Control Hub

Framework Mapping

ISO 27001, NIST, CIS, COBIT, SPK, DORA, NIS2 ve MITRE ATT&CK ilişkilerini kontrol bazında görüntüleyin.

CrosswalkKontrol → Framework → MITRE → Risk ilişkisi

Ortak Alan Erişim Haklarının Kontrolü

Ortak alan erişim haklarının ilgili klasör sahiplerin onayı olmadan verilmemesi.

Tasarım—İşletim—

Ayrıcalıklı Kullanıcı Hesaplarının Kontrolü

Ayrıcalıklı kullanıcı işlemlerinin yetkilendirme, görev tanımı ve onay süreçleriyle uyumlu olması.

Tasarım—İşletim—

Kurum Dışına Aktarılan Verilerin DLP Kontrolü

Kurum dışına aktarılan verilerin yetkili, gerekçeli ve veri güvenliği kurallarıyla uyumlu olması.

Tasarım—İşletim—

Güvenlik Duvarı Değişikliklerinin Kontrolü

Firewall üzerinde kritik değişikliklerde onaysız işlem olmadığının görülmesi.

Tasarım—İşletim—

Bilgi Varlığı Envanterinin Kontrolü

Varlık envanterinin doğru ve güncel tutulmasının sağlanması.

Tasarım—İşletim—

Görevler Ayrılığı Kontrolü

Görevler ayrılığı prensibine aykırı görevlerin yapılmadığı ve yetkilerin verilmediği görülmelidir.

Tasarım—İşletim—

Bilgi Güvenliği Farkındalık Eğitimlerinin Kontrolü

Mevcut ve yeni çalışanların bilgi güvenliği farkındalık eğitimlerini almış olduğu ve sınavı başarı ile tamamladığı görülmelidir.

Tasarım—İşletim—

Kullanıcı Hesabı Açma, Değiştirme ve Kapatma Kontrolü

İnsan Kaynakları Departmanının şirkette gerçekleşen işe alım,işten çıkış ve görev değişikliği zamanlarında mail atıp talepte bulunması. dizin hizmetinde talepsiz işlemlerin olmadığının görülmesi.

Tasarım—İşletim—

Pasif Hesaplarda Oturum Açma Denemelerinin Kontrolü

Dizin hizmetinde disable halde tutulan kullanıcı hesaplarının kullanıcının işten çıkış tarihinde kapatılmış olması ve sonraki dönemlerde login aktivitesinin olmadığı görülmelidir.

Tasarım—İşletim—

#10

Merkezi Log Kaynaklarındaki Değişikliklerin Kontrolü

Log kaynaklarındaki ekleme, silme ve değişikliklerin yetkili ve onaylı şekilde gerçekleştirilmesi.

Tasarım—İşletim—

#11

Kilitli Hesapların Açılmasına İlişkin Talep Kontrolü

Mesai saatleri dışında kilitlenmiş kullanıcı hesaplarının hesap sahibinin talebi ile açılması, talepsiz işlem olmadığının görülmesi.

Tasarım—İşletim—

#12

Personel VPN Bağlantılarının Kontrolü

Personel VPN bağlantılarının erişim yetkilendirme prosedürüne uygun olması.

Tasarım—İşletim—

#13

Tedarikçi VPN Bağlantılarının Kontrolü

Tedarikçi VPN bağlantılarının erişim yetkilendirme prosedürüne uygun olması.

Tasarım—İşletim—

#14

Tedarikçi Ayrıcalıklı Erişim Talep ve Onay Kontrolü

Tedarikçi ayrıcalıklı erişimlerinin yalnızca onaylı ihtiyaç kapsamında ve izlenebilir şekilde gerçekleştirilmesi.

Tasarım—İşletim—

#15

VPN Yetkisiz Erişim Denemelerinin Kontrolü

Başarısız VPN girişlerinde tanımlı güvenlik eşiklerinin ve engelleme mekanizmalarının çalışması.

Tasarım—İşletim—

#16

Değişiklik Yönetimi Talep ve Onay Kontrolü

Değişikliklerin kayıtlı, yetkili, onaylı ve geri alınabilir süreçler üzerinden yönetilmesi.

Tasarım—İşletim—

#17

Kritik Tedarikçilerin BT Denetimi

Yapılan denetimin ilgili düzenleyici gerekliliklere uygun olduğunun görülmesi

Tasarım—İşletim—

#18

Kurumsal Uç Noktalardaki Uygulama Envanteri Kontrolü

Kurumsal uç noktalarda yalnızca onaylı ve lisans durumu uygun uygulamaların bulunması.

Tasarım—İşletim—

#19

Temiz Masa ve Temiz Ekran Kontrolü

Temiz masa ve temiz ekran ilkelerine uyum.

Tasarım—İşletim—

#20

Kritik İş Uygulamalarında Yetki Tanımlama Kontrolü

Kritik iş uygulamalarındaki yetki değişikliklerinin onaylı yetki matrisiyle uyumlu olması.

Tasarım—İşletim—

#21

Taşınabilir Cihaz Yetkilerinin Kontrolü

Taşınabilir cihaz/medya yetkilerinin yalnızca onaylı kullanıcılarla sınırlı ve güncel olması.

Tasarım—İşletim—

#22

Sistem Odası Giriş ve Çıkış Kontrolü

Sistem odası giriş çıkış kayıtlarının uygulama ve defter ile aynı olduğunun görülmesi.

