İçindekiler
ISO 27001 Cihaz Kontrol Prosedürü, sabit disk, taşınabilir medya ve diğer depolama cihazlarının veri yok etme, yer değiştirme, kablolama ve bakım süreçlerini tanımlayan prosedürdür. Bu yazıda prosedürün amacını, veri yok etme yöntemlerini ve ISO 27001 denetiminde medya imhasının neden hassas bir konu olduğunu ele alıyoruz.
ISO 27001 Cihaz Kontrol Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001 Ek-A medya yönetimi kontrolleri kapsamında depolama cihazlarının yok edilmesi, kaldırılması ve yer değiştirilmesi süreçlerini güvenli şekilde yönetmektir. Kullanım dışı kalan bir sabit disk veya USB bellek, basitçe çöpe atıldığında üzerindeki veriler kurtarma yazılımlarıyla geri alınabilir; bu prosedür, verinin fiziksel cihazdan ayrılmasının da en az verinin kendisi kadar güvenli yönetilmesini sağlar.
Veri Yok Etme Nasıl Yapılır?
- Masaüstü/dizüstü bilgisayarlarda veri yok etme aracı kullanılarak silme yapılır; silinemiyorsa cihaz fiziksel olarak imha edilir
- CD/DVD’ler kullanım dışı kaldığında fiziksel olarak imha edilir
- Taşınabilir hafıza kartları formatlanır veya veri yok etme aracıyla temizlenir
“Silinemiyorsa fiziksel imha” kuralı önemlidir; çünkü bazı depolama ortamlarında yazılımsal silme yöntemleri yetersiz kalabilir, bu durumda tek güvenilir çözüm cihazın fiziksel olarak kullanılamaz hale getirilmesidir.
Yer Değiştirme, Kablolama ve Bakım Nasıl Yönetilir?
Üçüncü taraflarca yapılan yer değiştirme hizmetleri denetlenir; veri taşıyan kablolar hasardan korunacak şekilde yerleştirilir ve kesinti durumunda BT ekibine bildirilir. Sistem bakımları Bakım Planı doğrultusunda yapılır, sonuçlar Bakım Onarım Formu ile kayıt altına alınır. Denetçiler bu prosedürü incelerken genellikle imha edilmiş cihazların imha tutanaklarının bulunup bulunmadığını ve üçüncü taraf taşıma hizmetlerinin denetim kaydının tutulup tutulmadığını sorgular. Bu prosedür, ISO 27001 belgesi denetimlerinde medya ve cihazların yaşam döngüsü boyunca güvenli yönetildiğinin kanıtıdır.