İçindekiler
ISO 27001 İlişik Kesme Formu, işten ayrılan personelin kuruluşa ait varlık, doküman ve erişim borcunun olup olmadığını departman bazında kontrol eden formdur. Bu yazıda formun amacını, kontrol ettiği departmanları ve ISO 27001 denetiminde bu formun neden kritik bir kontrol olduğunu ele alıyoruz.
ISO 27001 İlişik Kesme Formunun Amacı Nedir?
Bu form, ISO 27001:2017 Madde 7.2 kapsamında ayrılan personelin bilgi güvenliği açısından risk oluşturabilecek varlık, erişim ve materyallerinin iade edildiğinin bölüm bazında doğrulanmasını sağlar. İşten ayrılan bir personelin elinde kalan bir erişim kartı, iade edilmemiş bir dizüstü bilgisayar veya kapatılmamış bir sistem hesabı, kuruluş için doğrudan bir güvenlik açığıdır; bu form tam olarak bu açığı sistematik şekilde kapatır.
Hangi Departmanlar ve Varlıklar Kontrol Edilir?
- Personel bilgileri, son çalışma ve bordrodan çıkarma tarihi
- Bilgi işlem, muhasebe, bölüm müdürü, İK ve idari işler departmanlarının borç/teslim kontrolü
- Şirkete ait para, doküman, alet, bilgisayar, kimlik kartı, anahtar gibi varlıkların iade durumu
Formun birden fazla departmanın imzasını gerektirmesi, hiçbir tek departmanın tüm riski tek başına görüp kapatamayacağı gerçeğini yansıtır; örneğin İK işten ayrılışı bilse de, bilgisayar hesabının kapatılıp kapatılmadığını yalnızca Bilgi İşlem doğrulayabilir.
Bu Form Denetimde Nasıl Değerlendirilir?
Denetçiler bu formu incelerken genellikle geçmişte işten ayrılan birkaç personelin dosyasını örnekleyerek tüm departman imzalarının eksiksiz tamamlanıp tamamlanmadığını kontrol eder; özellikle Bilgi İşlem bölümünün hesap/erişim kapatma onayı, denetimde en çok sorgulanan alandır. Bu form, ISO 27001 belgesi denetimlerinde personel çıkışında bilgi güvenliği risklerinin (yetkisiz erişim, iade edilmeyen ekipman) sistematik şekilde kapatıldığının kanıtıdır.