Ders 4.45: Güvenlik rolleri ve RACI

Güvenlik ekipler arasındaki dikiş yerlerinde çöker: herkesin başkasının sahiplendiğini sandığı görev, iki kişinin kendisine ait sandığı karar. Bir RACI matrisi sahipliği açık hâle getirir: her etkinlik için kimin yapmaktan Sorumlu (Responsible), kimin Hesap verebilir (Accountable, tam olarak bir kişi), kime Danışılacağı (Consulted) ve kimin Bilgilendirileceği (Informed). CISO'nun kime bağlı olduğu da önemlidir: CIO'ya bağlı bir CISO, CIO'nun kendi sistemlerindeki sorunları yine CIO'ya iletmek zorundadır. Laboratuvarda Northwind'in RACI'sini boşluklar ve çakışmalar için denetliyor, raporlama hatlarına bakıyor ve düzeltmeleri yazıyorsun.

17 dk

Bu derste öğreneceklerin

R, A, C ve I'yı açıklamak
Hesap verebilir sahibi olmayan ya da birden çok olan etkinlikleri bulmak
Kimsenin yapmadığı etkinlikleri bulmak
Raporlama hatlarını bağımsızlık açısından değerlendirmek
Sahiplik düzeltmelerini yazmak

Temel terimler

RACI: Responsible (yapar), Accountable (hesap verir, tam bir kişi), Consulted (önce danışılır), Informed (sonra bilgilendirilir).
CISO: Bilgi güvenliği yöneticisi: güvenlik programını yönetir.
DPO: GDPR kapsamında, görevlerinde bağımsız veri koruma görevlisi (37-39. maddeler).
Üç hat modeli: IIA modeli: yönetim riskin sahibidir (1. hat), risk ve uyum işlevleri gözetir (2. hat), iç denetim bağımsız güvence verir (3. hat).
Görevler ayrılığı: Bir kişinin aynı işi hem yapıp hem onaylamasına (ya da denetlemesine) izin vermemek.

← Oltalama simülasyonlarını etik yürütmek · Tüm dersler · Yönetici kriz simülasyonu →