İçindekiler
ISO 27001 Kullanıcı Hesabı Yönetimi Politikası, kullanıcı tanımlama, şifre, otomatik oturum kapatma, güvenlik duvarı ve uzaktan erişim kurallarını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde risk seviyesine göre farklılaşan oturum sürelerinin neden tercih edildiğini ele alıyoruz.
ISO 27001 Kullanıcı Hesabı Yönetimi Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A erişim yönetimi kontrolleri kapsamında kullanıcı hesaplarının ve oturumlarının güvenli yönetilmesini sağlar. Kimlik Doğrulama ve Yetkilendirme Politikası genel ilkeleri tanımlarken, bu politika hesap ve oturum yönetiminin somut teknik parametrelerini (süre, kilitlenme koşulları) belirler.
Politikanın Temel Kuralları Nelerdir?
- Her kullanıcı kendine özel kullanıcı bilgileriyle erişim sağlar; şifreler kimseyle paylaşılmaz ve yazılı olarak bulundurulmaz
- Yüksek riskli sistemler 1,5 dakika, düşük riskli sistemler 15 dakika hareketsizlikte otomatik oturum kapatır
- Güvenlik duvarı, ağa erişimi yalnızca yetkili çalışanlarla sınırlandıracak şekilde yapılandırılır
- Hatalı erişim denemeleri kayıt altına alınır
Otomatik oturum kapatma süresinin sistemin risk seviyesine göre farklılaştırılması (1,5 dakika vs 15 dakika) dikkat çekicidir; bu, tek tip bir kuralın her sisteme eşit şekilde uygulanmadığını, risk bazlı bir yaklaşımın benimsendiğini gösterir. Yüksek riskli bir sistemde kısa bir süre bile terk edilmiş bir oturum ciddi bir açık oluşturabilir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle yüksek riskli sistemlerde oturum zaman aşımı ayarının fiilen uygulanıp uygulanmadığını teknik olarak test eder. Bu politika, ISO 27001 belgesi denetimlerinde kullanıcı hesaplarının ve oturum güvenliğinin risk bazlı ve standartlaştırılmış şekilde yönetildiğinin kanıtıdır.