İçindekiler
ISO 27001 Yazılım Geliştirme Güvenliği Politikası, yazılım geliştirme, test ve canlı ortama geçiş süreçlerinde bilgi güvenliğinin nasıl sağlandığını tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde test verisi maskelemenin neden kritik bir kontrol olduğunu ele alıyoruz.
ISO 27001 Yazılım Geliştirme Güvenliği Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A güvenli geliştirme kontrolleri kapsamında yazılım geliştirme aşamasında gizlilik, bütünlük ve erişilebilirliğin korunmasını sağlar. Yazılım geliştirme süreci, genellikle canlı üretim ortamından ayrı, daha az denetlenen bir alan olarak görülür; ancak geliştirme ortamında işlenen veriler ve kodlar da aynı güvenlik hassasiyetini gerektirir.
Politikanın Temel Kuralları Nelerdir?
- Kaynak koda erişim yalnızca yetkilendirilmiş kullanıcılarla sınırlıdır
- Geliştirme, test ve canlı ortamlar birbirinden ayrılır; canlı ortamda kod geliştirme yapılmaz
- Tüm yazılım/veritabanı değişiklikleri kaynak kontrol sisteminde kayıt altına alınır
- Personel özlük bilgileri gibi hassas veriler test amaçlı kullanılamaz; üçüncü taraf test verileri maskelenir
- Yaygınlaştırma öncesi sistem/veri/altyapı yedekleri Veri Yedekleme Prosedürüne göre alınır
“Test verilerinin maskelenmesi” kuralı, sıkça göz ardı edilen ama ciddi bir risktir: geliştiriciler genellikle gerçekçi test verisi istediğinden, canlı ortamdaki gerçek müşteri veya personel bilgilerini doğrudan test ortamına kopyalama eğilimi gösterebilir; bu politika, bu pratiğin bir güvenlik açığına dönüşmesini engeller.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle test ortamında gerçek/maskelenmemiş hassas veri bulunup bulunmadığını ve geliştirme/canlı ortam ayrımının fiilen uygulanıp uygulanmadığını sorgular. Bu politika, ISO 27001 belgesi denetimlerinde yazılım geliştirme sürecinin güvenlik ilkelerine uygun yürütüldüğünün kanıtıdır.