Özet: ISO 27001 Ek A.7.2 ve A.7.3 (2022 Madde 6.3–6.5) insan kaynakları güvenliği: Yönetim sorumlulukları, oltalama simülasyonlarıyla farkındalık programı, doğrulanmış disiplin süreci ve işten ayrılışta mantıksal/fiziksel erişim kesme protokolü.
Kapsam ve Çerçeve: ISO/IEC 27001:2013 Ek A.7.2/A.7.3 ve ISO/IEC 27001:2022 Madde 6.3-6.5 kapsamında çalışma dönemi farkındalık, disiplin ve görev değişikliği yetki yönetimi prensipleri.
Giriş ve Serinin Bağlamı
İnsan Kaynakları Güvenliği serimizin ilk bölümünde adayın işe alım öncesindeki geçmiş doğrulamasını ve sözleşme şartlarını incelemiştik. Ancak güvenlik statik bir taahhüt değil, her iş gününde yaşayan dinamik bir kurum kültürüdür.
Bu bölümde; personelin çalışma süresi boyunca bilgi güvenliği farkındalığının nasıl korunacağını, kural ihlallerinde işletilecek disiplin mekanizmasını ve çalışanın kurumdan ayrıldığı kritik gün işletilecek adımları inceliyoruz.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Temel Odak |
|---|---|---|---|
| A.7.2.2 | Madde 6.3 | Bilgi güvenliği farkındalığı, eğitimi ve öğretimi | Periyodik eğitimler, phishing simülasyonları, rol bazlı eğitimler. |
| A.7.2.3 | Madde 6.4 | Disiplin süreci | Güvenlik ihlallerinde uygulanacak adil ve şeffaf yaptırım prosedürü. |
| A.7.3.1 | Madde 6.5 | İstihdamın sonlandırılması veya değiştirilmesi | Hesapların kapatılması, yetkilerin güncellenmesi ve gizlilik hatırlatması. |
| A.8.1.4 | Madde 5.11 | Varlıkların iadesi | Donanım, token, kart ve şirket mülkiyetindeki verilerin teslimi. |
| A.9.2.6 | Madde 5.18 | Erişim haklarının kaldırılması veya ayarlanması | E-posta, VPN ve bulut hesaplarının anında askıya alınması. |
Madde 6.3: Güvenlik Kültürü ve Ölçülebilir Farkındalık
Bir kurumda siber güvenlik politikalarının klasörler içinde veya intranette kalması yeterli değildir. Çalışanların bu kuralları benimsemesi ve şüpheli durumları raporlayabilmesi gerekir:
Sürekli Farkındalık Programı Bileşenleri
- İşe Başlama Oryantasyonu: Yeni başlayan her personele ilk hafta içinde temel güvenlik kurallarının, şifre politikalarının ve olay bildirim yöntemlerinin aktarılması.
- Rol Bazlı Eğitimler: Yazılım geliştiricilere güvenli kodlama (OWASP), sistem yöneticilerine ayrıcalıklı hesap güvenliği, insan kaynakları ve muhasebeye ise sahte fatura ve BEC (Business Email Compromise) saldırılarına yönelik özel eğitimler verilmesi.
- Kimlik Avı (Phishing) Simülasyonları: Personele periyodik ve senaryolu sahte oltalama e-postaları gönderilerek tıklama oranlarının ölçülmesi ve tuzağa düşen personele anında mini eğitim verilmesi.
Madde 6.4: Adil ve Caydırıcı Disiplin Süreci
Bilgi güvenliği kurallarına uyulmaması durumunda işletilecek süreç önceden tanımlanmalı ve tüm çalışanlara duyurulmuş olmalıdır:
- Hata ile kasıtlı kötüye kullanım birbirinden ayrılmalıdır.
- İlk kez dikkatsizlikle yapılan ihlallerde uyarı ve tamamlama eğitimi verilmeli; kasıtlı veri sızdırma veya kural ihlalinde iş akdinin feshi ve adli makamlara bildirim prosedürü açıkça belirtilmelidir.
Madde 6.5: Güvenli İlişik Kesme (Offboarding) Kontrol Listesi
Personelin işten ayrıldığı veya kurum içinde departman değiştirdiği gün, kurumun bilgi güvenliği açısından en yüksek maruziyet anıdır:
+-------------------------------------------------------------+
| OFFBOARDING GÜVENLİK DÖNGÜSÜ |
| |
| 1. İK Bildirimi: Ayrılış tarih ve saatinin BT'ye teyidi. |
| 2. Hesapların Kapatılması: Active Directory, e-posta, VPN, |
| bulut (SaaS) yetkilerinin tam mesai bitiminde kapatılması.|
| 3. Varlıkların İadesi (5.11): Dizüstü bilgisayar, harici |
| disk, giriş kartı ve şirket cep telefonunun teslimi. |
| 4. Gizlilik Hatırlatması: İmzalanan gizlilik sözleşmesinin |
| ayrıldıktan sonra da süreceğinin yazılı hatırlatılması. |
+-------------------------------------------------------------+4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Eğitim: ISO 27001 Farkındalık Eğitimi
- Seri Bağlantıları:
- Bölüm 1: İnsan Kaynakları Güvenliği 1: İstihdam Öncesi
- Denetim Bulguları: Yaygın İç ve Dış Denetim Bulguları
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 6.3, 6.4, 6.5 (Theme 6) & Controls 5.11, 5.18 (Theme 5).
- ISO/IEC 27002:2022: Clauses 6.3, 6.4, 6.5.
- 4857 Sayılı İş Kanunu: Madde 25/II (Ahlak ve iyi niyet kurallarına uymayan haller).
- NIST SP 800-50: Building an Information Technology Security Awareness and Training Program.
Sık Sorulan Sorular
Farkındalık eğitimlerinin etkinliği ISO 27001 denetimlerinde nasıl ölçülür?
Denetçiler yalnızca eğitim katılım listelerine bakmaz; eğitim sonrası yapılan test sonuçlarını, oltalama (phishing) simülasyonlarının tıklanma ve bildirim oranlarını, personelin rastgele mülakatlarda güvenlik politikalarına hakimiyetini ve ihlal bildirim sıklığını değerlendirir.
İşten ayrılan personelin erişim yetkileri ne kadar sürede kaldırılmalıdır?
Erişim hakları çalışanın fiili işten ayrılma anında (veya kritik rollerde istifa/fesih bildirimi yapıldığı anda) derhal iptal edilmelidir. Bu işlem yalnızca Active Directory veya e-posta hesaplarını değil; VPN, bulut depolama, sosyal medya hesapları ve bina giriş kartlarını da kapsamalıdır.
Personel görev değiştirdiğinde (unvan/departman) eski yetkileri neden kapatılmalıdır?
Eski departmandaki yetkilerin açık bırakılması "yetki birikimi" (privilege creep) riskine yol açar. Kişi ihtiyaç duymadığı hassas bilgilere erişmeye devam eder ve en az yetki (least privilege) prensibi ihlal edilir.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.