ITIL Nedir? Süreç Haritaları, Versiyon Farklılıkları ve Standardizasyon

ITIL Versiyon2 ile bilinirliği ülkemizdede ciddi oranda artan Bilişim standardizasyonu malesef güncelleme konusunda sıkıntılar yaşamıştır. Bu yazımızda ITIL Versiyon3 üzerinde duruyor ve süreçlerini ana hatları ile inceleyerek devam ediyor olacağız. Veriyon 2 içeriğine yazımızın içerisinde zaman zaman atıfta bulunurken, Versiyon 3 ile arasındaki farkları ve neden versiyon 3 ihtiyacının olduğu konusunu, Ana hatları ile bahsedeceğimiz süreçlerin herbirini, V-Model, ARCI Model yapısını ve uygulama yapısını, ISO 20000 ile arasındaki ilişkiyi ve risk analizleri ile birlikte bizler için çok önem taşıyacak olan bir takım checklister gibi ITIL spesifik tüm konuları makale dizisinde sizlere aktarıyor ve paylaşıyor olacağım.

İlk yazımızda isterseniz ITIL hakkında genel bir giriş yaparak süreç haritasına ve tasarımlara göz atıyor olalım.

ITIL – Bölüm(1)

ITIL kısaltmasını “Bilişim teknolojileri altyapı kütüphanesi” olarak açıklayabiliriz. Peki nedir bu altyapı kütüphanesi. ITIL aslında tam olarak BT Servis Yönetimi framework’ünün(Çatı-iskelet) uygulanmasını sağlamak ve kolaylaştırmak için kullanılan belgeler dizisidir. Bu özelleştirilebilir iskelet, bir Organizasyon içerisine servis yönetiminin nasıl uygulanacağını tanımlar.

İngiliz hükümetinin bir birimi olan CCTA (Central Computer and Telecomunications Agency) tarafından geliştirilmiştir ancak bu çalışma dünya üzerinde birçok özel ve yerel kurum ile birlikte akademisyenlerin de katıldığı bir çalışma ile meydana gelmiştir .

Uygulamaya dayalı bir yaklaşımı yansıtmak için Hizmet Yönetimi uygulamaları olarak bilinen ITIL v3 temel olarak birbiri ile bağlantılı 5 faz’dan oluşmaktadır; (İlerleyen makalelerimizde her bir fazı detaylı olarak açıklıyor olacağız..)

§ Service Strategy

§ Service Design

§ Service Transition

§ Service Operation

§ Continual Service Improvement

Şekil-1: ITIL V3 Mimarisi

Birazdan bu 5 kısımdan bahsediyor olucaz ancak isterseniz biraz daha yukardan bakarak durumu yorumlamaya çalışalım.

ITIL oluşumunu sağlayan 5 başlık aslında Sevis yaşam döngümüzün oluşmasını sağlayan süreçler ile bunların dışında bu süreçleri etkileyen ve BT organizasyonumuzun dışında bulunan iç müşteri ve dış tedarikçi süreçleri servis yaşam döngümüzü etkileyen süreçlerden meydana geliyor. İsterseniz bir örnek vererek açıklamaya çalışalım; Bir Telekomunikasyon firmasının içerisindeki IT Organizasyonu olduğumuzu düşünelim ve vermiş olduğumuz hizmet çerçevesi içerisinde servis yaşam döngüsünü oluşturmuş durumdayız. Hatta bu durumu biraz daha ilerletip iç müşterimiz ile SLA(Service Level Aggrement) imzalamış olalım ve bu anlaşma içerisinde müşterimize oluşan herhangi bir problemi çözme zamanı taahhüt etmiş olalım. Diyelimki sorumlu olduğumuz yapı içerisindeki bileşenlerden biri olan mail sunucumuz herhangi bir sebepten dolayı çalışmıyor ve iç müşterimize destek veremiyoruz. Bu noktada problemi gidermek için dış kaynak kullanıyor yada herhangi bir donanım problemi ise tedarikçi üzerinden parça sağlıyoruz. Tedarikçi üzerinden gerekli olan hizmeti almak için izlemiş olduğumuz prosedürler, geçen zaman ve bu süre içerisinde mail hizmetini veremiyor olmamız yada taahhüt etmiş olduğumuz zaman diliminde problemi çözemiyor olmak nedeni ile oluşan diğer zincir reaksiyonlar aslında çerçevesi çizilmesi gereken ve yaşam döngümüzü etkileyen süreçler haline geliyor.

Yani aslında Sadece kendi IT organizasyonumuz içerisinde yer alan süreçler bizim Servis yaşam döngümüzü tamamlamamıza yeterli olmuyor. Bunların dışında kalan diğer süreçler ile entegrasyon sağlıyor olmakla ancak döngüyü tamamlayabiliyor olduğumuz sonucu oluşuyor.

Yazımızın başındada tanımını vermiş olduğumuz gibi Bir Organizasyon içerisinde Servis Yönetiminin nasıl uygulanacağını, belirlenmiş olan 5 faz ve bunların altında yeralan akış süreçleri ile az önce bahsetmiş olduğumuz dış süreçleri teker teker tanımlayarak Servis yaşam döngümüzü tamamlayabiliriz.

Şekil-1′de görmüş olduğunuz gibi mimari birbiri ile grift bir ilişiki içerisinde yer alıyor. Bir BT Organizasyonu içerisindeki BT stratejilerinin belirlenerek tasarımının yapılması sonrasında servis geçiş süreçlerinin tanımlanması ve operayon süreçlerinin tanımlanması ile servis yaşam döngüsünün büyük bir kısmını tamamlamış oluyoruz. En son fazda ise Servis kalitesinin artırılabilmesi için gereken raporlama, ölçümleme ve iyileştirme işlemlerinin yapılacağı süreçlerin diğer süreçler ile entegre edilmesi ile süreç haritamızı tamamlamış oluyoruz.

Süreçlerin tasarlanabilmesi, uygulanabilmesi,entegre edilebilmesi ve yönetilebilmesi noktasında birtakım ana roller’e ihtiyaç duyulmuş ve ilgili roller tanımlanmıştır. Bu roller organizasyon süreçlerinin analiz edilmesinden sonra deploy edilmelidir. Kısaca bu görevlere bakacak olursak;

§ Service Owner : Bir servisin tasarımı, entegrasyonu, performansı, iyileştirilmesi ve yönetilmesini kapsar.

§ Process Owner : Bir servisin tasarımı, entegrasyonu, performansı, iyileştirilmesi ve yönetilmesini kapsar.

§ Product Manager : İlgili servis gruplarının performansı, iyileştirilmesi ve yönetilmesini kapsar.

§ Service Manager : Oluşum içerisinde yeralan tüm servislerin performansı, iyileştirilmesi ve yönetilmesini kapsar.

Buna paralel olarak iş Modellemesi üzerinden sorumluluk ve rol tanımlarına yukardan baktığımızda Şekil-2 de görünün sorumluluk yapısı hiyerarşik olarak görülüyor.

 

Resim-2

 

Süreçlerin tasarımı, iyileştirilmesi, geliştirilmesi ve yönetilmesi için kullanılmakta olan rollerimizin dışında özellikle servis geçişi ve operasyon süreçleri esnasında tanımlanması gereken bir takım rollerimiz olucak. ARCI Model diye adlandırılan bir matrix yardımı ile görev tanımları yerleştiriliyor olucağız ki bu modelleme yapısı üzerinde ayrı bir yazımızda duracağız.

Resim-3

§ Service Strategy (Hizmet Strateji)

Servis Yönetiminin uygulanması,geliştirilmesi ve tasarlanması konusunda rehber niteliğindedir. Bu konuda BT Organizasyonlarının müşterilerine farklı hizmetler sunmasını ve operasyonel etkinliğini artırmasını amaçlar.

Süreçler;

§ Service Portfolio Management : Hizmet Portföy Yönetimi süreci, Hizmet Portföyü hizmetlerine ilişkin bilgi yönetimi ile ilgilenir

§ Demand Mamagement : Talep süreçleri Yönetimi, müşteri taleplerini anlama ve etkileme ile ilgilenir.

§ IT Financial Management : BT Finans yönetimi, “Maliyetleri yönetmeyi ve anlamayı ” ve Mali anlamda hizmetler ile ilgili fırsatlarla ilgilenir.

Roller ve Sorumluluklar;

§ Business Relationship Manager (BRM): Müşterisinin iş gerekliliklerini ve onların müşterisinin ihtiyaçlarının belirlenmesi noktasında güçlü ilişkiler kurar. Müşterisi adına verimli sonuçlar çıkarabilme noktasında PM ile yakın çalışır.

§ Product Manager (PM) : Servis Yaşam Döngüsündeki servislerin yönetilmesi ve geliştirilmesinden sorumludur.

§ Chief Sourcing Officier (CSO) : CIO(Chief Information Officier) ile yakın işbirliği içerisinde kaynak stratejisinin geliştirilmesi ve kaynakların yönlendirilmesi ve yönetilmesinden sorumludur.

§ Service Design (Hizmet Tasarım)

Servis Tasarımı, iş gereksinimleri değişimi sürecinde önemli bir eleman ve Genel servis yaşam döngüsü içerisinde önemli bir katmandır.

Özelleştirilebilir ve Yenilikçi BT Hizmetleri tasarımı, süreçler, politikalar ve belgeler de dahil olmak üzere mevcutta kabul edilmiş ve gelecekteki iş gereksinimlerini karşılamak için oluşturulan mimarilerdir.

Başarılı bir tasarımın yapılabilmesi için 4P (People,Product,Processes, Partners) tasarımının doğru yapılmasına bağlıdır.

Service Design Package (SDP); Servis Yaşam döngüsünün her bir aşamasındaki gereklilikleri ve bir BT Servisinin bütün yönlerini tanımlar. Bir SDP, her yeni servis, major değişiklik yada bir servisin kaldırılması durumunda yeniden üretilir.

Süreçler;

§ Service Catalogue Management (SCM): Hizmet kataloğu,
Servis Destek sağlayıcısı tarafından BT servisleri hakkındaki bilgilerin merkezi bilgi kaynağı üzerinden iletiminden sorumludur.

§ Service Level Management (SLM): Spesifik hizmetler ile ilişikilendirilmiş garanti seviyeleri, Hizmet sağlayıcı ile ilgili performans seviyeleri, müşteri ile yapılan anlaşmanın yönetilmesi ve güvenliği, fiyatlandırılması konularından sorumludur.

SLM süreçleri içerisinde SLA(Service Level Aggrement), OLA(Operational Level Aggrement) bulunur ve SIP (Service Improvement Plan) ile Service Quality Plan’ın üretilmesini sağlar.

§ Capacity Management : Kapasite Yönetimi servis ömrü boyunca iş, hizmet ve bileşen kapasite yönetimi içerir. Kapasite yönetiminin temel başarı faktörü, tasarım aşamasında göz önünde bulundurulmasıdır.

Tüm Kapasite ve performans tabanlı sorunların yönetimine ve hizmet ve kaynaklara ilişkin iş taleplerinin uyuşmasına odaklanır.

3 Ana faaliyet sözkonusudur;

§ Business Capacity Management

§ Service Capacity Management

§ Component Capacity Management

§ Availability Management : Kullanılabilirlik Yönetimi, kurgulanan SLA(Servis seviyesi Anlaşması) içerisindeki kullanılabilirlik gereksinimlerinin ve yönetiminin başarısı ile ilgilidir.

Kullanılabilirlik, Gerektiğinde sistem, hizmet yada Configuration-Item fonksiyonu gerçekleştirme yeteneği olarak tanımlanır.

§ IT Service Continuity Management (ITSCM) : Herhangi bir felaket olayı esnasında BT hizmet ve servisleri için planlama ve risk yönetimi ile ilgilenir.

BIA (Business Impact Analysis) ve MOR(Management of Risk) tekniklerini kullanarak iş sürekliliği yönetiminde büyük çaba harcar.

§ Information Security Management (ISM) : Servisler de dahil olmak üzere tüm BT envanterlerini gelebilecek tehditlere karşı korumak ile ilgilenen süreçtir.

5 temel niteliğin korunması üzerinde duruluyor;

§ Confidentiality

§ Integrity

§ Availability

§ Authenticity

§ Non-Repudiation

§ Supplier Management : Tedarikçi Yönetimi aslında Service Level Management((SLM)- Hizmet seviyesi yönetimi))’ne çok benzer bir rol oynar ve Hizmet tasarımı içerisinde kritik bir rol alır. İç tedarikçi ve müşterilerden daha çok dış tedarikçiler ile ilgilenir.

Özellikle son yıllarda oranı artan dış tedarikçi ile yapılan anlaşmalardan da anlaşılabileceği üzere kendi müşterilerine daha iyi hizmet verebilme noktasında dış tedarikçilere olan bağımlılık artmıştır.

Roller ve Sorumluluklar;

§ Service Design Manager : Hizmetler ve süreçler noktasında oluşturulan tasarım ve genel koordinasyon dan sorumludur.

§ IT Designer /Mimar : Planlama, tasarım, strateji, mimari, tasarım için gereken teknolojiler ve genel koordinasyondan sorumludur.

§ Service Catalogue Manager : Doğru bir Hizmet kataloğunun oluşması noktasındaki üretim, geliştirme ve bakımdan sorumludur.

§ Service Level Manager : Hizmet Seviyesi kalitesinin karşılanabilmesi ve kabul edilebilir olmasından sorumludur.

§ Availability Manager : Tüm Servislerin kabul edilebilir hedeflerine ulaşmasından sorumludur.

§ IT Service Continuity Manager : İş ihtiyaçları, gereklilikleri ve zaman çizelgelerine uygun olarak tüm servislerin iyileştirilmesinden sorumludur.

§ Capacity Manager : BT Kapasitesinin bügünkü ve gelecekteki iş talepleri ile uyumlu olmasından sorumludur.

§ Security Manager : Belirlenmiş iş güvenliği politika riskleri, etkileri ve gereksinimleri ile BT güvenliğinin uyumlu olmasından sorumludur.

§ Supplier Manager : BT Tedarikçileri,sözleşmeleri ve anlaşmaların iş ihtiyaçlarına uyumlu olması ve değerinden sorumludur.

§ Service Transition (Hizmet Geçiş)

Hizmet geçiş rolü, Operasyonel süreçte kullanılmak üzere iş gerekliliklerini iletir.

Hizmet geçişi, Servis tasarım aşamasından Hizmet tasarım paketini alması ile başlar ve Operasyonel aşamaya devam eden operasyon ve hizmet desteği için gerekli tüm bilgileri ve elemanaları teslim eder.

İş Koşulları, gereksinimleri yada varsayımlar tasarım sürecinden sonra değişime uğradıysa, Hizmet geçiş aşamasında gerekli hizmeti sunmak için bir takım değişiklikler gerekebilir. Unutulmaması gereken en önemli nokta Hizmet Geçişi sadece uygulamalarla ve/veya normal şartlar altında nasıl kullanıldığı ile değil hizmetlerin tüm yönleri ile uygulanmasından sorumludur.

Süreç içerisinde bilinmesi gereken V-Model yapısını ve RFC,CI,CMS,CAB,ECAB gibi tanımları ve içeriği hakkındaki detayları, süreci daha derin incelediğimiz makalenin içinde bulabilirsiniz..

Süreçler;

§ Change Management : Değişiklik Yönetimi, ilgili değişikliklerin değerlendirilmesi, kayıt edilmesi, önceliklendirilmesi, planlanması, test edilmesi, uygulanması, dökümante edilmesi ve düzenli şekilde gözden geçirilmesini sağlar.

Bir Hizmet değişikliği, ek, yetki , planlama yada desteklenen hizmet yada hizmet bileşeni gibi üzerinde olabilecek değişiklik ve ilgili dökümanlarla ilişkilendirilmesidir.

§ Service Asset and Configuration Management (SACM) : Bir Organizasyonun altyapısını oluşturan ilişkileri, tüm varlıkların kontrolünü ve bilgilerin doğruluğunu sağlar. Yapılandırma öğeleri (Configuration Item(CI)) ve hizmet varlıkları’nın belirlenmesi, kontrol edilmesi ve hesaplanması ile birlikte Servis yaşam döngüsü boyunca kendi bütünlüğünü sağlamayı ve korumayı amaç edinir.

§ Knowledge Management : Bilgi Yönetimi, işin gerektirdiği hizmet desteğini, doğru kişiye doğru bilgi ile doğru zamanda iletmekten sorumludur.

Roller ve Sorumluluklar;

Bir Organizasyon içerisinde hizmete geçiş sunan personel; etkin, verimli ve va olan çeşitli seçenekleri sunmak için organize edilmelidir.

Tipik bir organizasyon içerisinde bu roller tahmin ile değil ayrı bir grup olarak düşünülür. Bu Daha fazla beceriye ve deneyime sahip Aynı insanlar Birden fazla yaşam döngüsü aşamalarına dahil olabilir anlamına gelir.

§ Service Operation (Hizmet Operasyon)

Hizmet Operasyonu, Kullanıcılarına ve Müşterilerine belirlenmiş hizmet seviyesini sağlayacak olan uygulama yönetimi, teknoloji ve altyapı hizmet desteği sunar.

