Risk Yönetimi Politikası

1. AMAÇ

Risk Yönetimi Politikamız, Kurumun bilgi varlıklarını, iş süreçlerini ve itibarını tehdit edebilecek potansiyel risklerin sistematik bir şekilde tanımlanması, analiz edilmesi, değerlendirilmesi ve yönetilmesi için kurumsal bir çerçeve oluşturmayı amaçlamaktadır. Bu politika, risklerin kabul edilebilir seviyelerde tutulmasını, düzenleyici gerekliliklere uyumu ve bilgiye dayalı karar verme süreçlerini desteklemeyi hedefler.

2. KAPSAM

Bu politika, Kurumun tüm iş birimlerini, bilgi sistemlerini, süreçlerini, fiziksel varlıklarını ve insan kaynaklarını kapsar. Risk yönetimi süreci; Varlık Yönetimi Politikası kapsamında tanımlanan tüm varlıklar ve Üçüncü Taraf İlişkileri dahil olmak üzere Kurumun tüm faaliyet alanları için zorunludur. Kurumun risk kriterlerinin tanımlanması, gözden geçirilmesi ve uygulanması bu politikanın kapsamındadır.

3. SORUMLULAR

• Üst Yönetim: Kurumun risk iştahını ve risk kabul kriterlerini belirler, kritik risklerin kabulü veya reddine ilişkin nihai kararları verir.
• Bilgi Güvenliği Yöneticisi / Sorumlusu: Bilgi güvenliği risk yönetimi sürecini koordine eder, risk değerlendirmelerinin metodolojiye uygun yapılmasını sağlar ve sonuçları Üst Yönetime raporlar.
• Risk Sahipleri (Varlık ve Süreç Sahipleri): Sorumlu oldukları varlıklara ilişkin riskleri tanımlamak, değerlendirmek ve onaylanan risk işleme planlarını uygulamakla sorumludur.
• Tüm Çalışanlar: Kendi faaliyet alanlarında risk oluşturabilecek durumları bildirmek ve risk yönetimi süreçlerine destek vermekle yükümlüdür.

4. POLİTİKA

4.1. Risk Yönetimi Süreci

Kurum, bilgi güvenliği risklerini proaktif bir yaklaşımla yönetmek için aşağıdaki dört aşamalı döngüyü uygulamalıdır:

• Risk Tanımlama
• Risk Değerlendirme
• Risk İşleme
• Risk İzleme ve Gözden Geçirme

4.1.1. Risk Tanımlama

• Riskler, Varlık Yönetimi Politikası’na uygun olarak oluşturulan varlık envanteri üzerinden tanımlanmalıdır.
• Her varlık için potansiyel tehditler ve zafiyetler belirlenmelidir.
• Fiziksel çevre, yasal düzenlemeler, teknolojik değişiklikler ve operasyonel süreçlerden kaynaklanan iç ve dış risk faktörleri tespit edilmelidir.
• Yeni projeler, teknoloji değişiklikleri ve yeni tedarikçi ilişkileri öncesinde risk tanımlaması yapılmalıdır.

4.1.2. Risk Değerlendirme

Kurum, tanımlanan her bir riskin ciddiyetini belirlemek için aşağıdaki kurallar çerçevesinde risk analizi gerçekleştirir:

