Özet: ISO 27001 Ek A.7.1 (2022 Madde 6.1 ve 6.2) istihdam öncesi insan kaynakları güvenliği: Kimlik ve adli sicil doğrulaması, diploma teyidi, KVKK açık rıza şartıyla referans kontrolü ve bağlayıcı gizlilik sözleşmesi (NDA) hükümleri.
Kapsam ve Çerçeve: ISO/IEC 27001 Ek A.7.1, 4857 sayılı İş Kanunu ve 6698 sayılı KVKK hükümleri çerçevesinde kurumsal işe alım öncesi aday tarama ve gizlilik taahhüdü standartları.
Giriş: En Zayıf Halka mı, En Güçlü Savunma mı?
Bilgi Güvenliği Yönetim Sisteminde en gelişmiş güvenlik duvarlarını, yapay zekâ destekli tehdit avlama sistemlerini ve şifreleme altyapılarını kursanız dahi, bilginin nihai üreticisi, işleyicisi ve paylaşıcısı insandır. Siber saldırganların büyük çoğunluğu sistemlerin teknik açıklarından önce insan zaaflarını (sosyal mühendislik, oltalama) hedef alır.
Bu nedenle ISO/IEC 27001, güvenlik mimarisini henüz personel işe başlamadan önce başlatan İstihdam Öncesi İnsan Kaynakları Güvenliği kontrollerini şart koşar.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Değişiklik ve Uygulama Odağı |
|---|---|---|---|
| A.7.1.1 Tarama (Screening) | Madde 6.1 Tarama | İnsan Kontrolleri | Rolün risk seviyesine göre orantılı arka plan araştırması; yerel veri koruma mevzuatına tam uyum. |
| A.7.1.2 İstihdam şartları ve koşulları | Madde 6.2 İstihdam şartları ve koşulları | İnsan Kontrolleri | Bilgi güvenliği sorumluluklarının ve fikri mülkiyet haklarının sözleşmede açıkça tanımlanması. |
Madde 6.1: Aday Tarama Süreci ve KVKK Sınırları
Kuruluş, istihdam edeceği tüm personel ve sözleşmeli yükleniciler için pozisyonun gerektirdiği hassasiyete göre bir geçmiş doğrulaması yapmalıdır:
Doğrulama Kapsamı
- Kimlik ve Adres Teyidi: Resmî kimlik belgeleri ve ikametgâh doğrulaması.
- Eğitim ve Diploma Doğrulaması: Adayın beyan ettiği diplomaların doğruluğu (e-Devlet veya üniversite teyidi).
- Referans Kontrolleri: Önceki iş yerlerindeki amirleriyle doğrudan görüşülerek adayın iş ahlakı ve güvenilirlik değerlendirmesi.
- Adli Sicil Kaydı: Kanunun izin verdiği çerçevede ve adayın açık rızasıyla sunulan adli sicil belgesi.
Madde 6.2: İstihdam Şartları ve Gizlilik Taahhütnameleri
Bir aday işe başlamadan önce bilgi güvenliğine ilişkin yükümlülükleri yazılı olarak kabul etmelidir:
Sözleşmeye Eklenecek Temel Hükümler
- Bilgi Güvenliği Politikalarına Uyum: Çalışanın kurumun yürürlükteki tüm bilgi güvenliği, kabul edilebilir kullanım ve veri koruma prosedürlerine uyma taahhüdü.
- Gizlilik ve Sır Saklama Yükümlülüğü (NDA): Görev sırasında öğrenilen kurumsal ve müşteri sırlarının hiçbir şekilde üçüncü şahıslarla paylaşılamayacağı, bu yükümlülüğün işten ayrıldıktan sonra da süreceği.
- Fikri Mülkiyet Hakları: Çalışanın mesai saatleri içinde ve kurum kaynaklarını kullanarak geliştirdiği yazılım, doküman ve tasarımların mülkiyetinin kuruluşa ait olduğu.
- İhlal Halinde Yaptırımlar: Güvenlik kurallarının kasten veya ağır ihmalle ihlal edilmesi durumunda devreye girecek disiplin cezaları ve yasal tazminat hükümleri.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Eğitim: ISO 27001 Farkındalık Eğitimi
- Serinin Devamı:
- Bölüm 2: İnsan Kaynakları Güvenliği 2: Çalışma Süreci ve İşten Ayrılma
- Varlık Sorumluluğu: Varlık Yönetimi ve Kabul Edilebilir Kullanım
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 6.1 & 6.2 (People Controls).
- ISO/IEC 27002:2022: Clauses 6.1 Screening, 6.2 Terms and conditions of employment.
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu: Madde 4 (Genel ilkeler), Madde 5 ve 6 (Kişisel verilerin işlenme şartları).
- 4857 Sayılı İş Kanunu: İş sözleşmesi hükümleri ve işçinin sadakat borcu.
Sık Sorulan Sorular
Aday taraması (background screening) yaparken KVKK açısından nelere dikkat edilmelidir?
Adayın sabıka kaydı (özel nitelikli kişisel veri) ve referans bilgileri sorgulanmadan önce 6698 sayılı KVKK uyarınca açık rızası alınmalı ve aydınlatma metni sunulmalıdır. Adayın beyan etmediği üçüncü kişilerden izinsiz bilgi toplanmamalıdır.
Dış kaynaklı tedarikçi ve yüklenici personeli de bu taramaya tabi midir?
Evet. ISO 27001 standardı, kurumun kritik bilgilerine ve bilişim altyapısına erişim hakkı bulunan taşeron, dış kaynak (outsource) ve danışmanlık personelinin de aynı seviyede taranmasını ve gizlilik sözleşmesi imzalamasını zorunlu kılar.
Gizlilik taahhüdünün işten ayrıldıktan sonra da geçerliliği var mıdır?
Evet. İstihdam hüküm ve koşulları belgesi ve gizlilik sözleşmeleri, çalışanın işten ayrılmasından sonra da belirli bir süre (genellikle 2 ila 5 yıl veya süresiz) sır saklama yükümlülüğünün devam edeceğini açıkça hükme bağlamalıdır.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.