İçindekiler
ISO 27001 Personel Güvenlik Politikası, işe alım, görev süresi ve işten ayrılma boyunca personelin bilgi güvenliği sorumluluklarını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde “en az ayrıcalık” ilkesinin neden şemsiye bir kavram olduğunu ele alıyoruz.
ISO 27001 Personel Güvenlik Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A insan kaynakları güvenliği kontrolleri kapsamında personel seçimi, yetki ataması ve işten ayrılış süreçlerinin güvenlik boyutunu düzenler. Bu politika, İnsan Kaynakları Prosedürü, Kuruluş Kültürü Talimatı ve Personel Çalışma Talimatı gibi diğer personel odaklı dokümanların dayandığı güvenlik ilkelerini üst seviyede toplar.
Politikanın Temel Kuralları Nelerdir?
- Bilgiye erişim hakkı personel yetkinliği ve rollerine göre kararlaştırılır; “en az ayrıcalık” ve “görevler ayrımı” esas alınır
- Kritik bilgiye erişimi olan çalışanlarla gizlilik anlaşmaları imzalanır
- İşten ayrılan veya görevi değişen personelin erişim hakları derhal iptal edilir
- Yeni işe alınanlar oryantasyon sırasında bilgi güvenliği eğitimine tabi tutulur
“Görevler ayrımı” ilkesi özellikle önemlidir: bir işlemi başlatan kişi ile onaylayan kişinin aynı olmaması, tek bir kişinin kötü niyetli veya hatalı bir işlemi tek başına tamamlamasını engeller; bu, dolandırıcılık ve hata risklerine karşı yapısal bir savunmadır.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle kritik süreçlerde görevler ayrımının fiilen uygulanıp uygulanmadığını (örneğin aynı kişinin hem ödeme talep edip hem onaylayamadığını) ve işten ayrılan personelin erişiminin gerçekten “derhal” kapatılıp kapatılmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde personel yaşam döngüsünün güvenlik ilkeleriyle yönetildiğinin kanıtıdır.