İçindekiler
ISO 27001 E-Posta Politikası, kurumsal e-posta altyapısının güvenli ve doğru kullanımına ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde e-postanın neden en sık istismar edilen kanal olduğunu ele alıyoruz.
ISO 27001 E-Posta Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A iletişim güvenliği kontrolleri kapsamında kurumsal e-posta sisteminin yanlış veya kötüye kullanımını önler. E-posta, oltalama (phishing) saldırılarının ve zararlı yazılım bulaşmalarının en yaygın giriş noktasıdır; bu nedenle e-posta kullanım kuralları, BGYS’nin günlük hayatta en çok karşılaşılan risklere karşı ilk savunma hattını oluşturur.
Politikanın Temel Kuralları Nelerdir?
- Taciz, suistimal veya hak ihlali içeren mesajlar gönderilemez; şüpheli mesajlar hemen bildirilir
- Zincir mesajlar ve çalıştırılabilir dosya ekleri açılmadan silinir
- Şifre isteyen sahte e-postalar hiçbir işlem yapılmadan silinir
- Kaynağı bilinmeyen eklerin açılması kesinlikle yasaktır
- Kişisel kullanım makul seviyede tutulur, iş dışı e-postalar ayrı klasörde saklanır
“Şifre isteyen sahte e-postalar” maddesinin ayrıca belirtilmesi, personelin oltalama saldırılarını tanıyabilmesi için özel olarak uyarıldığını gösterir; bu tür e-postalar genellikle meşru bir kurumu taklit ederek şifre bilgisi sızdırmayı hedefler.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle personelin şüpheli e-postaları tanıma ve bildirme konusunda eğitilip eğitilmediğini ve geçmişte bildirilen oltalama vakalarının nasıl yönetildiğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde e-posta üzerinden gelebilecek güvenlik risklerinin bilinçli şekilde yönetildiğinin kanıtıdır.