İş Etki Analizi Rehberi

İş Etki Analizi Nedir?

İş Sürekliliği Yönetiminin ne olduğu ve süreklilik ile sık karıştırılan bir terim olan “sürdürülebilirlik” kavramı ile ilişkilerini önceki yazılarımızda açıklamıştık. Bu yazımızda ise, iş sürekliliği yönetiminin temelini oluşturan İş Etki Analizi’ni ele almak istedik.

İş Etki Analizi’nde temel amacımız; olası bir felaket sonrasında yaşanan hizmet kesintisinin zaman içerisindeki etki dağılımını tespit ederek; hangi kurumsal süreçlerimizi, hangi kapsamda, hangi kritik kaynaklarla ve ne kadar süre içerisinde hayata geçirmemiz gerektiğini, dolayısıyla da hangi ürün ve hizmetlerimizi yeniden sunulabilir hale getirmemiz gerektiğini tespit etmektir.

Genellikle iş etki analizi ile ilgili; nereden başlanacağı, ne kadar detaya inileceği veya kapsamının nasıl belirleneceği konuları soru işaretleri oluşturmaktadır. Takip ettiğimiz kaynaklar ve tecrübelerimize dayanarak nasıl bir yol izlenebileceği ve nelere dikkat edilmesi gerektiğine dair yorumlarımızı ilerleyen satırlarda inceleyebilirsiniz.

İş Etki Analizi’ni aşamalara bölerek incelemek daha düzenli ilerlememizi sağlayacaktır.

Öncelikle bir ön analiz ile, çalışmanın kapsamı netleştirilmelidir;

İş sürekliliği yönetimi çalışmalarının kapsamının belirlenmesi, iş etki analizinin de kapsamı için belirleyici olacaktır. Bir kurumun kaç tip müşterisinin olduğu ve kaç çeşit hizmet alanı olduğu tanımlandıktan sonra; hangi tip müşterilere sunulan hangi tür hizmetler için bu yapının kurulacağı kararlaştırılmalıdır. Burada dikkat edilmesi gereken bir nokta ise, kurumun varlığını sürdürmesi için sunması gereken ana iş alanlarının ve yasal olarak sorumlu olduğu hizmetlerin mutlaka kapsam dahilinde olduğundan emin olunması gerektiğidir.

Ayrıca, gerçekleştirilecek iş etki analizi, tanımlanan iş sürekliliği yönetimi kapsamının tümünü içermelidir.

Stratejik iş etki analizi ise, tahminlerin yapıldığı ve kurumsal kararların alındığı kritik bir aşamadır;

Kapsam kararı alındıktan sonra, öncelikle söz konusu ürün ve hizmetlerin önceliklendirilmesi yapılabilir. Özellikle karmaşık yapıya sahip ve ürün/hizmet portföyü geniş kurumlar için bu önceliklendirmenin yapılması önerilmektedir. Aksi durumda ilerleyen aşamalarda analiz, kontrol edilemeyecek kadar geniş bir kapsama ulaşabilir. Daha somut olarak açıklamak gerekirse; kurum ön analiz aşamasında belirlediği müşteri grubuna sunduğu tüm ürün ve hizmetleri tek tek değerlendirmelidir. Bu değerlendirme aşamasında; olası bir kesinti sonrasında zaman içinde artarak devam edecek finansal kayıplar, müşteri kayıpları, itibari etkileri ve yasal gereksinimler gibi tahminler göz önünde bulundurularak; belirlenen ürün/hizmetler ön değerlendirmeye alınır ve kesintinin zaman içindeki dağılımı ortaya konularak zaman kritik hizmetler belirlenir.

Bu noktada bir de “zaman kritik” kavramını açıklamak faydalı olacaktır.

İş Sürekliliği Yönetimi’nde en önemli kavramlarımızdan biri “zaman”dır ve olası bir felaket sonucu; öncelikli olarak (aciliyetle) sunulması gereken ürün ve hizmetlere yönelik çalışmalar bir sistem kapsamında ele alınır. Bu “zaman kritik” ürün ve hizmetler her zaman kurumun en çok gelir getiren veya en çok müşterisine sahip hizmetlerine tekabül etmeyebilir.

