Kısa cevap: tek bir doğru sıklık yok
Kurumların en sık sorduğu sorulardan biri, ne sıklıkla tarama yaptırmaları gerektiğidir. Dürüst cevap, herkes için geçerli tek bir sıklık olmadığıdır. Üç ayda bir tarama yaptıran bir kurum, bir tadilattan hemen sonra ek tarama yaptırmadıysa riskli bir dönemi gözden kaçırmış olabilir. Yılda bir tarama yaptıran başka bir kurum ise kritik toplantılardan önce ek tarama planladığı için daha iyi korunuyor olabilir.
Doğru sıklık, kurumunuzun risk profiline göre belirlenir. Bu rehberde bu profili oluşturan etkenleri, örnek bir planlama çerçevesini ve sıklık kadar önemli olan diğer konuları anlatıyoruz.
Sıklığı belirleyen etkenler
Bilginin değeri
Kritik odalarda konuşulan bilgi ne kadar değerliyse ve bu değer ne kadar uzun süre devam ediyorsa, düzenli doğrulamanın önemi o kadar artar. Birleşme ve satın alma süreçleri, ihaleler, Ar-Ge projeleri, hukuki stratejiler ve siyasi kararlar bu bilgilere örnektir.
Kimin ilgi duyabileceği
Rakipler, karşı taraflar, eski çalışanlar, medya ya da bireysel aktörler. Bilgiye ilgi duyabilecek tarafların kim olduğu ve ne kadar kararlı olabilecekleri, riskin düzeyini belirler.
Erişim
Kritik odalara kimlerin eriştiği önemlidir. Sık ziyaretçi kabul eden, taşeron temizlik ve bakım ekipleriyle çalışan, ortak kullanılan bir iş merkezinde bulunan ya da personel değişimi yüksek olan kurumlarda bir cihazın yerleştirilmesi için daha fazla fırsat vardır.
Fiziksel değişiklikler
Tadilat, taşınma, yeni mobilya, yeni toplantı odası kurulumu ya da kablolama değişiklikleri, hem bir cihazın yerleştirilmesi için fırsat yaratır hem de önceki taramaların geçerliliğini azaltır.
Takvim
Önümüzdeki dönemde hassas süreçler olup olmadığı, taramaların zamanlamasını doğrudan etkiler. Yönetim kurulu toplantıları, müzakereler ve önemli duyurular öncesinde tarama yapmak, düz bir takvimden çoğu zaman daha anlamlıdır.
Geçmiş olaylar
Daha önce bir bilgi sızıntısı, şüpheli bir erişim ya da bulunan bir cihaz olduysa, bu kurumun hedef alındığını ve riskin süreklilik taşıyabileceğini gösterir.
Örnek bir planlama çerçevesi
Aşağıdaki çerçeve bir sektör standardı değil, risk değerlendirmesine başlamak için kullanabileceğiniz bir örnektir. Kurumunuz için doğru takvim, değerlendirme sonrasında belirlenmelidir.
- Daha düşük risk: Bilgi değeri sınırlı, erişim kontrollü, fiziksel değişiklik az. Yılda bir kapsamlı tarama ve olaya bağlı ek taramalar.
- Orta risk: Düzenli hassas toplantılar, orta düzeyde ziyaretçi ve taşeron erişimi. Yılda iki tarama, kritik toplantılar öncesinde ek kontrol.
- Daha yüksek risk: Süreklilik taşıyan yüksek değerli bilgi, kararlı ilgi sahipleri, yoğun erişim ya da geçmiş olaylar. Üç ayda bir ya da daha sık tarama, kritik toplantılar öncesinde ve sırasında koruma.
Bu çerçeve, kurumun bütün alanlarına değil, kritik alanlarına uygulanmalıdır.
