İçindekiler
ISO 27001 Güvenlik Farkındalığı Politikası, personelin bilişim güvenliği tehditleri konusunda düzenli olarak bilgilendirilmesine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, uygulama esaslarını ve ISO 27001 denetiminde farkındalığın neden tek seferlik bir eğitimden ibaret olmadığını ele alıyoruz.
ISO 27001 Güvenlik Farkındalığı Politikasının Amacı Nedir?
Bu politika, ISO 27001 Madde 7.3 (Farkındalık) kapsamında tüm personelin hızla değişen güvenlik tehditleri konusunda bilgilendirilmesini sağlar. Siber tehditler sürekli evrilir; bir yıl önce verilen bir eğitim, bugünün tehditlerine karşı yetersiz kalabilir. Bu nedenle politika, farkındalığı tek seferlik bir etkinlik değil, sürekli güncellenen bir süreç olarak tanımlar.
Uygulama Esasları Nelerdir?
- Tüm personel yılda en az bir kez güvenlik bilgilendirme toplantı/seminerine katılmak zorundadır
- Eğitim notları yıllık güncellenerek kuruluş portalı üzerinden tekrarlanır
- Yöneticiler BGYS, politika/prosedürler ve risk yönetimi konusunda bilinçlendirilir
- Teknik personel ISO 27001 etki alanları konusunda detaylı eğitim alır, gerekirse dış destek alınır
Farkındalık eğitiminin kademeli tasarlanması (genel personel, yöneticiler, teknik personel) dikkat çekicidir; her grup kendi sorumluluk alanına uygun derinlikte bilgilendirilir, bu da eğitimin herkese aynı jenerik içeriği sunan verimsiz bir yaklaşımdan kaçınmasını sağlar.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle eğitim notlarının gerçekten yıllık güncellenip güncellenmediğini ve farklı personel gruplarının kendi düzeyine uygun eğitimi alıp almadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde personel farkındalığının sürekli, güncel ve kademeli şekilde yürütüldüğünün kanıtıdır.