BİG Rehberi Nedir, Hangi Kurumları Kapsar?

Bilgi ve İletişim Güvenliği Rehberi, kamu kurumları ve kritik altyapı işletmelerinde bilgi güvenliğinin sağlanması için uygulanacak tedbirleri belirleyen bir referans dokümandır. Kısaca BİG Rehberi olarak anılan bu çalışma; kurumların güvenlik risklerini azaltmasını, kritik verilerini korumasını ve güvenlik uygulamalarını düzenli olarak değerlendirmesini amaçlar.

Dijitalleşme, kurumların hizmet sunumunu kolaylaştırırken korunması gereken bilgi ve sistemlerin sayısını da artırıyor. Kurumsal verilerin güvenliği için teknik önlemlerin yanında çalışanların sorumluluklarının, iş süreçlerinin ve kontrol mekanizmalarının da tanımlanması gerekiyor. BİG Rehberi, bu çalışmalara ortak bir çerçeve sunuyor.

BİG Rehberi Nedir?

BİG Rehberi’nin açılımı Bilgi ve İletişim Güvenliği Rehberidir. Rehber, 6 Temmuz 2019 tarihli ve 2019/12 sayılı “Bilgi ve İletişim Güvenliği Tedbirleri” konulu Cumhurbaşkanlığı Genelgesi doğrultusunda hazırlanmıştır.

Temel amacı, bilgi güvenliği risklerini azaltmak ve özellikle güvenliğinin bozulması millî güvenliği veya kamu düzenini etkileyebilecek kritik verilerin korunmasını sağlamaktır. Bu amaçla farklı güvenlik seviyelerinde uygulanabilecek tedbirler içerir.

BİG Rehberi Hangi Kurumları Kapsar?

Siber Güvenlik Başkanlığının açıklamasına göre kapsamda, bilgi işlem birimi bulunan veya bilgi işlem hizmetlerini sözleşmeyle dışarıdan alan kamu kurumları ile kritik altyapı işletmeleri yer alır.

Millî güvenliğin sağlanması ve gizliliğin korunması kapsamında yürütülen görev ve faaliyetler için açıklamada istisna belirtilmiştir. Kapsamdaki kurum ve işletmelerin rehbere uyum çalışmalarını ve ilgili denetim faaliyetlerini yürütmesi gerekir.

Özel sektör açısından belirleyici nokta, işletmenin kritik altyapı niteliğinde hizmet verip vermediğidir. Bu nedenle bütün şirketlerin aynı yükümlülüklere tabi olduğu yönünde bir genelleme yapılmamalıdır.

Rehberde Hangi Güvenlik Konuları Yer Alır?

BİG Rehberi, yalnızca bilgisayarların veya ağların korunmasına odaklanmaz. Personel güvenliği, uygulamalar, veriler ve kullanılan teknolojiler de değerlendirme alanları arasındadır.

Rehberde ele alınan konulara şu başlıklar örnek verilebilir:

• Ağ ve sistem güvenliği

• Uygulama ve veri güvenliği

• Personel güvenliği

• Kişisel verilerin güvenliği

• Bulut bilişim güvenliği

• İşletim sistemi ve veri tabanı güvenlik ayarları

Uygulanacak tedbirler belirlenirken kurumun varlıkları, kullandığı teknolojiler ve varlık gruplarının kritiklik dereceleri dikkate alınır.

BİG Rehberi’ne Uyum Süreci Nasıl İlerler?

Uyum çalışmasının başlangıcında kurumun hangi bilgi varlıklarına sahip olduğunun belirlenmesi gerekir. Ardından bu varlıklar gruplandırılır ve kritiklikleri değerlendirilir.

Süreç genel olarak şu adımlarla ilerler:

1. Varlıkları belirleme: Kurumdaki ilgili sistem, uygulama ve bilgi varlıklarının envanteri oluşturulur.

2. Kritiklik değerlendirmesi: Varlık gruplarının güvenlik açısından önem düzeyi belirlenir.

3. Tedbirleri seçme: İlgili varlık grubuna uygulanması gereken güvenlik tedbirleri tespit edilir.

4. Mevcut durumu inceleme: Tedbirlerin ne ölçüde uygulandığı değerlendirilir.

5. Eksiklikleri belirleme: Uygulanmayan veya kısmen uygulanan tedbirler için yapılacak çalışmalar planlanır.

Bu değerlendirme yalnızca doküman incelemesiyle sınırlı değildir; teknik çalışmalar, toplantılar ve araçlarla yapılan kontroller de kullanılabilir.

BİG Rehberi ile Denetim Rehberi Arasındaki Fark Nedir?

Bilgi ve İletişim Güvenliği Rehberi, uygulanacak güvenlik tedbirlerini ve uyum yaklaşımını ele alır. Bilgi ve İletişim Güvenliği Denetim Rehberi ise denetim çalışmalarının yürütülmesine ilişkin yol gösterir.

Dolayısıyla uyum çalışması ile denetim, birbirini tamamlayan iki süreçtir. Kurumun tedbirleri uygulaması kadar, bu uygulamaların değerlendirilmesi de önem taşır.

İnsan Kaynakları Açısından Neden Önemlidir?

Rehberde personel güvenliğinin de yer alması, bilgi güvenliğinin çalışanlarla ilgili süreçlerle birlikte ele alınması gerektiğini gösterir.

Kurum içi uygulamalarda İK ile bilgi işlem ekiplerinin koordinasyonu için şu sorular başlangıç noktası olabilir:

• Yeni çalışanın ihtiyaç duyduğu erişimler nasıl belirleniyor?

• Görev değişikliği ilgili ekiplere nasıl bildiriliyor?

• İşten ayrılışta hesap ve erişimlerin kapatılması nasıl takip ediliyor?

• Çalışanlara güvenlik sorumlulukları nasıl aktarılıyor?

Bu sorular, rehberin tüm gerekliliklerini karşılayan bir kontrol listesi değil; kurumların kendi süreçlerini değerlendirmesi için örnek çalışma başlıklarıdır.

Güncel BİG Rehberi Nereden İndirilir?

Bilgi ve İletişim Güvenliği Rehberi’ne, Denetim Rehberi’ne, ilgili form ve şablonlara Siber Güvenlik Başkanlığının resmî internet sitesindekiFaydalı Dokümanlarbölümünden ulaşılabilir.

Aynı bölümde sıkça sorulan sorular ve ISO/IEC 27001 kontrolleriyle rehber arasındaki eşleştirme tablosu da bulunur. Uyum çalışmasına başlamadan önce güncel dokümanların ve kuruma ilişkin kapsam açıklamalarının incelenmesi önemlidir.