Olaya bağlı taramalar
Takvimden bağımsız olarak, aşağıdaki durumlardan sonra ek tarama planlamak mantıklıdır:
- Ofis tadilatı, taşınma ya da yeni bir toplantı odası kurulumu
- Kritik bir yönetim kurulu toplantısı, müzakere ya da duyuru öncesi
- Hassas bir pozisyondaki çalışanın ayrılması, özellikle bir anlaşmazlıkla
- Şüpheli bir erişim, açıklanamayan bir bakım ziyareti ya da bir bilgi sızıntısı şüphesi
- Kritik odalara yeni elektronik ekipman, mobilya ya da hediye girişi
Takvimin öngörülemez olması
Tarama sıklığı kadar önemli olan bir konu, tarama tarihlerinin önceden tahmin edilememesidir. Her yıl aynı hafta yapılan ya da önceden duyurulan bir tarama, bir cihazı tarama günü kaldırıp sonra geri koymayı kolaylaştırır. Tarihleri sabit bir düzene bağlamayın, yalnızca programın sorumlusu ve erişim için gereken kişiyle paylaşın ve takvimde nötr bir ifade kullanın.
Kritik alanları önceliklendirin
Bütün binayı aynı sıklıkta taramaya çalışmak, kaynakları dağıtır ve kritik alanların yeterince sık taranmamasına yol açabilir. Önce kritik alanları belirleyin: yönetim kurulu salonu, üst yönetim ofisleri, hukuk ve finans birimlerinin toplantı odaları, Ar-Ge alanları, yönetici konutları ve makam araçları. Program bu alanlar için daha sık, genel çalışma alanları için daha seyrek kurulabilir.
Taramalar arasında
Bir tarama, ortamın tarama anındaki durumunu doğrular. Taramalar arasındaki dönemi korumak, idari önlemlerle mümkündür: kritik odalara erişimin kayıt altında tutulması, hediye ve promosyon ürünlerinin kontrolü, hassas toplantılarda telefon politikası, tadilat ve kablolama değişikliklerinin kaydı. Bu önlemler, bir sonraki taramada değişikliklerin daha kolay fark edilmesini de sağlar.
Birden fazla lokasyon
Birden fazla şehirde ofisi ya da şubesi olan kurumlarda her lokasyonun risk düzeyi farklıdır. Genel merkezdeki yönetim kurulu salonu ile bir bölge ofisinin toplantı odası aynı sıklıkta taranmak zorunda değildir. Programı lokasyon bazında değil, kritik alan bazında kurmak daha anlamlıdır: hangi lokasyonda hangi odalar kritik, oralarda hangi konuşmalar yapılıyor ve oralara kimler erişiyor. Bütün lokasyonların bulgularını ortak bir rapor düzeninde toplamak, kurum genelinde karşılaştırma yapmanızı da sağlar.
Bütçe ve kaynak planlaması
Tarama sıklığı, kaynaklarla da ilgilidir. Sınırlı bir bütçeyle bütün alanları sık taramaya çalışmak yerine, kritik alanlara öncelik vermek ve olaya bağlı taramalar için bir pay ayırmak çoğu zaman daha etkili bir kullanımdır. Kritik bir müzakere öncesinde yapılan tek bir tarama, aynı bütçeyle genel çalışma alanlarında yapılacak birkaç taramadan daha fazla koruma sağlayabilir. Yıllık bütçeyi planlarken takvimdeki bilinen hassas süreçleri de hesaba katın.
Programın etkinliğini değerlendirmek
Bir programın işe yarayıp yaramadığını yalnızca bulunan cihaz sayısıyla ölçmek doğru değildir; hiç cihaz bulunmaması da programın değerini azaltmaz. Daha anlamlı göstergeler şunlardır: kritik alanların düzenli olarak doğrulanıp doğrulanmadığı, olaya bağlı taramaların zamanında yapılıp yapılmadığı, rapor önerilerinin uygulanıp uygulanmadığı ve erişim kayıtlarının tutulup tutulmadığı.
Sık yapılan hatalar
- Taramayı yalnızca bir sızıntıdan sonra düşünmek
- Taramaları önceden duyurmak ya da tahmin edilebilir bir düzene bağlamak
- Taramadan sonra kritik odalara erişimi kontrolsüz bırakmak
- Yalnızca tek bir yöntemle, örneğin yalnızca RF dedektörüyle yapılan bir kontrolü yeterli saymak
- Programı bulgular ve değişen riskler ışığında gözden geçirmemek
Doğru sıklık, kurumunuzu tanıyarak ve risklerinizi birlikte değerlendirerek belirlenir. Kurumsal periyodik TSCM programımızda bu değerlendirmeyi yapar, size gerekçeli bir takvim öneririz.