İçindekiler
ISO 27001 Bilgi Koruma Politikası, kuruluş içinde üretilen, muhafaza edilen ve iletilen bilginin uygun şekilde korunması ve kontrol edilmesine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde “veri sahipliği” kavramının neden merkezi olduğunu ele alıyoruz.
ISO 27001 Bilgi Koruma Politikasının Amacı Nedir?
Bu politika, ISO 27001 Madde 8 (Varlık Yönetimi) kapsamında her bilginin bir sahibinin olmasını ve bilginin yetkisiz erişime karşı korunmasını sağlar. Sahipsiz bırakılan bir bilgi, kimsenin sorumluluk almadığı ve bu yüzden gözden kaçan bir varlığa dönüşür; bu politika, her bilgi parçasının mutlaka bir sorumlusu olmasını zorunlu kılarak bu boşluğu kapatır.
Politikanın Temel Kuralları Nelerdir?
- Her bilgi için bir Veri Sahibi tanımlanır; veri sahibinin izni olmadan bilgi üzerinde işlem yapılamaz
- Sunuculardaki kritik veriler düzenli yedeklenir ve kuruluş dışı bir konuma da yedeklenir
- Yasa dışı veya izinsiz yazılım kullanımı yasaktır; yazılım kurulumu Sistem Uzmanı onayına tabidir
- Tüm yazılımlar gerçek ortama alınmadan önce test ortamında denenir
- Personel yalnızca kendisine tahsis edilen yetki çerçevesinde bilgiye erişebilir
“Kuruluş dışı bir konuma da yedekleme” kuralı, yalnızca yerel bir felaketin (yangın, su baskını) tüm verinin kaybına yol açmasını önleyen kritik bir önlemdir; tek bir fiziksel konuma bağımlı yedekleme, yedeklemenin kendisini anlamsız kılabilir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle kritik verilerin veri sahibi atamasının yapılıp yapılmadığını ve test ortamında denenmeden gerçek ortama alınan bir yazılım örneği olup olmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde bilgi varlıklarının sahiplendirilmiş ve yetkilendirme kurallarıyla korunduğunun kanıtıdır.