Siber Güvenlik
Siber Güvenlik Politikası Nasıl Hazırlanır?
Neden yazılı politika?
Güvenlik kuralları yalnızca bilgi işlem ekibinin kafasında olduğunda herkes farklı uygular. Yazılı politika; beklentileri netleştirir, denetimlerde ve müşteri güvenlik anketlerinde kanıt sunar ve olay anında kimin ne yapacağını belirler.
Temel bölümler
- Amaç ve kapsam: Hangi sistemler, veriler ve kişiler (çalışanlar, tedarikçiler) kapsamda?
- Roller ve sorumluluklar: Politikanın sahibi, sistem yöneticileri, çalışanlar
- Veri sınıflandırma: Herkese açık, şirket içi, gizli, kişisel veri gibi seviyeler ve her biri için kurallar
- Erişim yönetimi: En az yetki ilkesi, işe giriş-çıkışta hesap süreçleri, periyodik yetki gözden geçirmesi
- Parola ve kimlik doğrulama: Uzun parolalar, parola yöneticisi, kritik sistemlerde iki aşamalı doğrulama
- Cihaz kullanımı: Şirket ve kişisel cihazlar, disk şifreleme, ekran kilidi, güncellemeler
- E-posta ve internet kullanımı: Oltalamaya karşı dikkat, şüpheli e-postaların bildirilmesi
- Yedekleme ve süreklilik
- Olay müdahalesi: Şüpheli durumda kime, nasıl bildirilecek?
- Tedarikçi güvenliği: Veriye erişen dış firmalardan beklentiler
- Eğitim ve farkındalık
- İhlal durumunda yaptırımlar ve gözden geçirme sıklığı
Uygulanabilir politika için ipuçları
- Ana politikayı kısa tutun; ayrıntıları ayrı prosedürlere bırakın
- Hukuki değil, çalışanın anlayacağı bir dil kullanın
- Teknik önlemlerle destekleyin: Kuralı sadece yazmak yerine sistemle zorunlu kılın
- Yılda en az bir kez gözden geçirin
Standartlarla ilişkisi
ISO 27001 ve KVKK teknik tedbirler rehberi, politika hazırlarken iyi birer çerçeve sunar.
Sonuç
Politika, güvenlik kültürünün yazılı temelidir. Teknik tarafın değerlendirilmesi için siber güvenlik testleri hizmetimizi inceleyebilir veya ücretsiz keşif görüşmesi talep edebilirsiniz.