Ders 2.77: Güvenlik istisnaları ve risk kabulü
Hiçbir kurum her denetimi her yerde uygulamaz. Bir üretici cihazı MFA yapamaz, bir ERP yalnızca üç ayda bir yamalanabilir, eski donanım şifreleyemez. Dürüst yanıt bir güvenlik istisnasıdır: bir denetimin tek bir sisteme uygulanmadığına dair yazılı, onaylı, süreli bir anlaşma; telafi edici denetimler ve adı belli bir risk sahibiyle. ISO/IEC 27001, risk sahiplerinin artık riski onaylamasını gerektirir (madde 6.1.3). Bitiş tarihi olmayan istisnalar kalıcı deliklere dönüşür. Laboratuvarda Northwind'in istisna kaydını inceliyorsun: süresi dolmuş, onaysız ve fazla uzun istisnalar, telafisi olmayanlar ve bir yenileme.
15 dk
Bu derste öğreneceklerin
- Bir güvenlik istisnasının ne olduğunu açıklamak
- Süresi dolmuş ve yakında dolacak istisnaları bulmak
- Onayları ve telafi edici denetimleri denetlemek
- Azami bir istisna süresini uygulamak
- Bir istisnayı koşullarla yenilemek
Temel terimler
- Güvenlik istisnası
- Bir denetimin belirli bir sisteme ya da duruma uygulanmadığına dair onaylı, süreli anlaşma.
- Telafi edici denetim
- Gerekli denetim uygulanamadığında riski azaltan alternatif önlem.
- Risk kabulü
- Risk sahibinin artık bir riskle yaşamaya dair belgelenmiş kararı.
- Bitiş tarihi
- İstisnanın bittiği ve kapatılması ya da yenilenmesi gereken zaman.
- İstisna kaydı
- Tüm onaylı istisnaların sahip, gerekçe, telafi ve bitiş tarihiyle listesi.
← Siber öldürme zinciri: adım adım bir saldırı · Tüm dersler · Bir SOC 2 denetimine hazırlanmak →