İçindekiler
ISO 27001 Kuruluş Kültürü Talimatı, çalışma saatleri, kılık kıyafet, işyeri düzeni ve disiplin kurallarına ilişkin kurum içi davranış esaslarını tanımlayan talimat dokümanıdır. Bu yazıda talimatın amacını, kapsadığı konuları ve ISO 27001 denetiminde kurum kültürünün bilgi güvenliğiyle nasıl bağlantılı olduğunu ele alıyoruz.
ISO 27001 Kuruluş Kültürü Talimatının Amacı Nedir?
Bu talimat, Personel Güvenlik Politikası kapsamında 4857 sayılı İş Kanunu ilkelerine dayanarak kurum içi düzen ve disiplin kurallarını tanımlar. Bilgi güvenliği kültürü, soyut bir kavram değildir; yaka kartı takma alışkanlığından masaüstünü temiz bırakmaya kadar günlük küçük davranışların toplamından oluşur. Bu talimat, bu davranışları somut kurallara dönüştürür.
Talimat Hangi Konuları Kapsar?
- İşe giriş-çıkış saatleri, yaka kartı kullanımı ve ziyaretçi kabul kuralları
- Ücret gizliliği ve kılık kıyafet standartları
- Görev tanımlarının yazılı hale getirilmesi ve tebliğ süreci
- Çalışma düzeni, işyeri temizliği ve temiz masa temiz ekran ilkesi
- Disiplin kademeleri (sözlü uyarı, yazılı uyarı, kınama, işten çıkarma)
“Temiz masa temiz ekran” ilkesinin burada yer alması özellikle anlamlıdır; bu ilke doğrudan bilgi güvenliğine hizmet eder, çünkü masada bırakılan bir evrak veya kilitlenmemiş bir ekran, yetkisiz kişilerin hassas bilgiye erişmesinin en basit yoludur. Yaka kartı ve ziyaretçi kabul kuralları da benzer şekilde fiziksel erişim kontrolünü güçlendirir.
Bu Talimat Denetimde Nasıl Değerlendirilir?
Denetçiler bu talimatı incelerken genellikle sahada temiz masa/temiz ekran ilkesinin fiilen uygulanıp uygulanmadığını gözlemleyerek kontrol eder; masada açıkta bırakılmış gizli bir doküman veya kilitlenmemiş bir bilgisayar, denetimde doğrudan bir bulguya dönüşür. Bu talimat, ISO 27001 belgesi denetimlerinde kurum içi çalışma düzeninin ve bilgi güvenliği bilincinin kurumsal kültürün bir parçası olduğunun kanıtıdır.