Skorlama Listesi Tanımları
Bilgi güvenliği skorlamasını beş liste besler — bir olasılık, üç etki boyutu ve risk değeri bantları. Her biri kendi izinlerine ve kendi numara şablonuna sahip ayrı bir ekrandır.
| Ekran | Token | Tuttuğu |
|---|---|---|
| Olasılık | [P] | Tehdidin ne sıklıkla harekete geçmesinin beklendiği |
| Etki — gizlilik | [IC] | İfşanın maliyeti |
| Etki — bütünlük | [II] | Bozulmanın maliyeti |
| Etki — erişilebilirlik | [IA] | Kesintinin maliyeti |
| Risk değeri | — | Nihai skorun düştüğü bantlar |
Neden tek yerine üç etki listesi
ISO 27001 gizlilik, bütünlük ve erişilebilirliği bağımsız skorlar ve bir organizasyon her birinde aynı
sayının karşısına farklı sözcükler yazar. Gizlilikte 4, bilginin organizasyondan çıktığı anlamına gelir;
erişilebilirlikte 4, bir günden uzun bir kesinti anlamına gelir. İkisini de taşıyan tek bir liste, ikisini
kapsayacak kadar belirsiz bir dille anlatılmak zorunda kalırdı — ki bir skalayı kullanılamaz kılan tam olarak
budur.
Dört skorlanan liste
Olasılık ve üç etki boyutu tek bir şekli paylaşır:
- Kod — boş bırakıldığında o listenin kendi numara şablonundan üretilir.
- Ad — seviyenin okunduğu hâli.
- Değer — formüllerin okuduğu ağırlık. Önemli olan alan budur.
- Açıklama — seviyenin pratikte ne anlama geldiği, ideal olarak gözlemlenebilir bir ölçüt olarak.
- Aktif — pasif seviyeler skorlamada artık sunulmaz.
Tek bir liste içinde iki seviye aynı değeri taşıyamaz. Olasılıktaki bir 3 ile etki-bütünlükteki bir 3
ilişkisizdir ve çakışmaz.
Dördünün de gelen seviye metinleri için bkz. Skorlama.
Her etki skalasını, o niteliğin gerçekten yargılandığı birimlerde yazın — öğrenen kişi sayısı, düzeltme çabası, kesinti saati. Gelen skalalar bunu yapar ve iki değerlendiricinin aynı senaryoyu iki seviye farkla skorlamasını engelleyen şey budur.
Risk değeri bant listesi
Bant listesi, skorlanmış bir riskin nihayetinde raporlandığı seviyeleri tanımlar ve satırları farklı alanlar taşır:
- Kod / Ad —
Düşük,Orta,Yüksek,Kritik. - Bant numarası — risk değeri formülünün buraya düşmek için döndürmesi gereken sayı.
- Renk — bandın kayıt defterinde ve kayıtta nasıl çizildiği.
- Kabul edilebilir — artık risk risk iştahı içindedir.
- Önlem gerektirir — risk ilerleyebilmeden önce bir önlem açılmalıdır.
- Kabul onayı gerektirir — artık risk bir gerekçeyle resmen kabul edilmelidir.
- Açıklama — geleneksel olarak bu bandın kapsadığı skor aralığı.
- Aktif — pasif bantlar sunulmaz.
Üç bayrak etiket değil, davranıştır
| Bayrak | Yaptığı |
|---|---|
| Kabul edilebilir | Raporlama: bandı risk iştahı içinde işaretler. |
| Önlem gerektirir | Riskin ilerleyebilmeden önce önlem beklemesini sağlar. |
| Kabul onayı gerektirir | Riski, bir denetçinin istediği gerekçenin kaydedildiği kabul onayı adımına yönlendirir. |
Gelen bantlarda Yüksek ve Kritik son ikisini de taşır.
Denetim kanıtınızı üreten bayrak, kabul onayı gerektirir bayrağıdır. İştahın üzerinde olup daha fazla işlenmek yerine onaylanan bir artık risk, belirtilmiş bir gerekçe gerektirir ve o alanın var olduğu tek yer kabul onayı adımıdır.
Yüksek ve Kritik bantlarınız bayrağı taşımıyorsa, o riskler kayıtlı hiçbir kabul olmadan doğrudan yürürlüğe girer — ki bir ISO 27001 denetiminin aradığı boşluk tam olarak budur.
Bayraklar, kayıt skorlandığında kaydın üzerine kopyalanır; hareket anındaki banttan okunmaz. Bir bant tanımını sonradan düzenlemek, çoktan kapanmış bir kaydı yeniden yönlendiremez.
Bant numarası tek bağlantıdır
Risk değeri formülü bir sayı döndürür ve geçerli bant, bant numarası ona eşit olandır.
- İki bant aynı bant numarasını bildiremez.
- Aktif formülün döndürebileceği her sayının bir bandı olmalıdır, aksi hâlde oraya düşen bir riski skorlamak seviyesiz kaydetmek yerine bir mesajla başarısız olur.
Beş liste, beş izin kümesi
Her ekran ayrı yetkilendirilir ve ayrım kasıtlıdır: olasılık listesini düzenleme izni, bant tanımlarını düzenleme iznini gerektirmez.
Bir boyut seviyesi tek bir sayının ne anlama geldiğine karar verir. Bantlar tüm kayıt defterinin ne raporlayacağına ve bir riskin resmî kabul gerektirip gerektirmediğine karar verir — ki bu farklı türde bir yetkidir.
Excel'e aktarma ve içe alma
Her listenin kendi içe alma şablonu vardır; listenin adını taşır ve yalnızca o listenin kolonlarını içerir — bant şablonunda bayraklar ve renk, skorlanan şablonlarda değer bulunur. Başka bir listeyi adlandıran satır reddedilir, dosyanın kalanı yine yüklenir.
Kod kolonunu boş bırakın; kod o listenin kendi numara şablonundan üretilir — beş sayacı ve öneki ayrı tutan şey de budur.
Herhangi bir satır açık bir risk tarafından adlandırılıyorsa toplu silme tüm seçimi reddeder.
Canlı bir skalayı değiştirmek
Seviye eklemek güvenlidir. Mevcut bir seviyenin değerini ya da bir bandın sınırlarını veya bayraklarını değiştirmek hiçbir şeyi yeniden skorlamaz — her skor, bant ve bayrak kaydedildiği hâliyle kaydın üzerinde saklanır.
Bir skala değişikliğini mevcut risklere uygulamak, risk başına bir revizyon açmak demektir.
İlk risk açılmadan önce beş listeyi ve üç formül katmanını da netleştirin. Bu modülün iki değil üç katmanı var, dolayısıyla tutarlı hâle getirilecek daha fazla şey var — ve geç bir değişikliğin maliyeti, kayıt defterindeki risk başına bir revizyondur.