• Tanımlanan her risk, Olasılık (Likelihood) ve Etki (Impact) değerleri dikkate alınarak analiz edilmelidir.
• ‘Etki’ değeri hesaplanırken; riskin gerçekleşmesi durumunda Kurumun Gizlilik, Bütünlük ve Erişilebilirlik hedeflerine, operasyonel işleyişine, itibarına ve finansal durumuna vereceği potansiyel zararın şiddeti esas alınmalıdır.
• Olasılık değeri hesaplanırken; ilgili tehdidin mevcut zafiyetleri kullanarak gerçekleşme sıklığı ve ihtimali değerlendirilmelidir.
• Her risk için, Olasılık ve Etki değerlerinin çarpımı veya matris analizi yöntemi kullanılarak Risk Seviyesi hesaplanmalıdır.
• Hesaplanan risk seviyeleri, Kurumun tanımladığı risk kabul kriterleri ile karşılaştırılmalı ve bu kriterlere uygunluğu değerlendirilmelidir.
• Seçilen kontrollerin uygulanmasıyla hedeflenen öngörülen artık risk seviyesi belirlenmeli; kontroller uygulandıktan sonra ise gerçekleşen artık risk periyodik olarak izlenmelidir ve bu seviyenin kabul edilebilir sınırlar içerisinde kaldığı Üst Yönetim tarafından onaylanmalıdır.

4.1.3. Risk İşleme

• Her risk için bir risk sahibi atanmalı ve seçilen işleme stratejisine uygun, sorumlulukları ve zaman çizelgesini içeren bir Risk İşleme Planı hazırlanmalıdır.
• Riskler, analiz sonuçlarına göre uygun risk işleme stratejisi seçilerek yönetilmelidir. Kurum aşağıdaki dört yaklaşımı uygular:-
• Risk Azaltma (Reducing/Mitigation): Riskin olasılığını veya etkisini düşürmek için ek güvenlik kontrolleri uygulamak.
• Risk Transferi (Sharing/Transfer): Riskin finansal veya operasyonel etkisini sigorta yoluyla veya sözleşmelerle üçüncü taraflara devretmek.
• Riskten Kaçınma (Avoiding): Riske neden olan faaliyeti, süreci veya teknolojiyi tamamen durdurmak veya kullanımdan kaldırmak.
• Risk Kabulü (Accepting): Riskin seviyesi, Kurumun “Kabul Edilebilir Risk Seviyesi”nin altındaysa veya kontrol maliyeti riskin etkisinden yüksekse, riskin mevcut haliyle üst yönetim onayıyla kabul edilmesi.

4.1.4. Risk İzleme ve Gözden Geçirme

• Uygulanan risk işleme planlarının ve güvenlik kontrollerinin etkinliği düzenli denetimler/sızma testleri ile sürekli izlenmelidir.
• Risk işleme planlarında tanımlanan kontrollerin uygulanma durumu takip edilmeli ve planlanan tarihlerde kapatılmalıdır.
• Risk değerlendirmesi, yılda en az bir kez veya Kurumda önemli bir değişiklik (yeni sistem, yasal değişiklik, büyük bir güvenlik olayı) olduğunda yenilenmelidir.
• Üçüncü taraflara ilişkin riskler, sözleşme öncesi ve hizmet süresi boyunca periyodik olarak değerlendirilmelidir.
• Risk yönetimi sonuçları, risk seviyesi en yüksek olan riskleri ve iyileştirme planlarını içerecek şekilde düzenli olarak Üst Yönetime raporlanmalıdır.

5. YAPTIRIM

Bu politikaya uyulmaması, kuruluşumuzun insan kaynakları prosedürleri doğrultusunda disiplin cezası ile sonuçlanabilir. Sonuçlar, zorunlu yenileme eğitimi ve yazılı uyarılardan, uzaktan erişim ayrıcalıklarının geçici olarak askıya alınmasına ve ciddi vakalarda ise iş akdinin veya sözleşme yükümlülüklerinin feshine kadar uzanabilir.

İhlallerin yasa dışı faaliyetler içermesi durumunda, ilgili kişiler yürürlükteki yasalar uyarınca hukuki sonuçlarla karşı karşıya kalabilir.

Bu yaptırımlar, siber güvenliğin kritik önemini, bireylerin dijital varlıklarımızı korumadaki rolünü ve politika ihlalleriyle ilişkili potansiyel riskleri vurgulamaktadır. Uygulama, tutarlı ve tarafsız olacak; yaptırımın şiddeti, ihlalin ciddiyetiyle doğrudan orantılı olacaktır.