Bu hizmetler sadece servis yaşam döngüsünün bu aşamasında işe gerçek değerini verir. Hizmet yaşam döngüsü, Hizmet operasyonu aşamasında, kabul edilen parametreler dahilinde faaliyet sağlamakla ilgilenir. Herhangi bir hizmet kesintisi meydana geldiğinde, Servis operasyonu olabildiğince çabuk şekilde servisleri geri yüklüyerek iş etkisini en aza indirgiyor.

Bu sürecin fokus olduğu birtakım parametreler olan “Reactive-Proactive”, “Internal-External”, “Cost-Quality”, “Stability- Flexibility” arasında denge sağlamak durumundadır. Eğer bu dengeyi kuramazsa Hizmet Operasyonu kötü olarak görünüyor olucaktır.

En önemli kısımlardan biri ise operasyon esnasında olan iletişim dir ver her ne olursa olsun iletişimin doğru algılanması kurulması gerekir. Bu ilişkiler;

§ BT Hizmet sağlayıcı ile kullanıcı arasındaki iletişim..

§ BT Hizmet sağlayıcı ile Müşteri arasındaki iletişim..

§ BT Hizmet sağlayıcı içerisinde yer alan farklı süreçler, fonksiyonlar ve takımlar arasındaki iletişim..

§ BT Hizmet sağlayıcı ile tedarikçileri arasındaki iletişim..

Süreçler;

§ Incident Management : Sorun Yönetimi, olası herhangi bir sorunun bildirilmesi ile gelen isteğin işe etkisinin en aza indirgenmesi noktasında Çoğunlukla servislerin hızlı şekilde restorasyonu sağlar. Fakat bazı vakalardan durum sorun yönetiminden çıkarak yardım masası tarafından sahiplenilir ve uygulanır.

Temel aktiviteler;

§ Detection

§ Logging

§ Classification

§ Prioritization

§ Investigation and Initial Diagnosis

§ Escalation

§ Resolution and Recovery

§ Closure

§ Problem Management : Problem yönetimi,Vaka’ya sebep olan oluşumun içerisindeki hata yada kusuru düzeltmek ve tanımlamak ile ilgilenir. Sorunların azalmasına ve engellenmesini yardımcı olur ve iki alt süreçten oluşur;

§ Reactive Problem Management : Genellikle Sorun yönetimi süreci tarafından yönlendirilen problemlerin aşılması sürecidir.

§ Proactive Problem Management : Hata-Sorun isteği gelmeden önce servisler ve altyapı üzerinde Proaktif olarak iyileştirme aramaları yapan süreçtir.

§ Event Management : Olay Yönetimi, Altyapı üzerinde oluşan olayların tespiti ve uygun müdahale eylemlerinin seçimi ile ilgilenir. Olayların erken tespit ediliyor olması, etkilenen kullanıcılar tarafından gelecek hata sayılarının düşmesine neden olacağı gibi, Sorun yönetimi sürecinin performansını artırarak olayların azalıtması sağlanmış olur. 3 Tip olay vardır;

§ Informational

§ Warning

§ Exception

§ Access Management : Erişim Yönetimi kimlik ve haklar ile ilgilenir. Bu süreç kimlik ve yetki doğrulama, hizmetlere erişim verme, işlem günlüğü, erişim izleme-kaldırma yada durum veya rollerin haklarını değiştirmeyi içerir.

Erişim Yönetimi, gizlilik, kullanılabilirlik ve veri bütünlüğünü yönetmenize yardımcı olur. Yetkili olmayan kullanıcıların erişimlerini engellerken, erişim yetkisi olan kullanıcıların bir servise yada servis grubuna erişimini sağlar.

§ Service Request Fulfillment : Hata yönetimine ddahil edilemiyecek ortak kullanıcı istekleri olarak adlandırılmaktadır. Yeni bir ekipman yada bir eğitim isteği bu başlığın altında değerlendirilir. Özellikle belirli periyotlarda kullanıcılar tarafından yapılmakta olan bir isteğin cevaplandırılması için idealdir.

Bütün istekler kayıt edilmeli ve izlenilmelidir. Bu süreç içerisinde aynı zamanda dikkat edilmesi gereken en önemli konu ise isteğin cevaplanmadan önce onay sürecine sokulmasıdır.

§ Continual Service Improvement (Hizmet İyileştirme Sürekliliği)

Değişen iş ihtiyaçlarına göre fonksiyonların, süreçlerin ve hizmetlerin yeniden uyumlu hale getirilmesi sürecidir. Aynı zamanda Genel Hizmet yönetimi içerisindeki kalite yönetim yöntemleri uygulama tutarlığı ile ilgilenir.

ITIL içerisinde “Ölçü (Measurement)” kritik bir rol almaktadır. Hizmet iyileştirme sürekliliğinin bi parçası, aynı zamanda Hizmet seviyesi Yönetiminin ve tüm süreçlerin önemli bir parçasıdır. Ölçümleri burada 4 temel amaç için kullanılabilir;

§ Doğrulamak (Justify)

§ Direkt (Direct)

§ Müdahale (Intervenne)

§ Onaylamak (Validate)

(Bir sonraki makalemiz içerisinde metodlarından bahesediyor ve ölçümlemedeki kritik noktalardan bahsediyor olacağız.)

7 adımda iyileştirme süreci ölçümleme ile Hizmet performansının düzeltilmesi ve iyileştirilmesini sağlıyor. İsterseniz kısaca bu adımların ne olduğuna bakıyor olalım;

§ Karar à Ne Ölçülmelidir

§ Karar à Ne Ölçülebilir

§ Veri Toplama

§ Veri İşleme

§ Veri Analizi

§ Veri Kullanma ve sunma

§ Düzeltici Eylem (Aksiyon) uygulama

Hizmet Seviyesi Yönetimi (SLM) aynı zamanda Servis Tasarım yaşam döngüsü aşamasının içerisindeki süreçlerden birisidir. Bir çok aktivite ve nesne Hizmet iyileştirme sürekliliği ile ortaktır. Özellikle her iki Hizmet seviyesi yönetimi ve iyileştirme sürekliliği düzenli ölçüm, servislerin gözden geçirilmesini ve servis yönetim başarımının diğer yönlerini vurgulamaktadır.

Service Improvement Program (SIP); Hizmet İyileştirme Planı yada Hizmet İyileştirme Programı, Hizmet iyileştirme sürekliliğinin bir parçası olarak yada Hizmet seviyesi yönetimi sürecinin bir parçası olarak yürütülen periyodik hizmet değerlendirmesinin birincil çıktısıdır.

ITIL yapısını oluşturan herbir parça birbiri ile grift ilişki halindedir ve süreçlerin iç içe geçtiği birçok noktada genel yorum kullanmamız gerekir. Bu yazımızda olabildiğince detaylara girmeden Ana hatları ile bir resim çizmeye çalıştım. Bundan sonraki yazılarımız içerisinde spesifik bir konu ve detayları üzerinde durarak ilerliyor olacağız. Bilgilerin yararlı olduğunu umut ediyorum.

Kaynak: http://www.mshowto.org/author/okanogras

 

COBIT ve ITIL İlişkisini Merak Edenlere İlker Tutu’dan Güzel Bir Yazı..

COBIT ve ITIL

CobiT nedir?

Türkiye’de son yıllarda özellikle finans sektöründe bir CobiT rüzgârı almış başını gidiyor. Geçen birkaç yıl içerisinde bu rüzgâr finans sektörüyle de sınırlı kalmayıp üretimden eğlenceye, büyük holding şirketlerinden kobilere pek çok farklı alanda görülmeye başladı. Peki, nedir bu CobiT? Yazımda sizlere CobiT’i tanıtmaya ve nasıl kullanabileceğinizi göstermeye çalışacağım.

CobiT’in tanımı

Tanım olarak CobiT, “Control Objectives for Information and Related Technology” nin kısaltılmış halidir. Türkçe ifade etmek gerekirse “Bilgi ve ilgili teknoloji için kontrol hedefleri”.  Bu tanım, CobiT’in amacını ifade etmesi açısından önemlidir. CobiT, Bilgi Teknolojileri yönetiminde ulaşılması gereken hedefleri ortaya koymaktadır.

 

Benzer standartlardan farkı nedir?

CobiT’i, ITIL, CMMI ve ISO standartlarından ayıran en büyük özelliği tüm BT fonksiyonlarını kapsayan bir çerçeve sunmasıdır.  Farklı şekilde ifade etmek gerekirse CobiT içerisinde yer alan 34 süreci bir arada değerlendirdiğinizde BT yönetiminin her alanını kapsama almış olursunuz. Bu nedenle diğer standartlardan farklı şekilde, CobiT’in tek veya grup halinde BT süreçlerine değil BT’nin yönetilmesine odaklandığını söylemek doğru olur.

CobiT’in diğer bir özelliği de, içerisindeki süreçlerin nasıl uygulanması gerektiğine dair detaylı çözüm yöntemleri içermemesidir.  Esas olarak kontrol hedeflerinden oluşmaktadır ve bu hedefler o süreç içerisinde sağlanması gereken en iyi uygulamaları açıklamaktadır. Fakat birkaç istisna dışında bu süreçlerin hiçbiri için kontrol hedeflerine ulaşılmasını sağlayacak bir yöntem, şablon veya tasarım önermemektedir.  Örnek vermek gerekirse, DS5 Sistem Güvenliğinin Sağlanması sürecinde sistemlere ve bilgiye erişen kişilerin kimliklerinden emin olunması gerektiği belirtilir. Ancak bunun yapılması için kullanılabilecek yöntemlerden (kullanıcı adı/şifre, biyometrik kimlik doğrulama, token, fiziksel sınırlama vb) bahsedilmez. Uygulama sırasında bu tür kontrol örneklerine ihtiyaç duyulabileceği göz önünde bulundurularak ISACA tarafından “CobiT Control Practices” adında CobiT’e ek bir kılavuz dokümanı yayınlanmıştır.

Öne çıkan özellikleri

CobiT aşağıdaki genel özellikleri gösterir:

·         Bilgi Teknolojileri’nin şirketin iş (ticari) amaçlarına hizmet etmesi gerektiğini benimser,

·         BT stratejisi ile iş stratejisinin uyumunu sağlamaya çalışır,

·         Bu özellikleriyle modern BT Yönetiminin kabul görmüş kurallarını içerir,

·         İçerisindeki 34 süreç ile neredeyse tüm BT fonksiyonlarını kapsar,

·         Diğer BT yönetimi standartları ile (ISO, ITIL, CMMI, MOF, vb) uyumludur,

·         Her sektörden ve her boyuttaki şirket tarafından kullanılabilir,

·         Denetim, süreç iyileştirme, süreç yönetimi, ölçüm, karşılaştırma vb farklı kullanım amaçları vardır.

 

CobiT süreçleri

CobiT içerisinde 4 ana başlık altında toplam 34 süreç bulunmaktadır. Yukarıda da belirttiğimiz gibi bu 34 süreç, pek çok şirket için BT fonksiyonlarının hemen hepsini kapsar. CobiT içerisinde aşağıdaki süreçler bulunmaktadır:

Planlama ve Organizasyon

 

PO 1 Stratejik BT planının tanımlanması

PO 2 Bilgi mimarisinin tanımlanması

PO 3 Teknolojik yönün belirlenmesi

PO 4 BT süreçlerinin organizasyonunun ve ilişkilerinin tanımlanması

PO 5 BT yatırımlarının yönetimi

PO 6 Yönetimin amaçlarının iletilmesi

PO 7 BT İnsan kaynakları yönetimi

PO 8 BT Kalite yönetimi

PO 9 BT riskinin değerlendirilmesi ve yönetimi

PO 10 Proje yönetimi

Edinim ve Kurulum

AI 1 Çözümlerin belirlenmesi

AI 2 Uygulama yazılımının geliştirilmesi ve bakımı

AI 3 Teknoloji alt yapısının oluşturulması ve bakımı

AI 4 Operasyon ve kullanımın sağlanması

AI 5 BT kaynaklarının satın alınması

AI 6 Değişiklik yönetimi

AI 7 Çözümlerin ve değişikliklerin uygulanması ve akredite edilmesi

Hizmet ve Destek

DS 1 Hizmet seviyelerinin tanımlanması ve yönetimi

DS 2 Üçüncü kişilerden alınan hizmetlerin yönetimi

DS 3 Performans ve kapasite yönetimi

DS 4 Hizmet sürekliliğinin sağlanması

DS 5 Sistem güvenliğinin sağlanması

DS 6 Maliyetlerin belirlenmesi ve dağıtılması

DS 7 Kullanıcıların eğitimi

DS 8 Hizmet sunumu yönetimi ve olay yönetimi

DS 9 Konfigürasyon yönetimi

DS 10 Problem yönetimi

DS 11 Veri yönetimi

DS 12 Fiziksel çevre yönetimi

DS 13 Operasyon yönetimi

İzleme ve Değerlendirme

 

ME 1 Bilgi sistemleri performansının izlenmesi ve değerlendirilmesi

ME 2 İç kontrolün izlenmesi ve değerlendirilmesi

ME 3 Mevzuata uyumun sağlanması

ME 4 Bilgi sistemlerine ilişkin kurumsal yönetişimin temini

İçeriği

CobiT içerisinde, yukarıdaki her bir süreç için aşağıdakiler bulunmaktadır:

1.       Sürecin tanımı

 

Süreç tanımı, her CobiT sürecinin ilk sayfasında bulunur ve sürecin genel hatlarını belirler. İçerisinde şu bilgiler bulunur:

·         İlgili süreç hedefleri

o   Etkinlik

o   Verimlilik

o   Gizlilik

o   Bütünlük

o   Erişilebilirlik

o   Uyum

o   Güvenilirlik

·         Sürecin amacı

·         Sürecin, iş süreçleri açısından önemi

·         Odaklanılan konular

·         İçerisindeki temel faaliyetler

·         Başarı göstergeleri

·         İlgili BT yönetişimi alanları

o   Stratejik uyum

o   Değer üretimi

o   Risk yönetimi

o   Performans ölçümü

o   Kaynak yönetimi

·         İlgili BT unsurları

o   Uygulama

o   Bilgi

o   Altyapı

o   İnsan

Süreç tanımı, CobiT’in en çok kullanılan ve en faydalı alanlarından birisidir. Kullanımına örnek olarak her iş yerinde bulunan bir süreci ele alalım: “Performans ve kapasite yönetimi”. Elbette sistemlerimizin performans ve kapasitesini yönetiyoruz, peki şu soruların yanıtlarını verebiliyor muyuz?

·         Kapasite ve performans yönetimi ne demektir?

·         Biz bu süreci daha iyi işletince şirketin ticari faaliyetleri bundan nasıl yarar sağlamaktadır?

·         Sürecin ana adımları nelerdir?

·         Süreçte nelere odaklanılmalıdır?

·         Performans ve kapasite yönetimini ne kadar iyi yaptığımızı nasıl ölçebiliriz?

2.       Detaylı kontrol hedefleri

 

Detaylı kontrol hedeflerinde sürecin işletilmesi ile ulaşılması gerekli hedefler yani iyi uygulamalar bulunmaktadır. Detaylı kontrol hedefleri, her süreç için farklı şekilde kategorilere göre ayrılmıştır. Bu bölüm ayrıca, CobiT esaslı denetimlerde uyulması gerekli bir kriter listesi olarak kullanılır. Benzer şekilde CobiT uyumluluğunun sağlanması amacıyla gerçekleştirilen süreç iyileştirme çalışmalarının da dayanak noktası detaylı kontrol hedefleridir.

Örnek olarak “DS3 Performans ve Kapasite Yönetimi” süreci üzerinden ilerlemek istersek, içerisinde şu kategoriler altında, ulaşılması gerekli hedefler bulunmaktadır:

·         DS3.1 Performans ve kapasite planlaması

·         DS3.2 Mevcut kapasite ve performans

·         DS3.3 Gelecekteki kapasite ve performans

·         DS3.4 BT kaynaklarının erişilebilirliği

·         DS3.5 İzleme ve raporlama

 

 

3.       Yönetim kılavuzları

 

Bu sayfada, sürecin yönetilmesi için gerekli bilgilere yer verilmektedir. İçerisinde şu konularda bilgiler bulunur:

·         Süreç girdileri ve çıktıları: Sürece girdi olabilecek bilgiler, dokümanlar veya diğer faaliyet sonuçları ile bu sürecin sonunda diğer süreçlere girdi olacak unsurlar.

·         Süreçteki roller ve sorumluluklar (RACI tablosu): Her bir süreçle ilgili öne çıkan faaliyetler ve bu faaliyetlerin gerçekleştirilmesi sırasında işletimden sorumlu, hesap vermekten sorumlu, danışılan ve bilgi verilen organizasyonel roller.

·         Süreç hedefleri ve ölçüm kriterleri: Sürecin hangi şartlar gerçekleştiğinde başarılı sayılacağı ve sürecin ne kadar iyi işletildiğinin nasıl ölçülebileceği.

