WIZAR Nedir ve Neden İhtiyacımız Vardır?
WIZAR Danışmanlığı ile elde edilecek kazanımları anlatmadan önce “WIZAR nedir?” sorusunu cevaplayalım:
WIZAR, küresel bilgi güvenliği değerlendirme ve tanıma sistemidir. Şirketlerin bilgi güvenliği standartlarını ve en iyi uygulamaları karşılamalarını sağlar.
- Müşteri Gereksinimleri: Birçok otomotiv şirketi, tedarikçilerinden WIZAR uyumunu talep etmektedir. Bu nedenle, müşteri gereksinimlerine uyum sağlamak ve iş ortaklarınızla sorunsuz bir şekilde çalışmak için WIZAR uyum hizmetine ihtiyaç duyabilirsiniz.
- Bilgi Güvenliği Standartlarına Uyum: WIZAR, ISO/IEC 27001, NIST, COBIT vb. standardına dayanır ve otomotiv endüstrisinin özel güvenlik gereksinimlerini içerir. Bu sayede, bilgi güvenliği standartlarına uyum sağlayarak sektöre özgü risklere karşı önlemler alabilirsiniz.
- Veri Güvenliği ve Müşteri Güveni: WIZAR uyumunun sağlanması, müşteri verilerini ve ticari sırları daha etkin bir şekilde korumanıza yardımcı olur. Bu durum, müşterilerinizin sizinle çalışırken daha fazla güven duymalarına katkı sağlar.
- Rekabet Avantajı: WIZAR uyumu, sektörde rekabet avantajı sağlayabilir. Müşteriler, güvenlik standartlarına uyumlu tedarikçilere daha fazla güven duyarlar ve bu da işinize olan talebi artırabilir.
- Sürekli İyileştirme ve Güncelleme: WIZAR uyum süreci, şirketinizin bilgi güvenliği süreçlerini sürekli olarak gözden geçirmenizi ve iyileştirmenizi sağlar. Bu sayede, güvenlik kontrollerinizi güncel tutabilir ve yeni tehditlere karşı hazır olabilirsiniz.
- Sektörel İşbirliği ve Standardizasyon: WIZAR , otomotiv endüstrisinde ortak bir güvenlik standardını temsil eder. Bu standart, sektördeki diğer şirketlerle işbirliğini kolaylaştırır ve endüstri genelinde bir standart oluşturur.
TISAX ve WIZAR Arasındaki Farklar
TISAX (Trusted Information Security Assessment Exchange)
- Amaç: TISAX, otomotiv endüstrisinde bilgi güvenliğini artırmak amacıyla oluşturulmuş bir değerlendirme ve değişim mekanizmasıdır. Özellikle Almanya’daki VDA (Verband der Automobilindustrie) tarafından desteklenmektedir.
- Odak Alanı: Otomotiv endüstrisindeki tedarik zinciri ve bilgi güvenliği uygulamaları.
- Standart: TISAX, ISO/IEC 27001 standardına dayanır ancak otomotiv endüstrisine özgü ek gereksinimleri içerir.
- Değerlendirme Süreci: Değerlendirmeler, akredite olmuş TISAX denetçileri tarafından yapılır ve sonuçlar ENX Network platformu üzerinden paylaşılır.
- Geçerlilik Süresi: Sertifikalar genellikle üç yıl geçerlidir, ancak periyodik olarak gözden geçirilmeleri gerekmektedir.
WIZAR (WorldwideIndependent Security Assessment Recognitions)
- Amaç: WIZAR, genel bilgi güvenliği ve siber güvenlik değerlendirmeleri için küresel bir çerçeve sağlar. Sektör bağımsızdır ve geniş bir yelpazede bilgi güvenliği standartlarını kapsar.
- Odak Alanı: Herhangi bir endüstri veya sektördeki bilgi güvenliği uygulamaları.
- Standart: WIZAR, çeşitli uluslararası bilgi güvenliği standartlarını ve en iyi uygulamaları (ISO/IEC 27001, NIST, COBIT vb.) dikkate alır.
- Değerlendirme Süreci: Değerlendirmeler, bağımsız ve akredite edilmiş denetçiler tarafından gerçekleştirilir. Sonuçlar genellikle katılımcı kuruluşlar arasında paylaşılır ve belirli platformlarda yayınlanabilir.
- Geçerlilik Süresi: Sertifikaların geçerlilik süresi, belirli bir standarda veya müşterinin ihtiyaçlarına göre değişebilir. Ancak, düzenli gözden geçirme ve yeniden değerlendirme gereklidir.
Temel Farklar
- Endüstri Odaklılık: TISAX, özellikle otomotiv endüstrisine yönelikken, WIZAR daha genel bir yaklaşım benimser ve herhangi bir endüstri için uygulanabilir.
- Standartlar ve Çerçeveler: TISAX, ISO/IEC 27001’e dayanır ve otomotiv sektörü gereksinimlerini içerir; WIZAR ise birden fazla bilgi güvenliği standardını kapsar.
