Güvenlik Politikası Neden Gereklidir?
Bilgi güvenliği politikası, bir kurumun verilerini, sistemlerini ve çalışanlarını korumak için belirlediği kuralların yazılı çerçevesidir. Teknoloji ne kadar gelişmiş olursa olsun, net kurallar ve sorumluluklar tanımlanmadıkça güvenlik dağınık ve tutarsız kalır. İyi hazırlanmış bir politika, herkesin aynı standartlara uymasını sağlar ve karar anlarında yol gösterir.
Politikanın Temel Bileşenleri
Kapsamlı bir güvenlik politikası, kurumun tüm risk alanlarını ele alır. Aşağıdaki başlıklar çoğu kurum için temel oluşturur.
- Erişim yönetimi: Kimin hangi sisteme erişebileceği ve yetkilerin nasıl verildiği.
- Parola ve kimlik doğrulama: Güçlü parola kuralları ve çok faktörlü doğrulama zorunlulukları.
- Veri sınıflandırma: Verilerin hassasiyetine göre nasıl işlendiği ve korunduğu.
- Kabul edilebilir kullanım: Kurumsal cihaz ve ağların nasıl kullanılacağı.
- Olay müdahale: Bir ihlal durumunda kimin ne yapacağı.
Riskleri Belirlemek
Etkili bir politika, kurumun gerçek risklerini anlamakla başlar. Hangi verilerin kritik olduğu, hangi sistemlerin iş sürekliliği için hayati olduğu ve hangi tehditlerin öncelikli olduğu belirlenir. Bu değerlendirme, politikanın kaynakları doğru alanlara yönlendirmesini sağlar.
Uygulanabilir ve Anlaşılır Olmak
En büyük politika hatası, çok karmaşık ve gerçek hayattan kopuk kurallar yazmaktır. Çalışanların anlamadığı veya uygulaması zor bulduğu kurallar kağıt üzerinde kalır. Bu nedenle politika, sade bir dille yazılmalı, gerekçeleri açıklanmalı ve günlük iş akışıyla uyumlu olmalıdır.
Eğitim ve Farkındalık
Bir politika, ancak çalışanlar tarafından benimsendiğinde işe yarar. Düzenli farkındalık eğitimleri, oltalama simülasyonları ve hatırlatmalar, kuralların canlı kalmasını sağlar. Güvenlik, tek bir departmanın değil tüm kurumun sorumluluğudur.
- Politikayı sade ve uygulanabilir tutun.
- Çalışanları düzenli olarak eğitin.
- Politikayı belirli aralıklarla gözden geçirip güncelleyin.
- Üst yönetimin desteğini ve örnekliğini sağlayın.
Sürekli Gözden Geçirme
Tehditler ve iş ihtiyaçları değiştikçe politika da güncellenmelidir. Statik bir belge, zamanla gerçeklikten kopar. Düzenli denetimler ve geri bildirim döngüleri, politikanın canlı ve etkili kalmasını sağlar.
Politika, Standart ve Prosedür: Belgelerin Hiyerarşisi
Kurumsal güvenlik politikası tek bir uzun belge olarak yazıldığında hem okunmaz hem de güncellenmesi zorlaşır. Bu nedenle olgun yapılarda belgeler katmanlı hazırlanır:
- Politika: Üst yönetimin onayladığı, “ne” yapılacağını ve neden yapılacağını söyleyen kısa çerçeve belge. Teknoloji değişse bile uzun süre geçerli kalır.
- Standart: Politikanın ölçülebilir kurallara çevrilmiş hâli. Örneğin parola uzunluğu, çok faktörlü doğrulamanın hangi sistemlerde zorunlu olduğu ya da hangi şifreleme yönteminin kullanılacağı.
- Prosedür: Bir işin adım adım nasıl yapılacağını anlatan uygulama talimatı. Yeni personele hesap açma veya işten ayrılan çalışanın erişimlerini kapatma gibi.
- Kılavuz: Zorunlu olmayan, iyi uygulama önerileri.
