Son on yılda, her büyüklükteki işletme bulut teknolojisine önemli yatırımlar yaptı. Güncel kalarak rekabet avantajı elde etmek isteseler de, yeni teknoloji benimsemeleri kaçınılmaz olarak bilgisayar korsanlığı ve veri ihlalleri gibi yeni tehlikeleri de beraberinde getiriyor. Bu tür olayların herhangi bir firma üzerinde olumsuz bir etkisi olabileceğinden, teknoloji risk yönetimi ve BT denetimlerinin değerinin tanınması giderek daha kritik hale geldi.
BT denetimi, bir BT denetçisinin işlevi ve firmanızı bilgi güvenliği ihlallerinden nasıl koruyabilecekleri hakkında bilinmesi gereken her şeyi öğrenin.
BT denetimi nedir?
Bilgi teknolojisi denetimi olarak da bilinen bir BT denetimi, bilgi teknolojisi sistemlerinin, altyapılarının, politikalarının ve faaliyetlerinin araştırılması ve gözden geçirilmesidir. BT denetimleri, bir şirketin mevcut BT kontrollerinin kurumsal varlıkları koruduğunu, veri bütünlüğünü koruduğunu ve kuruluşun ticari ve finansal kontrolleriyle uyumlu olup olmadığını doğrulamasını sağlar.
Çoğu kişi, bir kuruluşun mali durumunu analiz eden mali denetimlerin farkında olsa da BT denetimleri, bulut teknolojisi ilerledikçe daha da önem kazanan nispeten yeni bir olgudur. Bir BT denetimi, yürürlükteki güvenlik ilkelerini ve süreçlerini ve ayrıca genel BT yönetişimini kontrol eder.
Tarafsız bir gözlemci olarak bir BT denetçisi, bu önlemlerin doğru ve etkili bir şekilde uygulanmasını sağlayarak, firmayı veri ihlallerine ve diğer güvenlik endişelerine karşı daha az savunmasız hale getirir. Uygun güvenlik ve uyum sağlanmış olsa bile, incelenen kuruluşun sağlığını ve itibarını tehdit eden beklenmedik bir olay olması durumunda bir eylem planı mevcut olmalıdır.
Ardından, bir BT denetçisinin konumu, becerileri, görevleri ve sertifikaları hakkında daha fazla bilgi edinin.
BT Denetçisi Rolü
Bir BT denetçisi, teknoloji tabanlı bir firma içindeki tüm BT denetim inceleme prosedürlerini oluşturur, uygular, test eder ve değerlendirir. Bu denetim yöntemleri, bir kuruluşun teknolojik altyapısının parçası olan ağları, yazılım uygulamalarını, iletişim ve güvenlik sistemlerini ve diğer sistemleri kapsayabilir.
BT denetçileri, BT ile ilgili denetim projeleri yürüterek ve yerleşik BT denetim standartlarına bağlı kalarak bir işletmeyi ve onun hassas verilerini harici ve dahili güvenlik tehditlerinden korumada kritik bir rol oynar. Ne de olsa, küçük teknik hataların bile tüm işletme için geniş kapsamlı sonuçları olabilir.
BT Denetçisinin Sorumlulukları
Artık BT denetçilerinin teknolojiye güvenen bir şirkette neden bu kadar önemli bir rol oynadığını anlıyorsunuz. Ancak pratikte asıl sorumlulukları nelerdir? En gerekli olanlar burada listelenmiştir.
- Tetkik testi planlarının planlanması ve geliştirilmesi
- Denetim kapsamını ve hedeflerini tanımlama
- Denetim faaliyetlerinin yürütülmesi ve koordinasyonu
- Şirketin denetim gereksinimlerinin gözetilmesi
- Kapsamlı denetim raporları oluşturma
- Denetim gereksinimlerini karşılamak için en iyi stratejileri bulmak
- BT denetim belgelerinin güncellenmesi ve sürdürülmesi
- Denetim sonuçlarının ve tavsiyelerin yaygınlaştırılması
- Daha önceki tavsiyelerin takip edildiğinden emin olmak
BT Denetim Becerileri
Bir BT denetçisinin istihdamı için gereken beceriler, faaliyet gösterdikleri sektöre göre değişebilir. Bununla birlikte, çoğu firma bir BT denetçisi tutarken belirli bir dizi beceri arar. Bu beceriler arasında:
- Resmi nitelikler: Her zaman gerekli olmasa da, resmi nitelikler BT denetçilerine işlerine metodik bir yaklaşım benimsemelerinde yardımcı olabilir.
