İçindekiler
ISO 27001 Kriptografik Kontroller Politikası, kriptografik anahtarların yaşam döngüsünün ve şifreleme kullanımının nasıl yönetildiğini tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel unsurlarını ve ISO 27001 denetiminde anahtar yönetiminin şifrelemenin kendisi kadar neden önemli olduğunu ele alıyoruz.
ISO 27001 Kriptografik Kontroller Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A kriptografi kontrolleri kapsamında taşınabilir ortamlar ve iletişim kanallarındaki hassas bilginin şifreleme ile korunmasını sağlar. Şifreleme algoritmasının gücü ne kadar yüksek olursa olsun, şifreleme anahtarı kötü yönetiliyorsa (kolay tahmin edilebilir, kaybolmuş veya paylaşılmış) tüm koruma anlamını yitirir; bu nedenle politika, şifrelemenin kendisinden çok anahtar yönetimine odaklanır.
Politikanın Temel Unsurları Nelerdir?
- Kriptografik kontrol kullanımına karar vermeden önce risk değerlendirmesi yapılır
- Anahtar yönetimi ile ilgili saklama, kayıp durumunda kurtarma esasları tanımlanır
- Anahtarların kullanım süresi, algılanan risk ve kullanım şartlarına göre sınırlandırılır
- Bilgi İşlem Sorumlusu tarafından 6 aylık periyotlarla anahtar yaşam döngüsü kontrolü yapılır
“Kayıp durumunda kurtarma esasları” maddesi özellikle kritiktir; bir şifreleme anahtarı geri alınamaz şekilde kaybedilirse, o anahtarla korunan verinin tamamı da erişilemez hale gelebilir. Bu nedenle anahtar kurtarma mekanizması, şifrelemenin güvenliği kadar veri sürekliliği açısından da önemlidir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle risk değerlendirmesi yapılmadan kriptografik kontrol kullanılan bir örnek olup olmadığını ve 6 aylık anahtar kontrollerinin fiilen yapılıp yapılmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde hassas bilginin kriptografik yöntemlerle ve bu yöntemlerin anahtar yönetimiyle birlikte korunduğunun kanıtıdır.