Beklentiyi gereksinime çevirmek
Düzenleyici metinler mimari çizmez; beklenti ifade eder. İlk iş, bu beklentileri ölçülebilir teknik gereksinimlere çevirmektir: veri hangi sınırlar içinde kalacak, kim erişebilecek, hangi kayıt tutulacak.
- Her gereksinim, dayandığı metne referansla yazılır
- Yoruma açık noktalar hukuk biriminin onayına gider
- Karşılanamayan gereksinim gizlenmez, listelenir
- Gereksinimler mevzuat değiştikçe gözden geçirilir
Yalıtım düzeyi seçimi
«Özel bulut» tek bir şey değildir: mantıksal yalıtım, ayrılmış donanım ve tamamen ayrı ortam farklı maliyet ve farklı denetim düzeyi getirir. Seçim, gereksinimin gerçekten hangi düzeyi istediğine bakılarak yapılır.
- Yalıtım düzeyi bileşen bazında farklı olabilir
- Paylaşılan yönetim düzlemi ayrıca değerlendirilir
- Maliyet farkı düzey bazında gösterilir
- Seçim gerekçesi denetimde sunulabilir
Erişim ve ayrıcalık denetimi
Düzenlemeye tabi ortamda kimin neye eriştiği, erişimin kendisi kadar önemlidir. Yönetici erişimi süreli ve onaylı verilir; oturumlar kaydedilir ve kayıtlar erişenden bağımsız saklanır.
- Yönetici erişimi talep ve onayla açılır
- Oturum kayıtları erişen kişinin silemeyeceği yerde tutulur
- Sağlayıcı personelinin erişimi de kapsam içindedir
- Acil erişim ayrı hesapla ve bildirimle yapılır
Denetime hazır olma
Denetim geldiğinde kanıt üretmek değil, sunmak gerekir. Kontrollerin çalıştığını gösteren kayıtlar sürekli üretilir ve düzenli aralıklarla gözden geçirilir.
- Kanıt sürekli üretilir, denetimde derlenmez
- Kontrol sahipleri ve gözden geçirme takvimi bellidir
- Her bulgunun bir sahibi ve kapanış tarihi olur
- Sağlayıcı raporları kurum kayıtlarıyla eşleştirilir