4.       Olgunluk modeli (Toplam bir sayfa)

 

CobiT, ayrıca her bir sürecin ne kadar olgun şekilde yönetildiğinin belirlenebilmesi ve benzer şirketlerle karşılaştırılabilmesi için bir olgunluk modeli sunmaktadır. Olgunluk modeli 0 ile 5 arasında 6 lı bir skala içermektedir ve her bir seviyeye ulaşılması için sağlanması gerekli kriterler, her bir sürece özel olarak detaylı şekilde belirtilmiştir. Olgunluk modelinde şu seviyeler bulunmaktadır:

Olgunluk seviyesi	Açıklama
0. Tanımlanmamış	Süreç konusunda şirket bünyesinde herhangi bir bilinç bulunmamaktadır. Yönetim sürecin varlığından/gerekliliğinden haberdar değildir.
1. Düzensiz	Sürecin gerekliliği bilinmektedir ancak düzenli şekilde uygulanmamaktadır
2. Tekrarlanabilir	Süreç tekrarlanabilir şekilde uygulanmaktadır ancak sürecin kriterleri ve uygulama esasları tanımlanmamıştır
3. Tanımlı	Süreç tanımlanmıştır ve tanımlandığı şekilde işletilmektedir
4. Ölçülebilir	Sürecin ne kadar iyi işletildiği ölçülmektedir
5. Optimize edilmiş	Süreç, sürekli olarak iyileştirilmektedir

Bilgi Teknolojileri süreç eşleştirme tabloları

 

CobiT içerisinde ayrıca, iş hedeflerinin bilgi teknolojileri hedefleri ile bağlantılarının kurulabilmesi amacıyla kılavuz olabilecek üç farklı tablo sunulmaktadır.

i)                    İlk tabloda iş hedefleri, bilgi teknolojileri hedefleri ve CobiT bilgi kriterleri ile eşleştirilmiştir. Bu tablo kullanılarak, örnek iş hedefleri için, bu hedefleri destekleyen bilgi teknolojiler hedefleri ve ilgili CobiT bilgi kriterleri görülebilir.

ii)                   İkinci tablo, CobiT içerisindeki BT süreçleri ile genel BT hedefleri ve bilgi kriterlerinin eşleştirilmesini içerir.

iii)                 Üçüncü tabloda ise her bir BT süreci için desteklenen BT hedefleri tersten gösterilmiştir.

Kullanım alanları

CobiT pek çok farklı amaçlar için kullanılabilir. Günümüzde en yaygın görünen kullanım amaçları şunlardır:

Denetim: CobiT, içerisinde karşılaştırma yapılabilecek iyi uygulamaları barındırması nedeniyle bir denetim aracı olarak kullanılabilir. Ayrıca, BT süreçlerinin listelenmesi sayesinde denetim kapsamının belirlenmesinde kolaylık sağlamaktadır. Bu özellikleriyle, birden fazla denetçi tarafından farklı şirketlerde yapılan denetimlerin kapsamlarının ve uyum kriterlerinin aynı şekilde değerlendirilebilmesini sağlar.

BT Süreç yönetimi: CobiT’in hemen hemen tüm BT fonksiyonlarını içeren bir çerçeve sunduğundan bahsetmiştik. Bu çerçeve sayesinde BT yöneticileri aşağıdaki soruların yanıtlarını CobiT’te bulabilir:

–          Hangi süreçleri oluşturmalıyım?

–          Bu süreçlerde hangi adımlara yer vermeliyim?

–          Rol ve sorumlulukları nasıl dağıtmalıyım?

–          Bu süreçleri ne kadar iyi uyguladığımı nasıl ölçebilirim?

 

İyi uygulamalar: CobiT, detaylı kontrol hedefleri sayesinde, her bir BT süreci için dünyada kabul görmüş en iyi uygulamaları da içermektedir. İyi uygulamalar, süreçte bulunması gerekli faaliyetleri, sorumlulukları, oluşturulması gereken rolleri, süreçlerin işlem sıralarını, süreçlerde kullanılması gereken girdileri ve oluşturulması gereken çıktıları ve buna benzer bilgileri içerir. Ek olarak, “CobiT control practices” dokümanında daha detaylı örnek alınabilecek kontrol tanımları bulunmaktadır.

Karşılaştırma aracı: İçerisindeki olgunluk modeli ile her bir BT sürecinin ne kadar olgun işletildiğinin belirlenmesi ve benzer şirketler ile karşılaştırılmasına da imkân vermektedir.

Türkiye’de CobiT

Türkiye’de CobiT’in kamuoyuna ilk yansıması BDDK’nın, bazı bankaları CobiT esaslı bir özel denetime tabi tutmasıyla gerçekleşti. Benzer bir çalışmanın 2006 yılında tüm bankalara genişletilerek zorunlu tutulması ve her iki yılda bir kez tekrar edilmesi sonucunda tüm bankalar CobiT ile tanışmış oldu. Başlangıçta yaşanan zorlukların ardından, bugün bakıldığında bankalar BT süreçlerini bir standarda uygun olarak yürütmenin meyvelerini daha kontrollü, verimli ve etkin bir BT şeklinde toplamaktalar.

Aslına bakarsanız, BDDK’nın denetim şartının çok öncesinde BT süreçlerini CobiT’e uygun şekilde yöneten bankalar bulunmaktaydı.

Fakat bankacılık CobiT’in görülebildiği tek yer değil elbette. Bankalara ek olarak, finans ve üretim sektörlerinde “olgun” sayılabilecek pek çok şirkette CobiT’i süreç yönetimi için kullanmakta. Bu konuda hem şirketlerdeki bilinç hem de bankacılık dışındaki sektörlere yönelik düzenlemeler de hızla gelişiyor.

CobiT sertifikasyonu

Gün itibariyle şirketler için bir CobiT’e uyum sertifikası yoktur. Ancak ISACA’nın CobiT 5.0 versiyonu ile birlikte bir uyum sertifikası oluşturma ve düzenleme planı bulunduğu gelen duyumlar arasında.

CobiT kaynakları

CobiT, kâr amacı gütmeyen bir kuruluş olan ISACA (“Information Systems Audit and Control Association”) ve ISACA tarafından kurulmuş olan ITGI (“IT Governance Institute”) tarafından yayınlanmaktadır.

CobiT’in en önemli kaynağı, ISACA tarafından yayınlanan CobiT 4.1 kitapçığıdır. Bu kitapçığın pdf versiyonu isaca.org/cobit adresinden ücretsiz olarak indirilebilir.

Ayrıca ISACA tarafından yayınlanan aşağıdaki kaynaklar bulunmaktadır:

CobiT Online: Isaca.org üzerinden üye olunarak ulaşılabilen ve CobiT ile ilgili tüm bilgilere ulaşılabilecek bir web sitesi

CobiT Control practices: Süreçlerin oluşturulması sırasında, CobiT Kontrol hedeflerinin sağlanabilmesi için oluşturulabilecek örnek kontroller

CobiT Assurance Guide: CobiT denetimlerinde sorgulanabilecek alanlar ve soru örnekleri

CobiT Quickstart: CobiT’in bütününün yerine deha kısıtlı bir versiyonunun uygulanması gereken durumlarda (kaynak sıkıntısı, süreç olgunluklarının çok düşük olması vb.) kullanılabilecek bir hızlı başlangıç versiyonu

CobiT eşleştirmeleri (mapping): CobiT’in farklı pek çok standart ile karşılaştırılması ve hangi alanların örtüştüğünün belirlenebilmesi için oluşturulmuş çeşitli dokümanlar

CobiT’in geleceği

CobiT’in şu andaki en son versiyonu CobiT 4.1’dir. Ancak, yaklaşık iki yıl önce başlayan çalışmalar sonucunda 5.0 versiyonunun yayınlanmasına çok yaklaşılmıştır. 2011 yılında yayınlanması beklenen yeni versiyon ile ISACA tarafından yayınlanan Risk IT ve Val IT’nin CobiT içerisinde birleştirilmesi, CobiT sertifikasyonunun mümkün hale getirilmesi gibi pek çok yenilik bekleniyor.

Türkiye’de ise her geçen gün farklı sektörlerdeki pek çok şirkette CobiT’in kullanıldığına şahit oluyoruz. Yasal düzenlemeler tarafında ise BDDK’nın yanı sıra  Hazine Müsteşarlığı ve SPK’nın da gelişmeleri izlediği ve BT’ye yönelik düzenlemelerinde CobiT’i göz önünde bulundurduğu bilinen konular.

Sonuç olarak, CobiT tüm dünyada olduğu gibi Türkiye’de de her geçen gün daha fazla şirket tarafından tanınıyor ve uygulanıyor. CobiT’in diğer standartlar ile uyumu, gözle görülebilen faydaları ve kendine özgü yaklaşımı ile bu gelişme hız kesmeyecek gibi.

COBIT ve ITIL Arasındaki Fark

CobiT ve ITIL’ın amaçları birbirinden farklı. Sınıflandırma yapılırken CobiT; Risk IT, Val IT, BMIS ve ISO38500 gibi standartlarla birlikte stratejik seviyede sınıflandırılıyor. ITIL ise MoF, ISO20000 vb ile birlikte operasyonel seviyede değerlendiriliyor. Farklı alanlarda ve seviyelerde oldukları için bu standartların hepsi birlikte kullanılmalı.

Kaynak: İlker Tutu, PwC, http://www.cozumpark.com/blogs/cobit-itil/archive/2010/11/21/cobit-nedir.aspx

COBIT Nedir?

Organizasyonların iş hedeflerini ve gereksinimlerini karşılayacak bilgilerin üretimi ve aktarımının hızlı, sürekli ve güvenli olarak sağlanabilmesi için teknoloji kullanımından kaynaklanan risklerin belirlenmesi, yönetimi ve kontrolünün etkin ve verimli olarak yapılması gerekmektedir. Kısaca “Teknoloji risklerini nasıl yöneteceğiz ve bağlı oldukları yapıyı daha
güvenli hale nasıl getireceğiz?” sorularının yanıtları, sadece bilgi işlem yöneticileri değil, teknoloji yoğun çalışan ve iş süreçlerine teknolojiyi entegre etmiş olan tüm kurumların yöneticileri için önem taşımaktadır.

CobiT, bu sorulara sistematik bir yaklaşım sergileyerek ve yönetsel ihtiyaçlara da yanıt verecek şekilde oluşturulmuş bir yöntemdir. İş Hedefleri’nin Bilgi İşlem Hedefleri’ne dönüşümü, bu hedeflere ulaşmak için gerekli kaynakları ve gerçekleştirilen süreçleri bir araya getiren CobiT, Bilgi İşlem Teknolojileri için Kontrol Hedefleri anlamına (Control Objectives for IT and related Technologies) gelmektedir.

ITIL Nedir?

BT işletimine yönelik olarak en iyi uygulamaları kapsayan bir dizi kitaptır. 1980’lerin sonunda İngiliz hükümetinin bir kuruluşu tarafından geliştirilmiştir. ITIL’e ihtiyaç duyulmasının nedeni, genel olarak iş dünyasının BT’ye bağımlılığının giderek artması ve BT hizmetlerinin giderek karmaşık bir hal almasıydı. ITIL 1990’ların ortasında BT hizmet yönetimi konusunda de-facto standart haline gelmiştir. Yakın zamanlarda da ISO kapsamına alınmıştır. (ISO/ IEC 20000)

ITIL’in BT işletimindeki süreçlerini tanımlayan Hizmet Destek Süreçlerinin yanında BT işletimi ile ilgili olmak üzere müşteri ilişkilerini taktik seviyede yöneten Hizmet Teslim olmak üzere iki ana grupta topladığı disiplinleri vardır.

ISO 20000 HAKKINDA HERŞEY

ISO 20000 NEDİR BİLGİ TEKNOLOJİLERİ HİZMET YÖNETİM SİSTEMİ BELGESİ

ISO 20000-1 BELGESİ BİLGİ TEKNOLOJİLERİ HİZMET YÖNETİM SİSTEMİ STANDARDI

ISO 20000 Bilgi teknolojileri hizmet yönetimi sistemi en iyi uygulamalarının ve yönetim süreçlerinin tanımlandığı ve açıklandığı ITIL(Information Technology Infrastructure Library – Bilgi Teknolojisi Altyapı Kütüphanesi ) çalışmalarına dayanan bir standarttır. İş dünyasının giderek Bilgi Teknolojilerine bağımlı hale gelmesi ve BT hizmetlerinin giderek karmaşık bir hal alması nedeniyle ITIL’e ve dolayısıyla ISO 20000 Belgesi Bilgi teknolojileri hizmet yönetimi sistemine ihtiyaç duyulmaktadır.

ISO/IEC 20000 standartları iş ve müşteri yükümlülüklerini karşılamak için gereken yönetim hizmetlerini etkili olarak aktarabilmek amacıyla bütünleşik süreç yaklaşımını destekler. Bir kurumun etkili olarak islerliliği için birbiriyle bağlantılı birçok süreci belirlemesi ve yönetmesi gerekir. Kaynakların kullanıldığı ve girdilerin çıktıya dönüştürülebilmesi için yönetilen faaliyetler bir süreç olarak nitelendirilir. Çoğunlukla bir süreçteki çıktı diğer süreçte girdiyi oluşturur.

Hizmet yönetimi süreçlerinin bütünleşmesi ve uygulanması sürekli gelişim için gereken devamlı kontrol, büyük ölçüde verimlilik ve fırsatlar sağlar. Faaliyetleri ve süreçleri yerine getirmek için hizmet masasında, hizmet desteğinde, hizmet teslimindeki insanların ve hizmet takımlarının güçlü oluşturulmuş ve birbiriyle uyumlu olmaları gereklidir. Ayrıca süreçlerin etkili ve verimli olduğunu takip etmek için uygun araçlar gereklidir.ISO 20000 belgesi standartlarında belirtilen hükümlerin yerine getirilmesi için kalifiye ve ehliyetli insanların görevlendirilmesi istenen çıktının elde edilmesi için şarttır. ISO 20000 belgesi standartları herhangi bir anlaşmanın bütün hükümlerini tümüyle içeren bir doküman değildir. Bu standardı kullananlar, standartların doğru uygulanmasıyla yükümlüdürler. O nedenle standartlarda belirtilen yasal şartları kendi güncel mevzuatlarından takip etmek ve bu hükümleri bizzat kendileri yerine getirmek durumundadırlar. Bu standartlara göre her nasılsa belgelendirilmiş bir kuruluş, yasal şartları yerine getirmediyse hukuki yükümlülüklerden muaf sayılamaz.

ISO 20000 belgesi , ITIL’de detaylı olarak tariflenen aşağıdaki konuları ele almaktadır:
• Hizmet Seviye Yönetimi (Service e Level Management )
• Hizmet Raporlama (Service Reporting)
• Hizmet Süreklilik ve Kullanılabilirlik Yönetimi (Service Continuity And Availability Management)
• Hizmet Yönetimi için Bütçe ve Finans Yönetimi (Budgeting and accounting for IT services)
• Kapasite Yönetimi (Capacity Management )
• Bilgi Güvenliği Yönetimi (Information Security Management)
• İş ilişkileri Yönetimi (Business Relationship Management)
• Tedarikçi Yönetimi (Supplier Management)
• Olay Yönetimi (Incident Management)
• Problem Yönetimi (Problem Management)
• Konfigürasyon Yönetimi (Configuration Management)
• Değişim Yönetimi (Change Management)
• Sürüm Yönetimi (Release Management)

ISO 20000 Belgesi Standart Ailesi ve Gelişimi

ITIL tabanlı standartlaştırma çalışmaları ilk önce BS 15000 adı altında taslak bir standart olarak yayınlamıştır.

Aralık 2005’te ISO tarafından 2(iki) parçadan oluşan uluslar arası bir standart olarak ISO 20000 adı altında yayınlanmıştır:

ISO/IEC 20000-1:2005 Bilgi Teknolojileri  Hizmet Yönetimi Bölüm 1: Şartlar standardı, standart şartlarının yerine getirmek isteyen kullanıcılar için belgelendirme dahil genel şartları içerir. .

ISO/IEC 20000-2:2005 Bilgi Teknolojileri  Hizmet Yönetimi Bölüm 2: İyi uygulamalar standardı standardın maddelerine yönelik yalnızca iyi uygulamaları görmek isteyen kullanıcılara yol gösterici bilgileri içerir.

ISO 20000 Bilgi Teknolojileri Hizmet Yönetim Sistemi Standardının Yararları

ISO 20000 Belgesi Bilgi Teknolojileri Hizmet Yönetim Sistemi de bilgi teknolojileri alanında faaliyet gösteren organizasyonların ve bilgi teknolojisi yararlanıcılarının istenilen çıktıyı elde etme başarısını gözleyen ve şartlarını iyileştirme amaçlı kullanılan bir standarttır. ISO 20000 standardı tüm yönetim sistemlerinde olduğu gibi , üst yönetimin kurum içerisinde oluşturduğu, uygulanan yöntemlere standart bir bakış açısı kazandırarak aynı işin her zaman aynı çıktıyı verecek şekilde planlandığı bir sistem olarak tanımlanır. Üst yönetimin isteği ve desteği olmadan bir yönetim sisteminin başarısı olanaksızdır.

