İçindekiler
ISO 27001 Erişim Politikası, personelin fiziksel ve yazılımsal erişim yetkilerinin belirlenmesine ve izlenmesine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde ayrıcalıklı erişimin neden tek bir kişiyle sınırlandırıldığını ele alıyoruz.
ISO 27001 Erişim Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A erişim kontrolü kapsamında hizmet sürekliliğini ve veri güvenliğini korumak için fiziksel ve yazılımsal erişim yetkilerini düzenler. Erişim Matrisi Uygulaması bu politikanın fiilen uygulanıp uygulanmadığını denetleyen araçken, bu politika erişimin hangi ilkelere göre verileceğini baştan belirler.
Politikanın Temel Kuralları Nelerdir?
- Tüm sistem güvenlik duvarı arkasındadır; sunuculara erişim şifre kontrolü ile sağlanır
- Kullanıcılar bilgisayarlarına yalnızca kendilerine tahsis edilen şifreyle erişir
- Ziyaretçi erişimi sisteme kapalıdır
- Erişim yetkileri işe girişte belirlenir, işten ayrılma/görev değişikliğinde güncellenir ve 3 ayda bir kontrol edilir
- Ayrıcalıklı erişim hakkı yalnızca Genel Müdür’e tanınır
Ayrıcalıklı (yönetici seviyesi) erişimin tek bir kişiyle sınırlandırılması, en kritik yetkinin birden fazla kişi arasında dağılarak hesap verebilirliğin bulanıklaşmasını önler; bir sorun yaşandığında sorumluluk zinciri net kalır.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle “3 ayda bir kontrol” taahhüdünün fiilen yerine getirilip getirilmediğini ve ayrıcalıklı erişimin gerçekten tanımlanan tek kişiyle sınırlı kalıp kalmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde erişim yetkilerinin ilke bazlı ve periyodik olarak doğrulanarak yönetildiğinin kanıtıdır.