Sertifika Denetimi

Denetim, kurduğunuz düzenin hâlâ işleyip işlemediğini kontrol etmektir. Yılda bir kez uygulayın ve bulguları aksiyona dönüştürün.

Kim yapar?

• Sertifika sorumlusu (öz değerlendirme)
• Farklı bir birim (bağımsız bakış)
• Dış danışman (kapsamlı denetim)

Öneri: Öz değerlendirme yeterlidir; önemli olan düzenli yapılmasıdır.

A. Envanter denetimi

• ☐ Envanter mevcut
• ☐ Son güncelleme tarihi makul
• ☐ Tüm adresler listeli
• ☐ Envanterdeki her sertifika gerçekten var
• ☐ Var olan her sertifika envanterde
• ☐ Bitiş tarihleri doğru
• ☐ Sunucu bilgileri doğru
• ☐ Sorumlular güncel

Yöntem: Envanterdeki her adresi tarayıcıda açıp sertifika bilgilerini karşılaştırın. Ayrıca sağlayıcı panelindeki listeyle karşılaştırın.

B. Kapsam denetimi

• ☐ Şirketin tüm web adresleri listelendi
• ☐ Her birinin sertifikası var
• ☐ Kapsam dışı kalan adres yok
• ☐ Test ortamları kapsanıyor
• ☐ İç sistemler kapsanıyor
• ☐ Savunma alan adları kapsanıyor
• ☐ Yeni açılan sistemler eklenmiş

Bu bölüm, "sertifikasız çalışan bir sistemimiz var mı?" sorusunu yanıtlar.

C. Süre denetimi

• ☐ Süresi dolmuş sertifika yok
• ☐ Yakında dolacaklar tespit edildi
• ☐ Hepsi takvimde
• ☐ Hatırlatmalar kurulu
• ☐ Sorumlular haberdar

D. Bildirim denetimi

• ☐ Her hesabın bildirim adresi kontrol edildi
• ☐ Hiçbiri kişisel adres değil
• ☐ Ayrılan çalışanın adresi yok
• ☐ Adresler aktif
• ☐ İzleniyor
• ☐ Alan adı ve hosting hesapları da kontrol edildi

Bu, denetimin en yüksek getirili bölümüdür. Neredeyse her denetimde en az bir sorun çıkar.

E. Sahiplik denetimi

• ☐ Tüm hesaplar şirket adına
• ☐ Kişisel hesap yok
• ☐ Ajans hesabında sertifika yok
• ☐ Ödeme yöntemleri kurumsal
• ☐ Kart son kullanma tarihleri geçerli
• ☐ Faturalar muhasebeye ulaşıyor

F. Erişim denetimi

• ☐ Kimlerin eriştiği listelendi
• ☐ Her erişimin gerekçesi var
• ☐ Ayrılan çalışan erişimi yok
• ☐ Dış taraf erişimleri güncel ve süreli
• ☐ En az iki kişi erişebiliyor
• ☐ Parolalar parola yöneticisinde
• ☐ İki adımlı doğrulama açık

G. Kurulum denetimi

Her adres için:

• ☐ https ile açılıyor
• ☐ Kilit simgesi tam
• ☐ Zincir eksiksiz
• ☐ www'lu ve www'suz çalışıyor
• ☐ Yönlendirme doğru
• ☐ Karma içerik yok
• ☐ Mobilde sorunsuz
• ☐ E-posta servisleri sorunsuz

H. Yapılandırma denetimi

• ☐ Güvenlik testi çalıştırıldı
• ☐ Sonuçlar kabul edilebilir
• ☐ Eski protokoller kapalı
• ☐ Zayıf şifreleme yok
• ☐ Bilinen zafiyet yok
• ☐ Bulgular kaydedildi
• ☐ Geçen yılla karşılaştırıldı

I. Otomasyon denetimi

• ☐ Otomasyon kurulu olanlar tespit edildi
• ☐ Çalıştığı doğrulandı
• ☐ Son yenileme tarihi kontrol edildi
• ☐ Servis yeniden yükleme adımı çalışıyor
• ☐ Başarısızlık uyarısı tanımlı
• ☐ Uyarı test edildi

Üçüncü madde: Sertifikanın bitiş tarihi çok yakınsa, otomasyon çalışmıyor demektir.

J. İzleme denetimi

• ☐ İzleme sistemi çalışıyor
• ☐ Tüm adresler kapsamda
• ☐ Uyarı eşikleri uygun
• ☐ Uyarılar doğru kişilere gidiyor
• ☐ Test uyarısı gönderildi ve ulaştı
• ☐ Yeni sistemler izlemeye eklenmiş

K. Süreç denetimi

• ☐ Politika mevcut ve güncel
• ☐ Prosedürler yazılı
• ☐ Ekipler biliyor
• ☐ Yıl içinde uygulandı mı, örneklerle kontrol edildi
• ☐ Sapma varsa sebebi incelendi

L. Olay denetimi

• ☐ Yıl içinde yaşanan olaylar listelendi
• ☐ Kök nedenleri incelendi
• ☐ Alınan tedbirler uygulandı mı
• ☐ Tekrar yaşandı mı
• ☐ Prosedürler güncellendi mi

M. Maliyet denetimi

• ☐ Gerçekleşen gider hesaplandı
• ☐ Bütçeyle karşılaştırıldı
• ☐ Kullanılmayan sertifika yok
• ☐ Optimizasyon fırsatları değerlendirildi
• ☐ Sağlayıcı fiyatları karşılaştırıldı

Denetim raporu

Bulguları işleme

• ☐ Her bulguya öncelik atandı
• ☐ Sorumlu atandı
• ☐ Tarih verildi
• ☐ Takip listesi oluşturuldu
• ☐ Tamamlanma kontrol ediliyor
• ☐ Bir sonraki denetimde doğrulanacak

Öncelik ölçütleri

Denetim takvimi

• ☐ Yıllık tam denetim tarihi belirlendi
• ☐ Üç aylık kısa kontroller planlandı
• ☐ Sorumlu atandı
• ☐ Rapor kime sunulacak, belli
• ☐ Bulgular takip ediliyor

Üç aylık kısa kontrol

Tam denetim yılda bir; ama üç ayda bir şu beş maddeye bakın:

1. Yakında dolan sertifika var mı?
2. Yeni açılan sistem envantere eklendi mi?
3. Otomasyon çalışıyor mu?
4. İzleme uyarısı geldi mi?
5. Sorumlu değişikliği oldu mu?

Bu kısa kontrol on dakika sürer ve sürprizleri önler.