ISO 20000 Bilgi Teknolojileri Hizmet Yönetim Sistemi iyi kurulduğunda kullanıcılarına şu yararları sağlar:
• Artan hizmet kalitesi ve daha güvenir kurumsal destek,
• IT yeteneklerinin net olarak görülebilmesi,
• Var olan hizmetler hakkında daha net bir bilgi,
• Yeteneklerin doğru analizi ve iş tatmini ile daha motive çalışanlar,
• Müşteri ihtiyaçlarını doğru anlama ve doğru hizmet ve destek ile müşteri tatminin sağlanması,
• Hizmet süreçlerinde güvenlik, sürat ve erişilebilirlikte artış,
• BT yönetim ve işletim maliyetlerinin düşürülmesi,
• Etkin kaynak yönetimi ve kaynakların verimli kullanımı,
• İşlerin/problemlerin tekrar tekrar ele alınmasını engellenmesi,
• Gereksiz işlerin elimine edilmesi,
• BT hizmetlerinin erişilebilirliğinin artırılması,
• Müşteri, son kullanıcı ve iş ihtiyaçlarını karşılayan hizmetlerin sunulmasının garanti altına alınması,
• Hizmetlerin sunumunda yer alan kişilerin rol ve sorumlulukların belirlenmesi,
• BT ekiplerinin memnuniyetinin artması,
• Geçmiş deneyimlerden öğrenme sürecinin sağlanması,

ISO 20000 belgesi standardına uyumda ve beklenen başarının elde edilememe faktörleri şunlardır : 
• Çalışan uyum ve anlayış eksikliği,
• Eğitim eksikliği,
• Sorumluluk verilen çalışana karar verme ve uygulama için gerekli yetkinin verilmemesi,
• Başlangıçtaki heyecanın ve motivasyonun şiddetinin azalması,
• Başlangıç ve sürdürme için gerekli kaynakların ayrılmaması,
• Kurum stratejisine uymayan hazır çözümlerin kullanılması,
• Hemen sonuç alma beklentisi,
• Gerçekçi olmayan uygulama takvimi ve proje süresi,
• Sorumlu bir kişinin bulunmaması,
• Organizasyon kültürünü değiştirmenin zorluğu,
• Süreçlerle uyumlu olmayan araçların kullanımı,
• Uygun olmayan uygulama yaklaşımı (Proje yönetimi metodu bulunmaması),
• Süreç kapsamlarının uygunsuzluğu,
• Hizmet yönetimini uygulamanın zor ve yorucu görevlerinin takdir edilmemesi

Kaynak: http://www.isobelgesi.gen.tr/iso_20000-1_bilgi-teknolojileri-hizmet-yonetim-sistemi-belgesi-danismanlik-egitimi.htm

ISO 27001 HAKKINDA HERŞEY

ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ BELGESİ NEDİR?

Büyüklüğü ne olursa olsun, ihtiyaç duyan tüm kurumların, kuruluşların bilgilerinin gizlilik, bütünlük ve erişebilirliklerini sağlamak amacı ile kurdukları bilgi güvenliği yönetim sistemini belgelendirmek, üçüncü taraflara kanıtlamak amacı ile aldıkları;
Bağımsız belgelendirme kuruluşlarının yaptıkları denetim sonucu düzenledikleri ve kurumdaki bilgilerin güvenliklerinin sağlanmasına yönelik sistematik bir uygulamanın olduğunun kanıtını sağlamak üzere “kurum” adına düzenlenen sertifikaya veya belgeye ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi veya ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifikası denir.

ISO 27001 belgesi için kurum ve kuruluların öncelikle ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardına göre sistem kurmaları uygulamaları gerekmektedir. ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardına göre sistem kuran firmaların uluslar arası boyutta tanınan ve ISO 27001 Bilgi Güvenliği Yönetim Sistemi hususunda akredite olmuş kuruluşlardan denetim yaptırması ve bu denetimlerden başarı ile geçmesi gerekmektedir.

Bilgi güvenliğine önem veren kurum ve kuruluşların illa belgelendirilmeleri gerekmez ISO 27001 standardına göre ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmaları da yeterlidir. Fakat hiçbir sistem ve uygulama üçüncü taraf bir gözle kontrol edilmedikten ve denetlenmedikten sonra o sistemin etkinliğinden bahsedilemez.

ISO 27001 Bilgi Güvenliği Yönetim Sistemlerini belgelendirme isteyen kuruluşlar özellikle uluslar arası akreditasyon kuruluşlarından akredite olmuş belgelendirme kuruluşlarından ISO 27001 belgesini almalıdırlar. Akreditasyonsuz olarak verilen ISO 27001 belgesininhiçbir geçerliliği yoktur.

Piyasada ISO 27001 Belgesi bazen ISO 27000 belgesi şeklinde de adlandırılmaktadır. Bu durum aynen ISO 9000 belgesi veya ISO 9001 belgesi şeklinde adlandırıldığı gibidir. Gerçek ismi ISO 27001 belgesi veya ISO 27001 sertifikası olan bu belgenin ISO 27000 sertifikasıveya ISO 27000 belgesi şeklinde adlandırılması Bilgi güvenliği yönetim sistemi standartlar bölümünde de göreceğiniz üzere Bilgi Güvenliği Yönetim Sistemi standart ailesinin isminin ISO 27000 standartları geçmesi nedeni iledir. Bu söylemlerin doğrusu hangistandarda göre belgelendirme yapılıyorsa o standart adı ile belgenin söylenmesidir.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmak ve belgelendirmek bir firmaya şirkete veya kuruluşa Bilgi Güvenliği kavramının temel ilkelerini sağlamaktadır.

Bilgi Güvenliği kavramının temel ilkelerini kısaca G-B-U (C-I-A) kısaltması ile gösterebiliriz:

• Gizliliğin korunması (Bilgiye ulaşımın, sadece yetki sahibi kişilerce olabildiğinin garanti altına alınması),
• Bütünlük (Bilginin ve bilgi işleme yöntemlerinin, doğruluğunun ve eksiksizliğinin korunması)
• Ulaşılabilirlik (Gereken durumlarda yetkili personelin, bilgiye ve ilgili varlıklara ulaşımının garanti edilmesi)

ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ BELGESİ NASIL ALINIR?

Bir firmanın veya kurumun ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi alması ile ilgili detaylar aşağıdaki konularda geniş olarak anlatılacaktır.

ISO 27001 belgesini almak isteyen kuruluşlar nereden başlayacaklarını bilmiyorlarsa ISO 27001 belgesi nasıl alınır sorusunun cevabı özetle

• Bir ISO 27001 danışmanlık ve Eğitim Şirketinden ISO 27001 Bilgi Güvenliği Yönetim Sistemi Danışmanlık ve Eğitim Hizmetialarak Danışmanlık firmasından eğitimleri alırlar ve bire bir uygulamalı olarak ISO 27001 Standardının maddelerine göre sistem kurma çalışması yapabilirler.
• ISO 27001 Danışmanlık Eğitim şirketinden böyle bir hizmet almak istemeyen firmalar sistem kurma çalışmasında bulunacak personellerine Bilgi Güvenliği Yönetim Sitemlerine ait Eğitimleri aldırarak kendileri sistem kurmayı tercih edebilirler.
• Birinci veya ikinci maddeye göre hareket eden kuruluşlar ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardına göre sistemi kurup dokümante ettikten sonra uygulamaları gerekmektedir.
• Sistem kurulup uygulanmalar ile ilgili kayıtlar oluştuktan sonra akredite olmuş ISO 27001 belgelendirme kuruluşlarına müracaat ederler.
• Kurum veya kuruluşlar ISO 27001:2005 standardına uygun olarak kurdukları Bilgi Güvenliği Yönetim Sisteminin uygulandığını bağımsızbelgelendirme kuruluşlarına kanıtladıkları taktirde; Bağımsız belgelendirme kuruluşları adına denetim yapan denetçiler, kurulan sisteminstandart ve şartlara göre yeterli olgunlukta olduğunu ve tüm kurum bileşenleri tarafından uygulandığını tespit ettikleri taktirde; Belgelendirme kuruluşuna ISO 27001 belgenin verilmesini tavsiye ederler.
Not: Belgelendirme kuruluşu ISO 27006 standardına göre hazırlanan denetim raporu üzerinden uygun bulması halinde ISO 27001 belgesinidüzenleyerek kuruma verir. Belgenin üzerinde “Uygulanabilirlik Bildirgesi” yayın tarihi ve revizyon durumu özellikle belirtilir.

ISO 27000 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ STANDARTLARI NELERDİR?

ISO 27000 standartları her geçen gün büyüyen ISO/IEC ISMS standart ailesinin bir parçasıdır. ISO 27000 standart serisi; ISO 27001,ISO 27002 ISO 27003 …vb Bilgi teknolojisi- Güvenlik teknikleri- Bilgi güvenliği yönetimi sistemleri-genel bakış ve tanımlarbaşlıklarını kapsayan uluslararası standartları içeren bir standart ailedir.

ISO 27000 Bilgi güvenliği standartları, diğer pek çok teknik konuda olduğu gibi karmaşık bir terminoloji ağı geliştirmektedir. Nispeten az sayıda yazar bu terimlerin tam olarak ne anlama geldiğini belirleme zahmetine katlanmakta ve bu da standartlar konusunda kabul edilemez, karışıklığa yol açabilecek değerlendirme ve belgelendirme sürecinin değerini azaltıcı bir yaklaşım olmaktadır. ISO 9000 ISO 14000 de olduğu gibi, ‘000’ temelli standartlar bu durumun önemini ortaya koymayı amaçlamaktadırlar.

ISO 27000 standartları, Uluslararası Standardizasyon Örgütü’nün ve Uluslararası Elektroteknik Komisyonu’nun ortaklığında kurulan Birleşik Teknik Komite’ye bağlı bir alt komite tarafından geliştirilmektedir. Şimdi bu standartları tanıyalım.

ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ BELGESİNİ ALMAK ZORUNLU MU?

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesinin alınması zorunluluğu kamu ve özel sektör olarak incelenebilir.

Özel Sektör de ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi alınması zorunluluğu ?

Özel sektörde bazı ihalelerde kamu ihale kanununa göre ihale açan kurum ve kuruluşlar ihale şartnamelerinde ıso 27001 bilgi güvenliği yönetim sistemi belgesi istenmektedir. Bu zorunluluk yapılan projenin gizliliği güvenliği üst düzeyde ise ihaleyi açan kuruluş ıso 27001 belgesini özellikle istemektedir. Örneğin savunma sanayi projelerine yönelik açılan ihalelerde gerek yazılım hizmeti veren gerekse ürün üreten satışını yapan firmalardan bu belge istenmektedir.

Ayrıca Telekomünikasyon Kurumu tarafından yapılan bir yetkilendirme çerçevesinde elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten sermaye şirketlerin kurumların 20.07.2010 tarihine kadar ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi alması zorunlu hale getirilmiştir.
Elektronik Haberleşme Yönetmeliğinin ilgili maddesi; 11. maddesi ÜÇÜNCÜ BÖLÜM

İşletmecilerin Yükümlülükleri
Elektronik haberleşme güvenliğini sağlama yükümlülüğü

MADDE 11 – (1) İşletmeci, TS ISO/IEC 27001 veya ISO/IEC 27001 standardına uygunluğu sağlamakla yükümlüdür. Yetkilendirilen işletmeciler yetkilendirme tarihinden itibaren bir yıl içerisinde söz konusu standarda uygunluğu sağlar. Belirtilen süre içerisinde söz konusu standarda uygunluğu sağlayamayan işletmecilere Kurul tarafından gerekli görülmesi halinde ilave süre verilebilir.

Özel sektörde gerek kamu ihalelerinde gerekse kamu ile stratejik alanlarda iş birliği yapan kurum kuruluşların ISO 27001 Bilgi Güvenliği Yönetim Sistemini kurmalarını ve belgelendirme denetimine girerek ISO 27001 belgesini almaları gerekmektedir.

 Kamu Kurumlarında ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi alınması zorunluluğu ?

Kamu kurumlarında genellikle özel sektörden farklı olarak ISO 27001 belgesinin alınması zorunlu değildir fakat aşağıda anlatılan bazı kanun ve yasalara göre her ne kadar belgelendirme zorunluluğu yok ise de ISO 27001 Bilgi Güvenliği Yönetim Sistemini kurmaları zorunludur.

Bilgi Güvenliği Yönetim sistemi Kurmak için kamu kurumlarına dair çerçeve yasalar

10.12.2003 tarihli ve 5018 sayılı Kamu Mali Yönetimi ve Kontrol Kanunuyla kamu malî yönetim sistemi tüm kamu kurumlarında uluslararası standartlar ve Avrupa Birliği uygulamalarına uygun bir şekilde yeniden düzenlenmesi ve bu kapsamda etkin bir iç kontrol sisteminin oluşturulması için Maliye Bakanlığı tarafından hazırlanan ve 26.12.2007 tarihli ve 26738 sayılı Resmi Gazetede yayımlanan Kamu İç Kontrol Standartları Tebliği ile kamu idarelerinde iç kontrol sisteminin oluşturulması, uygulanması, izlenmesi ve Geliştirilmesi amacıyla (18) standart ve bu standartlar için gerekli (79) genel şart belirlendi. Bu 79 genel şarttan en az 10 şart bilgi güvenliği sisteminin kurumlarda oluşturulmasını hedeflemektedir.

2003 / 48 sayılı Başbakanlık Genelgesi ile yürürlüğe giren e-Dönüşüm Türkiye Projesinin 4.1.1.’ inci maddesinde Bilgi Güvenliği Yönetim Sisteminin (BGYS) tüm kurumlarda kurulmasının hedeflendiği belirtilmektedir.

05/08/2005 tarihli ve 25897 sayılı Resmi Gazete’de yayımlanan, 2005/20 sayılı Başbakanlık Genelgesi ile çıkarılan Birlikte Çalışabilirlik Esasları Rehberinde elektronik ortamda sunulan hizmetlerde başarı, güven ortamının sağlanmasına bağlı olduğu vurgulanmıştır. Bu da, güvenlikle ilgili politika ve düzenlemelerin geliştirilmesini gerektirir.

2006 / 38 sayılı Yüksek Planlama Kurulu Kararı’yla onaylanan ve 28/07/2006 tarihli ve 26242 sayılı Resmi Gazete’de yayımlanan Bilgi Toplumu Stratejisi Belgesinde stratejik öncelikler arasında yer alan bilgi güvenliğinin ülke genelinde ve kamu kurumlarında bilgi sistemleri ile elektronik iletişim ve ağ bağlantılarında güvenliğin sağlanması ve sürdürülmesi için gerekli organizasyonel düzenlemelerin gerçekleştirileceğinden bahsedilmektedir. Ayrıca, bilgi güvenliğinin sağlanması için yasal düzenlemelerin yapılacağı da vurgulanmaktadır.

ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ DANIŞMANLIK VE EĞİTİM HİZMETLERİ NEDİR NASIL ALINIR DANIŞMANLIK VE EĞİTİM FİRMASINDA ARANACAK ÖZELLİKLER

 iso 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi almak İsteyen kuruluşlar için Danışmanlık Hizmeti gerekli mi?

ISO 27001 danışmanlık firmasından danışmanlık almak zorunlu değildir Ancak ıso 27001 standardın şartlarını uygun bir çerçevede yerine getirmek, sistemi hızlı kurmak ve ıso 27001 standart gereklerini uyarlamak için danışmanlık alınması tavsiye edilir.

Hiçbir standart kendisinin kurulması için danışmanlık alınması gerekliliğini bir zorunluluk olarak ortaya koymaz. Fakat ISO 27001 Bilgi Güvenliği Standardına göre sistem kurmak kolay bir iş değildir Bu konuda profesyonel olan danışmanlık şirketlerinden hizmet almak çok akıllıca bir harekettir. Çünkü Bilgi güvenliği hususunda iyi bir danışman firma ise kuruluşunuzuISO 27001 standardının zorunlu olmadığız halde uygulamaya maruz bırakılacağınız bir çok maddesi ile ilgili maliyetten kurtarabilir veya sisteminizin daha kısa sürede ve etkin bir biçimde işlemesini sağlayabilir. Danışmanlık firmasında ISO 27001 bilgi güvenliği sistemini kurma için ödeyeceğiniz ücret sizin zorunlu olmadığınız halde veya riski üstlenebileceğiniz durumlar için harcayacağız ücret ve zamanın yanında çok küçük meblağlara tekabül etmektedir.

Örnek : 
Örneğin sistem kurarken yangın da bilgilerinizin bütünlülüğü ve ulaşılabilirliği ile ilgili risklerinizin olduğunu varsayalım mevcutta da bir manuel şekilde işleyen bir yangın söndürme sisteminizin olduğunun düşünelim size ISO 27001 bilgi güvenliği yönetim sisteminin bir şartı olarak otomatik yangın sistemi oluşturmanız gerektiği söylenebilir. Halbuki bazı riskler vardır ki üst yönetim bu konuda riski üstlenebilir ve riskin getirdiği tehlikelere katlanabilir. Riski üstlenme ve katlanma maliyetleri otomatik yangın sistemini kurmaktan daha az maliyet içerebilir.

ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi kurulumunda Şirketiniz Sürecin neresinden Başlamalı?

