İçindekiler
ISO 27001 Kablosuz İletişim Politikası, kablosuz erişim cihazlarının kuruluş ağına güvenli bağlanabilmesi için uyulması gereken teknik kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde kablosuz ağların neden ayrı bir risk kategorisi sayıldığını ele alıyoruz.
ISO 27001 Kablosuz İletişim Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A ağ güvenliği kontrolleri kapsamında yetersiz güvenlik önlemi olan kablosuz cihazların kuruluş ağına erişimini engeller. Kablosuz ağlar, kablolu ağların aksine fiziksel bir sınır çizgisine sahip değildir; sinyal bina dışına taşabilir ve doğru yapılandırılmamış bir erişim noktası, kuruluş dışından bile erişilebilir bir açık kapıya dönüşebilir.
Politikanın Temel Kuralları Nelerdir?
- Tüm kablosuz erişim cihazları yetkili birim tarafından onaylanmalı ve WPA-2 şifreleme kullanmalıdır
- Erişim cihazı firmware’leri düzenli güncellenmeli, varsayılan şifre ve SSID kullanılmamalıdır
- Kablosuz kullanıcılar Firewall üzerinden ağa dahil olmalı, kritik erişimlerde VPN kullanılmalıdır
- Erişim cihazları bir yönetim yazılımıyla sürekli izlenmelidir
“Varsayılan şifre ve SSID kullanılmaması” kuralı, pek çok gerçek saldırının nedeni olan basit bir ihmali önler; fabrika ayarlarıyla bırakılan bir erişim noktası, saldırganlar için halka açık bir bilgi kaynağı (varsayılan şifre listeleri) üzerinden kolayca ele geçirilebilir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle sahadaki kablosuz erişim noktalarının onaylı listeyle eşleşip eşleşmediğini ve şifreleme/firmware güncelliğini teknik olarak doğrular; yetkisiz (“rogue”) bir erişim noktası tespiti, ciddi bir bulgu olarak değerlendirilir. Bu politika, ISO 27001 belgesi denetimlerinde kablosuz ağ güvenliğinin teknik standartlara uygun sağlandığının kanıtıdır.