Denetimler

Bilgisayar teknolojileri geliştikçe, işletmelerin sahip oldukları bilgi teknolojileri altyapıları da gittikçe karmaşık hale gelmektedir. Bu yüzden düzenli olarak denetlenmesi ve olası saldırı simülasyonları yapılarak çeşitli tehditlere karşı sistemin ne kadar güvende olduğunun belirlenmesi gerekmektedir. Bu yönde hizmet veren kuruluşlar çeşitli metodolojiler kullanmakta ve çalışmaların sonunda hazırlanan raporlar, tespit edilen bulguları ve iyileştirme önerilerini kapsamaktadır. Ayrıca bu doğrultuda yapılan düzenlemeler sonrasında doğrulama testleri yapılmakta ve alınan önlemlerin ne derece etkili olduğu ölçülmektedir.

Bilgi güvenliği, basit bir anlatımla bilginin korunmasını amaçlamaktadır. Ancak bilgi güvenliğini sağlamak oldukça geniş kapsamlı bir çalışmadır. Bilginin korunması için bilginin bütünlük, gizlilik ve erişilebilirlik özelliklerinin her zaman sağlanıyor olması gerekmektedir. Bilginin üretildiği andan yok edilmesine kadar geçen süreçte bilginin güvenliğini sağlamak konusunda, sistem güvenliği, fiziksel güvenlik, yedekleme ve benzeri kontrollerin de devrede olması gerekmektedir.

Her boydan işletme bilgi güvenliğinin sağlanması ve verilerin korunması için bilgisayar altyapılarına bir takım yatırımlar yapmakta ve çeşitli güvenlik sistemleri kurmaktadır. Bunun yanında sızma testleri ve zafiyet analizleri gibi denetimler talep etmektedir.

Güvenlik denetimlerinden geçmek için sadece en uygun teknolojiyi kullanmak yetmemekte, denetim olgusuna başka bir açıdan da bakmak gerekmektedir. Güvenlik denetimlerinde bakılan en temel nokta, hangi teknolojilerin kullanıldığı değil, bilgi güvenliğinin nasıl yönetildiği olmaktadır.

Sağlam bir bilgi güvenliğinden bahsedebilmek için işletmenin mevcut verilerini değerlendirmiş olması, sınıflandırması, öncelik verilmiş olması ve bilgi varlıkları açısından tehdit, risk ve kontrol üçlemi oluşturarak temeli sağlam bir kontrol yöntemini uygulamaya koymuş olması gerekmektedir.

Kuruluşumuz denetim hizmetleri kapsamında işletmelere güvenlik denetimleri hizmeti vermektedir. Bu kapsamda kuruluşumuz, ilgili yasal düzenlemelere, yerli ve yabancı kuruluşlar tarafından yayınlanan standartlara ve genel kabul görmüş denetim yöntemlerine uygun hizmet vermektedir. Güvenlik denetimleri çerçevesinde işletmelere sunulan hizmetler esas olarak şunlardır:

• Sızma (penetrasyon) testleri
• PCI DSS denetimleri ve sertifikasyonu
• Cobit denetimleri
• Kuruma özel güvenlik denetimleri
• BT genel kontrolleri denetimleri
• Uygulama kontrolleri denetimleri
• Teknik destek denetimleri

Bu çalışmalar ile işletmeler güvenlik denetimlerinin sağladığı bütün avantajlardan yararlanmış olmaktadır

Bilgiye erişim kolaylaştıkça, bilgilerin güvenliği artık daha fazla önemli olmaktadır. Ancak uygulamada, erişime onay verilen bilgilerin dışında, herkesin erişmesi mümkün olmayan gizli ve kritik bilgilerin güvenliğini sağlamak, hergün daha fazla güçleşmektedir.

Bu nedenle bilgilerin depolandığı ortamların, birer saldırgan gibi hareket eden uzmanlar tarafından düzenli olarak test edilmesi gerekmektedir. Bu şekilde ortamın güvenliği arttırılmış olacaktır. Örneğin penetrasyon testlerinin amacı, sistemin daha güvenli hale getirilmesi konusunda alınacak kararları güçlendirmek için yapılmaktadır. Örneğin sızma testleri, simülasyon testleri ile yapılmakta ve olası bir saldırıda sistemin güvenlik seviyesi ve açıkları ortaya çıkarılmaktadır. Ya da zafiyet tarama çalışmaları, bilgisayar altyapısındaki istemci, sunucu, uygulamalar ve ağdaki diğer cihazlar üzerinde, bilinen güvenlik zafiyetlerinden hangilerinin bulunduğunu tespit etmek için yapılan bir güvenlik taramasıdır.