- Veri güvenliği ve BT denetiminde önceki iş deneyimi genellikle avantajlıdır.
- Temel iş süreçlerini anlamak: Bu, BT sistemlerini işletmeye kattıkları değere bağlamada BT denetçisine yardımcı olur.
- Kritik BT süreçlerini anlamak, BT denetçisinin BT risklerini öncelik sırasına koymasını sağlar.
- BT denetçileri, veri analizi ve görselleştirme araçlarını kullanabilmeli ve güçlü analitik ve mantıksal muhakeme becerilerine sahip olmalıdır.
- Teknik olmayan yönetim ekipleriyle karmaşık güvenlik sorunlarını tartışırken güçlü iletişim becerileri gerekir.
BT Denetim Maaşı
Yeni bulut teknolojilerinin gelişmesiyle birlikte, bilgi teknolojisi denetçisinin pozisyonunun büyük talep görmesi şaşırtıcı değil. Ne de olsa, her büyüklükteki ve sektördeki işletme yeni teknolojik gelişmeleri benimsiyor. Peki, bir BT denetçisi ne kadar kazanıyor?
Bir BT denetçisinin maaşı, deneyime, niteliklere ve konuma bağlı olarak başlangıç düzeyinde 44 bin ABD Doları ile BT denetçisi direktörleri veya yöneticileri için 143 bin ABD Doları arasında değişebilir. Bu, Amerika Birleşik Devletleri'ndeki bir BT denetçisinin ortalama yıllık maaşının şu anda 93 bin dolar veya saat başına 45 dolar olduğunu gösteriyor.
BT Denetim Belgelendirmesi
BT denetçileri, işle ilgili sertifikalar alarak istihdam edilme ve iyi ücret alma şanslarını artırabilir. En yaygın iki tanesi aşağıda listelenmiştir.
- Sertifikalı Bilgi Sistemleri Denetçisi (CISA): Bilgi güvenliği uzmanlarına ve bilgi teknolojisi denetçilerine yöneliktir. BT denetçilerinin bu sertifikayı alabilmeleri için BT denetimi alanında en az beş yıllık mesleki deneyime sahip olmaları gerekir.
- Sertifikalı Bilgi Güvenliği Yöneticisi (CISM): Bu kimlik bilgisi, bilgi güvenliği yöneticilerine yöneliktir ve bilgi güvenliği programlarının geliştirilmesine ve sürdürülmesine odaklanır. Bireylerin bu sertifikayı alabilmeleri için en az beş yıllık IS deneyimine ve üç yıllık güvenlik yöneticisi olarak çalışmasına sahip olmaları gerekir.
BT Denetim Hedefleri
Bir denetçi, BT denetiminin hazırlık aşamasında denetim hedeflerini belirlemeli ve bunların genel şirket hedefleriyle örtüştüğünden emin olmalıdır. Tipik olarak, ana amaçlar aşağıdakilerden biridir:
- Firma verilerini korumak için tasarlanmış sistem ve süreçlerin değerlendirilmesi.
- Bilgi varlıklarına yönelik olası tehditlerin belirlenmesi ve azaltma stratejilerinin geliştirilmesi.
- Bilgilerin güvenilirliğini ve bütünlüğünü doğrulamak.
- Bilgi yönetiminin veri koruma yasalarına, politikalarına ve standartlarına uygunluğunu kontrol etmek.
- BT sistemlerinde veya yönetiminde verimsizlik yaratmak.
BT Denetim Türleri
Tahmin edebileceğiniz gibi, bir kurum içindeki veya dışındaki farklı makamlar veya kuruluşlar, çeşitli türlerde BT denetimleri başlatabilir. Sonraki bölümlerde en sık görülen türler ele alınacaktır.