ISO 27001 Bilgi Güvenliği Yönetim Sistemine neden ihtiyaç duyuyorum, sorusuna yanıt aranmalıdır.
Bu soruya “ihtiyaç duyuyorum, çünkü … “ deniyorsa kurumun bilgi varlıklarının durumu değerlendirilmelidir.
Üst yönetim “bu yönetim sistemi benim için …” gereklidir diyorsa standardı karşılama yeteneklerine bakmalıdır.
Standardı karşılama yeteneklerini etkin / verimli / hızlı biçimde yerine getirme imkanlarını araştırmalıdır. Danışmanlık hizmeti bu aşamada gündeme gelebilir.
Konunun uzmanlarından veya bu alanda yazılmış rehberlerden, dokümanlardan, bu alanda verilen eğitimlerden yararlanılmadan yönetim sisteminin kurulumuna gidilmesi halinde süreçlerin istenildiğinden daha uzun zaman içinde ortaya çıkacağı kabul edilmelidir.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Danışmanlık Hizmetlerinde ne tür hizmetler alınır?

ISO 27001 danışmanlık firmasından ne tür hizmetler alınır sorusunun cevabı ISO 27001 danışmanlık firması asgari olarak aşağıdaki hizmetleri verir.

Bu hizmetlerin neler olduğuna geçmeden önce kuruluşun Üst yönetimin veya yönetim kurulunun ISO 27001 bilgi güvenliği sistemininkurulması için karar alması gerekmektedir.

Bu karar bağlamında eğer ihtiyaç duyuluyorsa sistemin kurulumu konusunda danışmanlık alınabilecek kişi / firmalarla bağlantıya geçecek, teklifleri toplayarak bu aşamayı kurumun kendi iç süreçleri ve prosedürleri içinde sonuçlandırmalıdır.

Danışmanlık firması seçiminde dikkat edilmesi gereken en önemli husus en ucuz fiyatı veren değil size daha az maliyette sistem kurmanızı sağlayacak referansları güçlü bir danışman firma ile çalışmanız tavsiyesinde bulunuyoruz. Danışman Firmanın bünyesinde en 1 adet ISO 27001 Baş Denetçi Sertifikasına sahip danışman bulunmalıdır.

ISO 27001 Danışmanlık firmasına karar verildikten sonra kurumunuz danışmanlık firması ile ISO 27001 Bilgi Güvenliği Danışmanlık hizmeti alımı anlaşması yapmalıdır. Danışmanlık hizmeti sözleşmesinde ISO 27001 bilgi güvenliği sistemi kurulum sürecin genel takvimi karşılıklı mutabakatla çıkartılmalı ve karara bağlanmalıdır.

Danışmanlık Firması ISO 27001 Bilgi güvenliği Yönetim Sistemi için aşağıdaki akış genel olarak yürütmektedir:

1. Bilgi Güvenlik Yönetim Sistemi Forumunun kurulması:
Danışman ve kurum içinde bir “ Bilgi Güvenliği Koordinasyon Grubu (BGKG)- Forumu”nun oluşturacaktır. Bu forum kendi içinde yaptığı görüşmeler sonucu takvimi ve görev paylaşımını yapacaktır. Eğitimler bu çalışmalar içinde kararlaştırılarak takvime bağlanacaktır.

2. Kurumun Mevcut Sistem ve Dokümantasyon Analizi:
Kurumda ISO 9001 KYS kurulu değil ise öncelikle temel ISO 9001 ve ISO 27001 standardının zorunlu tuttuğu ve ancak ISO 9001 tarafından sağlanması gereken prosedür ve süreçler yapılandırılacaktır. Bu süreç ISO 27001 bilgi güvenliği için temel yönetim omurgasını yapılandırmış olacaktır.
Eğer kurumda ISO 9001 kalite yönetim sistemi kurulu ise ISO 27001 bilgi güvenliği standardının istediği kimi prosedürler, proses ve talimatlar bu standart dokümantasyonun etkinliği kontrol edilecek ve eksiklikler belirlenecektir.

3. Bilgi Güvenliği Yönetim Sistemi kapsam ve sınırlarının belirlenmesi :
Temel ISO 9001 Kalite Yönetim sistemi yapılanmasının ardından kuruma dair ISO 27001 Bilgi Güvenliği Yönetim Sistemi kapsamı ve sınırları belirlenmesi aşaması gelmektedir. Özellikle belgelendirme aşamasında kapsam ve sınırlar denetimin en önemli unsurları olarak karşımıza çıkmaktadır.

4. BGYS Temel politikası ve diğer politikaların oluşturulması:
Yine ilk oturum içinde belirlenen kapsama bağlı olarak kurumun temel Bilgi Güvenliği Yönetim Sistemi Politikası hazırlanacaktır.ISO 27001 Temel Bilgi Güvenliği Yönetim Sistemi Politikası Forumun bir oturumunda karar bağlanacaktır ve Üst yönetim bu politikayı onaylayarak tüm kuruma duyuracaktır. Diğer politikalar sistem kurulumu aşamasında yapılandırılacaktır.

5. Varlıkların Belirlenmesi ve Sınıflandırılması :
Kurumdaki tüm varlık envanterinin çıkartılması gerekmektedir. Varlık envanteri çıkartılırken etkileme yapılarak varlıların sınıflandırılması sağlanacaktır. Varlıklar sınıflandırıldıktan sonra puanlama yapılarak kritik varlıkların belirlenmesi sağlanacaktır.

6. Risk Analizi ve Değerlendirmesi Çalışmasının Yapılması:
Bilgi güvenliği politikalarını temel alan sistematik bir risk değerlendirme yaklaşımının belirlenerek risk belirleme çalışmaları başlatılacaktır. Tespit edilen risklerin analizi ve derecelendirilmesinin yapılması ve raporlanması yapılacaktır. Risk değerlendirme sonuç raporundan yola çıkılarak uygun risk işleme (risk treatment) yöntemlerinin belirlenecektir. Risk analizine esas olacak bir penetrasyon test raporu ya kurum içinde ya da bağımsız kuruluşlarca hazırlatılmalıdır. Dahili ve harici saldırı senaryoları, felaket yönetimi senaryoları çalışılmalıdır. Buna bağlı olarak oluşturulan rapor risk analizi için temel teşkil etmelidir.

7. Hazırlanan risk raporu üst yönetime sunulması:
Risk analiz raporu üst yönetime sunularak risklerle ilgili kararı verilecektir. Üst yönetimin risk üstlenme dokümanından sonra ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurulum çalışmalarına geçilecektir.

8. Risk işleme süreci sonuçlarına uygun TS ISO IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardının ekinde yer alan Ek-A kontrol Kriterleri’nin seçilmesi ve kontrol hedeflerinin belirlenmesi:
Bu aşamada sistemin kurulması çalışmaları başlamaktadır. Kapsam, sınırlar, politikalar ve risk analizine bağlı olarak seçilen kontrol kriterleri yapılandırılacaktır.

9. Uygulanabilirlik Bildirgesinin hazırlanması:
Ek – A kontrol kriterlerinin seçilmesi ve kontrol hedeflerinin belirlenmesinden sonra standardın istediği Uygulanabilirlik bildirgesihazırlanacaktır.

10. Sistem iç tetkiki ve Yönetimin gözden geçirilmesi yapılması:
Bu aşamada uygulamaya alınır. en az 30 günlük bir uygulama süresinden sonra sistemin iç tetkiki gerçekleştirilir. İç tetkik raporları Yönetimin Gözden Geçirilmesi Toplantısında karar bağlanır.

11. Belgelendirme Kuruluşuna Müracaatın Yapılması :
Sistemin istenilen düzeyde çalışıyorsa Belgelendirme amaçlı Aşama-1 (Stage-1) sürecine gelinmiş olur ve bu aşamada kurumunuzu akredite olmuş belgelendirme kuruluşlarına müracaat etmesi fiyat teklifi alması gerekir.

12. Birinci Aşama Belgelendirme Denetiminin Yapılması :
Birinci Aşama Belgelendirme denetimi Belgelendirme kuruluşu tarafından yapılır ve var ise eksiklikler ve uygunsuzluklar tespit edilir. Yapılan başvuru sonucu belgelendirmeci kuruluşun saptadığı eksikliklerinin ve uygunsuzlukların tamamlanması için verilecek hizmetdanışmanlık hizmeti kapsamındadır. Eksiklikler ve uygunsuzlukların tamamlanması veya hiç eksiklik ve uygunsuzluk bulunmaması durumunda2. Aşama Belgelendirme Denetimine geçilir.

13. İkinci Aşama Belgelendirme Denetiminin Yapılması :
İkinci aşama belgelendirme denetimi asıl denetimdir ve sistem bütün yönleri ile ve uygulamaları ile incelenir. Belgelendirme kuruluşu denetçileri tarafından ISO 27001 standardına göre mevcut durum, Gözlem, Tavsiye, uygunsuzluklar tespit edilir. Danışmanlık firması 1. Aşama denetimde olduğu gibi eksiklikleri ve uygunsuzlukları giderir ve Belgelendirme kuruluşuna yapılan düzeltici faaliyetler gönderilir.

14. ISO 27001 Belgesinin Sertifikasının Basılması:
Denetimlerden başarı ile geçmesi durumunda Belgelendirme kuruluşu ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesini firmanıza gönderir.

15. ISO 27001 Danışmanlık Firması Teknik Destek Danışmanlık Hizmeti:
Aslında bu durum ilk başta tekliflerin alınması sözleşmenin yapılması aşamasında karara bağlanmalıdır. ISO 27001 Bilgi Güvenliği Yönetim Sisteminin sürekliliğinin sağlanması ve iyileştirilmesi sistemin tam olarak anlaşılması için danışman firmanın bir sonraki gözetim denetimine kadar teknik destek danışmanlık hizmeti vermesi gerekir. Bu hizmeti almak tamamen kuruluşunuza bağlıdır.

Kaynak: http://www.isobelgesi.gen.tr/iso_27000_27001_belgesi_nedir.htm

BS 25999 İŞ SÜREKLİLİĞİ YÖNETİM SİSTEMİ STANDARDININ İÇERİĞİ

1   Kapsam

2   Terimler ve Tarifler

3 İş Süreklilik Yönetim Sisteminin Planlanması

3.1 Genel

3.2 BCMS Kurulması ve Yönetilmesi

3.2.1 BCM Kapsamı ve Hedefleri

3.2.2 BCM Politikası

3.2.3 Kaynakların Sağlanması

3.2.4 BCM Personelinin Yeterliliği

3.3 BCM nin Organizasyon Kültürüne Sokulması

3.4 BCMS Dokümantasyonu ve Kayıtları

3.4.1 Genel

3.4.2 BCMS Kayıtlarının Kontrolü

3.4.3 BCMS Dokümantasyonunun Kontrolü

4 BCMS nin Uygulanması ve Operasyonu

4.1 Organizasyonu Anlamak

4.1.1 İş etki analizi

4.1.2 Risk Değerlendirme

4.1.3 Tercihlerin Belirlenmesi

4.2 İş Süreklilik Stratejisinin Belirlenmesi

4.3 BCM Tepkisi Geliştirilmesi ve Uygulanması

4.3.1 Genel

4.3.2 Olay tepki yapısı

4.3.3 İş süreklilik planları ve olay yönetim planları

4.4 BCM düzenlemelerinin denenmesi, sürekliliğinin sağlanması ve gözden geçirilmesi

4.4.1 Genel

4.4.2 BCM denemesi(tatbikatı)

4.4.3 BCM düzenlemelerinin sürekliliğinin sağlanması ve gözden geçirilmesi

5 BCMS nin İzlenmesi ve Gözden Geçirilmesi

5.1 İç tetkik

5.2 BCMS nin yönetim gözden geçirmesi

5.2.1 Genel

5.2.2 Gözden geçirme girdisi

5.2.3 Gözden geçirme çıktısı

6 BCMS nin iyileştirilmesi ve sürekliliğinin sağlanması

6.1 Düzeltici ve önleyici faaliyetler

6.1.1 Genel

6.1.2 Önleyici faaliyet

6.1.3 Düzeltici faaliyet

6.2 Sürekli iyileştirme

Kaynak: http://www.isobelgesi.gen.tr/BS-25999-is-surekliligi-yonetim-sistemi-belgesi-nedir-nasil-alinir.htm

BS 25999 STANDARDINDA GEÇEN TERİMLER VE TARİFLER

BS 25999 Standardının bu bölümü için aşağıdaki tanımlar uygulanır.

Aktivite :  Organizasyon tarafından (ya da adına) gerçekleştirilen, bir ya da daha çok sayıda ürün ya da hizmetin üreten ya da desteleyen proses ya da proses dizisi.

Not: Bu proseslere örnekler hesaplar, çağrı merkezi, IT, üretim ve dağıtımı içerir.

 

Denetim :  Faaliyetlerin ve ilgili sonuçların planlanan düzenlemeleri karşılayıp karşılamadığını ve bu düzenlemelerin etkin olarak uygulanıp uygulanmadığı ve organizasyonun politika ve hedeflerini başarmaya uygun olup olmadığının belirlendiği sistematik değerlendirmeler.

İş sürekliliği : Önceden belirlenmiş kabul edilebilir seviyelerde iş operasyonlarının devam edebilmesine yönelik olarak, olay ve iş kesintilerine tepki gösterebilme ve planlama için organizasyonun stratejik ve taktiksel becerisi.

İş sürekliliği yönetimi (BCM) :  Organizasyona yönelik potansiyel tehditler ve bunların iş operasyonlarına etkilerini tanımlayan, organizasyonun ortaklarını, saygınlığını, markasını ve değer yaratan faaliyetlerini koruyan etkin tepki kabiliyeti ile organizasyon esnekliğinin sağlanması için bir çerçeve sağlayan bütün yönetim prosesidir.

Not: İş süreklilik yönetimi bir iş kesintisi durumunda iş faaliyetlerinin sürekliliğini ya da kaldığı yerden devamını sağlama uygulamalarının yönetimini ve iş süreklilik planlarının geçerli ve güncel olmasını sağlamak için eğitim, deneme ve gözden geçirmeler yoluyla tüm programın yönetimini kapsar.

İş süreklilik yönetimi döngüsü :  İş süreklilik yönetim programının tüm öğelerini ve aşamalarını kapsayan iş süreklilik faaliyet dizisi.

İş süreklilik yönetim personeli : BCMS de sorumlulukları tanımlanan, BCM politikası ve uygulanmasından sorumlu, BCMS yi uygulayan ve sürekliliğini sağlayan, iş sürekliliğini ve olay yönetimini geliştiren ya da uygulayan, bir olay sürecinde yetki sahibi olan kişi ya da kişiler.

İş süreklilik yönetim programı : Üst yönetim tarafından desteklenen ve potansiyel kayıpların etkisinin tanımlanmasında, kurtarma strateji ve planlarının hazır bulunmasında gerekli adımların atılmasını ve eğitim, deneme, süreklilik ve gözden geçirme yoluyla ürün ve servislerin sürekliliğinin sağlanmasında işletilen devam eden yönetim ve idari proses.

 

İş süreklilik yönetim tepkisi : Kritik faaliyetlerin ve olay yönetiminin sürekliliğini sağlayan uygun planlama ve düzenlemelerin uygulanması ve geliştirilmesi ile ilgili BCM öğeleri.

İş süreklilik yönetim sistemi (BCMS) : Genel yönetim sisteminin, iş sürekliliği ile ilgili bölümünü yayınlayan, uygulayan, işleten, izleyen, gözden geçiren, sürekliliğini sağlayan ve iyileştiren bölümü.

Not: Yönetim sistemi organizasyon yapısını, politikaları, planlama faaliyetlerini, sorumlulukları, prosedürleri, prosesleri ve kaynakları da içerir.

İş süreklilik planı (BCP) : Organizasyonun önceden belirlenmiş kabul edilebilir bir seviyede kritik faaliyetlerini sürdürebilmesini sağlamak için kullanıma hazır bulundurulan geliştirilmiş, uygunluğu sağlanmış ve sürekliliği sağlanmış bilgi ve prosedürlerin dokümantasyonu

İş süreklilik stratejisi : Bir afet ya da diğer önemli olay ya da iş kesintileri durumunda devamlılığı ve kurtarmayı sağlayan organizasyon yaklaşımı.

İş etki analizi (BIA) : İş fonksiyonlarının analizi ve iş kesintilerinin bunlar üzerinde yaratabileceği etki.

Sonuç :  Organizasyonun hedeflerini etkileyecek olay çıktısı.

Not 1: Bir olaydan kaynaklanan bir dizi sonuç olabilir.

Not 2: Bir sonuç kesin ya da kesin olmayan şekilde ortaya çıkabilir ve organizasyon hedeflerine pozitif ya da negatif yönde etkili olabilir.

Maliyet-fayda analizi : Bir çözümü uygulamanın maliyetini ölçen ve bu çözümden elde edilen fayda ile karşılaştıran finansal teknik.

Not: Fayda finansal, saygınlık, servis sağlama, yönetmelik ya da organizasyona uygun diğer terimlerle ifade edilebilir.

Kritik faaliyetler : Organizasyonun en önemli ve zaman-kısıtlı hedeflerine ulaşmasını sağlayan anahtar ürün ve servislerin gerçekleştirilmesi için yürütülmesi gereken faaliyetler.

Kesinti : Organizasyonun hedefleri ile ilgili ürün ya da servislerin gerçekleştirilmesinde beklenenden plansız ve negatif yönde sapmaya neden olan, beklenilen(örn, finansal kriz ya da fırtına) ya da beklenilmeyen (örn; deprem) olaylar.