Bu aşamada beklenen çıktılar;

• Hangi ürün ve hizmetlerin “zaman kritik” olduğu,

• Bu ürün ve hizmetler için bir kesinti sonucunda “maksimum kabul edilebilir kesinti süresi”nin (maximum acceptable outage-MAO veya maximum tolerable period of disruption-MTPD) ne olduğu, 

• Zaman kritik ürün ve hizmetler için bir kesinti sonucunda “hedeflenen kurtarma süresi”nin (recovery time objective-RTO) ne olduğu,

• Bir felaket sonrasında bu ürün ve hizmetlerin en azından hangi seviyede (yaşanan bir TV yayını kesintisi sonucu, içeriği HD yerine SD de olsa sunabilmek; bir şebekede ses hizmetinin LTE yerine 2G şebekesinden sunulması vb..) sunulması gerektiği (minimum business continuity objective-MBCO).

Stratejik analiz ardından gerçekleştirilecek haritalama ve zaman kritik aktivite belirleme çalışması, operasyonel analiz aşaması;

Belirlenen zaman kritik ürün ve hizmetlerden hangilerinin operasyonel analiz aşamasına taşınacağı da yine kurumsal bir karar olacaktır. Tümü için teknik analiz aşaması başlatılabileceği gibi; yalnızca kurumsal risk iştahına bağlı olarak belirlenebilecek “kritiklik eşiği”ni aşan ürün ve hizmetler için de bu aşamaya geçilebilir. Bu nokta, kurum yapısının karmaşıklığına göre kararlaştırılabilmektedir. Teknik analizde öncelikli amaç; hangi ürün ve hizmetlerin, hangi kurumsal süreçlerin desteği ile sunulduğunun tespiti ve dolayısıyla, kurumun zaman kritik aktivitelerinin ne olacağının tespit edilmesidir. Kritik aktivitelerin tespitinde ise, kurumsal süreçler ile ürün/hizmetlerin haritalandırılması ve ürün/hizmetlerin zamana bağlı kritiklik seviyelerinin doğru orantılı olarak ilgili aktivitelere aktarılması gerekmektedir. Dikkat edilmesi gereken önemli bir husus; bu kurumsal süreçlerin birbirlerine veya dış taraflarca gerçekleştirilen süreçlere olan bağımlılıklarını da göz önünde bulundurmaktır.

Göz önüne alınması gereken bir konu da; ürün ve hizmetleri sunmak için yürütülen kurumsal süreçlerin yalnızca departmanlarca, kişiler tarafından değil; altyapılar üzerinden otomatize bir şekilde de sürdürülüyor olabileceğidir.

Bu aşamada beklenen çıktılar; ürün ve hizmetlerin RTO, MAO, MBCO gibi değerlerinin; uygun bir şekilde kurumsal süreçlere de yansıtılabilmesi ve bu kurumsal süreçleri sürdürebilmek ve felaket sonrası kurtarabilmek için ihtiyaç duyulacak minimum kaynak gereksinimi ile dış taraflar veya diğer süreçlerce yürütülen bağımlı faaliyetlerin tespitidir.

Risk değerlendirmelerin yapılması, planların hazırlanması, tatbikatların gerçekleştirilmesi, olay yönetimi yapılarının kurulması ve diğer tüm iş sürekliliği faaliyetleri, İş Etki Sonuçları'na uygun olarak sürdürülmelidir.

İş Etki Analizi'nde Dikkat Edilmesi Gereken Noktalar!

• İş etki analizi kurumsal bir çalışma olmalıdır ve bu süreçte üst yönetimin katkısı ve kurum adına kapsayıcı kararlara varılması önemlidir.

• Analiz metodunun tekrar edilebilir ve tutarlı olması en önemli noktadır.

• Analize konu olacak verilerin objektif ve geçerli olması, varılacak sonuçların doğruluğunu ciddi derecede etkileyebilecektir. Bu nedenle mutlaka danışılan kişilerin “işinin uzmanı” olması önemlidir.

• “Bu analiz sonucunda belirlenecek “zaman kritik” aktiviteler, aynı zamanda kurumun en önemli aktiviteleridir” şeklinde bir yargı oluşmaması için, analizi koordine edecek tarafların her an açıklayıcı ve yönlendirici olması önemlidir.

• İlk çalışma sonucunda tam ve eksiksiz sonuçlara varılması çoğu zaman mümkün olmamaktadır. Bu sürecin sürekli gözden geçirilmesi ve tecrübeler sonucu yapılacak müdahalelerle zaman içinde olgunlaşması beklenmektedir.