1 numara. Teknolojik yenilik süreç denetimi
Bir kuruluşun belirli teknolojilerle ilgili deneyiminin süresi ve derinliği, bireysel bir risk profili oluşturmak için bu denetimde analiz edilir. Bu, yeni veya mevcut teknoloji projelerine uygulanabilir. Ayrıca şirketin ilgili pazarlardaki varlığını da dikkate alır.
2 numara. Yenilikçi karşılaştırma denetimi
Bu BT denetimi, bir kuruluşun yenilikçi yeteneklerini en büyük rakiplerininkilerle karşılaştırır. Denetçiler, şirketin yeni ürünler geliştirme konusundaki performansını ve geliştirme ve araştırma tesislerini inceler.
#3. Teknolojik konum denetimi
Bu denetim, yalnızca kuruluşun şu anda kullandığı teknolojiyi ve daha geniş iş hedefine sağladıkları değeri inceler. Bu, yeni teknolojilerin gerekli olup olmadığına karar vermede yardımcı olur. İkincisi tipik olarak temel, anahtar, ilerleme hızı ve ortaya çıkan gibi terminoloji kullanılarak sınıflandırılır.
#4. Uygulamalar ve sistemler
Bu denetim, tüm sistemlerin ve uygulamaların verimli çalışmasını, güvenilir olmasını ve uygun şekilde kontrol edilmesini sağlamak için başlatılır. Mali denetçilere yardımcı olan sistem ve süreç güvence denetimleri de vardır. Bir yazılım denetimi için kullanılan tüm uygulamaları basitçe ifşa edebilen SaaS yönetim disiplini, bulut ağırlıklı altyapılara fayda sağlar.
# 5. Bilgi işleme tesisleri
Uygulama denetimine ek olarak, bilgi işleme tesislerinin denetimi vardır. Buna tüm fiziksel BT ekipmanı, işletim sistemleri ve tüm BT altyapısı dahildir. Denetçiler, işleme tesislerinin aksaklık durumunda bile zamanında ve doğru bir şekilde çalışmasını sağlar.
#6. sistemlerin tasarımı
BT altyapıları, daha yeni ve daha iyi çözümler geliştirilip uygulandıkça sürekli olarak değişmektedir. Şirketler, geliştirilmekte olan sistemleri hızlı bir bulut ortamında devreye almadan önce hedeflerini karşıladığından ve iş gereksinimleriyle uyumlu olduğundan emin olmalıdır.
#7. BT Yönetimi ve Kurumsal Mimari
Bu denetimin amacı, BT yönetimi ve çalışanlarının bilgi işlemeyi güvence altına almak ve kontrol etmek için bir organizasyonel yapı ve sağlam prosedürler oluşturup oluşturmadıklarını belirlemektir. Bu, Kurumsal Mimarinin yanı sıra en iyi uygulamalar ve çerçeveler için kullanılan araçların incelenmesini içerir.
# 8. Telekomünikasyon, intranetler ve extranetler, istemci ve sunucu
Bu BT denetimi, adından da anlaşılacağı gibi, istemci ve sunucu taraflarına odaklanır. Denetçiler, hizmeti alan bilgisayar için tüm telekomünikasyon kontrollerinin düzgün ve zamanında çalışmasını sağlar. Bu, yalnızca sunucuları değil, aynı zamanda istemciyi sunuculara bağlayan ağı da içerir.
BT Denetim Metodolojisi
BT denetiminin kendisi normalde birkaç gün sürse de, aslında süreç çok daha önce, takviminize baktığınızda ve gelecekte bir denetim planlamak için düzenlemeler yapmaya başladığınızda başlar.
Aşama 1. Denetimi planlayın.
İlk seçenek, bir iç denetim üstlenmek veya bir dış denetçiye gelip BT sistemleriniz hakkında üçüncü taraf bir bakış açısı sağlamak için ödeme yapmak olacaktır. Dış denetimler, hassas bilgilerle ilgilenen büyük işletmelerde veya işletmelerde daha tipiktir.
İşletmelerin büyük çoğunluğu için bir iç denetim, fazlasıyla yeterli ve planlanması çok daha ucuzdur. Ekstra temkinli olmak istiyorsanız, yıllık bir iç denetim kurun ve birkaç yılda bir bir dış denetçi görevlendirin.
