Giriş: Fiziksel Güvenlik Olmadan Siber Güvenlik Mümkün müdür?
Bilgi güvenliği denildiğinde ilk akla gelen unsurlar güvenlik duvarları, antivirüs yazılımları ve şifreleme mekanizmalarıdır. Ancak bir saldırganın veya yetkisiz bir kişinin sunucu odanıza, ağ anahtarlarınıza veya çalışanların çalışma masalarına fiziken ulaşabildiği bir senaryoda, hiçbir yazılımsal önlem kurumu koruyamaz.
Doğrudan konsol erişimi sağlanan bir sunucunun parola koruması dakikalar içinde aşılabilir; fiziksel olarak çalınan bir sabit diskteki veriler adli bilişim araçlarıyla kurtarılabilir. Bu nedenle ISO/IEC 27001 standardı, mantıksal kontroller kadar Fiziksel ve Çevresel Güvenlik Kontrollerini de zorunlu tutar.
Standart Madde Eşleşmesi ve 2022 Yenilikleri
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Değişiklik / Yenilik Durumu |
|---|---|---|---|
| A.11.1.1 | Madde 7.1 | Fiziksel güvenlik çevreleri | Çevre güvenliği (duvarlar, turnikeler, kartlı kapılar) korundu. |
| A.11.1.2 | Madde 7.2 | Fiziksel giriş | Ziyaretçi takibi, kartlı geçiş ve yetkilendirme ilkeleri güncellendi. |
| A.11.1.3 | Madde 7.3 | Ofis, oda ve tesislerin güvenliği | Boş odaların kilitlenmesi, anahtar yönetimi. |
| (Yeni Kontrol) | Madde 7.4 | Fiziksel güvenlik izleme | YENİ KONTROL (2022): CCTV kamera izleme, hareket dedektörleri ve alarm sistemleri şart koşuldu. |
| A.11.1.4 | Madde 7.5 | Fiziksel ve çevresel tehditlere karşı koruma | Yangın söndürme (FM200 vb.), su baskını, deprem tedbirleri. |
| A.11.1.5 | Madde 7.6 | Güvenli alanlarda çalışma | Fotoğraf çekme yasağı, gözetimsiz yabancı bulunmaması. |
Fiziksel Güvenlikte Çok Katmanlı Savunma (Defense-in-Depth)
ISO/IEC 27002:2022 Madde 7.1 kılavuzluğu uyarınca fiziksel güvenlik çevreleri konsantrik halkalar (iç içe geçmiş katmanlar) şeklinde tasarlanmalıdır:
Katman 1: Tesis ve Dış Çevre Sınırı
Kurum binasının veya kampüsünün dış sınırıdır:
- Çevre çitleri, bariyerler, güvenlik kulübesi ve nizamiyeler.
- Plaka tanıma ve araç altı arama sistemleri.
- Dış çevre aydınlatması ve çevre güvenlik kameraları.
Katman 2: Bina Girişi ve Karşılama (Resepsiyon)
- Ziyaretçilerin karşılandığı, kimlik kontrolünün yapıldığı ve ziyaretçi yaka kartlarının verildiği nokta.
- Turnike sistemleri ve biyometrik / RFID kart okuyucular.
- Ziyaretçilerin bina içinde refakatçisiz dolaşmasını engelleyen prosedürler.
Katman 3: Operasyonel Ofis Alanları
- Yalnızca ilgili departman personelinin girebildiği bölümler (örneğin Finans, İK, AR-GE).
- Ofis kapılarında kartlı veya şifreli geçiş mekanizmaları.
- Temiz masa ve temiz ekran kontrollerinin uygulandığı çalışma sahaları.
Katman 4: Kritik Güvenli Alanlar (Sistem Odası / Veri Merkezi)
En yüksek güvenlik düzeyinin uygulandığı çekirdek alandır:
- İki faktörlü kimlik doğrulama (Kart + Biyometrik veya PIN).
- Mantrap (hava kilidi / birbirine kilitli çift kapı) sistemleri.
- Yalnızca yetkilendirilmiş sistem yöneticilerinin girişine izin verilmesi.
- Tüm giriş-çıkışların zaman damgalı olarak kayıt altına alınması.
2022 Revizyonunun Kritik Yeni Maddesi: 7.4 Fiziksel Güvenlik İzleme
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet İncelemesi: Bilgi Güvenliği Danışmanlığı
- ISO/IEC 27001 Hizmeti: ISO/IEC 27001 Danışmanlığı
- Serinin Devamı:
- Bölüm 2:
/iso-27001-bilgi-guvenliginde-fiziksel-ve-cevresel-guvenlik-2/ - Varlık Sorumluluğu:
/iso-27001-varlik-yonetimi-varliklarin-sorumlulugu/
- Bölüm 2:
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Annex A Theme 7 Physical Controls (Controls 7.1 to 7.6).
- ISO/IEC 27002:2022: Information security controls — Physical controls.
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK): Fiziksel mekân güvenliği ve kamera kayıtlarının işlenmesi ilkeleri (Madde 4, 12).