İçindekiler
ISO 27001 Kabul Edilebilir Kullanım Politikası, personelin sistem, bilgi ve varlıkların gizlilik, bütünlük ve erişilebilirliğini korumak için uyması gereken temel kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde bu politikanın neden bir “şemsiye doküman” sayıldığını ele alıyoruz.
ISO 27001 Kabul Edilebilir Kullanım Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A kapsamında personel ve yüklenici firmaların kritik bilgi varlıklarıyla ilgili uyması gereken temel iş kurallarını belirler. E-Posta Politikası, İnternet Kullanım Politikası ve Ağ Erişim Politikası gibi daha spesifik politikaların dayandığı ortak ilkeleri bu doküman toplar; yani diğer tüm kullanım politikaları, bu politikada tanımlanan temel ilkelerin belirli alanlara uygulanmış halidir.
Politikanın Temel Kuralları Nelerdir?
- Gizli bilgilerin kopyalanması ve iş gereksinimi dışında iletilmesi yasaktır
- Erişim bilgileri ve güvenlik cihazları kimseyle paylaşılamaz, antivirüs devre dışı bırakılamaz
- İzinsiz kaynak kodu kopyalama, ağ tarama veya port taraması yasaktır
- Personel kendisine tahsis edilen yetkilerin dışına çıkamaz
- Yüklenici firma personeli izinsiz bilgi paylaşımı yapamaz
Bu politikanın yalnızca kadrolu personeli değil, yüklenici firma personelini de kapsaması önemlidir; BGYS’nin güvenlik çemberi, kuruluşun kendi çalışanlarıyla sınırlı kalmaz, kuruluş adına çalışan tüm üçüncü taraflara da uzanır.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle hem kadrolu personelin hem yüklenici firma çalışanlarının bu politikayı imzalı olarak kabul edip etmediğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde tüm personel ve yüklenicilerin uyması gereken temel güvenlik kurallarının tanımlandığının ve kabul ettirildiğinin kanıtıdır.