Denetiminizi organize ederken aşağıdakilere karar vermelisiniz:
- Denetçiniz kim olacak? (denetimden sorumlu olması için bağımsız bir denetçi mi yoksa bir çalışan mı seçiyorsunuz)?
- Denetiminiz ne zaman gerçekleşecek?
- Personelinizi denetime hazırlamak için hangi prosedürler uygulanmalıdır?
Bir denetçinin şirketinizin BT iş akışları hakkında bilgi edinmek için büyük olasılıkla birkaç çalışan ve ekip yöneticisiyle görüşmesi gerekecektir, bu nedenle denetiminizi personelinizin diğer görevlerle aşırı yüklendiği bir zamana planlamadığınızdan emin olun.
Adım #2: Denetime hazırlanın.
Genel bir zaman aralığı belirledikten sonra, denetimin kendisine hazırlanmak için denetim ekibinizle işbirliği yapmanız gerekecektir. Şu anda dikkate alınması gereken şeylerin kısa bir listesi şunları içerir:
- Denetiminizin hedefleri
- Denetim kapsamı (hangi alanların değerlendirildiği ve denetçinin değerlendirmesini hangi ayrıntı seviyesinde yapacağı)
- Denetim nasıl belgelenecek?
Kapsamlı bir denetim programı (hangi departmanların hangi günlerde değerlendirileceği ve departmanların denetim için ne kadar bütçe ayırması gerektiği)
Bir kontrol listesinin, gerekli olmakla birlikte, bir denetim için yeterli dokümantasyon olmadığını unutmayın. Bu değerlendirmeyi yürütmenin amacı, altyapınızın kusurlarını kapsamlı bir şekilde anlamak ve bunları ele almak için özel, pratik stratejiler elde etmektir. Bunu başarmak için, bir parça kağıt ve panodan daha gelişmiş bir sisteme ihtiyacınız olacak.
3. Adım: Denetimi gerçekleştirin
Evet, denetimin yürütülmesi, denetim sürecindeki beş adımın yalnızca üçüncüsüdür. Bu adım çok açıklayıcıdır - ikinci adımı başarıyla takip ettiyseniz, üçüncü adım yaptığınız planı gerçekleştirecektir.
Fareler ve insanların (veya bu durumda farelerin ve klavyelerin) en iyi hazırlanmış planlarının bile sıklıkla ters gittiğini unutmayın, bu nedenle bu aşama aynı zamanda son dakika engellerinin üstesinden gelmeyi de içerebilir. Aceleye kapılmamak için yeterli zaman ayırdığınızdan emin olun; denetimde herhangi bir şeyi kaçırmak, noktayı tamamen bozar.
Adım #4: Sonuçlarınızı belgeleyin.
Denetiminiz tamamlandıktan sonra, denetçinizin notlarını, vardığı sonuçları ve tavsiyelerini içeren büyük bir belge dosyanız olmalıdır. Sonraki adım, tüm bu bilgileri resmi bir denetim raporunda derlemektir. Bu, gelecekte başvurmak ve bir sonraki yılın denetimini planlamanıza yardımcı olmak için dosyanızda saklayacağınız belgedir.
Ardından, denetlenen her departman için ayrı ayrı raporlar hazırlamalısınız. İncelenenleri özetleyin, değişiklik gerektirmeyen öğeleri listeleyin ve bölümün son derece iyi yaptığı her şeyi vurgulayın. Ardından, denetçi tarafından keşfedilen güvenlik açıklarının bir özetini sağlayın ve bunları aşağıdaki gibi sınıflandırın:
- Yerleşik prosedürlere uyulmamasından kaynaklanan riskler, düzeltici eylemi gerektirecektir.
- Denetimden önce tespit edilemeyen güvenlik açıklarından kaynaklanan riskler, yeni çarelerin geliştirilmesini gerektirecektir.
- Departmanın çalışmasının doğasında var olan risklerin tamamen ortadan kalkması olası değildir, ancak denetçi bunları hafifletmek için önlemler bulabilir.
