Giriş ve Serinin Bağlamı
İnsan Kaynakları Güvenliği serimizin ilk bölümünde adayın işe alım öncesindeki geçmiş doğrulamasını ve sözleşme şartlarını incelemiştik. Ancak güvenlik statik bir taahhüt değil, her iş gününde yaşayan dinamik bir kurum kültürüdür.
Bu bölümde; personelin çalışma süresi boyunca bilgi güvenliği farkındalığının nasıl korunacağını, kural ihlallerinde işletilecek disiplin mekanizmasını ve çalışanın kurumdan ayrıldığı kritik gün işletilecek adımları inceliyoruz.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Temel Odak |
|---|---|---|---|
| A.7.2.2 | Madde 6.3 | Bilgi güvenliği farkındalığı, eğitimi ve öğretimi | Periyodik eğitimler, phishing simülasyonları, rol bazlı eğitimler. |
| A.7.2.3 | Madde 6.4 | Disiplin süreci | Güvenlik ihlallerinde uygulanacak adil ve şeffaf yaptırım prosedürü. |
| A.7.3.1 | Madde 6.5 | İstihdamın sonlandırılması veya değiştirilmesi | Hesapların kapatılması, yetkilerin güncellenmesi ve gizlilik hatırlatması. |
| A.8.1.4 | Madde 5.11 | Varlıkların iadesi | Donanım, token, kart ve şirket mülkiyetindeki verilerin teslimi. |
| A.9.2.6 | Madde 5.18 | Erişim haklarının kaldırılması veya ayarlanması | E-posta, VPN ve bulut hesaplarının anında askıya alınması. |
Madde 6.3: Güvenlik Kültürü ve Ölçülebilir Farkındalık
Bir kurumda siber güvenlik politikalarının klasörler içinde veya intranette kalması yeterli değildir. Çalışanların bu kuralları benimsemesi ve şüpheli durumları raporlayabilmesi gerekir:
Sürekli Farkındalık Programı Bileşenleri
- İşe Başlama Oryantasyonu: Yeni başlayan her personele ilk hafta içinde temel güvenlik kurallarının, şifre politikalarının ve olay bildirim yöntemlerinin aktarılması.
- Rol Bazlı Eğitimler: Yazılım geliştiricilere güvenli kodlama (OWASP), sistem yöneticilerine ayrıcalıklı hesap güvenliği, insan kaynakları ve muhasebeye ise sahte fatura ve BEC (Business Email Compromise) saldırılarına yönelik özel eğitimler verilmesi.
- Kimlik Avı (Phishing) Simülasyonları: Personele periyodik ve senaryolu sahte oltalama e-postaları gönderilerek tıklama oranlarının ölçülmesi ve tuzağa düşen personele anında mini eğitim verilmesi.
Madde 6.4: Adil ve Caydırıcı Disiplin Süreci
Bilgi güvenliği kurallarına uyulmaması durumunda işletilecek süreç önceden tanımlanmalı ve tüm çalışanlara duyurulmuş olmalıdır:
- Hata ile kasıtlı kötüye kullanım birbirinden ayrılmalıdır.
- İlk kez dikkatsizlikle yapılan ihlallerde uyarı ve tamamlama eğitimi verilmeli; kasıtlı veri sızdırma veya kural ihlalinde iş akdinin feshi ve adli makamlara bildirim prosedürü açıkça belirtilmelidir.
Madde 6.5: Güvenli İlişik Kesme (Offboarding) Kontrol Listesi
Personelin işten ayrıldığı veya kurum içinde departman değiştirdiği gün, kurumun bilgi güvenliği açısından en yüksek maruziyet anıdır:
+-------------------------------------------------------------+
| OFFBOARDING GÜVENLİK DÖNGÜSÜ |
| |
| 1. İK Bildirimi: Ayrılış tarih ve saatinin BT'ye teyidi. |
| 2. Hesapların Kapatılması: Active Directory, e-posta, VPN, |
| bulut (SaaS) yetkilerinin tam mesai bitiminde kapatılması.|
| 3. Varlıkların İadesi (5.11): Dizüstü bilgisayar, harici |
| disk, giriş kartı ve şirket cep telefonunun teslimi. |
| 4. Gizlilik Hatırlatması: İmzalanan gizlilik sözleşmesinin |
| ayrıldıktan sonra da süreceğinin yazılı hatırlatılması. |
+-------------------------------------------------------------+4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Eğitim: ISO 27001 Farkındalık Eğitimi
- Seri Bağlantıları:
- Bölüm 1: İnsan Kaynakları Güvenliği 1: İstihdam Öncesi
- Denetim Bulguları: Yaygın İç ve Dış Denetim Bulguları
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 6.3, 6.4, 6.5 (Theme 6) & Controls 5.11, 5.18 (Theme 5).
- ISO/IEC 27002:2022: Clauses 6.3, 6.4, 6.5.
- 4857 Sayılı İş Kanunu: Madde 25/II (Ahlak ve iyi niyet kurallarına uymayan haller).
- NIST SP 800-50: Building an Information Technology Security Awareness and Training Program.