ISACA Certified Information Security Manager

Doğru cevap: D) Güvenlik çalışmalarını iş hedefleriyle hizalamak

Yönetişim, güvenliğin kurumun hedeflerine hizmet etmesini, riskin kabul edilebilir düzeyde kalmasını ve kaynakların doğru kullanılmasını sağlar. Kontrol sayısı tek başına değer üretmez. Kararları BT'ye bırakmak iş sahipliğini ortadan kaldırır; bulgu sayısı ise bir sonuçtur, amacın kendisi değildir.

Doğru cevap: A) Yönetim kurulu ve üst yönetim

Bilgi güvenliği kurumsal yönetişimin parçasıdır; nihai hesap verebilirlik yönetim kurulu ve üst yönetimdedir. CISO programı yönetir ve riskleri raporlar ama riskin sahibi değildir. BT operasyonu kontrolleri işletir, iç denetim ise bağımsız güvence verir.

Doğru cevap: A) Varlığa zarar verebilecek olası olay ya da etken

Tehdit, bir zayıflığı kullanarak varlığa zarar verebilecek olay ya da etkendir; saldırgan, doğal afet ya da insan hatası olabilir. Yama eksikliği zafiyettir (vulnerability). Olasılık ve etkinin birleşimi riski, zararı azaltan önlem ise kontrolü tanımlar.

Doğru cevap: B) Henüz yaması ya da tespit imzası yoktur

Sıfırıncı gün açığı, üretici bilmeden ya da yaması çıkmadan istismar edilir; yama ve imza tabanlı kontroller bu yüzden koruma sağlamaz. Fiziksel erişim şartı açığın türüne bağlıdır, sıfırıncı günün özelliği değildir. Etkisi düşük olmak zorunda değildir ve güncel sistemleri de etkileyebilir.

Doğru cevap: A) Aracı işletecek insan kaynağı planlanmamış

Program kaynakları insan, süreç ve teknolojiden oluşur; alarmları inceleyecek kimse yoksa araç değer üretmez ve olaylar gözden kaçar. Lisans süresi ve arayüz dili ikincil konulardır. Uzun saklama süresi maliyeti etkiler ama tespiti engellemez.

Doğru cevap: C) Ekiplerde güvenliği savunan bir temas noktası olmak

Güvenlik şampiyonu, geliştirme ya da iş ekibinde güvenlik bilgisini taşıyan ve güvenlik ekibiyle bağ kuran çalışandır. Adli inceleme olay müdahale ekibinin işidir. Bütçe onayı yönetimin, bağımsız sızma testi ise ayrı bir test ekibinin görevidir.

Doğru cevap: C) Zararı sınırlayıp işi normale döndürmek

Plan, olay anında kimin neyi yapacağını önceden belirler; amaç zararı sınırlamak ve iş süreçlerini en kısa sürede güvenle normale döndürmektir. Kolluğa bildirim ve saldırganın kimliği bazı olaylarda gerekir ama planın temel amacı değildir. Yatırım gerekçesi olay verisinden beslenebilir ama planın konusu değildir.

Doğru cevap: B) Kritik süreçler ve bunların kurtarma öncelikleri

BIA, bir kesintinin süreçlere zaman içinde vereceği zararı ölçer; kritik süreçleri, bağımlılıkları, RTO ve RPO değerlerini ve kurtarma önceliklerini ortaya koyar. Zafiyet listesi zafiyet yönetiminin çıktısıdır. Ürün seçimi ve eğitim ihtiyacı BIA'nın konusu değildir.