Deneme (tatbikat) : Uygulamaya koyulduğunda istenilen sonuçları vermesini sağlamak için iş süreklilik planlarının kısmen ya da bütün olarak prova edildiği faaliyetler.

Not: Bir deneme iş süreklilik prosedürlerine başvurulmasını içerebilir ancak gerçek bir olaya öncelik olması açısından ve ne gibi konuların ortaya çıkabileceğinin değerlendirilmesi için, kişilerin rol aldığı, haberli ya da habersiz bir iş süreklilik olayının simülasyonunu içermesi daha çok tercih edilir.

Kazanım : Pozitif sonuç

Etki : Bir çıktının hesaplanan sonucu

Olay : Bir iş kesintisine, kaybına, acil duruma ya da krize neden olabilecek ya da sevk edebilecek durum

Olay yönetim planı (IMP) : Tipik olarak anahtar personel, kaynaklar, servisler ve olay yönetim prosesinin uygulanması için gerekli faaliyetleri kapsayan, olay anında kullanıma hazır halde bulunan, açıkça tanımlanmış ve dokümante edilmiş eylem planı

İç tetkik : Organizasyonun yönetiminin gözden geçirilmesi ya da diğer dahili amaçlar için ya da organizasyonun kendi uygunluk beyanına temel oluşturabilecek, organizasyonun kendisinin ya da adına bir tarafca düzenlenen tetkik

Not: Çoğu zaman, özellikle küçük organizasyonlarda, bağımsızlık tetkiki yapılan faaliyetten bağımsızlık ile gösterilebilir.

Başvuru : Organizasyonun anahtar ürün ya da servislerinin sürekliliği için iş süreklilik planlarının uygulamaya koyulmasının gerekliliğinin beyan edildiği eylem.

Olabilirlik : Tanımlanmış, ölçülmüş ya da nesnel ya da öznel olarak tahmin edilmiş ya da genel tabirlerle (örn; az, hemen hemen hiç, çoğunlukla, genelde, kesinlikle), sıklıklarla (frekans) ya da matematiksel olasılık değerleriyle ifade edilmiş bir şeyin olma şansı.

Not 1: Olabilirlik niteliksel ya da niceliksel ifade edilebilir.

Not 2: ‘Olasılık’ kelimesi İngilizce dışındaki bazı dillerde eşit karşılığı olmadığından ‘Olabilirlik’ kelimesi yerine kullanılabilir. Çünkü ‘olasılık’ İngilizcede genellikle daha resmi olarak matematiksel bir terimi ifade eder; ‘Olabilirlik’ bu standartta ‘olasılık’ anlamını ifade edecek şekilde kullanılmıştır.

Kayıp : Negatif sonuç

Yönetim sistemi : Politika ve hedefler kuran ve bu hedefleri yakalayan sistem.

Kabul edilebilir maksimum kesinti periyodu : Ürün ve servis gerçekleştirmenin devam ettirilemezse organizasyonun finansal kapasitesinde geri dönüşü olmayan tehdit süreci.

Uygunsuzluk : Bir gerekliliğin yerine getirilmemesi.

Organizasyon : Sorumluluk, yetki ve ilişki düzenlemelerine sahip bir grup kişi ve olanaklar.

Örnek: Şirket, ortaklık, firma, kurum, enstitü, dernek, şahıs firması

Not 1: Düzenlemeler genel olarak yasaldır.

Not 2: Organizasyon özel ya da kamusal olabilir.

Proses : Girdileri çıktılara dönüştüren ilişkili ya da etkileşimli faaliyetler dizisi.

Ürün ve servisler : Organizasyon tarafından müşterilerine, alıcılarına ya da kar ortaklarına sağlanan fayda sağlayıcı çıktılar. Örn; fabrika ürünleri, araba sigortası, yasal uygunluk ve kamusal yardım.

Kurtarma süre hedefi : Bir olay sonrasında ürün, servis ya da faaliyet gerçekleştirmenin kaldığı yerden devamı için ayarlanmış süre hedefi

Not: Kurtarma süre hedefi, kabul edilebilir maksimum kesinti periyodundan daha kısa olmalıdır.

Esneklik : Organizasyonun bir olaydan etkilenmeye karşı direnme kabiliyeti.

Kaynaklar : Organizasyonun çalışması ve hedeflerine ulaşması için kullanması gereken tüm değer, kişi, bilgi, teknoloji (yerleşke ve ekipman dahil)

Risk :  Gerçekleşebilecek bir durum ve bunun hedeflerin başarılması üzerindeki etkisi(leri).

Not 1: “risk” kelimesi çeşitli şekilde kullanılmaktadır; isim olarak (bir risk ya da riskler), fiil olarak (bir şeyi riske etmek ya da bir şeyi riske sokmak) ya da sıfat olarak (riskli) kullanılabilir. İsim olarak kullanılan “risk” kelimesi potansiyel bir olay, bunun sonuçları, bir şeyin olma şansı (ihtimali) ya da bunun gibi olayların etkileri ile ilgilidir. Risk yönetiminde (bknz. 6.5), “risk” kelimesinin bu çeşitli kullanımlarının açık şekilde ayrılabilmesi önemlidir.

Not 2: Risk özel bir hedefle ilişkin tanımlanır; bu durumda herhangi bir risk kaynağına ilişkin risk olası birden fazla ölçümleri bir dizi hedef için uygulanır.

Not 3: Risk çoğunlukla, “beklenen değer” elde etmek için her bir sonucun ihtimaline ilişkin, her bir olası sonucun ağırlıklandırılmasına ait birleşik etkilerin özetlenmesi ile elde edilen ortalama bir etki olarak niceliksel bir değerdir. Ancak olası sonuçların sınıflandırılması ile ilgili niceliksel bir algılama için olasılık dağılımları gereklidir. Alternatif olarak, standart sapma gibi özet istatistikler de “beklenen değere” ek olarak kullanılabilir.

*Çevirmenin Notu: Not 1 de yapılan açıklama İngilizcede “risk” kelimesinin isim ve fiil hallerinin kullanımının aynı olmasından kaynaklanmaktadır (isim-risk; fiil- to risk; sıfat-risky). Türkçenin sondan eklemeli bir dil olması sebebiyle böyle bir karmaşa yaşanmayacaktır.

Risk değerlendirme : Risklerin belirlenmesi, analizi ve değerlendirilmesi ile ilgili tüm proses.

Risk yönetimi :  Risklere yönelik tanımlama, analiz, değerlendirme ve kontrol görevlerine yönelik olarak yönetim kültürü, politikası, prosedür ve uygulamaların yapılandırılmış gelişimi ve uygulanması.

Kar ortakları : Organizasyon başarılarına tasarruf hakkını veren kişiler.

Not: Bu, dış kaynaklı çalışanlar, müşteriler, tedarikçiler, partnerler, personel, dağıtımcılar, yatırımcılar, garantörler, kar ortakları, şirket sahipleri, yönetim ve yönetmelik yapıcılar.

Sistem :  Birbiri ile ilişkili ya da sıralı öğelerden oluşan bir faaliyet seti.

Üst yönetim :  Organizasyonu en üst seviyede yöneten ve kontrol eden kişi ya da grup.

Kaynak: http://www.isobelgesi.gen.tr/BS-25999-is-surekliligi-yonetim-sistemi-belgesi-nedir-nasil-alinir.htm

BS 25999 STANDARDININ KAPSAMI

BS 25999 STANDARD SERİSİ

BS 25999 STANDARD AİLESİ

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı ,tüm dünyadaki iyi iş sürekliliği uygulamalarının British Standard Institu (BSI) tarafından yayınlanmış bir standart serisidir.  Bu İngiliz Standardı BSI tarafından Kasım 2007 de uygulamaya koyulmuştur. Standart BCM/1 Teknik Komitesi yetkisi altında bulunan Panel BCM/1/-/2 tarafından hazırlanmıştır.

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı , endüstriyel, ticari, kamu ya da gönüllülük esasına dayalı alanlarda çalışan küçük, orta ve büyük ölçekli organizasyonların kullanımı için, iş sürekliliğine en iyi uygulamaların temel alındığı bir yönetim sistemi yaklaşımına yönelik gerekliliklerin tanımlanması için oluşturulmuştur.

BS 25999 standardı, İş Sürekliliği Yönetim Sistemi standart serisi, BS 25999-1 standardı ve BS 25999-2 standardı olmak üzere iki bölüm halinde yayınlanmıştır:

BS 25999-1 Standardı Bölüm 1: Uygulama Şartlarını açıklayan rehber niteliğinde kullanılan bir standarttır.

BS 25999-2 standardı Bölüm 2 ise belgelendirme kuruluşlarını da kapsayan dahili ve harici taraflarca organizasyonun yönetmelik, müşteri ve kendi kurumsal gerekliliklerini karşılama becerisini değerlendirmek amacıyla kullanılmak üzere şartları belirten standarttır.

Organizasyonlar tarafından BS 25999 Standartlarının başarılı şekilde uygulandığı kanıtlanmak istendiği durumlarda bu standartların uygulamaları referans olarak gösterilebilir tüm diğer yönetim sistemi standartlarında olduğu gibi bu, bu standart da proses yaklaşımı benimsenmiş ve ilkeleri Planla-Yap-Kontrol et-Uygula (PUKO) döngüsü paralelinde geliştirilmiştir.

BS 25999 BÖLÜM 2 ŞARTLAR STANDARDI GENEL İLKELERİ

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı etkin bir iş süreklilik yönetim sisteminin (BCMS) oluşturulması ve yönetilmesi için gereklilikleri tanımlar.

Bu, aşağıda sıralananların önemini vurgular:

a)   İş süreklilik ihtiyaçlarının ve iş sürekliliği için politika ve hedefler oluşturulmasının gerekliliğinin anlaşılması;

b)   Organizasyonun tüm iş süreklilik risklerinin yönetilmesi için kontrol ve ölçümlerin uygulanması ve çalıştırılması;

c)   BCMS nin performansının ve etkinliğinin izlenmesi ve gözden geçirilmesi;

d) Objektif ölçümleri temel alan sürekli iyileşme.

Bir BCMS, diğer yönetim sistemleri gibi, sıralanan anahtar öğelere sahiptir:

a)   Politika;

b)   Tanımlanmış sorumluluklar ile personel;

c)   Aşağıdakilere ilişkin yönetim prosesleri:

1)   Politika;

2)   Planlama;

3)   Uygulama ve operasyon;

4)   Performans değerlendirme;

5)   Yönetimin gözden geçirmesi;

6)   İyileştirme;

d) Denetlenebilir kanıt sağlayan bir dizi dokümantasyon;

e)   Konuyla ilişkili, bu durumda iş sürekliliği ile ilişkili, özel prosesler. Örneğin; iş etki analizi (BIA) ve iş süreklilik planı geliştirme.

Planla-Yap-Kontrol et-Uygula Döngüsü (PUKO)

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı , organizasyonun BCMS inin kurulması, uygulanması, işletilmesi, izlenmesi, denenmesi, sürekliliğinin sağlanması ve etkinliğinin iyileştirilmesi için PUKO döngüsünü kullanır. Bu uygulama, diğer yönetim sistemleri ile (BS EN ISO 9001:2000, BS EN ISO 14001:2004, BS ISO/IEC 27001:2005, BS ISO/IEC 20000:2005) uygunluğu sağlar; böylece ilgili yönetim sistemleriyle entegre bir uygulama bu uygunluk ile desteklenmiş olur.

Planla	Organizasyonun tüm politika ve hedefleri ile uyumlu sonuçlar alabilmek için risk yönetimi ve iş sürekliliğini iyileştirici politika, amaç, hedef, kontrol, proses ve prosedürler oluştur.
Yap	İş süreklilik politika, kontrol, proses ve prosedürlerini uygula
Kontrol et	İş süreklilik hedef ve politika performansını izle, gözden geçirme için yönetime raporla, iyileştirme ya da değişiklik eylemlerini belirle.
Uygula	Gözden geçirme sonuçlarını temel alan düzeltici ve önleyici faaliyetler ile BCMS sürekliliğini ve iyileşmesini sağla.

Her bir faaliyet için PUKO döngüsünün kabul edilen geniş kapsamlı yaklaşımı BS 25999-1 standardı ile açıklanmıştır.  Bu adımsal proses iş sürekliliğinin kurulmasını ve devamlı olarak yönetilmesini sağlar (iş süreklilik yönetim döngüsünün her bir öğesi ile ilgili açıklama için)

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı ile paralellik sağlanması adına, bundan sonraki numaralandırmalarda BS 25999-2 standart maddeleri paralelinde numaralandırma yapılmıştır.

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı , organizasyonun tüm iş risklerinin yönetimini kapsayan dokümante edilmiş bir BCMS nin planlanması, kurulması, uygulanması, operasyonu, izlenmesi, gözden geçirilmesi, denenmesi, sürekliliğinin sağlanması ve iyileştirilmesi için gereklilikleri tanımlar.

BS 25999 İş Sürekliliği Yönetim Sistemi Standardında tanımlanan gereklilikler geneldir ve işin doğasına, büyüklüğüne ve tipine bakılmaksızın her organizasyona (ya da organizasyonun bölümlerine) uygulanmaya yöneliktir. Bu gerekliliklerin uygulanma kapsamı, organizasyonun operasyon alanına ve karmaşıklığına bağlıdır.

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı tek tipli bir BCMS yapılandırmasına değil organizasyonun BCMS yi kendi ihtiyaçlarına ve kar ortaklarının gereksinimlerine göre dizaynına yöneliktir. Bu ihtiyaçlar yönetmelik, müşteri ve iş gereklilikleri, ürün ve servisler, işletilen prosesler, organizasyonun büyüklüğü ve yapısı ve kar ortaklarının gereksinimleri ile şekillenir.

BS 25999 İş Sürekliliği Yönetim Sistemi Standardı , organizasyonun iş süreklilik gereklerini, müşteri, yasa ya a yönetmelik gereklerini karşılamadaki yeterliliğini değerlendirmek amacıyla dahili ya da harici taraflarca da kullanılabilir.

Kaynak: http://www.isobelgesi.gen.tr/BS-25999-is-surekliligi-yonetim-sistemi-belgesi-nedir-nasil-alinir.htm

İŞ SÜREKLİLİĞİ YÖNETİM SİSTEMİ

İş Sürekliliği Nedir

İş sürekliliği, Kuruluşun olaylara karşılık verme ve bunun planlamasını yapma konusunda stratejik ve taktiksel becerisi ve iş kesintileri için önceden tanımlanmış kabul edilebilir seviyede iş uygulamalarına devam etme becerisi olarak tanımlanır.

İş sürekliliği işler yolunda giderken, genelde organizasyonların üzerinde çok fazla durmadıkları bir konudur. Ancak geriye dönülüp bakıldığında, bir değer elde etmek adına verilen emeklerin, uğraşların, çabaların, önceden öngöremediğimiz nedenlerden ötürü çoğu zaman bir çırpıda son bulduğu, geriye keşkelerin sıkça söylendiği anları bize yaşattığı görülmektedir.

İş sürekliliği kavramının, esasında iş kesintisi kavramından yola çıkarak daha kolay anlaşılabilir hale getirebiliriz. İş kesintisi,  “Bir Kuruluşun hedeflerine göre beklenen ürün ya da hizmet gerçekleştirme uygulamalarında planlanmayan ve olumsuz yönde sapmaya neden olan tahmin edilen veya edilemeyen deprem, sel, yangın, iş krizleri, kasırga her türlü olay” olarak tanımlanır. Bu tür iş kesintileri çoğu zaman kuruluşların altından kalkamayacağı ticari kayıplarla, saygınlık kaybıyla veya imaj kaybıyla sonuçlanmaktadır. Türkiye Bankalar Birliği risk çalışma grubunun, 2002 yılında Bankacılar Dergisinde yayınladığı, A.B.D de yapılan bir araştırmaya göre; olağanüstü bir olay yaşamış kurumların her beş tanesinden ikisinin(%40) faaliyetlerini sürdüremediği, sürdürebilenlerden her üç tanesinden birinin(%33) iki yıl sonra faaliyetlerini durdurduğu belirtilmiştir.

Görüldüğü gibi olağanüstü bir durum ve felaketle karşılaşan kurumlar ciddi mali kayıplar yanında, itibar, müşteri pazar kaybı, sorunları ile yüz yüze kalabilmektedirler. O nedenle beklenmeyen bir duruma karşı hazırlıklı olmak ve organize şekilde bir plan ,program dahilinde kurumun bütününe yayılmış bir kültürle hareket etmek, kuruluşların bu tür durumlarda esneklik ve hayata geri dönüşü için son derece önem taşımaktadır.

 İş Sürekliliği Yaklaşımının Ortaya Çıkışı

Dünyada iş sürekliliğinin önemi ve uygulamaları, 2000’li yıllara yaklaşıldığında görülmeye başlanmıştır. Dünya bu dönemde bilgisayar yazılım ve donanımlarda kullanılan iki rakamlı yıl bilgisinin tüm bilgisayar yazılım ve donanımlarında yaratacağı etkiyi konuşmaya başlamıştır.

