İçindekiler
ISO 27001 Yedekleme Politikası, sistem ve kurumsal verilerin düzenli olarak yedeklenmesine ilişkin kuralları tanımlayan politika dokümanıdır. Bu yazıda politikanın amacını, temel kurallarını ve ISO 27001 denetiminde “yedek alınmış olması” ile “yedekten geri dönülebiliyor olması” arasındaki kritik farkı ele alıyoruz.
ISO 27001 Yedekleme Politikasının Amacı Nedir?
Bu politika, ISO 27001 Ek-A yedekleme kontrolleri kapsamında sistem kesinti sürelerini ve bilgi kayıplarını en aza indirir. Uygulamadan Üst Yönetim ve Sistem Uzmanı sorumludur. Yedekleme, BGYS’nin belki de en “son çare” niteliğindeki kontrolüdür; diğer tüm önleyici tedbirler başarısız olsa bile, sağlam bir yedekleme stratejisi verinin tamamen kaybolmasını önler.
Politikanın Temel Kuralları Nelerdir?
- Kritik veriler on-line olarak farklı disk volümlerinde ve farklı lokasyonlarda yedeklenir
- Taşınabilir yedek ortamları bilgi işlem odalarından farklı, güvenli lokasyonlarda saklanır; veriler en az 10 yıl online ortamda tutulur
- Yedekleme listesi periyodik olarak gözden geçirilir ve güncellenir
- Geri yükleme prosedürleri düzenli test edilerek etkinliği doğrulanır
- Veriler en az 2 farklı coğrafi lokasyon arasında replikasyon yöntemiyle yedeklenir
“Geri yükleme prosedürlerinin düzenli test edilmesi” kuralı, yedeklemenin en sık gözden kaçan ama en kritik parçasıdır: pek çok kuruluş düzenli yedek alır ama bu yedeklerin gerçekten geri yüklenebilir olduğunu hiç test etmez; bir felaket anında bozuk veya eksik bir yedekle karşılaşmak, hiç yedek almamaktan bile daha yıkıcı bir sürpriz olabilir.
Bu Politika Denetimde Nasıl Değerlendirilir?
Denetçiler bu politikayı incelerken genellikle geri yükleme testlerinin fiilen yapılıp yapılmadığını ve sonuçlarının kayıt altına alınıp alınmadığını sorgular; yalnızca “yedek alıyoruz” demek, denetimde yeterli kanıt sayılmaz. Bu politika, ISO 27001 belgesi denetimlerinde veri kaybı risklerinin sistematik ve doğrulanmış şekilde yönetildiğinin kanıtıdır.