İçindekiler
ISO 27001 Uzaktan Erişim Politikası, kuruluş bilgisayar ağına herhangi bir yerden erişimin standartlarını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde split-tunnel yasağının neden teknik bir detaydan fazlası olduğunu ele alıyoruz.
ISO 27001 Uzaktan Erişim Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A uzaktan çalışma kontrolleri kapsamında yetkisiz kullanımdan doğabilecek zararları en aza indirir. Uzaktan çalışma yaygınlaştıkça, kuruluş ağının sınırları artık fiziksel bina duvarlarıyla değil, her uzak bağlantı noktasıyla genişler; bu politika, bu genişleyen sınırın her noktasında aynı güvenlik seviyesinin korunmasını sağlar.
Politikanın Temel Kuralları Nelerdir?
- Kuruluş dışına yapılan kritik bağlantılar güvenli hatlar üzerinden yapılır
- Uzaktan erişim yalnızca iş amacıyla ve güçlü kimlik denetimiyle gerçekleştirilir
- İnternet üzerinden erişimde VPN teknolojisi (IPSec, L2TP, SSL, PPTP) kullanılır
- Split-tunnel/dual homing konfigürasyonu yasaktır; login ve e-posta şifreleri kimseyle paylaşılamaz
- İşten ayrılan veya görevi değişen kullanıcıların erişim hesapları periyodik kontrol ile kaldırılır
“Split-tunnel yasağı” teknik görünse de kritik bir güvenlik ilkesidir: split-tunnel, bir cihazın aynı anda hem kurumsal VPN’e hem de genel internete açık kalmasına izin verir, bu da cihazı kurumsal ağ ile güvensiz internet arasında bir köprüye dönüştürerek saldırganların VPN üzerinden kurumsal ağa sızmasının yolunu açabilir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle VPN yapılandırmalarının split-tunnel özelliğini gerçekten devre dışı bırakıp bırakmadığını teknik olarak doğrular. Bu politika, ISO 27001 belgesi denetimlerinde uzaktan çalışma risklerinin teknik olarak kontrol altına alındığının kanıtıdır.