İçindekiler
ISO 27001 Temiz Masa Temiz Ekran Politikası, çalışma masalarının ve bilgisayar ekranlarının yetkisiz bilgi ifşasına karşı düzenli tutulmasına ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde bu kuralın neden sahada en kolay doğrulanabilen kontrollerden biri olduğunu ele alıyoruz.
ISO 27001 Temiz Masa Temiz Ekran Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A temiz masa temiz ekran kontrolleri kapsamında basılı evrak ve ekran içeriklerinin yetkisiz erişime kapatılmasını sağlar. Bu kural, Kuruluş Kültürü Talimatında da bahsedilen “temiz masa temiz ekran ilkesinin” ayrı ve ayrıntılı bir politika olarak genişletilmiş halidir; çünkü bu tek ilke, bilgi güvenliği ihlallerinin önemli bir kısmını tek başına önleyebilecek kadar etkilidir.
Politikanın Temel Kuralları Nelerdir?
- Masalarda sözleşme, müşteri/personel bilgisi gibi evraklar bırakılamaz; kullanımı biten evraklar kırpma makinesiyle imha edilir
- Masalarda taşınabilir bellek, CD/DVD gibi veri taşıma araçları bırakılmaz
- Bilgisayar ekranlarında çalışma dosyaları veya kısa yollar bulundurulmaz
- Her çalışan bilgisayarı başından kalkarken ekranı kilitlemelidir
Bu dört kuralın hepsi, saldırganın hiçbir teknik beceri gerektirmeden, yalnızca ofise girip etrafına bakarak bilgi toplayabileceği (“tailgating” sonrası gözlem) en basit senaryoyu kapatır. Teknik güvenlik önlemleri ne kadar gelişmiş olursa olsun, bu tür fiziksel gözden kaçma riskleri hâlâ gerçek bir tehdittir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle denetim sırasında ofisi dolaşarak masalarda açıkta bırakılmış evrak, kilitlenmemiş ekran veya unutulmuş bir USB bellek olup olmadığını bizzat gözlemler; bu, en doğrudan ve en sık rastlanan denetim yöntemlerinden biridir. Bu politika, ISO 27001 belgesi denetimlerinde çalışma alanlarının bilgi güvenliği ilkelerine uygun düzenlendiğinin kanıtıdır.