Bu dönemde üreteciler bir önlem olarak, sorun yaratabileceği düşünülen tüm yazılım ve donanımları gözden geçirerek sorun yaratabileceği düşünülen yazılım ve donanımları değiştirilmişlerdir. Ancak bu gözden geçirmeler yeterlimiydi, acaba daha başka ne gibi sorunlar ortaya çıkabilirdi veya ortaya çıksa bile ne yapılabilirdi, işte bu gibi düşünceler ışığında kuruluşlar Acil Durum Planlarınıgeliştirmeye başlamışlardır.

Ve ilk defa İş sürekliliği kavramları bu dokümanlarda sıklıkla geçmeye başlamıştır. Bu konuda yazılan ilk resmi planın ABD Genel Muhasebe Ofisinin yayınladığı Year 2000 Computing Crisis: Business Continuity and Contingency Planning adlı plan olduğu görülmektedir. Ve bu uygulama bu özelliği ile tüm dünyada örnek alınan ve kuruluşlara yol gösteren rehber doküman olma özelliğini kazanmıştır.

Daha sonra başta Dünya Bankası olmak üzere tüm ulusal ve uluslararası örgütler bu konuda uyarılar yapmışlardır. Bu konuda çözüm yolları önermişlerdir. Türkiye’de Devlet kurumlarındaki çalışmalarda Devlet Planlama Teşkilatı bu konuda öncü rol üstlenmiş ve bu planların oluşturulmasını sağlamışlardır. Tüm bu nedenlerdendir ki dünya bu kriz durumunun üstesinden gelebilmiştir.

Yakın tarihte dünyada yaşanan deprem, sel, t-sunami, terorist saldırılar, radyo aktif sızıntılar, d-dos saldırıları , wiki leaks belgeleri vb. bir çok olay İş sürekliliği  gerçeğini herkesin gündemine taşımıştır.  Kurumlar bu gibi senaryolara hazırlıklı olabilmesi için, sahip oldukları öz varlıkların farkında ve bilincinde olmaları gerekli önlemleri almalarının ne derece önemli olduğu açıktır.

Genelde kurumlar bilançolarında varlık kalemlerini yalnızca fiziki olanlardan göstermekte ve her nasılsa fiziki olmayanların mali değerlerini çok fazla dikkate almamaktadırlar. Oysaki kurumların birçoğu fiziki varlıklarının yanında çok ciddi bir şekilde entellektüel sermayeye de sahiptir. Bu entelektüel sermaye, kurumların iş yapma şekillerini yansıtan tasarımları, süreçleri, metodolojileri, müşteri bilgileri ve bilişim teknolojileri ortamlarında var olan ve saklanan verileri olarak çok farklı değerler olarak karşımıza çıkabilir.

Ve bu gün görüyoruz ki günümüz dünyasında iş yapma şekillerinin büyük bir bölümünü bilgi teknolojilerine  bağımlı halde yürütülmektedir ve bilgiye hızlı ulaşım ve veri işleme olanakları önemli bir değer olarak karşımızdadır. O nedenle gerek bilgi sistemlerinin sürekliliği gerekse öz varlık kalemlerine ait değerlerin sürekliliğinin sağlanması kurumlar açısından üzerinde kurumun en üst yönetimi nazarında dikkate alınması gerekli bir husus olarak değerini korumalıdır.

İş Sürekliliği Yönetimi

İş süreklilik yönetimi (BCM), “Bir kuruluşun üzerindeki potansiyel iş kesintilerinin etkilerini önceden fark edilirse olabilecek etkileri tespit eden ve ilgili tarafların çıkarlarını, saygınlığını, markasını ve değer yaratma faaliyetlerini koruyan, etkin yanıt verme becerisiyle kuruluşa tehditlere karşı esneklik kazandırmak için bir alt yapı sağlayan bütünsel bir yönetim ve idare prosesi” olarak tanımlanır.

Bu anlamda İş süreklilik yönetimi (BCM),  kuruluşların ana amaçlarını ve hedeflerini gerçekleştirmek için, iş kesintilerine karşı esneklik kabiliyetini artırıcı bir yönetim aracı olarak değerlendirilir. İş süreklilik yönetimi (BCM),   kuruluşlara bir kesintinin ardından belirlenmiş süre içinde anahtar ürün ve hizmetlerini belirlenmiş seviyelerde destekleyebilme kabiliyetinin oluşturulması için uygulamalı metotlar geliştirmenin gerekliliğini zorunlu kılar.

Gerek bu uygulamalı metotlar, gerek kuruluşun uygulamaları neticesinde ortaya çıkardığı esnek erken müdahale sistemleri İş kesintilerinin yönetiminde ispatlanabilir bir yeterlilik gerçekleştirir ve kuruluşun saygınlığını ve markasını korumada önemli bir görev üstlenir.

İş sürekliliğinin yönetimine ait yapı, prosesler, metotlar, kuruluşun çapı, yapısı ve sorumluluklarının yapısına göre değişebilir. Kuruluşlar kendi ölçeklerine, kapsamlarına ve karmaşıklıklarına bakılmaksızın gönüllülük esaslı olarak İş sürekliliğinin yönetimini uygulayabilir. Burada dikkat edilecek temel husus, temel prensiplerin  aynı kalması şartıyla, kuruluşların  tüm öz varlıklarının korunması  ve anahtar ürün hizmet gerçekleştirme süreçlerine uygun bir strateji ile desteklenmesidir.

İş Sürekliliği Yönetimi Ve Uygulama Stratejisi

İş sürekliliği stratejisi, Kuruluşun, bir felaket ya da diğer bir önemli olay ya da iş kesintisi ile karşılaşıldığında süreklilik ve kurtarmayı sağlayan yaklaşım olarak tanımlanır. Bu tanımdan anlaşılacağı üzere strateji, olası kesintinin etkilerini azaltmayı, minimize etmeyi ve ortadan kaldıracak bir yaklaşım olarak değerlendirilmektedir. Basit bir örnekle, elektrik kesintisine tahammülü olmayan bir bankanın bünyesinde bir jeneratör ve onunda bir yedeğini bulundurması onun süreklilik ve kurtarmayı sağlayan yaklaşımı olarak değerlendirilir.

Küçük ya da büyük ölçekli olsun bütün kuruluşların büyüme, hizmet sağlama ve diğer işlere geçme gibi amaç ve hedefleri olabilir. Bu amaç ve hedefler, genellikle kuruluşun kısa, orta ve uzun vadeli hedeflerinin başarılması için stratejik planlama ile gerçekleşir. Kuruluşun en üst seviyesindeki İş süreklilik yönetimi (BCM) anlayışı, bu amaç ve hedeflerin beklenmeyen kesintilerle tehlikeye atılmasının önüne geçecek bir yaklaşımdır.

Bir olayın sonuçları çeşitli ve çok geniş kapsamlı olabilir. Örneğin 17 Ağustos depreminin yurt genelinde yaşattığı bunalım, Japonyanın T-sunami fekaleti sonrasında yaşadığı panik ortamı gibi örnekleri çoğaltılabilir, küresel çapta bir etki yaratmıştır. Bu sonuçlar yaşamsal kayıpları, değer ya da gelir kayıpları ya da kuruluşun stratejilerinin, saygınlığının ve hatta ayakta kalmasının bağlı olduğu ürün ve servislerin gerçekleştirilmesinde yetersizlik gibi konuları içerebilir.

BCM de olay ve fekaletin sonuçlarından etkilenen tarafların stratejik öneminin farkında olunması gereklidir. Zira yaşanan bir kesintinin sonuçlarına göre yeni etki grupları ortaya çıkar ve hasarın nihai kapsamına direk etki edebilir. Örneğin, Türk Telekom alt yapısına yaşanan bir kesinti, her çevreden yurttaşlara etki eder ve olayın etkileri karşısında bir tepki geliştirirler. Dünya genelinde (Şekil 1 Kritik sistemler) Seviye 1, Seviye 2 ve Seviye 3 olmak üzere üç seviyede kendisini gösterir:

1. Seviye telekomünikasyon, enerji ve su kaynakları,

1.   Seviyede, bankacılık, finans, ulaşım ve kimya endüstrisi,

2.   Seviyede ise, savunma sanayi, posta nakliye, tarım, gıda, sağlık ve acil durum hizmetleri gelmektedir.

Tüm bu konular kuruluşun olay ve felaket durumuna yaklaşımı ile ilgilidir. Kuruluşlar stratejik öneme sahip kritik sistemler üzerinde herhangi bir kesintinin etkileri ile ilgili riskleri hesaba katmak ve bu risklerin etkilerini azaltacak önlemleri almak durumundadırlar.

İş Sürekliliği ve Risk Yönetimi İlişkisi

İş Sürekliliği Yönetimi (BCM) uygulanmaları, işe yönelik risklerin ve bu risklerin sonuçlarını anlamak ve risklere karşı alınacak önlemlerin, tedbirlerin uygulanması yoluyla ancak bir değer ifade eder. Her olayın kuruluşun hedef ürün hizmetleri veya anahtar servisleri üzerinde ayrı ayrı etkileri olabilir. Kuruluşlar bu etkileri ancak kapsamlı bir iş etki analizi ve sonrasında yapılan risk yaklaşımı metodolojisiyle anlamlı hale getirebilir.

Risk, herhangi bir zarar, felaket, kötülük veya istenmeyen durumun ortaya çıkma olasılığı olarak tanımlanır. Risk varsa sürekliliği tehdit edecek durum söz konusudur. Tehdit istenmeyen bir olaya yol açacak potansiyel durumlar olarak tanımlanır. Tehdit ancak fiziksel veya entelektüel öz varlıkları üzerinde bir açıklık bulunduğu durumlarda işlevseldir. Diğer bir değişle bir risk varlıklar üzerindeki açıklıkların tehditler tarafından kullanıldığı durumlarda ortaya çıkar.

Risk yönetimi ise, kuruluşun gerçekleştirdiği anahtar ürün ve hizmetler etrafındaki risklerin yönetilmesini amaçlar. Ürün ve hizmet gerçekleştirme, çoğu tahmin edilmesi ya da analiz edilmesi zor, çok çeşitli olaylar tarafından kesintiye uğrayabilir.

O halde riskin yol açacağı kesintilerin önüne geçmek için mutlak suretle açıklıklar üzerinde yoğunlaşma gereğidir. Kuruluşlar işte bu açıklar vasıtasıyla ortaya gelebilecek olası durumun etkilerini, riskin transferi (paylaşma), riskin kabulü (katlanma), riskin azaltılması (iyileştirme) ve riskin bertarafı (kaçınma) seçeneklerinden birini veya bunların bir bileşimi ile istenen seviye getirebilir.

İş Sürekliliği Yönetimi (BCM) kuruluşun ayakta kalmasının bağlı olduğu bu ürün ve hizmetleri ve yükümlülüklerini yerine getirmeye devam etmek için nelerin gerekli olduğunu kesintinin etkisine odaklanarak tespit eder. Kuruluş çatısı altındaki kişileri, sahip olduğu arazileri, teknolojiyi, bilgiyi, tedarik zincirini, ilgili tarafları ve kuruluşun saygınlığını korumak için bir olay gerçekleşmeden önce neler yapılması gerektiğinin BCM yoluyla farkına varabilir.

Bu bilinçle, kuruluş bir kesinti olduğunda gerekli olabilecek yanıtlara dair gerçekçi bir bakış açısı yakalayabilir, böylece ürün veya hizmetlerini gerçekleştirmede beklenmeyen bir gecikme olmaksızın, herhangi bir sonucun yönetileceği konusunda güvenilir olabilir.

BS 25999 İş Sürekliliği Yönetim Sisteminin Faydaları Yararları

İş Sürekliliği Yönetimi (BCM) genel anlamda ürün ve hizmet üretiminin planlandığı şekilde sunulmasında,  devamlılık ve sürekliliğinde, işletmesel ihtiyatlılık açısından önemli bir bakış açısı kazandırmaktır. Bilindiği gibi, İşletmesel ihtiyatlılık , “İşletmenin karşılaşabileceği riskler göz önüne alınarak temkinli davranılmasını ön gören yönetim anlayışı olarak tanımlanır” . Örneğin, ileri bir sözleşme gereği yerine getirilmesi taahhüt edilen ürün, hizmet üretiminin yerine getirmeye kesin gözüyle bakmama, olası riskler göz önünde bulundurarak ve işletmeye belirli bir alanda hareket kabiliyeti sağlayacak şekilde hareket edilmelidir. Ve sürekliliği önleyecek duruma karşı, karşı strateji ile hareket etmek işletmesel ihtiyatlılığın bir gereğidir.

Yöneticiler,  kurum sahipleri kuruluşun kesintisiz faaliyet gösterme kabiliyetinin sürekliliğini sağlamakla sorumludurlar. Yöneticiler bu sorumlulukları çerçevesinde, kurumları adına daimi taahhütlerde bulunurlar ve hizmet gerçekleştirirler. Şüphesiz bu sorumluluk kendilerine, bir kamu hizmet veren devlet hastanesi veya merkez bankasında olduğu gibi devlet tarafından, veya müşteri istek ve beklentileri doğrultusunda özel olarak gönüllü olarak girişimde bulunulmuş özel teşebbüsler tarafından verilmiş olabilir. Her durumda yöneticilerden beklenen sürekliliğin sağlanması konusunda kendilerine verilen sorumlulukla hareket etmeleridir. Kimi durumlarda, kuruluşların BCM taahhüdünde bulunması, yasal ya da yönetmeliksel bir görev olarak kuruluşlara, Bankacılık Denetleme Ve Düzenleme Kurumu 14 Eylül 2007 Tarihli, Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğinde olduğu gibi yüklenebilir.

Bilindiği üzere, ölçeğine ve büyüklüğüne bakılmaksızın tüm kuruluşların (özellikle acil durum ya da gönüllülük hizmeti sağlayan) ahlaki ve sosyal  bir takım sorumlulukları vardır. Kimi durumlarda, tüm iş faaliyetleri teknolojik hatalar, sel baskını, tedarikçi hizmetlerindeki kesinti ya da terörizm kaynaklı bir takım kesintilere konu olabilir. Bu gibi durumlarda BCM bir yandan sağlık ve güvenliği korurken, diğer yandan uygulama kesintilerine erken müdahale gibi yeterli şekilde yanıt verme kabiliyetine yanıt vermeyi sağlar.

O nedenle BCM maliyetli bir planlama prosesi olarak algılanmamalı, kuruluşlara değer katan  tüm ilgili tarafların kazanacağı bir kazan kazan prosesi olarak düşünülmelidir. İyi bir BCM uygulaması ile işletme sahipleri, müşteriler, vatandaşlar, kamu düzeni, dünya düzeni kazanacaktır.

Etkin bir İş Sürekliliği programının sağladığı faydaları aşağıdaki gibi özetleyebiliriz;

·         BCM ile herhangi bir uygulama kesintisinin etkileri proaktif olarak tespit edebilir ve erken müdahale edilebilir.

·         Olası kesintilerde kuruluşa olan etkiyi minimize edecek etkin stratejik karşılıklar hazır bulundurulur , ne yapılacağını sistematize eden planlar organizasyonları akılcı bir şekilde yönlendirir.

·         Sigorta edilemez risklerin yönetilme kabiliyetini sürekli hale getirir.

·         İş sürekliliğinin bir takım çalışması ile mümkün olabileceği konusunda tüm çalışanları iş birliğine sevk eder;

·         Tatbikat prosesi aracılığıyla güvenilir tepkileri kanıtlanır.

·         Kuruluşların saygınlıklarını, markalarını, itibarlarını korur.

·         Ürün ve hizmet gerçekleştirmenin sürekliliğinin sağlanması kabiliyetinin kanıtlanması ile rekabette avantaj sağlar.

·         Anahtar ürün ve hizmetler tespit edilir ve  bu anahtar ürün ve hizmetlerin süreklilikleri sağlanarak korunur;

·         Etkin tepkiler sağlamak için olay yönetim kabiliyeti olanaklı hale getirilir;

·         Kuruluşun kendisini ve ilişkide olduğu diğer kuruluşları, kamu kurumlarını, yerel yetkililerin tanınması ve uygun şekilde geliştirilmiş, dokümante edilmiş ve anlaşılmış bir acil durum hizmeti sağlanır;

·         Tedarikçilerin, müşterilerin, pay sahiplerinin, çalışanların gereksinimleri İş Etki analizleri ile anlaşılır ve gereksinimler risk değerlendirmesi yoluyla yerine getirilir;

·         Herhangi bir olay durumunda personelin aldığı yeterli destek ve iletişim sağlanır;

·         Kuruluşun tedarik zinciri güvenli hale getirilir;

·         Kuruluşun saygınlığı korunur;

·         Kuruluş yasal ve yönetmelik gereği yükümlülükleri ile uygunluğu korunur.