• Bir felaket sonucunda ortaya çıkacak ve zaman içinde artarak sürecek etkiler tahmin edilen etkilerdir. Tecrübeler ile desteklenmelidir ancak özellikle katastrofik seviyelerdeki etkilere daha önce ulaşılmamış olması muhtemel olacağı için, bu etkilerin tahminlerden ibaret olduğu unutulmamalıdır.

Yazımızı oluştururken ve çalışmalarımızı yürütürken her daim başvurduğumuz kaynaklarımızı da aşağıda paylaşmaktayız. Soru, görüş ve katkılarınızı yorum olarak iletmeniz bizi memnun eder.

Faydalı kaynaklar;

A Practical Approach to Business Impact Analysis – Ian Charters  

Good Practice Guidelines – BCI

ISO 22301

ISO 22313

Elektrik Piyasası Lisans Yönetmeliği-ISO 27019 Değişikliği

Bildiğiniz üzere Elektrik Piyasası Lisans Yönetmeliğinde 26 Aralık 2014 tarihinde yayınlanan 29217 sayılı yönetmelik ile 100MW ve üzeri üretim yapan üretim lisansı sahipleri (OSB üretim lisansı sahipleri hariç), iletim lisansı sahipleri, piyasa işletim lisansı sahipleri ve dağıtım lisansı sahipleri (OSB dağıtım lisansı sahipleri hariç) için “Kurumsal bilişim sistemi ile endüstriyel kontrol sistemlerini TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardına uygun bir şekilde işletmek, TS ISO/IEC 27001 standardına uygun faaliyet gösterdiğini Türk Akreditasyon Kurumuna akredite olmuş bir belgelendirme kurumuna ispat ederek sistemlerini belgelendirmek ve söz konusu belgelerin geçerliliğini sağlamak” zorunluluğu getirilmişti.
Geçtiğimiz yıl 22 Ekim 2016 tarihli 29865 sayılı yayınlanan bir yönetmelik ile Üretim Lisansı sahiplerinde ISO 27001 Bilgi Güvenliği Yönetim Sistemi sertifikasyonu zorunluluğunun kaldırıldığı yayınlanmıştı.

Elektrik Piyasası Lisans Yönetmeliğine ilişkin 24 Şubat 2017 tarihinde yayınlanan son değişiklik yönetmeliği ile Üretim Lisansı sahiplerinde ISO 27001 zorunluluğu yeniden gündeme getirilmiştir. Aynı zamanda bu yönetmelik değişikliği ile elektrik üretim, iletim ve dağıtım lisansı sahipleri ISO 27001 çalışmalarında ISO 27019 standardını dikkate almaları gerektiği belirtilmektedir.

Üretim Lisansı sahipleri için ilgili madde:

f) Geçici kabul tarihinden itibaren yirmi dört ay içerisinde OSB üretim lisansı sahipleri hariç olmak üzere, işletmeye geçmiş kurulu gücü 100 MWe ve üzerinde olan bütün üretim tesisleri için kurumsal bilişim sistemi ile endüstriyel kontrol sistemlerini TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardına uygun bir şekilde işletmek, TS ISO/IEC 27001 standardına uygun faaliyet gösterdiğini Türk Akreditasyon Kurumuna akredite olmuş bir belgelendirme kurumuna ispat ederek sistemlerini belgelendirmek ve söz konusu belgelerin geçerliliğini sağlamak, TS ISO/IEC 27001’e göre kuracakları Bilgi Güvenliği Yönetim Sisteminde TS ISO/IEC 27002 Uygulama Rehberine ek olarak ISO/IEC TR 27019 rehber dokümanını da referans almak,

Peki ISO 27019 standardı nedir?

27000 standart ailesinde Olay Yönetimi, Siber Güvenlik, Denetim gibi konu özelinde rehber standartlar olduğu gibi, sağlık, telekom, bulut bilişim gibi sektörel uygulama rehberleri de yer almaktadır. ISO 27019 standardı da, 27000 ailesinin sektör spesifik standartlarından biri olup, enerji sektöründe kontrol sistemlerine yönelik bilgi güvenliği konularını ele almaktadır.

Enerji sektöründe hali hazırda ISO 27001 düzenlemelerinin bulunması, ISO 27019 standardına uyumluluğu da kolaylaştırmaktadır. ISO 27019 standardı ISO 27001 EK-A kontrollerinde enerji sektörüne özel rehber açıklamalara ek olarak, enerji altyapılarına ilişkin kontrol süreçlerinde ek güvenlik kontrolü hedefleri sunmaktadır.

