Madde 9 — Varlık yönetimi sınıflandırması

MADDE 9 – (1) İşletmeci, sahip olduğu  varlıkları ve bu varlıkların sorumlularını dokümante ederek bir varlık envanteri oluşturur. Birçok varlığın belirli bir fonksiyonu yerine getirmek üzere birlikte kullanıldığı karmaşık bilgi sistemleri tek bir varlık olarak kabul edilebilir.

(2) Varlık envanteri asgari olarak varlığın adı, tipi, yeri, yedekleme bilgisi, kuruluş açısından değeri, varlık sorumlusu ve varsa lisans veya kimlik bilgisini içerir. Mevzuata uyum ve Kuruma karşı sorumluluk, varlık sorumlusundan bağımsız olarak işletmeciye aittir.

(3) İşletmeci, bilgi güvenliği ihtiyaçlarını karşılayacak şekilde varlıklarının gizlilik sınıfını; kritiklik derecesi, yasal gereksinimler ve verinin hassasiyeti kriterlerine göre belirleyerek varlıklarını uygun biçimde etiketler.

(4) Her bir gizlilik sınıfı için erişim, kullanım, depolama, iletim, imha, paylaşım ve dağıtım kuralları işletmeci tarafından belirlenir.

(5) Varlık envanteri yazılım, donanım, personel gibi envanteri oluşturan varlıklarda değişiklik olması durumunda güncellenir.

Risk değerlendirme ve işleme