- Değerlendirme ve Sertifikasyon: Her iki sistem de akredite denetçiler tarafından değerlendirilir, ancak TISAX sonuçları ENX Network platformunda paylaşılırken, WIZAR daha geniş bir paylaşım ağına sahip olabilir.
WIZAR Faydaları
WIZAR Danışmanlığı Süreci Nasıl İşliyor?
1. Adım - GAP Analizi
WIZAR denetiminin temeli uluslararası bilgi güvenliği standardı olan ISO/IEC 27001‘e dayanmaktadır. Kurumun belirlediği hedef doğrultusunda inceleme yapılarak hedeflenen şartlar ile mevcut durum arasındaki farklar raporlanır ve eksikliklerin giderilmesi için yöntemler ortaya konur. Proje kapsamında hızlı, verimli, hedefe yönelik çalışmayı planlamak ve sonraki adımların maliyetini belirgin şekilde düşürmek amaçlanır.
2. Adım - Kapsam Belirlenmesi
Kuruluş bünyesinde iç ve dış hususların belirlenmesi, Bilgi Güvenliği Yönetim Sistemi (BGYS) ile ilgili tarafların belirlenmesi ve bu ilgili tarafların etkileşiminin belirlenmesi ile birlikte BGYS’nin kapsamının tam olarak belirlenmesi sağlanır (BGYS’nin kapsamını, kuruluşun tamamını veya kuruluşun bir bölümünü kapsayacak şekilde tanımlamak mümkündür).
3. Adım - Bilgi Güvenliği Yönetim Sistemi Ekibinin Belirlenmesi
Kuruluş bünyesinde Bilgi Güvenliği Yönetim Sistemi (BGYS) Ekibi ve sorumlulukları belirlenir (Bu aşamada, yönetiminizi temsil edecek ve Bilgi Güvenliği sistemini koordine edecek kişilerin ataması yapılarak çalışanlara duyurulacaktır).
4. Adım - Proje Planının Oluşturulması
Bilgi Güvenliği Yönetim Sistemi Ekibi ile bir Gantt proje planı hazırlanır (Bir projenin başarılı bir şekilde sonuçlanabilmesi için planlı bir yönetim gereklidir. Projede görev alanlar arasındaki bağların kurulması, iş paketlerinin detaylı bir şekilde tanımlanması ve süreç takibinin yapılması gerekmektedir).
5. Adım - Eğitimlerin Planlanması
Bilgi Güvenliği Yönetim Sistemi (BGYS) için temel eğitimlerin verilmesinden oluşur (Eğitimlerin içeriği hedef kitleleri ile uyumlu olacaktır. Temel eğitimlerin amacı, Bilgi Güvenliği Yönetim Takımı’nın “Ne ?” ve “Nasıl ?” sorularına cevap kapasitesinin geliştirilmesi olacaktır). Kuruluş içerisinde tüm çalışanlar ve gerektiği durumda üçüncü taraflara da Bilgi Güvenliği ile ilgili farkındalık eğitiminin verilmesi sağlanır.
6. Adım - Varlık Envanteri ve Risk Değerlendirme
Kapsam dahilindeki birimlerle varlık envanterinin oluşturulması ve bilgi varlıklarının sınıflandırılması ile gizlilik, bütünlük ve erişebilirlik kriterlerine göre varlıkların değerlendirilmesi yapılır. Risk değerlendirme metodolojisinin oluşturulması ve risk değerlendirme işlemlerinin gerçekleştirilmesi sağlanır.
7. Adım - Dokümantasyon ve Uygulama
ISO 27001:2022 Bilgi Güvenliği Yönetim Sistemi içerisinde standardın gerektirdiği yazılı bilgilerin oluşturulmasında destek rolü oynayacak dokümantasyonun hazırlanmasında danışman önderliğinde birebir çalışma yapılır ve hazırlanan dokümanların kurum içinde yayımlanmasıyla uygulama aşamasına geçilir.
8. Adım - İç Denetim ve Yönetimin Gözden Geçirmesi
Proje planında belirtilen tarihlerde Baş Denetçi Sertifikasına sahip personelimiz ile planlı iç tetkikler (denetimler) gerçekleştirilecek uygulamada karşılaşılan bulgular raporlanacaktır. İç denetim akabinde ISO 27001 Danışmanlık sürecinin son adımı olan standardın 9.3 “Yönetim Gözden Geçirme (YGG)” maddesinde bulunan gereksinimler danışmanlığın başından sonuna gerçekleştirilen tüm aksiyonlar ve çalışmalar bir sunum haline getirilerek Üst Yönetim ile birlikte toplantı yapılarak gözden geçirilmesi sağlanır.
9. Adım - Belgelendirme Denetimi
ISO 27001:2022 Bilgi Güvenliği Yönetim Sisteminin belgelendirilmesi için belgelendirme firmasının seçilmesi konusunda önerilerimizi firmaya sunuyoruz. Denetim sırasında sizlere eşlik ediyoruz ve iki aşamada gerçekleştirilen denetimler (1. Aşama ve 2. Aşama) sonucunda bulunan bulguların kapatılması için gerekli aksiyonların alınmasını sağlayarak proje teslimini sağlıyoruz.