ISO 27001 ve intranet: sertifikasyon sürecinde neler isteniyor?

ISO 27001 sertifikasyonuna giren şirketlerde intranet, denetimin beklenenden daha fazla ilgilendiği bir sistem hâline geliyor. Sebep basit: içinde politika dokümanları, çalışan verisi, erişim kayıtları ve iç iletişim geçmişi var.

Bu yazı, denetim öncesinde intranet tarafında hazır olması gerekenleri özetliyor.

Neden intranet denetim kapsamında?

Bilgi güvenliği yönetim sistemi, "bilgi varlıklarının" korunmasını konu alıyor. İntranet birkaç açıdan bu kapsama giriyor:

• Politika dokümanlarının yaşadığı yer. Güvenlik politikalarının çalışanlara duyurulduğunun ve okunduğunun kanıtı burada üretiliyor.
• Kişisel ve kurumsal veri barındırıyor.
• Erişim kontrolü uygulanan bir sistem.
• Üçüncü taraf bir hizmet ise tedarikçi değerlendirmesine tabi.

Erişim kontrolü: en çok sorulan başlık

Denetçinin bakacağı sorular:

Kim neye erişebiliyor? Rol bazlı yetkilendirme tanımlı mı, yoksa herkes her şeyi görüyor mu? Yetki modelini çalışan verisi ve yetki modeli yazısında ele aldık.

En az yetki ilkesi uygulanıyor mu? Bir kişi işini yapmak için gerekenden fazlasına erişiyorsa bu bir bulgu.

Yetkiler düzenli gözden geçiriliyor mu? Periyodik erişim gözden geçirmesi (access review) ve kaydı isteniyor. Yılda en az bir kez, kritik sistemlerde daha sık.

İşten ayrılanların erişimi ne kadar sürede kapanıyor? Bu sorunun cevabı ölçülebilir olmalı. Süreci işten ayrılma süreci ve çıkış süreci kontrol listesi ile standartlaştırabilirsiniz.

Kimlik doğrulama nasıl? Çok faktörlü doğrulama var mı, parola politikası ne? Merkezî kimlik yönetimi kullanılıyorsa denetim kolaylaşıyor; SSO nedir ve kimlik ve dizin entegrasyonu yazılarına bakın.

Log kayıtları ve izlenebilirlik

Denetimde en somut kanıt, sistem kayıtları. İstenenler:

• Kim, ne zaman, neye erişti ya da neyi değiştirdi?
• Kayıtlar ne kadar süreyle saklanıyor?
• Kayıtlar değiştirilebilir mi? (Değiştirilebilen log, delil değeri taşımıyor)
• Anormal erişimler tespit ediliyor mu?

Bu, denetim kaydı (audit log) yazısında ele aldığımız mekanizmanın tam karşılığı. Denetim öncesinde sistemin bu kayıtları üretip üretmediğini kontrol edin; üretmiyorsa bu, kapatılması zaman alan bir eksik.

Politika duyurusu ve farkındalık

Standart, çalışanların güvenlik politikalarından haberdar olmasını ve farkındalık eğitimi almasını istiyor. Kanıt olarak istenenler:

• Politikaların yayımlandığı yer ve sürüm geçmişi
• Çalışanların politikayı okuduğuna dair kayıt — okundu onayı bu kanıtı doğrudan üretiyor
• Farkındalık eğitiminin içeriği, katılım kaydı ve varsa sınav sonuçları; bilgi güvenliği farkındalık eğitimi yazısında ele aldık

Kâğıt imzayla toplanan katılım listeleri kabul ediliyor ama dijital kayıt hem daha kolay hem daha güvenilir.

Örnek: denetime iki hafta kala

Bir şirket ilk sertifikasyon denetimine hazırlanıyor. İntranet tarafında üç eksik çıkıyor:

Birinci: Güvenlik politikası yayımlanmış ama okundu onayı istenmemiş. Kimin okuduğuna dair kayıt yok. Çözüm: politika yeniden yayımlanıyor, okundu onayı isteniyor, iki hafta içinde katılım oranı takip ediliyor.

İkinci: Doküman merkezinde eski sürümler hâlâ erişilebilir durumda ve hangisinin güncel olduğu belirsiz. Çözüm: sürümleme devreye alınıyor, eski sürümler arşivleniyor.

Üçüncü: Ayrılan üç çalışanın hesabı hâlâ aktif. Çözüm: çıkış kontrol listesine erişim kapatma maddesi ekleniyor ve aylık bir "aktif hesap–aktif çalışan" karşılaştırma raporu kuruluyor.

Üçü de teknik değil süreç eksiği. Denetimlerde en sık çıkan bulgular da genellikle bu türden oluyor: sistem yeteneği var, kullanılmıyor.

Tedarikçi değerlendirmesi

Bulut bir intranet kullanıyorsanız, sağlayıcı bir tedarikçi olarak değerlendirmeye tabi. İstenecek belgeler: sağlayıcının kendi sertifikaları, veri işleme sözleşmesi, veri lokasyonu bilgisi, olay bildirimi taahhüdü ve hizmet seviyesi. Sözleşme maddelerini SLA ve destek beklentileri, veri koruma boyutunu KVKK veri işleme envanteri yazısında ele aldık.

Kapsam belirleme: intranet dâhil mi?

Sertifikasyonun ilk kararı kapsam. Hangi süreçler, hangi lokasyonlar ve hangi sistemler sertifikaya dâhil olacak?

İntranet'i kapsam dışında bırakmak teoride mümkün, pratikte zor: politika dokümanlarının yayımlandığı ve çalışan verisinin bulunduğu bir sistemi kapsam dışı tutmak, denetçide soru işareti bırakıyor. Kapsamı dar tutmanın maliyeti, denetimde sürekli "bu neden dışarıda" sorusunu cevaplamak oluyor.

Daha yaygın yaklaşım, intranet'i kapsama alıp kontrolleri buna göre kurmak. Bu aynı zamanda kurumsal müşterilerin tedarikçi değerlendirme formlarında işinizi kolaylaştırıyor: "bilgi güvenliği yönetim sisteminiz hangi sistemleri kapsıyor" sorusu giderek standart hâle geliyor.

Kapsam kararı verilirken sistemin nerede barındırıldığı da belirleyici; kendi sunucunuzda mı bulutta mı olduğunun denetim yükümlülüklerini nasıl değiştirdiğini bulut mu sunucu mu yazısında ele aldık.

Sık sorulan sorular

KVKK uyumu ISO 27001 demek mi? Hayır, ikisi farklı. KVKK yasal bir yükümlülük, ISO 27001 gönüllü bir standart. Örtüşen alanlar çok ama biri diğerinin yerine geçmiyor.

Sertifikasyon ne kadar sürer? Kapsam ve hazırlık düzeyine göre değişiyor; sıfırdan başlayan şirketlerde genellikle aylarla ölçülüyor. En uzun süren kısım genellikle dokümantasyon ve süreçlerin oturması.

İntranet için ayrı bir kontrol listesi var mı? Standardın kendisinde sistem bazlı liste yok; kontroller genel. Ancak yukarıdaki dört başlık (erişim, log, politika duyurusu, tedarikçi) pratikte intranet için sorulanların çoğunu kapsıyor.

Denetim öncesi neyi önce yapmalı? Erişim gözden geçirmesi. En çok bulgu üreten ve kapatılması en uzun süren alan burası.

Bu yazı bilgilendirme amaçlıdır. Sertifikasyon sürecinizi belgelendirme kuruluşunuz ve danışmanınızla yürütün.