İçindekiler
ISO 27001 Bilgi Alışverişi Politikası, kuruluşun diğer organizasyonlarla gerçekleştirdiği bilgi alışverişinde kayıp, değişiklik veya yanlış kullanımı önlemeye yönelik kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde üçüncü taraf bilgi transferinin neden ayrıca düzenlendiğini ele alıyoruz.
ISO 27001 Bilgi Alışverişi Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A bilgi transferi kontrolleri kapsamında elektronik ve fiziksel ortamda gerçekleşen bilgi alışverişinin güvenli yürütülmesini sağlar. Bilginin kuruluş sınırları içinde korunması tek başına yeterli değildir; bilgi bir tedarikçiye, müşteriye veya iş ortağına aktarıldığı anda, kuruluşun doğrudan kontrolü dışına çıkar. Bu politika, tam olarak bu geçiş anındaki riskleri azaltmayı hedefler.
Politikanın Temel Kuralları Nelerdir?
- Üçüncü taraflarla yazılı gizlilik sözleşmesi imzalanır, kimlikler bilgi alışverişinden önce tespit edilir
- Gizli bilgiler şifrelenerek aktarılır, e-posta ile gönderilen hassas bilgiler şifrelenmelidir
- Posta ile gönderilen gizli bilgiler çift zarf ve taahhütlü olarak yollanır
- Gizli bilgiler telefon, telsiz veya açık alanlarda paylaşılmaz
- Silinebilir ortamlardaki gizli bilgiler kullanım sonrası etkin yöntemlerle silinir
Kuralların hem dijital (şifreleme) hem fiziksel (çift zarf) aktarım yöntemlerini kapsaması dikkat çekicidir; bu, bilgi transferi riskinin yalnızca e-posta veya dosya paylaşımıyla sınırlı olmadığını, kağıt üzerinde gönderilen bir evrakın da aynı derecede korunması gerektiğini gösterir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle üçüncü taraflarla yapılan gizlilik sözleşmelerinin güncel olup olmadığını ve hassas bilgi içeren e-postaların fiilen şifrelenip şifrelenmediğini kontrol eder. Bu politika, ISO 27001 belgesi denetimlerinde bilgi transferi risklerinin hem dijital hem fiziksel kanallarda kontrol altına alındığının kanıtıdır.