Giriş: En Zayıf Halka mı, En Güçlü Savunma mı?
Bilgi Güvenliği Yönetim Sisteminde en gelişmiş güvenlik duvarlarını, yapay zekâ destekli tehdit avlama sistemlerini ve şifreleme altyapılarını kursanız dahi, bilginin nihai üreticisi, işleyicisi ve paylaşıcısı insandır. Siber saldırganların büyük çoğunluğu sistemlerin teknik açıklarından önce insan zaaflarını (sosyal mühendislik, oltalama) hedef alır.
Bu nedenle ISO/IEC 27001, güvenlik mimarisini henüz personel işe başlamadan önce başlatan İstihdam Öncesi İnsan Kaynakları Güvenliği kontrollerini şart koşar.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Değişiklik ve Uygulama Odağı |
|---|---|---|---|
| A.7.1.1 Tarama (Screening) | Madde 6.1 Tarama | İnsan Kontrolleri | Rolün risk seviyesine göre orantılı arka plan araştırması; yerel veri koruma mevzuatına tam uyum. |
| A.7.1.2 İstihdam şartları ve koşulları | Madde 6.2 İstihdam şartları ve koşulları | İnsan Kontrolleri | Bilgi güvenliği sorumluluklarının ve fikri mülkiyet haklarının sözleşmede açıkça tanımlanması. |
Madde 6.1: Aday Tarama Süreci ve KVKK Sınırları
Kuruluş, istihdam edeceği tüm personel ve sözleşmeli yükleniciler için pozisyonun gerektirdiği hassasiyete göre bir geçmiş doğrulaması yapmalıdır:
Doğrulama Kapsamı
- Kimlik ve Adres Teyidi: Resmî kimlik belgeleri ve ikametgâh doğrulaması.
- Eğitim ve Diploma Doğrulaması: Adayın beyan ettiği diplomaların doğruluğu (e-Devlet veya üniversite teyidi).
- Referans Kontrolleri: Önceki iş yerlerindeki amirleriyle doğrudan görüşülerek adayın iş ahlakı ve güvenilirlik değerlendirmesi.
- Adli Sicil Kaydı: Kanunun izin verdiği çerçevede ve adayın açık rızasıyla sunulan adli sicil belgesi.
Madde 6.2: İstihdam Şartları ve Gizlilik Taahhütnameleri
Bir aday işe başlamadan önce bilgi güvenliğine ilişkin yükümlülükleri yazılı olarak kabul etmelidir:
Sözleşmeye Eklenecek Temel Hükümler
- Bilgi Güvenliği Politikalarına Uyum: Çalışanın kurumun yürürlükteki tüm bilgi güvenliği, kabul edilebilir kullanım ve veri koruma prosedürlerine uyma taahhüdü.
- Gizlilik ve Sır Saklama Yükümlülüğü (NDA): Görev sırasında öğrenilen kurumsal ve müşteri sırlarının hiçbir şekilde üçüncü şahıslarla paylaşılamayacağı, bu yükümlülüğün işten ayrıldıktan sonra da süreceği.
- Fikri Mülkiyet Hakları: Çalışanın mesai saatleri içinde ve kurum kaynaklarını kullanarak geliştirdiği yazılım, doküman ve tasarımların mülkiyetinin kuruluşa ait olduğu.
- İhlal Halinde Yaptırımlar: Güvenlik kurallarının kasten veya ağır ihmalle ihlal edilmesi durumunda devreye girecek disiplin cezaları ve yasal tazminat hükümleri.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Eğitim: ISO 27001 Farkındalık Eğitimi
- Serinin Devamı:
- Bölüm 2: İnsan Kaynakları Güvenliği 2: Çalışma Süreci ve İşten Ayrılma
- Varlık Sorumluluğu: Varlık Yönetimi ve Kabul Edilebilir Kullanım
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 6.1 & 6.2 (People Controls).
- ISO/IEC 27002:2022: Clauses 6.1 Screening, 6.2 Terms and conditions of employment.
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu: Madde 4 (Genel ilkeler), Madde 5 ve 6 (Kişisel verilerin işlenme şartları).
- 4857 Sayılı İş Kanunu: İş sözleşmesi hükümleri ve işçinin sadakat borcu.