Madde 11 — Konfigürasyon yönetimi

MADDE 11-(1) Kuruluş, her bir kritik dijital varlığı ve bu varlıklarla bağlantılı diğer dijital varlıkları kapsayacak şekilde konfigürasyon yönetimini geliştirir, uygular ve sürdürür.

(2) Kuruluş, kritik dijital varlıkların konfigürasyonunda yapılan değişikliklerin kritik dijital varlıkların işlevselliğine zarar vermemesini sağlar.

(3) Kuruluş, konfigürasyon yönetimine dijital varlıklara yönelik yedekleme ve kurtarma faaliyetlerini dâhil eder. Bununla birlikte Kuruluş yedek yapılandırmaları ve konfigürasyon geçmişini ilgili prosedürlerinde belirlediği süreler boyunca muhafaza eder.

(4) Kuruluş tarafından yönetilen dijital varlıkların mevcut konfigürasyonlarında yapılması planlanan herhangi bir değişikliğin uygulanmasından önce Kuruluş tarafından asgari olarak aşağıdaki eylemler gerçekleştirilir:

a) Kritik dijital varlıklarda yapılacak değişikliklerin etkisinin değerlendirmesi, doğrulanması ve belgelenmesi.

b) Kritik dijital varlıklar ve bu varlıklarla bağlantılı diğer dijital varlıklardaki değişikliklerin siber güvenliğin mevcut etkinliğini azaltmadığının, yeni bir güvenlik açığı oluşturmadığının veya siber güvenlik önlemlerinin uygulanmasında bir engel oluşturmadığının doğrulanması ve belgelenmesi, bu gereğin sağlanamadığı durumlarda telafi edici önlemlerin alınması.

c) Personel değişikliklerinin siber güvenlik önlemleri üzerindeki etkisinin değerlendirilmesi.

ç) Değişiklik taleplerinin belgelenmesi.

(5) Kuruluş, konfigürasyon yönetimine ilişkin faaliyetleri yılda en az bir kez gözden geçirir ve gerektiğinde günceller.

Tedarik zinciri yönetimi