Her bir madde ile belirlenen riskleri ele almak için sonraki önlemlerin ne olacağını açıklayın. Tehlikelerin kasıtlı dikkatsizlikten kaynaklandığı durumlarda, sorunun nasıl yönetileceği konusunda tavsiye almak için İK departmanınıza da danışmalısınız.
Adım #5: İletişimi Koruyun
Dürüst olalım: altyapı güvenlik açıklarının çoğu (çoğu değilse de) insan hatasının sonucudur. İnsan hatasının, ekibinizin denetlenen riskleri ele almak için uyguladığı çözümleri sabote etmesi de muhtemeldir.
Rapor sonuçlarınızı teslim ettikten sonra, düzeltmelerin başarıyla uygulanıp uygulanmadığını kontrol etmek için her ekiple bir takip toplantısı planlayın. Her ekibi kontrol etmek ve bir sonraki denetiminize kadar her şeyin yolunda gitmesini sağlamak için yıl boyunca birkaç takip planlamak iyi bir fikirdir.
Her değişikliğin etkisini ölçebilmeniz için kuruluşunuz yeni çözümlerini uygulamaya başlarken otomatik KPI takibi ve raporlaması kurun. Denetiminizi takip eden aylarda performansı analiz etmek ve planlandığı gibi çalışmayan her şeyi çözmek için ekibinizle görüştüğünüzde bu raporları alın.
Ayrıca, düzenli güvenlik açığı kontrolleri yaparak ve sistem performansını izleyerek bu "check-in'leri" otomatikleştirebilirsiniz. Takviminizi bireysel check-in toplantılarıyla doldurmak yerine, ağır işi teknisyeninize devredebilir ve yalnızca bir alarm alındığında müdahale edebilirsiniz.
BT denetçisi işe alma
BT denetimini kendiniz yapmak istemiyorsanız, bir BT denetçisi çalıştırmanız önerilir. Yalnızca fiziksel güvenlik önlemlerini değil, aynı zamanda eksiksiz bilgi teknolojisi sistemini içeren genel ticari ve mali kontrolleri de araştırmak onların sorumluluğundadır.
Bir BT denetçisi tuttuğunuzda, ilgili bilgileri doğru bir şekilde toplamak için beş öğe tanımlaması gerekir:
- İş ve endüstri bilgisi ve bilgisi
- Önceki denetimlerden elde edilen denetim sonuçları
- Son finansal bilgiler
- düzenleyici mevzuat
- Risk değerlendirmelerinin sonuçları
BT denetçisi, denetim bulgularını belirledikten, belgeledikten, özetledikten ve hissedarlara sunduktan sonra, bulgulara dayalı öneriler sunacaktır. Sorumlulukları, şirket etiği, risk yönetimi, iş prosedürleri ve yönetişim izleme ile ilgilenmeyi içerir.
Sonuç
Şirketler, SaaS uygulamaları ve bulut tabanlı sistemlerin kullanımlarını artırdıkça daha büyük güvenlik riskleri alıyor ve gölge BT biriktiriyor. BT denetimleri, etkin bir şekilde yapıldığında bilgi ve çok ihtiyaç duyulan görünürlük sağlar.
Şirketlere, uygun kontrollerin yürürlükte olduğundan ve risklerin mümkün olduğunca etkin bir şekilde azaltıldığından emin olmak için ihtiyaç duydukları bilgi ve verileri sağlayabilirler. Sonuç olarak, hassas veriler bilgisayar korsanlarından ve diğer güvenlik tehditlerinden korunur.
İlgili Makaleler
- Mali Denetim: İhtiyacınız olan her şey, Basitleştirilmiş!! (+ Ayrıntılı pdf)
- BT DENETÇİSİ MAAŞI: Ortalama Maaşlar (Güncellendi!)
- DENETİM YÖNETİM SİSTEMİ: Piyasadaki Türleri ve En İyi Denetim Araçları
- MALİ DENETİM: Anlam, Maaş, Tablolar, Karşılaştırmalar ve İhtiyacınız Olan Her Şey
- DENETÇİ MAAŞI: Kapsamlı Bir Kılavuz ve Listeler
Referanslar
