Özet: ISO 27001 Ek A.11.2 (2022 Madde 7.7–7.14) teçhizat güvenliği rehberi: Enerji ve veri kablosu izolasyonu, cihaz bakım prosedürleri, NIST SP 800-88 uyumlu manyetik disk imhası ve sahada en sık ihlal edilen Temiz Masa/Ekran Politikası.
Kapsam ve Çerçeve: ISO/IEC 27001:2013 Ek A.11.2, ISO/IEC 27001:2022 Madde 7.7-7.14 ve NIST SP 800-88 standartları doğrultusunda donanım güvenliği, veri imhası ve çalışma masası kontrolleri.
Giriş ve Kapsam
Fiziksel Güvenlik serimizin ilk bölümünde güvenli alanların sınırlarını ve fiziksel giriş kontrollerini ele almıştık. Bu ikinci bölümde; binalar ve ofisler içerisinde çalışan teçhizatların korunmasını, kablolama güvenliğini, cihaz bakımını, güvenli veri imhasını ve denetimlerde en sık bulgu konusu olan Temiz Masa ve Temiz Ekran politikasını inceliyoruz.
Standart Madde Eşleşmesi: 2013 vs 2022
| ISO/IEC 27001:2013 Maddesi | ISO/IEC 27001:2022 Kontrolü | Kontrol Başlığı | Kapsam ve Odak |
|---|---|---|---|
| A.11.2.9 | Madde 7.7 | Temiz masa ve temiz ekran | Kâğıt evraklar, çıkarılabilir ortamlar ve kilitli ekranlar. |
| A.11.2.1 | Madde 7.8 | Teçhizatın yerleşimi ve korunması | Çevresel tehditlerden, yetkisiz bakışlardan ve erişimden koruma. |
| A.11.2.6 | Madde 7.9 | Tesis dışındaki varlıkların güvenliği | Dizüstü bilgisayarlar, mobil cihazlar ve uzaktan çalışma. |
| A.11.2.7 | Madde 7.10 & 7.14 | Depolama ortamları ve Güvenli elden çıkarma | Disklerin silinmesi, degauss edilmesi veya fiziksel kırılması. |
| A.11.2.2 | Madde 7.11 | Destekleyici altyapı hizmetleri | Kesintisiz Güç Kaynağı (UPS), jeneratör, iklimlendirme (HVAC). |
| A.11.2.3 | Madde 7.12 | Kablolama güvenliği | Ağ ve elektrik kablolarının korunması, dinlemeye karşı önlemler. |
| A.11.2.4 | Madde 7.13 | Teçhizat bakımı | Yetkili servis bakımları ve veri güvenliği kontrolleri. |
Temiz Masa ve Temiz Ekran Politikası (Clear Desk & Clear Screen)
ISO/IEC 27001:2022 Madde 7.7, bilgi güvenliğinde insan davranışına dayalı en kritik önlemlerden biridir:
Temiz Masa Kuralları (Clear Desk)
- Gizli ve hassas bilgiler içeren kâğıt evraklar, çalışma saatleri dışında ve masa terk edildiğinde kilitli çekmecelerde veya dolaplarda tutulmalıdır.
- Toplantı odalarındaki yazı tahtaları (whiteboard) toplantı sonrasında derhal silinmelidir.
- Ortak yazıcı ve fotokopi makinelerinde kimsesiz çıktı bırakılmamalı; güvenli PIN kodlu baskı (pull-printing) sistemleri kullanılmalıdır.
- Monitörlere veya klavye altlarına parola yazılı yapışkan notlar (post-it) kesinlikle yapıştırılmamalıdır.
Temiz Ekran Kuralları (Clear Screen)
- Kullanıcı bilgisayar başından ayrıldığında ekran derhal kilitlenmelidir (
Windows + LveyaCtrl + Cmd + Q). - Kuruluş çapında grup ilkeleri (GPO / MDM) ile azami 3 ila 5 dakikalık hareketsizlik sonrasında otomatik parola korumalı ekran koruyucu devreye girmelidir.
- Hassas veri işleyen finans ve İK personeli için monitör gizlilik filtreleri (privacy screen) kullanılmalıdır.
Depolama Ortamlarının Güvenli İmhası (NIST SP 800-88)
Eski sunucular, hurdaya ayrılan bilgisayarlar veya arızalı sabit diskler elden çıkarılırken içerdikleri verilerin geri getirilemez biçimde yok edilmesi şarttır (Madde 7.14):
+--------------------------------------------------------------+
| VERİ TEMİZLEME VE İMHA DÜZEYLERİ |
| |
| 1. CLEAR (Mantıksal Silme): Standart okuma araçlarıyla |
| okunamaz hale getirme (Secure Erase, sıfır yazma). |
| |
| 2. PURGE (Gelişmiş Arındırma): Laboratuvar ortamında adli |
| bilişim yöntemleriyle kurtarılamayacak kriptografik silme |
| (Cryptographic Erase) veya Degaussing (manyetik yok etme).|
| |
| 3. DESTROY (Fiziksel İmha): Diskin delinmesi, parçalanması |
| (shredding) veya ergitilmesi. |
+--------------------------------------------------------------+4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Kurumsal Çözüm: ISO/IEC 27001 Hizmeti
- Seri Bağlantıları:
- Bölüm 1: Fiziksel Güvenlik 1: Güvenli Alanlar
- Varlık Envanteri: Varlık Yönetimi ve Sorumluluğu
5. Resmî Kaynaklar ve Doğrulama Referansları
- ISO/IEC 27001:2022: Controls 7.7, 7.8, 7.9, 7.10, 7.11, 7.12, 7.13, 7.14.
- ISO/IEC 27002:2022: Information security controls — Physical controls (7.7 to 7.14).
- NIST SP 800-88 Rev. 1: Guidelines for Media Sanitization.
Sık Sorulan Sorular
Temiz Masa ve Temiz Ekran Politikası denetimlerde nasıl kontrol edilir?
Denetçiler çalışma saatleri içinde ve mesai sonrasında ofis katlarında habersiz fiziki kontroller yapar. Masalarda bırakılmış gizli evraklar, şifre post-it leri, açıkta bırakılan USB bellekler, kilitsiz bilgisayar ekranları ve yazıcı tepsisinde unutulmuş çıktılar doğrudan bulgu olarak kaydedilir.
Disk imhasında standart formatlama yeterli midir?
Kesinlikle hayır. Standart işletim sistemi formatlaması verileri fiziksel sektörlerden silmez, veri kurtarma yazılımlarıyla veriler geri getirilebilir. NIST SP 800-88 standartlarına uygun çok geçişli güvenli silme (wiping), degaussing (manyetik alanla bozma) veya fiziksel parçalama (shredding) uygulanmalıdır.
Uzaktan çalışan personelin cihaz güvenliği nasıl sağlanmalıdır?
Kurum dışına çıkarılan dizüstü bilgisayarların diskleri tam şifrelemeye (BitLocker, FileVault) tabi tutulmalı, USB portları merkezi politikayla kısıtlanmalı, cihazların araç içinde veya sahipsiz alanlarda bırakılmaması personele yazılı olarak tebliğ edilmelidir.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.