İçindekiler
ISO 27001 Şifre Güvenliği Politikası, güçlü şifre oluşturma kriterlerini ve şifre değiştirme sıklığını detaylandıran teknik politika dokümanıdır. Bu yazıda politikanın amacını, teknik kurallarını ve ISO 27001 denetiminde Parola Koruma Politikasından farkını ele alıyoruz.
ISO 27001 Şifre Güvenliği Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A parola yönetimi kontrolleri kapsamında güçlü şifre oluşturma standartlarını belirler. Parola Koruma Politikası’ndan farklı olarak bu politika şifre karmaşıklığı standartlarına odaklanır; yani Parola Koruma Politikası “şifreyi nasıl davranışsal olarak koruyacağımızı” tanımlarken, bu politika “güçlü bir şifrenin teknik olarak nasıl oluşturulacağını” tanımlar.
Politikanın Teknik Kuralları Nelerdir?
- Sistem seviyeli şifreler 3 ayda bir, kullanıcı seviyeli şifreler en geç 45 günde bir değiştirilir
- Güçlü şifre en az 8 alfa-numerik karakter, büyük/küçük harf ve noktalama işareti içerir
- Sözlük kelimeleri, aile/hayvan isimleri, ardışık karakterler (qwerty, 123321) zayıf şifre sayılır
- Veritabanı, modem, santral gibi kritik erişim şifreleri mühürlü zarfta kasada saklanır
Sistem seviyeli şifrelerin kullanıcı seviyeli şifrelerden daha uzun aralıkla (3 ay) değiştirilmesi dikkat çekicidir; bu genellikle sistem şifrelerinin daha karmaşık, otomatik üretilen ve daha az kişi tarafından bilinen şifreler olmasından kaynaklanır. “Mühürlü zarfta kasada saklama” kuralı ise, en kritik erişim bilgilerinin dijital ortamda hiç tutulmadığı, fiziksel bir acil durum kopyasının da bulunduğu bir yaklaşımı gösterir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle şifre değiştirme sürelerinin sistem üzerinde teknik olarak zorunlu kılınıp kılınmadığını ve kritik şifrelerin mühürlü zarf prosedürüne uyulup uyulmadığını kontrol eder. Bu politika, ISO 27001 belgesi denetimlerinde şifre karmaşıklık standartlarının teknik ve ölçülebilir şekilde tanımlandığının kanıtıdır.