BİG Rehberi kapsamında tedarikçi güvenliğini nasıl yönetirsiniz?
Bilgi ve İletişim Güvenliği Rehberi’ne uyum çalışmalarında tedarikçiler ve hizmet sağlayıcılar çoğu zaman en zor kontrol alanıdır. Kritik tedarikçilerinizi belirliyor, gereklilikleri sözleşmeye ve denetime taşıyoruz.
Bilgi ve İletişim Güvenliği Rehberi (BİG Rehberi), kamu kurumları ve kritik altyapı işletmecileri için bilgi güvenliği tedbirlerini tanımlar. Tedbirlerin önemli bir kısmı yalnızca kurumun kendi sistemlerini değil, bu sistemlere erişen veya hizmet sağlayan tedarikçileri de kapsar. Bu nedenle uyum, tedarikçilerin kritikliğe göre sınıflandırılmasını, gerekliliklerin sözleşmelere yansıtılmasını ve kritik tedarikçilerin kanıtla denetlenmesini gerektirir.
Uyum çalışmalarında tedarikçi alanı neden zorlayıcıdır?
Kurumların altyapı, yazılım geliştirme, bakım-destek, bulut ve çağrı merkezi gibi hizmetleri dışarıdan alması yaygındır. Bu tedarikçiler kurum sistemlerine erişim yetkisine ve veriye sahip olabilir. Rehber tedbirleri kurum içinde uygulansa bile, tedarikçi tarafındaki zayıf bir kontrol aynı riski yeniden doğurur.
Uygulamada en sık görülen eksikler; tedarikçi envanterinin olmaması, sözleşmelerde güvenlik ve denetim hükümlerinin bulunmaması, uzaktan erişimlerin yeterince izlenmemesi ve tedarikçi değerlendirmelerinin yalnızca beyana dayanmasıdır.
BİG Rehberi uyumunda tedarikçi güvenliği adımları
Envanter
Hizmet alınan tüm tedarikçiler ve eriştikleri varlıklar listelenir.
Kritiklik
Tedarikçiler eriştikleri varlık grubuna ve etkiye göre sınıflandırılır.
Gereklilikler
Rehber tedbirleri tedarikçi bazında sözleşme ve teknik şartlara dönüştürülür.
Denetim
Kritik tedarikçiler online ve yerinde denetimle doğrulanır.
İzleme
Bulgular, erişimler ve sözleşme gereklilikleri periyodik olarak izlenir.
Tedarikçilerde öncelikle bakılması gereken kontroller
Uzaktan erişim
Tedarikçi erişimlerinin kişiye özel, çok faktörlü ve kayıt altında olması.
Sözleşme hükümleri
Gizlilik, güvenlik gereklilikleri, olay bildirimi ve denetim hakkı.
Veri ve yerleşim
Verinin nerede işlendiği ve saklandığı, iade ve imha koşulları.
Yazılım güvenliği
Tedarik edilen yazılımlarda güvenli geliştirme ve güncelleme süreçleri.
Alt yükleniciler
Tedarikçinin kullandığı dördüncü tarafların görünürlüğü.
Kanıt ve kayıt
Denetimde sunulabilecek kayıtların ve kanıtların düzenli tutulması.
Rehberin yönetimindeki değişiklikleri takip edin.
Rehberin uygulanmasına ilişkin yetki ve süreçlerde son dönemde kurumsal değişiklikler yaşandı. Güncel durumu ayrı bir yazıda ele aldık; uyum planınızı yaparken yürürlükteki düzenlemeleri ve yetkili kurumun duyurularını esas almanızı öneririz.
Secure Fors ekibi BİG Rehberi başdenetçi yetkinliğine sahiptir; uyum çalışmalarında tedarikçi alanını ISO/IEC 27001 ve ISO/IEC 27036 ile birlikte ele alır.
BİG Rehberi ve tedarikçiler hakkında sık sorulanlar
BİG Rehberi tedarikçileri de kapsar mı?
Rehber kurumun bilgi varlıklarını korumayı hedefler; bu varlıklara erişen veya hizmet sağlayan tedarikçiler de bu korumanın parçasıdır. Bu nedenle tedarikçi ilişkilerinin güvenliği uyum çalışmalarının ayrılmaz bir alanıdır.
Tedarikçilerin BİG Rehberi’ne uyumu nasıl doğrulanır?
Kritikliğe göre hazırlanmış soru setleri, kanıt talepleri ve kritik tedarikçilerde online ve yerinde denetimle doğrulanır. Yalnızca beyana dayanan değerlendirme yeterli kabul edilmemelidir.
Hangi tedarikçilerden başlanmalı?
Kurum sistemlerine uzaktan erişen, kritik verileri işleyen veya kritik hizmetin sürekliliğini doğrudan etkileyen tedarikçilerden başlanmalıdır.
Secure Fors bu süreçte nasıl destek olur?
Tedarikçi envanteri ve kritiklik sınıflandırması, sözleşme gerekliliklerinin belirlenmesi, tedarikçi denetimi ve bulgu takibi adımlarında destek sağlar.
Bu sayfa genel bilgilendirme amaçlıdır; kurumunuza özgü yükümlülükler için yürürlükteki mevzuat ve yetkili kurum duyuruları esas alınmalıdır.
BİG Rehberi uyumunda tedarikçi alanını birlikte ele alalım.
Kritik tedarikçilerinizi ve öncelikli kontrolleri kısa bir ön görüşmede belirleyelim.