Web Uygulama Testlerinde Burp İle Farklı Bir Port Adresi İçin Kimlik Doğrulamanın Düzenlemesi

Bu yazıda web uygulama sızma testlerinde Burp aracılığı ile platform otantikasyonunun öntanımlı port yerine özel bir port üzerinden gerçekleştirmesi anlatılmaktadır. 

Burp, öntanımlı olarak 80 ve 443 portlarında  "platform authentication"'ı desteklemektedir; fakat başka bir port ile otantikasyon yapılmak istenirse “localhost:9001” gibi “Destination host is not valid hatası” dönmektedir.

Bu sorun,  port yönlendirme yapılarak çözülebilir.

Bu çözümde bağlanılmak istenen sunucu ve port değeri 192.168.1.10 ve 9001 şeklindedir. Burp ile ön tanımlı olarak bu portu kullanan IP adreslerinin kullanımında sıkıntı yaşanmaktadır. Aşağıda bu sorunun aşımı için kullanılabilecek bir port yönlendirme yöntemi Windows işletim sistemi için açıklanmıştır.

"netsh interface portproxy add v4tov4 listenport=80 listenaddress=127.0.0.1 connectport=9001 connectaddress=192.168.1.10"

Not: CMD komut satırının yönetici modunda çalıştırılması gerekmektedir.

Komut satırı üzerinden uygulanan komutları açıklamak gerekirse; 127.0.0.1:80 URL'ine istek yapıldığında mevcut istek 192.168.1.10:9001 portuna yönlendiriliyor, burp tarafında ise ilgili credentials'lar ile login işlemi sağlıklı bir şekilde gerçekleştirilebiliyor.

Burp tarafındaki yapılandırma ise aşağıda belirtildiği şekilde gerçekleştirilmelidir.

Bu sorunun çözümü için kullanılabilecek farklı yöntemlerin bulunması halinde yorum eklemekten çekinmeyiniz. 

İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmeliğe Göre Yükümlülükler

Giriş

11 Nisan 2017 tarihli 30035 sayılı Resmi Gazete’de 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanunu ile ilişkili Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından oluşturulan İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik yayınlanarak yürürlüğe girdi.

Kanuna göre İnternet Toplu Kullanım Sağlayıcıları, kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayanlar olarak tanımlanmaktadır. Örneklerle somutlaştıracak olursak bu kategorideki internet sağlayıcılar kafe, otel, işyeri vb. kuruluşlarda kullanıcılarına internet ortamı sağlayanlardır. Bir diğer toplu kullanım sağlayıcı ise yönetmelikte; Ticari Amaçlarla İnternet Toplu Kullanım Sağlayıcıları olarak belirtilmiş olup, internet salonu gibi umuma açık yerlerde belirli bir ücret karşılığında internet kullanım hizmeti veren kuruluşlar olarak tanımlanmaktadır.

Yönetmeliğe Göre Yükümlülükler

İnternet Toplu Kullanım Sağlayıcıları;

• Ağları üzerinden sağladıkları internet hizmetinde kullanıcıların konusu suç oluşturan içeriklere erişimini önleyici tedbir almak amacıyla içerik filtreleme sistemi kullanmak,
• Kullanıcıların erişim kayıtlarını elektronik ortamda kendi sistemlerinde kaydederek 2 yıl süreyle saklamak,
• Kullanıcıları tanımlamak için kısa mesaj servisi (SMS) gibi yöntemleri kurmakla yükümlüdür.

Ticari Amaçla İnternet Toplu Kullanım Sağlayıcılar;

• Mülki idari amirden izin belgesi almak,
• Erişim sağlayıcılardan sabit IP adresi almak, kullanmak ve IP adresi değişikliklerini 15 gün içerisinde mülki amire bildirmek,
• Ailenin, çocukların korunması ve konusu suç oluşturan içeriklere erişimi önlemek amacıyla aktif halde, güncel tutulan, devre dışı bırakılamayan içerik filtreleme sistemi ve güvenli internet hizmeti kullanmak,
• Erişim kayıtlarını elektronik ortamda kendi sistemlerinde kaydetmek ve 2 yıl süreyle saklamak, bu erişim kayıtlarının doğruluğunu, bütünlüğünü ve gizliliğini doğrulayan değeri günlük olarak kaydederek ve bu verileri 2 yıl süreyle saklamak
• İşyerinin kapatılması veya devrini 15 gün içinde yetkili mülki amire bildirmek ve izin belgesini teslim etmekle yükümlüdür.

Yönetmeliğe buradan ulaşabilirsiniz.