Siber dayanıklılık olgunluk testi

Teknik sistem listesi değil; müşteriye veya kuruma sunulan kritik hizmet, accountable sahibi ve kabul edilebilir kesinti süresi bilinmelidir.

Bağımlılık haritası olmadan koruma ve kurtarma önceliği güvenilir biçimde kurulamaz.

Hangi riskin hangi yönetim seviyesinde kabul edilebileceği ve hangi durumda eskalasyon gerektiği yazılı olmalıdır.

SLA, olay bildirimi, alternatif sağlayıcı, veri ihracı ve çıkış koşulları kritik bağımlılıklarla birlikte yönetilmelidir.

Yönetici hesapları, servis hesapları, uzak erişim ve tedarikçi yetkileri düzenli gözden geçirilmelidir.

Kritik varlık kapsamı, istisnalar, kapatma süresi ve risk kabulü ölçülebilmelidir.

Yedeklerin bağımsız, değiştirilemez ve geri yüklenebilir olması ayrıca doğrulanmalıdır.

Segmentasyon, güven sınırları, işlem limitleri ve kritik sistem izolasyonu gerçek senaryolarla test edilmelidir.

Görünürlük yalnız ağ cihazlarıyla sınırlı olmamalı; kimlik, veri, uygulama ve yönetim işlemleri kapsanmalıdır.

Use-case kapsamı iş etkisi, tehdit modeli ve kritik varlıklarla ilişkilendirilmelidir.

Yanlış pozitif, kaçırılan olay, MTTD ve log kaybı gibi göstergeler izlenmelidir.

Bir kuralın tanımlı olması, gerçek saldırı zincirini yakaladığını kanıtlamaz.

Teknik, hukuk, iletişim, insan kaynakları, tedarikçi ve üst yönetim kararları aynı komuta yapısında buluşmalıdır.

Fidye yazılımı, hesap ele geçirme, veri sızıntısı ve tedarikçi kesintisi gibi senaryolar önceden çalışılmalıdır.

Delil zinciri, kayıt muhafazası ve bildirim kararları olay anında doğaçlanmamalıdır.

Tatbikat bulguları sahip, süre ve kapanış kanıtıyla izlenmelidir.

Hedefler iş etki analizi ve gerçek bağımlılıklara dayanmalıdır.

Yedek varlığı değil, kanıtlı geri yükleme süresi ve veri bütünlüğü ölçülmelidir.

Tam teknoloji kurtarması beklenirken kritik hizmetin nasıl sürdürüleceği bilinmelidir.

Dersler; politika, mimari, eğitim, tedarikçi ve yatırım kararlarına aktarılmalıdır.