir. Aynı şablon verilen iki grup da 1'den başlar; bir
yöneticinin yapacağı en doğal şey budur ve aksi hâlde ikinci grubun ilk kaydında hata verirdi. Bir okuyucunun
kodu gördüğü yerde grup onu niteler — görev başlıkları grup kodu - kayıt kodu şeklinde okunur.
Varlık bilgi paneli
Kayıt, varlığı envanterin şu anda tuttuğu hâliyle gösteren salt okunur bir panel taşır — kimliği, tipi ve durumu.
Bu panel canlı okunur, kopyalanmaz. Envanterdeki bir ad değişikliği burada hemen görünür; çalıştırılacak bir yenileme yoktur ve eskiyecek hiçbir şey yoktur. Paneli okumak varlık envanterini yönetme hakkını da gerektirmez: bir varlığı değerlendirmek, onu yönetmekle aynı izin değildir.
Bir varlığın hizmetten çıkması değerlendirmesini kapatmaz. Bağlı varlık artık aktif değilse kayıt defteri o satıra karşı bir uyarı hücresi gösterir ve başka hiçbir şey olmaz. Değerlendirmeyi devreden çıkarmak birinin aldığı bir karardır, yan etki değildir.
Varlıktan kopyalanan tek alan
Değerlendirmenin kendine ait bir adı yoktur; bu yüzden varlığın kodu ve adından etiketlenir ve bu etiket her kaydetmede yeniden üretilir. Bir liste satırının, bir görev başlığının ve bir Excel aktarımının gösterdiği şey odur.
Kayıt defterindeki varlık kolonları ve varlık bilgi paneli envanteri canlı okur, dolayısıyla hiç eskimez — etiket, tek bir metne ihtiyaç duyan yerler için bir kolaylıktır.
İyileştirme başka yerde açılır
Bir değerlendirmede önlem veya DİF paneli yoktur ve bu kasıtlıdır. Bir varlığın değeri varlığın kendi özelliğidir; hiçbir kontrol önlemi onu değiştirmez. Değerlendirme yapılması gereken bir şeyi ortaya çıkarıyorsa, bunun açılacağı yer, tedavi seçeneklerinin ve önlemlerin yaşadığı bilgi güvenliği riskidir.
Değerlendirme oluşturmak
- Varlık Riski → Varlık Değerlendirmeleri'ni açın. Birden fazla grupta çalışabiliyorsanız önce grubu seçin.
- Yeni'yi seçin. Kod alanı grubun şablonunu gösterir.
- Varlığı seçin. Yalnızca yürürlükteki değerlendirmesi olmayan operasyonel varlıklar sunulur.
- Değerlendirme sorumlusunu adlandırın — onay görevi bu kişiye gidecektir.
- Gizlilik, bütünlük ve erişilebilirliği derecelendirin. Değer ve bant siz ilerledikçe belirir.
- Önerilen sınıflandırma etiketini kabul edin veya değiştirin ve kişisel veri bayraklarını ayarlayın.
- Onaya gönderin. Ayrı bir kaydetme yoktur — bkz. Yaşam Döngüsü.
Oluşturma yapabildiğiniz tam olarak bir varlık grubu varsa, hızlı değerlendirme girişi grup seçicisini atlar ve alanı sizin için doldurur. Birkaç grubu okuyabildiğiniz ama yalnızca birinde yazabildiğiniz durumda giriş yolunda grup listesini yine görürsünüz — iki soru kasıtlı olarak ayrı sorulur.