SCNET · Kurumsal BT · Ankara, Türkiye

Sanal Çekirdek

Ne kadar güvenli olduğunuz değil, ne kadar hızlı toparlandığınız önemli.

Dayanıklılık, saldırıyı önlemekle değil saldırı sırasında ve sonrasında ayakta kalmakla ilgilidir. Sanal Çekirdek değerlendirmeyi bu soruya göre kurar: kritik hizmet ne kadar sürede geri döner, hangi kararı kim verir.

Olgunluk puanı tek başına bir şey söylemez. Değerli olan, puanın hangi eksikten geldiği ve o eksiği kapatmanın neyi değiştireceğidir.

Kapsam ve kritik hizmet seçimi

Değerlendirme tüm kurumu aynı derinlikte taramaz; kritik hizmetlerden başlar. Hangi hizmetin durması işi durdurur sorusu iş birimiyle yanıtlanır ve teknik kapsam bu yanıttan türetilir.

  • Kritiklik kararı iş biriminde, teknik kapsam bizde
  • Kapsam dışı bırakılanlar gerekçesiyle yazılır
  • Üçüncü taraf bağımlılıkları kapsama dâhildir
  • Derinlik, hizmetin kritikliğiyle orantılıdır

Yetenek ölçümü

Ölçüm dört başlıkta yapılır: tespit, müdahale, kurtarma ve öğrenme. Her başlık için kurumun bugün ne yapabildiği kanıtla belirlenir — yazılı prosedür değil, uygulanan davranış esas alınır.

  • Kanıt, prosedür metninden değil kayıtlardan alınır
  • Tespit süresi geçmiş olaylardan hesaplanır
  • Kurtarma yeteneği tatbikat kaydıyla doğrulanır
  • Öğrenme, kapanan bulguların oranıyla ölçülür

Senaryo çalışması

Soyut olgunluk yerine somut senaryo çalışılır: fidye yazılımı yayılırsa, ayrıcalıklı bir hesap ele geçerse, bir tedarikçi ihlal bildirirse ne olur. Senaryo, kararın kimde olduğunu görünür kılar.

  • Senaryolar kurumun gerçek mimarisiyle çalışılır
  • Karar noktaları ve karar sahipleri işaretlenir
  • İletişim zinciri senaryo içinde denenir
  • Çıktı, plan güncellemesine dönüşür

Yol haritası ve sahiplik

Bulgu listesi tek başına iş üretmez. Her bulgu etkisine ve kapatma maliyetine göre sıralanır, bir sahibe ve bir tarihe bağlanır. Sahibi olmayan bulgu, rapor kapandığında kaybolur.

  • Sıralama etki ve maliyet birlikte değerlendirilerek
  • Her bulgunun tek bir sahibi olur
  • Hızlı kazanımlar ayrı listede toplanır
  • İlerleme aynı ölçekte yeniden ölçülür

Nasıl çalışırız

  1. Kritik hizmetleri iş birimiyle belirleyin
  2. Mevcut yeteneği kanıtla ölçün
  3. Senaryoları gerçek mimariyle çalışın
  4. Bulguları sahibe ve tarihe bağlayın
  5. Belirli aralıkla yeniden ölçüp karşılaştırın

Başarı nasıl ölçülür

  • Kritik hizmetlerin tamamı kapsama alındı
  • Tespit süresi kayıtlardan hesaplanabiliyor
  • Senaryo karar noktalarının sahibi belli
  • Kapanan bulgu oranı dönemler arasında artıyor

Sık sorulan sorular

Sızma testinden farkı ne?

Sızma testi bir yolun açık olup olmadığını gösterir; dayanıklılık değerlendirmesi o yol kullanıldığında kurumun ne yapacağını ölçer. İkisi birbirini tamamlar, biri diğerinin yerine geçmez.

Bir çerçeveye göre mi yapılıyor?

Yaygın çerçeveler ölçüm başlıklarını düzenlemek için kullanılır, ancak sonuç bir uygunluk beyanı değildir. Amaç belge değil, kapatılabilir bulgu listesidir.

Ne sıklıkta tekrarlanmalı?

Mimari değiştikçe ve büyük bulgular kapandıkça. Sabit bir takvim yerine, önceki turun bulguları kapandığında yeniden ölçmek daha anlamlı bir karşılaştırma verir.

Kritik hizmet listenizi paylaşın; bugünkü dayanıklılığınızı kanıtla ölçelim ve kapatılabilir bir yol haritasına çevirelim.

Kritik hizmet listenizi paylaşın