Bilindiði üzere Bilgi Güvenliði Yönetim Sistemi, bilgi ve bilgi varlýklarýnýn
    Gizliliði
    Tamlýðý (Bütünlüðü)
    Eriþebilirliði (Kullanýlabilirliði)
Üzerine inþa edilmiþ ve risk yaklaþýmýna dayanan bir yönetim sistemidir.

ISO/IEC 27002 kýlavuzunda ayrýntýlarý verilen ve “Ýþ Sürekliliði” olarak tasnif edilen “Bilgi”nin ve bilginin üzerinde durduðu “Bilgi Varlýklarý”nýn sürekliliði kontrol kriterleri A-14 baþlýðý altýnda iþlenmiþtir. »»

A-14 Kontrol Kriterleri

A.14,1 Ýþ sürekliliði yönetiminin bilgi güvenliði hususlarý
Amaç: Ýþ faaliyetlerindeki kesilmeleri önlemek ve önemli iþ proseslerini büyük bilgi sistemleri baþarýsýzlýklarýndan ya da felaketlerden korumak ve bunlarýn zamanýnda devam etmesini saðlamak.

A.14.1.1 Bilgi güvenliðini iþ sürekliliði yönetim prosesine dahil etme
Kuruluþ genelinde iþ sürekliliði için, bu amaçla ihtiyaç duyulan bilgi güvenliði gereksinimlerini ifade eden bir yönetilen proses geliþtirilmeli ve sürdürülmelidir.

A.14.1.2 Ýþ sürekliliði ve risk deðerlendirme
Ýþ proseslerinde kesintilere yol açan olaylar, bu tür kesintilerin olasýlýðý ve etkisi ve bunlarýn bilgi güvenliði için sonuçlarý ile birlikte tanýmlanmalýdýr.

A.14.1.3 Bilgi güvenliðini içeren süreklilik planlarýný geliþtirme ve gerçekleþtirme
Önemli iþ proseslerinde yaþanan kesintileri ya da baþarýsýzlýklarý takiben iþ operasyonlarýný sürdürmek ya da onarmak ve bilginin gerekli seviyede ve gerekli zaman ölçeklerinde kullanýlabilirliðini saðlamak için planlar geliþtirilmeli ve gerçekleþtirilmelidir.

A.14.1.4 Ýþ sürekliliði planlama çerçevesi
Tüm planlarýn tutarlý olmasýný saðlamak, tutarlý þekilde bilgi güvenliði gereksinimlerini ifade etmek ve test ve bakým önceliklerini tanýmlamak için tek bir iþ sürekliliði planlarý çerçevesi oluþturulmalýdýr.

A.14.1.5 Ýþ sürekliliði planlarýný test etme, sürdürme ve yeniden deðerlendirme
Ýþ sürekliliði planlarý, güncel ve etkili olmalarýný saðlamak için, düzenli olarak test edilmeli ve güncelleþtirilmelidir.


Ýþ sürekliliði Yönetimi yalnýzca ISO/IEC 27000 yönetim sistemi serisi için deðil ayný zamanda ISO 20000 BT Servis Yönetimi Sistemi serisi için de kritik önemi olan bir yönetim sistemidir.

Son dönemde önemi ortaya çýkan BS 25999 Ýþ Sürekliliði Standardý özellikle ticari kurumlarýn iþ sürekliliði yapýlarýnýn yönetimi, tasarlanmasý, planlanmasý, uygulanmasý ve geliþtirilmesine yönelik bir çerçeve sunmaktadýr.

Ancak uygulamada veya sistemin kurulmasý sürecinde neler yapýlacaðý konusunda danýþmanlarýn, kuruluþlarýn yardýmcýsý olabilecek kaynaklara eriþim hem sýnýrlý hem kýsýtlýdýr.

Denetimler esnasýnda kuruluþlarýn en az üzerinde durduðu veya geliþtirebildiði konu “Ýþ Sürekliliði” konusudur.

Amacýmýz bu yazýda BT esaslý “Ýþ Sürekliliði” için bir çerçeve ortaya koyabilmektir. Geliþtirmek, derinleþtirmek ise hepimizin sorumluluðundadýr.

