İçindekiler
ISO 27001 Erişim Matrisi Uygulama, personelin yazılım kaynak kodu, BGYS dokümanları ve versiyon kontrol sistemleri gibi kaynaklara okuma/yazma/silme yetkilerini gösteren ve periyodik olarak kontrol edilen erişim izleme tablosudur. Bu yazıda matrisin amacını, kullandığı yetki kodlarını ve ISO 27001 denetiminde “en az yetki” ilkesinin nasıl doğrulandığını ele alıyoruz.
ISO 27001 Erişim Matrisi Uygulamanın Amacı Nedir?
Bu tablo, Erişim Politikası kapsamında personelin sistem erişim yetkilerinin belirli aralıklarla kontrol edilerek doğrulanmasını sağlar. Zamanla personel değişir, görevler değişir, ama sistem erişim yetkileri bazen bu değişiklikleri takip etmez; bu matris, yetkilerin fiili ihtiyaçla hâlâ örtüşüp örtüşmediğini düzenli olarak sınayan bir kontrol mekanizmasıdır.
Matriste Hangi Bilgiler Yer Alır?
- Personel adı ve kontrol tarihi
- Sistem/kaynak bazında erişim seviyesi (R: okuma, RW: okuma-yazma, RWD: okuma-yazma-silme, X: erişim yok)
- Kontrol sonucu (erişimde aksaklık/değişiklik görülüp görülmediği)
Dört seviyeli yetki kodlamasının (R/RW/RWD/X) kullanılması, erişimin “var/yok” gibi ikili bir mantıkla değil, kademeli bir hassasiyetle yönetildiğini gösterir; bir kaynak koduna yazma yetkisi olan bir geliştiricinin, o kaynağı silme yetkisine otomatik olarak sahip olmaması buna iyi bir örnektir.
Bu Matris Denetimde Nasıl Değerlendirilir?
Denetçiler bu matrisi incelerken genellikle işten ayrılan veya görevi değişen personelin eski yetkilerinin kaldırılıp kaldırılmadığını ve kontrol sonuçlarında tespit edilen aksaklıkların giderilip giderilmediğini sorgular. Bu matris, ISO 27001 belgesi denetimlerinde erişim yetkilerinin düzenli olarak gözden geçirildiğinin ve en az yetki ilkesinin fiilen uygulandığının kanıtıdır.