Cevap

Sorunun geçmişi:
Son yıllarda bilgi sistemlerine yapılan saldırıların sayısı artmakta ve veri koruma gereksinimleri yasalarla sıkılaşmaktadır. Şirketler, ürün yaşam döngüsünün tüm aşamalarında güvenlik konularının kapsamlı ve sürekli olarak ele alınmasını talep etmektedir.

Sorun:
Güvenlik için işlevsel olmayan gereksinimler genellikle belirsiz bir şekilde formüle edilir veya standartlardan proje spesifikasyonlarına uyarlanmaksızın kopyalanır. Bu, yüksek risklere, tekrar eden veya BT ekibi için gerçekleştirilemeyen görevlere yol açar.

Çözüm:
Analistin yapması gerekenler:

1. Düzenleyici ortamı anlamak (örneğin, GDPR, FZ-152, ISO/IEC 27001) ve proje ihtiyaçlarına göre uyarlamak.
2. Bilgi güvenliği uzmanlarıyla yapacağı görüşmelerde spesifik tehditleri ve gereksinimleri kaydetmek (şifreleme, denetim, erişim kontrolü).
3. Gereksinimleri mimar ve geliştiricilerin anlayacağı bir formatta dekontekstualize etmek (net güvenlik kriterleri, şifre politikaları, kayıt ve raporlama gereksinimleri).
4. Teknik önlemleri ekiple koordine ederek, süreçleri engellemeden uygulamaktır.

Anahtar özellikler:

• Güvenlik uzmanlarıyla zorunlu etkileşim
• Düzenleyici gereksinimlerin teknik olarak uygulanabilir görevlere dönüştürülmesi
• Belgelerin güncel durumda tutulması

Hileli Sorular.

Güvenlik gereksinimlerini oluştururken güvenlik kontrol listelerine tamamen güvenilir mi?

Kontrol listeleri başlangıç için faydalıdır ancak tüm iş özelliklerini kapsamaz. Güvenlik gereksinimleri her proje için ayrı ayrı tartışılmalıdır.

Tüm sistem parçaları için güvenlik denetimi zorunlu mudur?

Bazı modüller hassas verileri işleyebilir veya içsel olabilir. Ancak risk analizi tüm çözüm için zorunludur. Minimum gerekli erişim ilkesi uygulanmaktadır.

Güvenlik gereksinimlerini %100 oranında uygulamaya çalışmalı mı?

Genellikle, veri sınıflandırması ve tehdit seviyesine uygun en kritik önlemler alınır. "Kesin güvenlik" bir efsanedir; uzlaşmalar kaçınılmazdır, önemli olan riskleri yönetmektir.

Tipik Hatalar ve Anti-Paternler

• Özel gereksinimleri göz önüne almaksızın gereksinimlerin formal olarak kopyalanması
• Yetersiz detaylandırma (örneğin, "şifreleme kullanmak" standartların tanımlanmadığı bir durum)
• Sistemdeki değişiklikler sırasında güvenliğin düzenli olarak gözden geçirilmemesi

Hayattan Bir Örnek

Olumsuz vaka: Güvenlik gereksinimleri, "ISO standardına uyum sağlamak" ile sınırlandırılmış ve veri iletim kanalının şifreleme ayarları unutulmuştur. Sonuç: olay, ceza. Artılar: Belge hızlıca hazırlandı. Eksiler: Gerçek bir zafiyet ve denetim sırasında sorunlar.

Olumlu vaka: Analist, güvenlik uzmanını dahil etti, tehdit analizi oturumu düzenledi, gereksinimleri kabul kriterleri olarak belgeler halinde kayıt altına aldı. Tüm önlemler onaylandı ve yapılabilir durumdadır. Artılar: Koruma sağlandı, denetim başarıyla geçildi. Eksiler: Onaylama süreci daha fazla zaman ve çaba gerektirdi.