İçindekiler
ISO 27001 Test Politikası, bilgi güvenliği testlerinin (açıklık taraması, şifre kullanımı, yetki tespiti, yedekleme denetimi gibi) standart şekilde yapılmasına ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, test türlerini ve ISO 27001 denetiminde iç tetkikten önce test yapılmasının neden stratejik bir tercih olduğunu ele alıyoruz.
ISO 27001 Test Politikasının Amacı Nedir?
Bu politika, ISO 27001 Madde 9.1 kapsamında bilgi güvenliği kontrollerinin düzenli testlerle doğrulanmasını sağlar. Uygulamadan BT bölümü sorumludur. Pek çok politika ve prosedür “şöyle yapılmalı” der; bu politika ise o kuralların gerçekten işe yarayıp yaramadığını teknik olarak sınayan bir doğrulama katmanı ekler.
Hangi Test Türleri Uygulanır?
- İç ve dış açıklık testleri (port, servis, güncelleme taraması)
- Veritabanı açıklık testi, şifre kullanım ve yetki tespiti testleri
- Wireless, Firewall/VPN ve Router konfigürasyon testleri
- Yedekleme ve antivirüs denetimi
Test kapsamının ağ, veritabanı, kablosuz ve yedekleme gibi tüm teknik katmanları kapsaması, BGYS’nin teknik kontrollerinin tek bir noktadan değil, bütünsel olarak sınandığını gösterir. “Şifre kullanım ve yetki tespiti testleri” özellikle önemlidir; bu, Parola Koruma ve Erişim politikalarının kağıt üzerinde değil fiilen uygulanıp uygulanmadığını teknik olarak doğrular.
Testler Ne Zaman Yapılır ve Denetimde Ne Aranır?
Testler her yıl iç tetkiklerden en az 10 gün önce ve yeni ekipman geldiğinde uygulanır. Bu zamanlama stratejiktir: testlerin iç tetkikten önce yapılması, tetkikte bulgu çıkmadan önce zafiyetlerin tespit edilip kapatılma fırsatı sunar. Denetçiler bu politikayı incelerken genellikle test sonuçlarının ve tespit edilen açıkların kapatıldığına dair kanıtların bulunup bulunmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde güvenlik kontrollerinin periyodik ve kapsamlı şekilde test edildiğinin kanıtıdır.