İçindekiler
ISO 27001 Laptop Kullanım Politikası, kuruluş tarafından tahsis edilen taşınabilir bilgisayarların güvenli kullanımına ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde kurum dışı kullanımın neden ayrı bir risk kategorisi oluşturduğunu ele alıyoruz.
ISO 27001 Laptop Kullanım Politikasının Amacı Nedir?
Bu politika, Taşınabilir Cihaz Politikası kapsamında dizüstü bilgisayarların kurum dışında da güvenli kullanılmasını sağlar. Kurum içindeki bir masaüstü bilgisayar, fiziksel güvenlik ve ağ kontrolleriyle zaten korunurken, bir laptop kuruluşun kontrol alanının tamamen dışına, kafelere, havaalanlarına, otellere taşınır; bu politika, korumanın cihazla birlikte seyahat etmesini sağlar.
Politikanın Temel Kuralları Nelerdir?
- Taşınabilir bilgisayarlar personel dışı kişilere verilemez
- Güvensiz/şifresiz kablosuz ağlara bağlanılmadan önce güvenlik kontrolü yapılır
- Tüm laptoplarda kişisel güvenlik duvarı ve antivirüs koruması aktif olmalıdır
- Seyahatte laptoplar gözetimsiz bırakılmaz, kayıp durumunda Sistem Uzmanına derhal bildirilir
- Korsan veya lisanssız yazılım yüklenemez
“Kayıp durumunda derhal bildirim” kuralı kritik önemdedir; bir laptop kaybolduğunda geçen her dakika, üzerindeki verinin kötüye kullanılma riskini artırır. Hızlı bildirim, uzaktan silme veya hesap kilitleme gibi önlemlerin zamanında devreye alınmasını sağlar.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle örnek laptoplarda antivirüs/firewall durumunu teknik olarak kontrol eder ve geçmişte bir kayıp/çalınma vakası varsa bildirim sürecinin ne kadar sürede işletildiğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde taşınabilir bilgisayarların kurum dışında da güvenli kullanıldığının kanıtıdır.