BT esaslý Ýþ Sürekliliði Yönetimi;
• Masaüstü ve taþýnýr sistemler
• Sunucular (donaným)
• Sunucular (yazýlým)
• Web servisleri / siteleri
• LAN / WAN
• Daðýtýk sistemler
• Mainframe yapýlar

üzerine inþa edilir. Her bir bileþenin enerji beklentileri, çalýþan / müþteri odaklý personel gereksinimleri, fiziksel alanlar (elektrik kablolarý, data kablolarý, telefon kablolarý, odalar, kapýlar vs.), çevre faktörleri (çalýþma ortamlarý, toz, nem, ýsý vs) Ýþ Sürekliliði Yönetimi sistemlerinde içkindir (Sistemlerin alt bileþenleri içinde spesifikasyonlarý ile vardýrlar).

BT Ýþ Sürekliliði Süreci aþaðýda belirtilen yedi adýmda kurulabilir. Her bir adým için ayrý tasarým, geliþtirme ve prosedürler yazýlabilir.

1. Ýþ Sürekliliði Planý için politika ifadeleri geliþtirmek. Tüm bölümler için tanýmlanmýþ, iþ sürekliliði faaliyetlerinin etkinliðini, denetimlerini geliþtirecek politikalar, kýlavuzlar.
2. Ýþ Etki Analizi (Business Impact Analysis-BIA) yapmak. BIA BT sistemleri ve bileþenleri için öncelikleri tanýmlar. Ýþ sürekliliðinin geliþimi için kullanýcýlara yardýmcý olacak þablonlar hazýrlamak.
3. Önleyici kontrolleri belirlemek, tanýmlamak. Ýþ sürekliliði maliyetlerini düþürmek, sistemlerin ulaþýlabilirliðini artýrmak ve kesintilerini azaltmak için kontroller seçmek ve bu kontroller için ölçekler belirlemek.
4. Kurtarma stratejileri Geliþtirmek. Bozulan, kesilen sistemleri hýzlý ve etkin bir þekilde geri almayý saðlayacak tam, eksiksiz kurtarma stratejileri belirlemek.
5. BT Ýþ Sürekliliði Planý geliþtirmek. Ýþ Sürekliliði Planý sistemlerin hasara uðramasý halinde yapýlacak iþlere dair kýlavuzlar ve geri yükleme faaliyetlerini içerir.
6. Planlarýn test edilmesi, eðitimler ve tatbikatlar. Planlarýn açýklýklarý, eksikliklerinin yönetilebilmesi için kurtarma personeline yönelik etkinlikler, hazýrlýklý olmak için uygulamalar.
7. Planlarýn gözden geçirilmesi. Planlama dokümanlarý sürekli güncellenmeli, geliþtirilmelidir. Sistemlerin sürdürülebilirliðinin etkinliði artýrýlmalýdýr.

BT Ýþ Sürekliliði planlamasý, BT sistemlerinin maruz kalacaðý kesintileri en aza indirgemek amacý ile kesintilere yönelik operasyonlara, çözüm planlarýna, prosedürlere, teknik ölçümlere dayanýr.

Planlama, BT servislerinin durmasý halinde genellikle aþaðýdaki yaklaþýmlara dayanan iþlemleri içerir:
• BT iþlemleri için geri yüklemeler ve alternatif yerler
• Kurtarma için BT operasyonlarý için alternatif ekipmanlar
• BT dýþý tüm iþ süreçlerinin performanslarý

Ýþ Sürekliliði Planlamasý için görev, rol ve sorumluluklar ise kýsaca aþaðýdaki gibi tanýmlanabilir:
• Yöneticiler. Ýþ sürekliliði planýnda yer alan tüm birimlerin sorumlularý ile birlikte iþ sürekliliði planlarýndan sorumlu olan yöneticiler
• Sistem yöneticileri. BT operasyonlarýna yönelik günlük iþlemleri sürdüren yöneticiler.
• Bilgi Güvenliði Sistem uygulayýcýlarý ve geliþtirme, uygulama, bakým ve organizasyon bilgi teknolojileri faaliyetlerini sürdüren personel.
• Bilgi sistemlerini tasarlayan, geliþtiren, uygulayan ve düzenleyen sistem mühendisleri ve mimarlarý.
• Masaüstü ve taþýnýr bilgisayarlarýn kullanýcýlarý.
• Bilgi sistemlerini tasarlayan, geliþtiren, uygulayan, bakan ve kullanan diðer personel.

Ýþ Sürekliliði ile Ýliþkili Diðer Planlar ise aþaðýdadýr:

Zühtü Kayalý
Haziran 2010