Giriş ve Kapsam
Fiziksel Güvenlik serimizin ilk bölümünde güvenli alanların sınırlarını ve fiziksel giriş kontrollerini ele almıştık. Bu ikinci bölümde; binalar ve ofisler içerisinde çalışan teçhizatların korunmasını, kablolama güvenliğini, cihaz bakımını, güvenli veri imhasını ve denetimlerde en sık bulgu konusu olan Temiz Masa ve Temiz Ekran politikasını inceliyoruz.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Kapsam ve Odak |
|---|---|---|---|
| A.11.2.9 | Madde 7.7 | Temiz masa ve temiz ekran | Kâğıt evraklar, çıkarılabilir ortamlar ve kilitli ekranlar. |
| A.11.2.1 | Madde 7.8 | Teçhizatın yerleşimi ve korunması | Çevresel tehditlerden, yetkisiz bakışlardan ve erişimden koruma. |
| A.11.2.6 | Madde 7.9 | Tesis dışındaki varlıkların güvenliği | Dizüstü bilgisayarlar, mobil cihazlar ve uzaktan çalışma. |
| A.11.2.7 | Madde 7.10 & 7.14 | Depolama ortamları ve Güvenli elden çıkarma | Disklerin silinmesi, degauss edilmesi veya fiziksel kırılması. |
| A.11.2.2 | Madde 7.11 | Destekleyici altyapı hizmetleri | Kesintisiz Güç Kaynağı (UPS), jeneratör, iklimlendirme (HVAC). |
| A.11.2.3 | Madde 7.12 | Kablolama güvenliği | Ağ ve elektrik kablolarının korunması, dinlemeye karşı önlemler. |
| A.11.2.4 | Madde 7.13 | Teçhizat bakımı | Yetkili servis bakımları ve veri güvenliği kontrolleri. |
Temiz Masa ve Temiz Ekran Politikası (Clear Desk & Clear Screen)
ISO/IEC 27001:2022 Madde 7.7, bilgi güvenliğinde insan davranışına dayalı en kritik önlemlerden biridir:
Temiz Masa Kuralları (Clear Desk)
- Gizli ve hassas bilgiler içeren kâğıt evraklar, çalışma saatleri dışında ve masa terk edildiğinde kilitli çekmecelerde veya dolaplarda tutulmalıdır.
- Toplantı odalarındaki yazı tahtaları (whiteboard) toplantı sonrasında derhal silinmelidir.
- Ortak yazıcı ve fotokopi makinelerinde kimsesiz çıktı bırakılmamalı; güvenli PIN kodlu baskı (pull-printing) sistemleri kullanılmalıdır.
- Monitörlere veya klavye altlarına parola yazılı yapışkan notlar (post-it) kesinlikle yapıştırılmamalıdır.
Temiz Ekran Kuralları (Clear Screen)
- Kullanıcı bilgisayar başından ayrıldığında ekran derhal kilitlenmelidir (
Windows + LveyaCtrl + Cmd + Q). - Kuruluş çapında grup ilkeleri (GPO / MDM) ile azami 3 ila 5 dakikalık hareketsizlik sonrasında otomatik parola korumalı ekran koruyucu devreye girmelidir.
- Hassas veri işleyen finans ve İK personeli için monitör gizlilik filtreleri (privacy screen) kullanılmalıdır.
Depolama Ortamlarının Güvenli İmhası (NIST SP 800-88)
Eski sunucular, hurdaya ayrılan bilgisayarlar veya arızalı sabit diskler elden çıkarılırken içerdikleri verilerin geri getirilemez biçimde yok edilmesi şarttır (Madde 7.14):
+--------------------------------------------------------------+
| VERİ TEMİZLEME VE İMHA DÜZEYLERİ |
| |
| 1. CLEAR (Mantıksal Silme): Standart okuma araçlarıyla |
| okunamaz hale getirme (Secure Erase, sıfır yazma). |
| |
| 2. PURGE (Gelişmiş Arındırma): Laboratuvar ortamında adli |
| bilişim yöntemleriyle kurtarılamayacak kriptografik silme |
| (Cryptographic Erase) veya Degaussing (manyetik yok etme).|
| |
| 3. DESTROY (Fiziksel İmha): Diskin delinmesi, parçalanması |
| (shredding) veya ergitilmesi. |
+--------------------------------------------------------------+4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Çözüm: ISO/IEC 27001 Hizmeti
- Seri Bağlantıları:
- Bölüm 1: Fiziksel Güvenlik 1: Güvenli Alanlar
- Varlık Envanteri: Varlık Yönetimi ve Sorumluluğu
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 7.7, 7.8, 7.9, 7.10, 7.11, 7.12, 7.13, 7.14.
- ISO/IEC 27002:2022: Information security controls — Physical controls (7.7 to 7.14).
- NIST SP 800-88 Rev. 1: Guidelines for Media Sanitization.