Bilgi teknolojileri güvenliği ve sigorta şirketinde ıso/ıec 27001 standartları çerçevesinde bilgi güvenlik yönetim sistemi uygulaması
Information technologies security and iso/iec 27001 information security management system implementation at insurance company
Yazar: BAHADIR MURAT KANDEMİRLİ
Danışman: PROF. DR. HÜSEYİN BAŞLIGİL
Yıldız Teknik Üniversitesi / Fen Bilimleri Enstitüsü / Endüstri Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2012
Konu: Bilim ve Teknoloji = Science and Technology ; Endüstri ve Endüstri Mühendisliği = Industrial and Industrial Engineering

Özet:
Bilgi, diğer önemli ekonomik varlıklar gibi, bir işletme için değeri olan ve bu nedenleuygun olarak korunması gereken bir varlıktır. Bilginin korunmaması, büyük ve çözülmesi zor problemlere neden olabilir. Bu problemin temel çözümü bilgi güvenliğinin sağlanmasıdır, ancak neyazık ki bilgi güvenliğini tam anlamı ile sağlamanın basit bir formulü yoktur. Bu noktada kurum stratejilerine ve süreçlerine, en uygun bilgi güvenliği yaklaşımının belirlenmesi ve bu yaklaşımlar arasındaki ilişkiler ve yapısal farklılıkların gösterilmesi gerekir.Bilgi güvenliği bilgiyi, ekonomik sürekliliği sağlamak, ekonomik kayıpları en aza indirmek, fırsatların ve yatırımların dönüşünü en üst seviyeye çıkartmak için iç ve dış etkilerle meydana gelebilecek tehlike ve tehditlerden korur.Güvenlik Yönetimi'nin görev tanımı, güvenlik ile ilgili olayların meydana gelmesini, kabul edilebilir maliyetler dahilinde, iş gereksinimleri ile aynı hizada gizliliği, bütünlüğü ve Bilgi İşlem servislerinin erişebilirliğini ve veriyi koruyarak önlemektir.Bilgi teknolojileri güvenliği kavramını anlayabilmek için bilgi teknolojileri yönetim sistemlerini ve bilgi güvenliği içerisinde bu kavramlara verilen önemi anlamak gereklidir. Bilgi teknolojileri güvenlik yönetimi konusunda dünyada en yaygın uygulama alanı bulan üç standart, bu tez kapsamında incelenmiştir. Bu üç standarttan birincisi olan ISO 27001 standardı, ISO 27002 en iyi uygulama standardı çerçevesinde , bilgi teknolojileri güvenlik yönetimi için çok iyi sınıflandırılmış, taktik ve operasyonel seviyede işleyen ve kolay uygulanabilen bir standart iken, CobIT standardının bilgi teknolojileri yönetimine stratejik açıdan bakan ve temelini yönetim kararları, yönetilebilirlik ve denetlenebilirlik üzerine kuran geniş kapsamlı bir yapısı vardır ve bilgi güvenliğini CobIT Security Baseline yani CobIT Güvenlik Temel Çizgisi çerçevesinde destekler.ITIL Güvenlik Yönetimi Süreci, yönetim organizasyonunda güvenligin şeklen uyarlanmasını tarif eder ve böylece bu süreçte sadece temel seviyede bir güvenlik sağlanmakla kalınmaz ayrıca Servis Seviye Anlaşması'nda belirtilenlerin yanında diğer güvenlik gereksinimlere sağlanır.Her üç standartta da, bilgi teknolojileri yönetiminin değişik öğelerinin bu yönetim sistemlerinde yer almakta olduğu değerlendirilmiştir.Tez kapsamında, üzerine odaklanılan bilgi güvenliği ile ilgili standartları sağlayabilmek için , incelenen standartlardan hangisinin uygulanması gerektiği cevaplanması zor bir sorudur ve kesin bir cevabı yoktur. Bu standartların bilgi güvenliği alanında ortak noktalarıda fazla olmasına rağmen, kapsam ve derinlik bakımından birbirlerinden farklıdır. Bu sorunun cevabı şirketin stratejileri , politikaları ve gereksinimleri doğrultusunda, kullanılacak standardın kapsamı, uygulanabilirlik ve maliyet parametrelerine göre değişiklik göstermektedir.Bu tezde, uygulama olarak ABC A.Ş.'de ISO/IEC 27001 standartlarında Bilgi Güvenlik Yönetim Sistemi kurmak için gereken bilgi risklerini belirleme yöntemleri vurgulanmakta ve bu risklerin giderilmesi için ihtiyaç duyulan temel safhalara ait teknoloji, politika ve prosedürler açıklanmaktadır.Bu standartlar kapsamında oluşturulan Bilgi Güvenlik Yönetim Sistemi sayesinde, işletmelerin bilgi varlıklarının güvenlik sürekliliği, yalnızca teknoloji ile değil aynı zamanda tüm şirket çalışanlarının da uyguladığı iş süreçleri ile sağlanabilecektir.

Abstract:
Information, like other economic assets, is a precious asset for an enterprise so it mustbe properly protected. If information is not protected, can cause a large and difficult to solve problems Information security protects information from a broad hazard and treats occurring in the internal and external reasons to assure economic continuity, to minimize economic loss and to maximize return of opportunities and investments.Basic solution of this problem is providing "Information security". Basic solution of this problem is providing "Information security". Unfortunately there is no simple formula that can provide absolute information security. At this point, the most appropriate ISMS approach for corporate strategies and processes need to be determined, also relationships and structural differences between these approaches need to be demonstrated.The mission statement for Security Management is to prevent the occurrence of security related incidents by managing the confidentiality, integrity and availability of IT services and data in line with business requirements at an acceptable cost.To understand information technology security, it is fundamentals to understand importance of information technology management and governance concepts. The three most widely practiced and popular information technology management and governance standards are, first ISO 27001 standard, which is implements with ISMS Best practices standard ISO 27002 and which is a quite easy to implement and understand information technology security management system with a tactical and operational point of view, and the second COBIT standard, which is an information technology governance system with a strategic perspective to implement information technology strategies for manageability and effective auditing of the system and COBIT standard supports information security within Security Baseline Framework of COBIT, and third ITIL Security Management Process describes the structured fitting of security in the management organization and thus by this process, not only a basic level of security but also the determination of the security requirements defined in the SLA and other external requirements can be achieved.All of these three standards include key aspects of information technology security system elements.The scope of the thesis, focused on information security related standards to provide, which examined the implementation of the standards required to answer a difficult question, and there is a definite answer. Although more common points-ofthese standards in the field of information security, in terms of scope and depth are different from each other. The answer to this question varies according to the parameters the company's strategies, policies and requirements, in line with the scope of the standard to be used, application, and the cost.In this thesis, the basic technology, policies and procedures required for the enterprises to establish an information security management system at ABC Co. are explained in order to determine the real risks and eliminate them.By means of this the job processes, not only applied with technology but also with all enterprise workers, created as security management system the continuity will be provided robustly.Making decisions, determining, approaches and methodologies for providing ?information security? , implementation process of ISMS according to ISO27001 and at the scope of ISMS , determining relationships and structural differences between COBIT, ITIL and ISO27001 standards are the basis of this study.