Veritabanı Denetimi

Bilgi sistemleri denetçileri, veritabanlarıyla ilgili bir dizi sorumluluğa sahiptir. Bu görevler, veritabanı güvenliğini sağlamak, performansı değerlendirmek, veri bütünlüğünü korumak ve yasal ve uyumluluk gereksinimlerini yerine getirmek gibi kritik alanlarda yoğunlaşır.

Bilgi sistemleri denetçilerinin veritabanları ile ilgili başlıca sorumluluklarını şöyle sınıflandırabiliriz;

1. Veri Güvenliği ve Yetkilendirme Kontrolleri

• Erişim Kontrollerini Değerlendirme:
  • Kimlerin veritabanına erişimi olduğunu, bu erişim seviyelerinin uygun olup olmadığını inceler.
  • Minimum yetkilendirme ilkesinin (least privilege) uygulanıp uygulanmadığını kontrol eder.
• Şifreleme Kontrolleri:
  • Veri tabanında saklanan verilerin şifrelenip şifrelenmediğini kontrol eder.
  • Veri aktarımı sırasında güvenli protokollerin (ör. TLS) kullanıldığını doğrular.
• Yetkisiz Erişimlerin Tespiti:
  • Yetkisiz erişim girişimlerini tespit etmek için logları ve olay raporlarını inceler.

2. Veri Bütünlüğü ve Tutarlılığı Sağlama

• Veri Doğruluğunu Doğrulama:
  • Verilerin doğruluğunu, tamlığını ve tutarlılığını denetler.
• Yedekleme ve Geri Yükleme Süreçlerini Değerlendirme:
  • Veritabanı yedekleme politikalarını inceler ve yedeklerin düzenli olarak test edilip edilmediğini kontrol eder.
• Veritabanı Değişiklik Yönetimi:
  • Yapılan değişikliklerin doğru şekilde belgelendiğini ve izinsiz değişikliklerin önlenmesi için kontrollerin mevcut olduğunu doğrular.

3. Performans ve Kapasite Yönetimi

• Veritabanı Performansını Değerlendirme:
  • Performans izleme araçlarını kullanarak sistemin düzgün çalıştığından emin olur.
  • Tıkanıklık veya yavaşlama gibi performans sorunlarını tespit eder.
• Kapasite Planlamasını İnceleme:
  • Veritabanının gelecekteki büyüme ihtiyaçlarına uygun şekilde tasarlanıp tasarlanmadığını kontrol eder.

4. Uyumluluk ve Yasal Gereklilikler

• Regülasyonlara Uyum:
  • Veritabanının, sektör standartlarına ve yasal düzenlemelere uygunluğunu doğrular (ör. GDPR, HIPAA, PCI DSS).
• Denetim İzlerini (Audit Trails) İnceleme:
  • Logların tutulduğunu ve gerektiğinde denetim veya soruşturma için kullanılabildiğini kontrol eder.
  • Logların değiştirilemez ve güvenli bir şekilde saklandığını doğrular.

5. Risk Yönetimi

• Tehdit ve Zafiyet Analizi:
  • Veritabanına yönelik mevcut ve potansiyel tehditleri analiz eder.
  • Zafiyet taramaları yaparak riskleri raporlar.
• Olay Müdahale Planlarının İncelenmesi:
  • Veri ihlali durumunda uygulanacak prosedürlerin (incident response plan) etkinliğini değerlendirir.

6. Veritabanı Yapılandırma Kontrolleri

• Yapılandırma Yönetimi:
  • Veritabanının doğru şekilde yapılandırıldığını (örneğin, varsayılan kullanıcı adlarının veya portların değiştirilmiş olması) kontrol eder.
• Patch Yönetimi:
  • Veritabanı yazılımının en güncel yamalarla güncellendiğini kontrol eder.
• Segregation of Duties (Görev Ayrımı):
  • Veritabanı yöneticisi ile sistem yöneticisi gibi roller arasında görev ayrımı yapıldığını doğrular.

7. Denetim ve Raporlama

• Düzenli Denetimlerin Gerçekleştirilmesi:
  • Veritabanı süreçlerinin düzenli olarak denetlenmesini sağlar.
• Raporlama:
  • Denetim bulgularını yönetime veya ilgili taraflara raporlar.
  • İyileştirme önerilerinde bulunur.

---

Örnek Sorular ve Kontroller

Denetçilerin sorabileceği örnek sorular şunlardır:

• “Veritabanına erişim hangi politikalar çerçevesinde sağlanıyor?”
• “Son yedekleme ve geri yükleme testi ne zaman yapıldı?”
• “Hangi araçlarla performans izleniyor?”
• “Veritabanı logları düzenli olarak inceleniyor mu?”