İçindekiler
ISO 27001 Üçüncü Taraf Güvenlik Politikası, üçüncü tarafların bilgi varlıklarına ve bilgi işleme tesislerine erişiminde uygulanacak güvenlik kurallarını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde üçüncü tarafların neden ayrı bir risk kategorisi oluşturduğunu ele alıyoruz.
ISO 27001 Üçüncü Taraf Güvenlik Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A tedarikçi ilişkileri güvenliği kontrolleri kapsamında üçüncü taraflarla çalışırken bilgi güvenliğinin korunmasını sağlar. Onaylı Tedarikçi Listesi ve Satın Alma Prosedürü tedarikçilerin seçimine odaklanırken, bu politika seçilmiş bir üçüncü tarafın fiilen kuruluş tesislerine veya sistemlerine eriştiği andaki güvenlik kurallarını tanımlar.
Politikanın Temel Kuralları Nelerdir?
- Bakım/tamir için gelen tedarikçiler ve diğer üçüncü taraflar gizlilik anlaşması imzalar
- Üçüncü taraflara ağ erişimi verilmeden önce bilgisayarları güvenliğe alınmalıdır
- Anlaşma sona erdiğinde tarafların birbirlerine ait dokümanları iade etmesi gerekir
- Tedarikçilerin finansal durumu senelik olarak gözden geçirilir
- Yalnızca yetkilendirilmiş tedarikçiler kuruluşla çalıştıklarını halka açıklayabilir
“Tedarikçilerin finansal durumunun gözden geçirilmesi” kuralı ilk bakışta bilgi güvenliğiyle ilgisiz görünse de aslında doğrudan ilişkilidir: mali sıkıntı yaşayan bir tedarikçi, güvenlik yatırımlarını ihmal etmeye veya aniden hizmeti kesmeye daha yatkın olabilir, bu da hem süreklilik hem güvenlik riski doğurur.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle sahada çalışan üçüncü taraf personelin (bakım teknisyeni gibi) gizlilik anlaşması imzalayıp imzalamadığını ve ağ erişimi öncesi güvenlik kontrolünden geçip geçmediğini sorgular. Bu politika, ISO 27001 belgesi denetimlerinde tedarik zinciri güvenliğinin sözleşme bazlı güvence altına alındığının kanıtıdır.