Denetim çalışmalarının önemli bir bölümünü ikinci taraf ve üçüncü taraf denetimler teşkil etmektedir. İkinci taraf denetim, işletmelerin iş yaptıkları tedarikçi firmalar nezdinde yapmış olduğu denetimlerdir. İşletmeler tedarikçi firmaların süreçlerini gözden geçirmek, faaliyetlerini yerinde incelemek, uygulamalarını görmek, uygulama eksiklerini anlamak, süreç uygunsuzluklarının düzeltici ve önleyici faaliyetler ile giderilmesini tespit etmek amacı ile ikinci taraf denetim çalışmalarını talep etmektedir.

Üçüncü taraf denetimler ise, işletmelerin talebi üzerine yapılan ve bir belgelendirme çalışmasına dayanıyor olsa da olmasa da kendi süreçlerinin, üretim faaliyetlerinin ve uygulamalarının, bir denetim kuruluşu tarafından denetlenmesi çalışmalarıdır. İşletmeler üçüncü taraf denetimlerini, sistem uygulama düzeylerini anlamak, uygunsuzluklarını tespit ettirmek, düzeltici ve önleyici faaliyetlerin ne kadar etkin uygulandığını görmek ve süreçlerinin durumunu ve iyileştirilmesi gereken noktalarını tespit etmek amacı ile talep etmektedir.

Üçüncü taraf denetimlerinin bu açıdan işletmelere birçok yararı dokunmaktadır. Aşağıda bu yararlar sıralanmıştır:

• İşletmelerin çeşitli yönetim sistemi uygulamalarında ne kadar başarı gösterdikleri tespit edilmektedir.
• İşletmenin kendi yönetim ve kontrol sistemleri ile tespit edemedikleri uygunsuzluklar saptanmış olmaktadır.
• İşletmenin düzeltici ve önleyici faaliyetlerinin arttırılması ve bunların daha etkin devam ettirilmesi sağlanmaktadır.
• Faaliyet süreçlerinin durumları analiz edilmekte ve iyileştirilmesi gereken noktalar tespit edilmektedir.
• İşletmeye sunulan, süreçlere ve organizasyon yapısına yönelik iyileştirme önerilerinin uygulanması sağlanmaktadır.
• Gerçekleştirilen denetimler ve yapılan iyileştirmeler ile işletmenin verimliliği yükselmektedir.
• Bu şekilde işletmenin maliyetleri aşağı düşmekte ve alternatif maliyetler tespit edilmiş olmaktadır.
• Yapılan bu çalışmalar ile birlikte işletmenin piyasada prestij ve güveni artmakta ve itibar kazanmaktadır.

Kuruluşumuz da denetim hizmetleri kapsamında işletmelere üçüncü taraf denetim hizmetleri vermektedir. Bu kapsamda kuruluşumuz, ilgili yasal düzenlemelere, yerli ve yabancı kuruluşlar tarafından yayınlanan standartlara ve genel kabul görmüş denetim yöntemlerine uygun hizmet vermektedir. Üçüncü taraf denetimler çerçevesinde işletmelere sunulan hizmetler esas olarak şunlardır:

• Tedarikçi denetimleri
• Habersiz denetimler
• Şahit denetimleri
• Gizli müşteri denetimleri
• Yükleme kontrolleri

Bu çalışmalar ile işletmeler denetimin getirdiği tüm avantajlardan yararlanmış olmaktadır.

Denetim kavramı, denetim yapılan alana ve faaliyete göre çok farklı algılanan bir kavramdır. İşletmeler, geçmiş finansal bilgilerin yanı sıra, üretim faaliyetlerinde de açık ve şeffaf olmaya gayret etmektedir. Tütetici haklarının bu kadar arttığı ve korunduğu bir ortamda, üretilen ürün ve hizmetlerin belirlenmiş kriterler ve standartlar içinde olmasına, ayrıca genel kabul görmüş üretim yöntemleri ve teknolojiler kullanılmasına, işletmeler her zaman olduğundan daha çok önem vermektedir.

Bu açıdan bakınca tedarikçi denetimleri, işletmenin çeşitli ünitelerinde ve tedarikçi firmalarda gerçekleştirilen habersiz denetimler, gizli müşteri olarak yapılan denetimler, yükleme kontrolleri ve daha birçok açıdan denetim ve kontroller hem işletmelerin daha kaliteli ürün ve hizmet üretmesi hem de tükerici haklarının korunması ve müşteri memnuniyetsizliği yaratmamak açısından önemli olmaktadır.