Uyumluluk Raporları
Platformun kanıtlayabildiği kontrol alanlarını, denetiminizin dönemi ve varlık kapsamı için raporlayın.
Uyumluluk Raporu Nedir#
Uyumluluk raporu, platform verisini bir kontrol alanı için kanıta çevirir. Denetçinin "bunun yönetildiğini göster" sorusunu, bir açıklama yerine kayıtla yanıtlar.
Raporlar ancak kapsamı ve dönemi kadar iyidir. Yanlış kapsamla doğru rapor, rapor olmamasından kötüdür; çünkü yanlış bir kayıt oluşturur.
Çerçeveler ve Kontroller#
Dokuz regülasyonun kontrol bazlı raporu vardır. Her rapor, regülasyonun maddelerini canlı platform kanıtıyla değerlendirir ve platformun ölçemediği maddeleri manuel inceleme olarak işaretler.
| Çerçeve | Yetki alanı | Kontrol |
|---|---|---|
| KVKK | Türkiye | 13 |
| GDPR | Avrupa Birliği | 13 |
| ISO/IEC 27001:2022 | Uluslararası | 18 |
| HIPAA Security Rule | Amerika Birleşik Devletleri | 14 |
| PCI DSS v4.0 | Uluslararası | 18 |
| SOC 2 | Uluslararası | 12 |
| NIST CSF 2.0 | Amerika Birleşik Devletleri | 22 |
| CIS Controls v8.1 | Uluslararası | 18 |
| ISO/IEC 42001:2023 | Uluslararası | 9 |
Aynı raporlar ayrıca altı kontrol alanı etrafında düzenlenir. Bunları denetlendiğiniz çerçeveye eşleyin:
| Kontrol alanı | Neyi kanıtlar |
|---|---|
| Varlık kontrolü | Her yönetilen endpoint envanterde olduğundan denetimin varlık kapsamı tanımlıdır. |
| Yapılandırma kontrolü | Ajan profilleri ve politikalar, her cihaz sınıfının gereken durumunu tanımlar. |
| Erişim kontrolü | Yerel hesaplar, yönetici hakları ve SaaS erişimi varlık ve kullanıcı bazında raporlanır. |
| Veri kontrolü | Sınıflandırma kuralları, DLP politikaları ve DSPM bulguları hassas verinin nasıl yönetildiğini tanımlar. |
| Değişiklik kontrolü | Politika değişiklikleri, scriptler ve otomasyonlar işlemi yapan operatörle birlikte kaydedilir. |
| Günlükleme kontrolü | Panel işlemleri denetim kaydına yazılır; böylece yönetimsel aktivite izlenebilir. |
Rapor Üretme#
- 1Çerçeveyi seçin
Hangi çerçeve veya mevzuata göre rapor ürettiğinizi seçin; böylece rapor onun kontrol alanlarına göre yapılandırılır.
- 2Dönemi belirleyin
Denetim dönemlerinin başlangıcı ve bitişi vardır. Raporu tam olarak o dönem için üretin; böylece öncekiyle karşılaştırılabilir.
- 3Varlık kapsamını belirleyin
Denetim kapsamındaki endpoint’ler için raporlayın. Kazara dahil edilen kapsam dışı bir endpoint tüm raporu zayıflatır.
- 4Paylaşmadan önce inceleyin
Raporu okuyun ve boşlukları kontrol edin. Kanıtı olmayan bir kontrol, denetçinin ilk soracağı bulgudur.
- 5Çıktıyı saklayın
Üretilen raporu kapsamı ve dönemiyle birlikte saklayın; böylece sonraki denetim aynı kayıttan yanıtlanabilir.
Kanıt Yönetimi#
- Her rapor dönemini ve kapsamını taşır; bunları birlikte saklayın, çünkü rapor onlar olmadan yorumlanamaz.
- Kesintisiz bir zincir tutun. Rapor geçmişindeki bir boşluk, kendi başına bir denetim bulgusudur.
- Dışa aktarılan kanıtı, ondan uzun yaşaması gereken saklama penceresinin dışında saklayın.
- Ardışık dönemleri karşılaştırın. Geçen dönem kanıtlanan bir kontrolün bu dönem kanıtlanmaması, uyumluluk raporunun gösterebileceği en faydalı şeydir.