Bu ayrım sayesinde bir teknik ayar değiştiğinde yalnızca ilgili standart ya da prosedür güncellenir; üst yönetim onayı gerektiren politika metni yerinde kalır.
Adım Adım Politika Hazırlama Süreci
- Kapsamı belirleyin: Politika hangi lokasyonları, sistemleri, çalışanları, tedarikçileri ve uzaktan çalışanları kapsıyor? Kapsam dışı bırakılanlar da yazılmalıdır.
- Varlıkları ve sahiplerini çıkarın: Her kritik sistem ve veri grubu için bir iş sahibi atanır. Sahibi olmayan varlık için kimse karar vermez.
- Taslağı ilgili birimlerle yazın: İnsan kaynakları, hukuk, muhasebe ve BT birlikte çalıştığında kurallar sahadaki gerçek iş akışına uyar.
- Onaylatın ve duyurun: Üst yönetim onayı alınır, çalışanlara okunduğu kayıt altına alınacak şekilde iletilir.
- Teknik kontrollerle destekleyin: Yazılı kural, mümkün olduğunca sistem ayarıyla zorunlu hâle getirilir. Örneğin çok faktörlü kimlik doğrulama politikada yazıyorsa, uzaktan erişimde teknik olarak da açık olmalıdır.
Küçük ve Orta İşletmeler İçin Asgari Başlıklar
Her işletmenin kapsamlı bir yönetim sistemi kurması gerekmez. Ancak küçük bir ofiste bile aşağıdaki başlıkların yazılı olması temel güvenlik düzeyini belirgin biçimde yükseltir:
- Hesap açma, yetki verme ve işten ayrılışta erişim kapatma kuralları. Bu konunun teknik tarafı kullanıcı ve yetki yönetimi yazımızda ele alınıyor.
- Kişisel cihazların kurumsal e-posta ve dosyalara erişim koşulları.
- Yedeklerin nerede, ne sıklıkla alındığı ve kimin sorumlu olduğu.
- Kişisel verilerin işlenme ve saklanma kuralları; bu başlığın yasal boyutu için KVKK uyumu ve veri yönetişimi rehberimize bakabilirsiniz.
- Şüpheli bir olayın kime ve hangi kanaldan bildirileceği.
Politikanın İşe Yaradığı Nasıl Anlaşılır?
Yazılı bir politikanın gerçekten uygulanıp uygulanmadığı birkaç somut göstergeyle izlenebilir: işten ayrılan çalışanların hesaplarının aynı gün kapatılıp kapatılmadığı, çok faktörlü doğrulamanın tanımlı tüm hesaplarda açık olup olmadığı, yedeklerin geri yükleme testlerinin yapılıp yapılmadığı ve çalışanların şüpheli olayları bildirip bildirmediği. Bu göstergeler düzenli aralıklarla raporlanıp yönetimle paylaşıldığında politika, rafta bekleyen bir belge olmaktan çıkar ve kurumun güvenlik düzeyini gösteren canlı bir araca dönüşür.
Sık Yapılan Hatalar
- İnternetten hazır bir şablonu kurumun adını değiştirerek kullanmak; şablondaki kuralların hiçbirinin sahada karşılığı olmaması.
- Politikayı yalnızca BT biriminin belgesi olarak görmek, yönetim onayı ve yaptırım tanımı olmadan yayımlamak.
- İstisnaları kayıt altına almamak; zamanla “herkes için geçerli ama kimse uymuyor” durumuna düşmek.
- Tedarikçilerin ve dış hizmet sağlayıcıların erişimlerini kapsam dışında bırakmak.
Politikada yazan erişim ve trafik kurallarının güvenlik duvarı ve ağ tarafında uygulanması için Firewall ve Güvenlik Yönetimi hizmet sayfamızı inceleyebilirsiniz.
GelecekINT olarak kurumunuzun ihtiyaçlarına özel bilgi güvenliği politikaları hazırlıyor, uygulamaya alıyor ve denetliyoruz. Güvenlik yönetişiminizi güçlendirmek için WhatsApp üzerinden bize ulaşın veya teklif formunu doldurun.
