İçindekiler
ISO 27001 Sunucu Güvenliği Politikası, kuruluş ağındaki tüm sunucuların güvenliği için gerekli minimum koşulları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde “gereksiz servislerin kapatılması” ilkesinin neden temel bir güvenlik pratiği olduğunu ele alıyoruz.
ISO 27001 Sunucu Güvenliği Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A işletim güvenliği kontrolleri kapsamında sunucuların fiziksel ve mantıksal güvenliğinin sağlanmasını amaçlar. Sunucular, kuruluşun kritik verilerinin ve uygulamalarının çalıştığı merkezi noktalardır; bu politika, hem fiziksel korumayı (Fiziksel Güvenlik Politikası ile uyumlu) hem de mantıksal/yazılımsal güvenliği tek bir çerçevede birleştirir.
Politikanın Temel Kuralları Nelerdir?
- Sunucular fiziksel olarak güvenli ortamlarda tutulur, sistem odası giriş-çıkışları kayıt altına alınır
- Her sunucunun konfigürasyon, işletim sistemi ve yama bilgisi güncel tutulur
- Kullanılmayan servisler kapatılır, gereksiz yazılım bileşenleri kaldırılır
- Kritik sunucular için yedek sunucu (redundancy) bulundurulur
- Sunucu günlükleri düzenli denetime tabi tutulur
“Kullanılmayan servislerin kapatılması” ilkesi, güvenlik camiasında “saldırı yüzeyini azaltma” olarak bilinen temel bir yaklaşımdır: çalışmayan bir servisin güvenlik açığı olsa bile, o servis kapalıysa saldırgan için erişilebilir değildir. Her açık servis, potansiyel bir giriş noktası olduğundan, gereksiz olanların kapatılması riski doğrudan azaltır.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle örnek sunucularda güncel olmayan yama veya gereksiz açık servis olup olmadığını teknik olarak tarar ve sunucu günlüklerinin düzenli incelenip incelenmediğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde sunucu altyapısının asgari güvenlik standartlarını karşıladığının kanıtıdır.