Tasarım—İşletim—

#23

BT Politika ve Prosedürlerinin Güncellik Kontrolü

BT politika ve prosedürlerinin güncel, onaylı, erişilebilir ve ilgili taraflara duyurulmuş olması.

Tasarım—İşletim—

#24

Yedekten Geri Dönüş Testlerinin Kontrolü

Yedeklerin ihtiyaç halinde geri döndürülebilir olduğunun ve veri bütünlüğünün testlerle kanıtlanması.

Tasarım—İşletim—

#25

Sunucu Kullanılabilirlik ve Kapasite Raporlarının Kontrolü

Sunucularda kullanılabilirlik raporlarının kontrol edilmesi, raporda devam eden ve sık sık yaşanan performans sorunlarına aksiyon alınıp alınmadığı kontrol edilir.

Tasarım—İşletim—

#26

Çalışan Gizlilik ve Bilgi Güvenliği Taahhütlerinin Kontrolü

İşe giren personellerden imzalı kvkk metni, gizlilik sözleşmesi ve bilgi güvenliği taahhütnamesi alındığının görülmesi.

Tasarım—İşletim—

#27

BT Komitesi Toplantılarının Kontrolü

BT Komitesinin yılda 2 kere toplantı yaptığının ve toplantının tutanaklarının görülmesi.

Tasarım—İşletim—

#28

Sızma Testi Kritik Bulgularının Aksiyon Takibi

Sızma testi raporu ve aksiyon planına göre bulguların kapatıldığının görülmesi

Tasarım—İşletim—

#29

Sızma Testi Sonuçlarının Üst Yönetim Takibi

Kritik sızma testi bulgularının üst yönetim gözetiminde aksiyonlandırılması ve gerekli düzenleyici süreçlerin tamamlanması.

Tasarım—İşletim—

#30

Veritabanı DCL İşlemlerinin Kontrolü

Veritabanında yapılan DCL değişikliklerinde onaysız ve talepsiz işlem yapılmadığı görülür.

Tasarım—İşletim—

#31

Veritabanı DDL İşlemlerinin Kontrolü

Veritabanında yapılan DDL değişikliklerinde onaysız ve talepsiz işlem yapılmadığı görülür.

Tasarım—İşletim—

#32

Veritabanı DML İşlemlerinin Kontrolü

Veritabanında yapılan DML değişikliklerinde onaysız ve talepsiz işlem yapılmadığı görülür.

Tasarım—İşletim—

#33

Bilgi Güvenliği ve Risk Komitesi Toplantılarının Kontrolü

Bilgi Güvenliği ve Risk Komitesinin yılda 2 kere toplantı yaptığının ve toplantının tutanaklarının görülmesi.

Tasarım—İşletim—

#34

BT Süreklilik ve Olağanüstü Durum Tatbikatlarının Kontrolü

Olağanüstü durum ve BT Süreklilik tatbikatının yılda bir kere yapıldığı görülür. Rapordaki SLA sürelerine uygunluk kontrol edilir.

Tasarım—İşletim—

#35

KVKK Komitesi Toplantılarının Kontrolü

KVKK Komitesinin yılda 1 kere toplantı yaptığının ve toplantının tutanaklarının görülmesi.

Tasarım—İşletim—

#36

BT Yönetim Beyanının Kontrolü

BT yönetim beyanının zamanında hazırlanmış, değerlendirilmiş ve yetkili organ tarafından onaylanmış olması.

Tasarım—İşletim—

#37

Üçüncü Taraf Sözleşmelerinin Kontrolü

3.Partiler ile yapılan sözleşmelerin tebliğe uygun olması, tebliğe uygun olmayan sözleşme olmadığı görülür.

Tasarım—İşletim—

#38

Üçüncü Taraf Performans ve Risk Değerlendirmesinin Kontrolü

3.Partilerin performans ve risk değerlendirme raporlarının hazırlanması ve yılda 1 kere üst yönetime raporlandığının kontrolü

Tasarım—İşletim—

#39

Yıllık BT İç Denetiminin Kontrolü

BT iç denetiminin yapılması ve üst yönetime raporlanması varsa bulgular için aksiyon planı ve YK kararının alınması.

Tasarım—İşletim—

#40

Aydınlatma ve Açık Rıza Metinlerinin Kontrolü

Aydınlatma ve Açık rıza metinlerinin oluşturulmasını ve ilgili alanlarda yayınlandığı görülür.

Tasarım—İşletim—

#41

KVKK Mevzuat Değişikliklerinin Takibi

KVKK'da bulunan süreçlerin kurum'da uygulandığının ve mevzuat taki değişikliklere göre aksiyon alındığı görülür.

Tasarım—İşletim—

#42

VERBİS Kayıt Yükümlülüğünün Kontrolü

Kuruluşun VERBİS/kayıt yükümlülüğünün güncel mevzuat kriterlerine göre doğru belirlenmesi ve gerekli kayıtların güncel tutulması.

Tasarım—İşletim—

#43

Biyometrik Veri Açık Rıza Kayıtlarının Kontrolü

Parmak izi izin listesinin doğru ve güncel tutulmasının sağlanması (işten ayrılan ve işe başlayan lara göre gerekli aksiyonların alınması)

Tasarım—İşletim—