İçindekiler
ISO 27001 İnternet Kullanım Politikası, kuruluş ağı üzerinden internet kullanımında personelin uyması gereken davranış kurallarını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde davranışsal kuralların teknik kontrolleri neden tamamladığını ele alıyoruz.
ISO 27001 İnternet Kullanım Politikasının Amacı Nedir?
Bu politika, Kabul Edilebilir Kullanım Politikası kapsamında kuruluş ağını kullanarak yapılan internet iletişiminin yasal ve etik sınırlar içinde kalmasını sağlar. Teknik önlemler (firewall, filtreleme) kötüye kullanımın bir kısmını engellese de, personelin kendi inisiyatifiyle yapabileceği uygunsuz davranışları (taciz edici mesajlaşma, izinsiz beyan) önlemenin tek yolu açık ve bağlayıcı davranış kurallarıdır.
Politikanın Temel Kuralları Nelerdir?
- Kimlik gizleyici, tehdit edici veya yasal hakları ihlal edici iletişim yasaktır
- Kuruluş kaynakları kullanılarak kişisel reklam veya satış faaliyeti yapılamaz
- Yasaklanmış web sitelerine erişim ve sohbet yazılımlarının izinsiz kullanımı yasaktır
- Gizli/çok gizli bilgiler internet üzerinden görüşme araçlarıyla paylaşılamaz
- Kuruluş adına yazılı izin olmadan internet üzerinden beyan veya taahhütte bulunulamaz
Son madde özellikle önemlidir: bir çalışanın kurumsal e-posta veya sosyal medya hesabı üzerinden yazılı izin olmadan kuruluş adına taahhütte bulunması, hem hukuki hem itibar riski doğurabilir; bu kural, böyle bir yetkinin yalnızca açıkça yetkilendirilmiş kişilerde olmasını garanti eder.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle personelin bu kurallardan haberdar olup olmadığını (imzalı onay, eğitim kaydı) ve geçmişte bir ihlal yaşanmışsa Disiplin Prosedürü ile nasıl ilişkilendirildiğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde internet kullanımının davranışsal kurallarla da kurumsal çerçeveye oturtulduğunun kanıtıdır.