Bilgi güvenliği risk analizi (BİGRA) metodu

Abstract

Bilgi teknolojilerinin son yıllarda çok büyük gelişim ve değişim kaydetmesi ile birlikte geçmiş yıllarda kullanılan bir çok risk analizi aracı tutarlı sonuçlar vermeyen, uzun süre alan ve maliyetli araçlar durumuna gelmişlerdir. Bu durum, kurumların bilgi güvenliği ihtiyaçlarını karşılayacak bir risk analizi aracının da, günümüzün gelişen ve değişen teknolojisine uyum sağlamasmı gerektirmiştir. Risk analizi araçları için varolan bu ihtiyaç göz önüne alınarak, bu çalışmada günümüzün teknolojisi ile uyumlu ve kurumların ihtiyaçlarını karşılayacak bir bilgi güvenliği risk analizi yöntemi önerilmiştir. BiGRA (Bilgi Güvenliği Risk Analizi) olarak isimlendirilen bu yeni risk analizi yöntemi öncelikle teorik olarak anlatılmıştır. Teorinin sunulmasının ardından yöntem, örnek bir bilgi güvenliği sorunu üzerinde uygulanmış ve günümüzün değişen ihtiyaçlarını nasıl karşıladığı ortaya konulmuştur. Çalışmanın son kısmında, BiGRA yöntemi, standartlarda belirlenmiş olan kriterlere göre çalışma kapsamında tanıtılmış olan diğer yöntemlerle karşılaştırılmış ve BiGRA'nın üstün ve eksik olan özellikleri ortaya konmuştur.

A number of risk analysis tools became obsolete because of the profound changes in information technologies that organizations use today. Revolutionary changes in information technologies have converted risk analysis tools into inconsistent, long lasting and expensive instruments. Thus, risk analysis methods should be adaptively modified or redesigned according to the changes in information technologies, so that they meet the information security requirements of the organizations. By taking these requirements into consideration, a new risk analysis method - ISRAM is proposed and implementation of the method is discussed. Discussion results showed that, ISRAM is able to perform consistent risk analysis of information technologies in a reasonable time period by allowing the participation of the managers and staff. ISRAM is compared with the other risk analysis methodologies according to the criteria designated in relevant standards. Our comparisons proved that ISRAM is more compatible with the criteria than the other methodologies.