İçindekiler
ISO 27001 Parola Koruma Politikası, bilgisayar parolalarının oluşturulması, korunması ve değiştirilmesine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde parolaların neden hâlâ en zayıf halka olduğunu ele alıyoruz.
ISO 27001 Parola Koruma Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A parola yönetimi kontrolleri kapsamında parolaların gizli bilgi olarak korunmasını sağlar. En gelişmiş erişim kontrol sistemleri bile, kullanıcının basit veya paylaşılmış bir parola kullanması durumunda etkisiz kalır; parola hâlâ pek çok saldırının en kolay giriş noktasıdır. Bu politika, bu insani zafiyeti en aza indirmeyi hedefler.
Politikanın Temel Kuralları Nelerdir?
- Parolalar gizli bilgi olarak muhafaza edilir, kimseyle paylaşılmaz; boş parola ile erişim mümkün değildir
- Doğum tarihi, telefon numarası gibi kişisel bilgiler parola olarak kullanılamaz
- Varsayılan parolalar ilk kullanımdan önce değiştirilir, parolalar düz metin olarak saklanmaz
- Parolalar kağıda yazılıp görünür yerlere bırakılamaz, belirli aralıklarla değiştirilir
“Doğum tarihi, telefon numarası gibi kişisel bilgilerin yasaklanması” kuralı, sosyal mühendislik saldırılarına karşı özel bir önlemdir; bir saldırgan hedef kişinin sosyal medyasından bu bilgilere kolayca ulaşabilir, bu nedenle tahmin edilebilir parolalar ciddi bir risktir. “Düz metin olarak saklanmama” kuralı ise, bir veritabanı sızıntısı yaşansa bile parolaların doğrudan okunabilir olmamasını garanti eder.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle parola karmaşıklık kurallarının sistemde teknik olarak zorunlu kılınıp kılınmadığını ve masa üzerinde yazılı parola görülüp görülmediğini sahada kontrol eder. Bu politika, ISO 27001 belgesi denetimlerinde kimlik doğrulama bilgilerinin güvenli ve bilinçli şekilde yönetildiğinin kanıtıdır.