BS 25999 İş Sürekliliği Yönetim Sisteminde Hatalı Yaklaşımlar

İş sürekliliği konusundaki yanlış anlaşılan konuları 4 başlık altında toplamak mümkündür.

 i. İş sürekliliğinin bir ürün, teknoloji veya servis olarak görülmesi:  İş sürekliliği, sadece verilerin başka bir çalışma alanına çevrim içi aktarılması veya kritik sunucuların devamlı olarak çalışmasını sağlamak üzere kümeleme, RAID, yedekli güç kaynağı, yedekli ağ hatları kullanmaktan ibaret bir teknolojik yaklaşım olarak düşünülmemelidir. İş sürekliliği kurum süreçlerinden hareketle süreçlerin devamlılık ihtiyaçlarının ortaya koyulması ve bunun sağlanması için gereken çalışmaların yapılması olarak değerlendirilmelidir. İş sürekliliğinin yalnızca bir ürün, teknoloji veya servis olarak görülmemelidir. Zira bu çalışmalar esnasında gerek teknoloji gerek insan gücü gerekse de  mali kaynaklar entegre bir şekilde kullanılacaktır. Bu çalışmayı sadece bir ürün veya servis olarak görmek olağan üstü bir durumda iş süreçlerinin tekrar çalışır hale getirilmesi için tek başına yeterli değildir.

ii. Başlangıcı ve sonu belirli olan bir proje olarak düşünülmesi: İş sürekliliğine bir proje olarak yaklaşmak başlangıcı ve sonu belirli olan bir iş olarak ele almak anlamına gelmektedir. Oysaki İş sürekliliği yönetimi çalışır hale geldikten sonra bu yaklaşımın devam edebilmesi için yapılması gereken tatbikatlar, gözden geçirmeler, uyarlamalar, iç denetimler vb. gereklilikler vardır.  O nedenle İş Sürekliliği uygulamaları, sürekli kendini yenileyen iyileştirmelerle günün şartlarına uygun bir vaziyette kalmasını sağlayacak yaklaşımla ele alınmalıdır.

iii. Sadece dokümantasyondan oluştuğu varsayımı : Bir diğer yanlış yaklaşım iş sürekliliği uygulamalarına, sadece dokümantasyondan ibaret uygulamalar olarak yaklaşılmasıdır. Elbette iyi bir BCM dokümantasyonu iş sürekliliğinin vazgeçilemez bir parçasıdır ancak olmasına rağmen yapılması gereken tüm işleri dokümantasyon olarak ele almak, çalışmanın teknolojik ve organizasyon boyutlarını gözden kaçırmaya, dolayısıyla iş sürekliliğinden beklenen faydanın sağlanamamasına neden olacaktır. Teknolojik altyapının ihtiyaçların üzerinde olması durumunda dahi tatbikatların yapılması, eğitimlerin verilmesi ve periyodik gözden geçirmeler gibi yapılması gereken çalışmalar vardır.

 iv. İş sürekliliği sorumluluğunun BT bölümü olduğunun düşünülmesi: İş sürekliliğinin sağlanmasında bilgi teknolojilerinin rolünün yüksek olmasından dolayı çalışmaların BT bölümü tarafından yapılması ve sorumluluğunun da BT bölümünde olması gerektiği inanışı yaygındır. İstatistikler iş sürekliliği çalışmalarına BT bölümünün katılımının diğer birimlerden fazla olduğunu göstermektedir. Ancak bu demek değildir ki İş Sürekliliği uygulamalar ı BT bölümünden ibarettir. İş sürekliliği uygulamaları, kuruluşun tüm kademelerini, tüm servis ve hizmetlerini kapsayan holistik bir prosestir. İş süreçlerinin devam ettirilebilmesi veya olağan üstü bir durumda tekrar çalışır hale getirilmesi, personelin alternatif çalışma ortamına naklinden, sunucuların hazırlanmasına, yeni cihaz satın alımına kadar bir çok faaliyeti içermektedir. İş sürekliliğinin sorumluluğunun çok yüksek oranda organizasyonun en üst kademelerinde(tepe yönetim, üst yönetim, yönetim kurulunda) olduğu ve üst yönetimin üst düzeyde katılımı iş sürekliliğinin bir gerekliliğidir . Bu sebeple iş sürekliliği kurum içinde mümkün olduğu kadar üst seviye yönetim tarafından temsil edilmelidir.

BS 25999 İş Sürekliliği  Yönetim Sistemi Prensibleri 

BS 25999 İş Sürekliliği  Yönetim sistemi kurulurken altı prensib göz önünde bulunudrulur .ir. Bu prensipler, tüm ölçek ve sektörlerdeki kuruluşlar için benzer şekilde uygulanabilir (kamu, özel, kar amacı gütmeyen, eğitim, üretim vb.). İş Sürekliliği programının yapısı ve kapsamı her sektör ve uygulama için çeşitlilik gösterebilir ve her kuruluşun ihtiyacına göre ayrı ayrı şekillendirilebilir.

i.      BCM program yönetimi: Oluşturulan ve yürürlüğe konulan sistematik bir şekilde ortaya konulan iş süreklilik uygulamalarının tümüdür.

Program yönetimi yaşam döngüsünün merkezinde bulunmaktadır ve iş sürekliliği politikası ile belirlenmiş amaçların gerçekleştirilmesi sağlamak için yapılması gereken çalışmaları tanımlamaktadır. Üst yönetimin program yönetimine katılımı iş sürekliliği çalışmalarının etkinliği için çok önemlidir. Program yönetimi sorumlulukların atanması, BCM in kurulması ve iş sürekliliği ile ilgili devamlı olarak yapılması gereken işler olmak üzere üç parçadan oluşmaktadır.

ii.      Kuruluşun anlaşılması :“Kuruluşun anlaşılması” ile ilgili faaliyetler, kuruluşun ürün ve hizmetlerinin önceliklerine göre sıralanabilmesine ve bunları gerçekleştirmek için gerekli faaliyetlerin aciliyetine ilişkin bilgi sağlar. Bu uygulama, uygun BCM stratejilerinin seçilmesi için gereklilikleri belirler. Kuruluş uygulamada İş etki analizleri ile tanınır hale gelir. Kuruluşların yapısı, süreçleri, faaliyetleri anahtar hizmet ve servisler, kritik süreçlerini içeren tüm yapı bu aşamada ortaya çıkar.

iii.      İş süreklilik stratejisinin belirlenmesi: Bu aşama kuruluşun bütün olarak tanınmasının ardından kritik iş süreçlerine ilişkin risk değerlendirmelerinin yapılması ve değerlendirmeler sonucunda ortaya konan risk işleme diğer bir değişle İş süreklilik stratejisinin belirlenmesi gibi işlem adımlarını içerir.

Bu uygulama, her bir ürün ya da hizmet için uygun bir tepkinin seçilmesini sağlar. Böylece, kuruluş bir kesinti boyunca ya da bu kesintiyi takiben bu ürün ve hizmetlerin gerçekleştirilmesinde kuruluşun esneklik ve ölçüm seçenekleri hesaba katılarak, kabul edilebilir bir operasyon düzeyinde ve kabul edilebilir bir zaman çerçevesinde faaliyetlerini değerlendirilir.

iv.      BCM tepkisinin geliştirilmesi ve uygulanması: Bu aşama belirlenen strateji çerçevesinde, atılacak adımların belirlendiği aşamadır. BCM tepkilerinin geliştirilmesi ve uygulanması, bir olay sırasında ya da sonrasında, yönetimin atması gereken adımları ,olay yönetiminin uygulamalarını, operasyonların devamlılığını iş süreklilik ve iş kurtarma planlarının yapısını içerir.

v.      BCM tatbikatı, uygulanması ve BCM anlaşmalarının gözden geçirilmesi: Bu aşama,kuruluşun, strateji ve planların yeterli, güncel ve uygun olduğunun kanıtlanması ve iyileştirme fırsatların tespit için BCM  tatbikatlarının, uygulamalarının, gözden geçirilme faaliyetlerinin ve denetimlerinin yapısını içerir.

vi.      Kuruluş kültürüne BCM nin sokulması: Kuruluş kültürüne BCM nin sokulması BCM nin kuruluşun temel değerlerinin bir parçası haline gelmesine ve kuruluşun kesintilerle baş etme kabiliyeti konusunda tüm personelin takım halinde çalışmasına olanak tanır.

 

 BS 25999 İş Süreklilik Yönetimde Dikkat Edilmesi Gerekli Hususlar

BS 25999 İş sürekliliği yönetimi  en üst kademede yöneticilerden en alt seviyede personele ve bilişim teknolojisi destek hizmetlerine varıncaya kadar her seviyede iş birliği gerektiren bir yapıdır. Bu yapı içerisindeki bileşenler bir birleriyle koordineli bir şekilde yönetildiği takdirde tek ses halinde iş süreklilik uygulamaları istenen amaca yönelik başarı sağlayacaktır.

 

En Üst Düzeyde Katılım:  İş sürekliliği çalışmaları için en yüksek seviyede yönetimin katılımı ve desteği  . Yapılan işler ile ilgili yönetim onayı alınması çalışmaların kurum çapında kolay kabul edilmesini ve kolay yaygınlaşmasını sağlamaktadır. İş Sürekliliği yönetiminde, üst yönetimin iş sürekliliği sürecine katılımının doğru olarak anlaşılması, desteklenmesi ve organizasyon kültürüne adaptasyonu için anahtar bir bileşendir.

Stratejik İş Planın Parçası Olma: İş süreklilik yönetimi, kurumun stratejik hedeflerine ulaşmada göz önünde tutulan önemli bir bileşendir. Kuruluşların stratejik planlarında yer alan hedeflere ulaşmada, olası hedeften sapmalara yol açabilecek kesintiler üst yönetim tarafından göz önünde bulundurulduğu takdirde daha gerçekçi hedefler belirlenebilmektedir. Stratejik plan veya hedefler, kurumun işlevini devam ettirmesi veya yasal yükümlülüklerini yerine getirebilmesi için her zaman güncel ve ihtiyaca yanıt verebilir durumda olmalıdır. İş sürekliliğinin stratejik iş hedeflerine uygun olarak geliştirilmediği veya stratejik hedeflerde gerçekleştirilen değişikliklere uygun olarak gerekli çalışmaların yapılmadığı durumda iş süreçlerinde kesintiler yaşanması söz konusudur.  Stratejik İş Planın Parçası Olarak kurumlar, hedeflerinden sapmalara yol açacak iş kesintileri, iş kesintileri hallerinde gerekli güncellemeleri yapmalıdırlar.

ix.      Takım çalışması: İş sürekliliği çalışmaları bir grubun veya bir kişinin tek başına yerine getirebileceği bir faaliyet değildir. Kurumun birçok bölümünün içinde bulunduğu ve kişilerin farklı görevler aldığı bir çalışmadır. Son kullanıcının dahi bilmesi ve yapması gereken işler vardır. Bazı kurumlarda iş sürekliliğinin yönetimi için ayrı gruplar kurulmuştur. İş sürekliliği yönetim sisteminin kurum içinde yaşayabilmesi için gerekli personel gücünün ve koordinasyonun sağlanması iş sürekliliğinin olağan üstü durumlarda beklenen faydayı sağlaması için anahtar bileşenlerden birisidir.

x.           İş Etki Analizi ve Risk değerlendirme: İş etki analiz, İş fonksiyonlarının ve iş kesintisinin, bu iş fonksiyonları üzerinde yaratacağı etkinin analiz edilmesi prosesi olarak tanımlanır. İş sürekliliği, bu iş etki analizi ismi verilen değerlendirmelerin üzerine inşa edilen bir idare prosesidir. İş etki analizinde, kurumun tüm süreç,servis ve faaliyetlerinin analiz edilmesi ve değerlendirilmesi  gereklidir. Bu çalışma sonunda kurum süreçlerinin kritikliği, süreçler için kabul edilebilir kesinti süreleri (Recovery Time Objective ,Recovery Point Objective) ve maksimum kabul edilebilir kesinti süreleri (Maksimum Tolerable Periot Time) belirlenmektedir. Bu çalışma sırasında ayrıca bir risk değerlendirme metodolojisi uygulanarak, süreçlerde kesintiye neden olabilecek riskler ortaya çıkarılmaktadır. İş süreçlerinin öneminin ve süreçlerde kesintiye neden olabilecek olayların belirlenmesi uygulanacak karşı önlemlerin seçilmesi için son derece kritiktir. Bu sebeple iş etki analizi, iş sürekliliğinin başarıya ulaşmasında üst yönetim desteği kadar önemli bir başarı faktörüdür.

xi.           Finansal Yeterlikler: İş etki analizi çalışması sonucunda uygulanacak kontrollere karar verilmektedir. Bu kararlar genellikle iş sürekliliği stratejileri olarak adlandırılmaktadır. Kontrollerin yerine getirilmesi için yapılacak çalışmaların bazılarının maliyeti çok düşük olabileceği gibi gerektiğinde felaketten kurtarma merkezi kurulumu gibi yüksek maliyetli çalışmaların yapılması da gerekebilir. Bu sebeple iş etki analizinde belirlenen kabul edilebilir kesinti sürelerinin sağlanması için gerekli bütçenin ayrılması veya planlanması oldukça önemlidir.

xii.      Kaynak ihtiyacı ve Altyapı Gereklilikleri: Birçok iş sürecinin BT bağımlılığı yüksektir. Bilgi teknolojileri altyapısının süreklilik ihtiyaçlarına uygun olması süreklilik ihtiyaçlarının karşılanması için büyük öneme sahiptir. Sunucuların, haberleşme hatlarının, enerji altyapısının yedekli yapıda çalışması BT‟nin sürekli hizmet verebilmesi için gereklidir. Bunlara ek olarak ana merkezde bulunan verinin felaketten kurtarma merkezine gönderilmesi gereklidir. Bu işlemleri gerçekleştirecek altyapıya sahip olmadan olağan üstü bir durumda kabul edilebilir kesinti sürelerini sağlamak oldukça güçtür.

xiii.           Dokümantasyon:  Organizasyon durumunun, görev tanımlarının, İş süreklilik yönetim kapsamının, İş sürekliliği planlarının, olağan üstü durum yönetim planının ve bu planlarla ilgili diğer talimat ve prosedürlerin hazır ve güncel olması gereklidir. Dokümanların hazır olması yanında kullanımı beklenen ilgili kişilere dağıtımı da yapılmalıdır. Dokümantasyon belirli periyotlarda ,değişiklik ihtiyaçları doğrultusunda güncellenmelidir.

xiv.      Periyodik tatbikatlar: Olağan üstü durumlara her an hazır olabilmek için senaryolar üretilmeli ve tatbikatı yapılmalıdır. Tatbikatlar sonucunda kurulmuş olan yönetim sisteminin eksikliklerini tespit etmek mümkündür. İş sürekliliği planının ve ilgili diğer dokümanların, çalışma kapsamında görev alan personelin bilgi seviyesinin, teknolojik altyapının varsa eksiklikleri bu şekilde tespit edilebilir. Tatbikatlar, dokümantasyonun gözden geçirilmesi, planın bir parçasının test edilmesi veya planın tamamının test edilmesi gibi farklı türlere sahiptir. Her bir tatbikat türü için senelik olarak tatbikat planlarının hazırlanması ve tatbikatların yapılması kurumun olası bir acil durum senaryosu için hazır olmasını sağlamaktadır.

xv.       Eğitim ve bilinçlendirme: İş sürekliliği çalışmalarının benimsenmesi için kurum çalışanlarına ve iş sürekliliği organizasyonunda bulunan takımlara yaygınlaştırma eğitimleri verilmelidir. Kurum çapında benimsenmemiş ve gerekli eğitim çalışmaları yapılmamış iş sürekliliği planlarının başarıya ulaşma olasılığı düşüktür. İş sürekliliği planı içerisinde eğitim konusunda izlenecek yöntemler belirlenmeli ve plan içerisinde yer almalıdır. Eğitim faaliyetlerini yürütmek üzere bir takım kurulması ve gereken zamanlarda eğitim işlerini organize etmesi faydalı olacaktır. Kurum çapında yapılacak iş sürekliliği bilgilendirmesi senede bir defadan az olmamalıdır.

xvi.           Plan bakım ve güncelleme: İş Sürekliliği , kurumun kritik süreçlerinin devamlılığını sağlamak üzere vardır. Bu nedenle kurumun süreçlerinde meydana gelen değişiklikler iş sürekliliği planını doğrudan etkilemektedir. Süreç değişikliklerinin plan güncellemesi gerektirdiği hiçbir zaman göz ardı edilmemelidir. Zaman içerisinde meydana gelen değişikliklerin iş sürekliliği planına aktarılması için periyodik gözden geçirmeler yapılmalı ve güncelleme ihtiyacı tespit edilmelidir. Tatbikat sonuçları genellikle plan güncellemesi gerektirmektedir. İş sürekliliği kapsamında yapılması gereken değişiklikler her zaman doküman değişiklikleri olmak zorunda değildir. Kurumun süreçlerinin kritiklik seviyesinin değişmesi nedeni ile hizmet veren sunucuların öncelikleri dolayısıyla da alınması gereken önlemler değişebilir. Bu nedenle bazı durumlarda yeni yatırım gereksinimi ortaya çıkabilir. Değişikliğin sistem değişikliği olması durumunda bütçe ve zaman planının hazırlanması gereklidir.

Kaynak: http://www.bilgiguvenligi.gov.tr/is-surekliligi/is-surekliligi-yonetiminde-hatali-yaklasimlar.html http://www.bilgiguvenligi.gov.tr/is-surekliligi/bs-25999-yasam-dongusunun-kalbi-is-surekliligi-program-yonetimi.html http://www.bilgiguvenligi.gov.tr/is-surekliligi/is-surekliligi-yonetim-sistemi-icin-kritik-basari-faktorleri-2.html