Bilgi Güvenliği Politikası Nedir?

Bilgi güvenliği politikası (ISP), tartışmasız bir kuruluşun sahip olabileceği en önemli siber güvenlik politikasıdır. Temel olarak bir ISP, güvenlik tehditlerini tanımlamaya, değerlendirmeye, hafifletmeye ve bunlardan kurtarmaya yönelik protokolleri ve prosedürleri tanımlar. Bir ISP veri merkezlidir; temel amacı veri gizliliğini, bütünlüğünü ve kullanılabilirliğini (CIA üçlüsü olarak bilinir) korumaktır. Bir ISP, erişim kontrolü, veri sınıflandırması, güvenlik farkındalığı eğitimi ve çalışanların (ve diğer ilgili paydaşların) kritik varlıklarınızla etkileşimde bulunurken takip etmesi gereken protokoller dahil olmak üzere çok çeşitli alanları kapsayacaktır.

Bilgi Güvenliği Politikasının Faydaları

BT ortamları giderek daha karmaşık ve dağınık hale geliyor; artık birçok çalışan uzaktan çalışıyor. Bu tür ortamlarda güvenlik olaylarını azaltmak ve yönetmek için standartlaştırılmış, uyumlu ve koordineli bir yaklaşıma sahip olmak gerekir. Bir ISP, çalışanlarla, yüklenicilerle, denetçilerle ve diğer ilgili paydaşlarla mevcut güvenlik önlemleri hakkında iletişim kurmayı kolaylaştıracak ve gerekli güvenlik farkındalığı eğitimini almalarını sağlayacaktır. Bir İSS'ye sahip olmak aynı zamanda HIPAA, GDPR veya CCPA gibi sektörünüz için geçerli olan düzenlemelere uymanızı da kolaylaştıracaktır. Denetçilerin, bir kuruluşun yürürlükteki güvenlik kontrolleriyle ilgili belgelerine erişim talebinde bulunması ve hangi verilere sahip olduklarını, bu verilerin nerede bulunduğunu ve bu verilere kimin erişebileceğini bildiklerini gösterebilmeleri yaygın bir durumdur.

Bilgi Güvenliği Politikası Şablonu Var mı?

Ne yazık ki, farklı kuruluşların farklı ihtiyaçları olduğundan herkese uygun tek bir İSS yoktur. Farklı iş modelleri var, çalışanları farklı becerilere sahip olacak ve uyumluluk yükümlülükleri sektörden sektöre farklılık gösteriyor. Bununla birlikte, bir İSS'nin nasıl geliştirileceği konusunda yararlı rehberlik sağlayan çok sayıda çerçeve mevcuttur. En popüler iki çerçeve ISO/IEC 27000 ve NIST Siber Güvenlik Çerçevesidir; her ikisi de güvenlik olaylarının nasıl tanımlanacağı, korunacağı, tespit edileceği, yanıt verileceği ve bu olaylardan nasıl kurtarılacağı konusunda rehberlik sağlar. Ancak Sarbanes-Oxley (SOX) kapsamındaki kuruluşlar için COBIT gibi çerçeveler daha iyi bir seçim olabilir. Benzer şekilde, HIPAA uyumluluğunu hedefleyen kuruluşların ISO 27799'a bakmaları daha iyi olacaktır. Alternatif olarak, bazı kuruluşlar, inceleyip uygun şekilde özelleştirebileceğiniz ISP şablonlarını yayınlar.

Bilgi Güvenliği Politikasının Temel Unsurları

Daha önce de belirtildiği gibi, bir İSS tasarlamanın sabit bir yaklaşımı yoktur ve ayrıca bir İSS'nin siber güvenliğin hemen hemen tüm alanlarını kapsayacağını da belirtmekte fayda var ki bu da sizin de kabul edeceğiniz gibi çok geniş bir konudur. Bununla birlikte, tüm İSS'ler belirli temel unsurları içerecektir.

giriiş

Amaç: Bir İSS'ye ihtiyaç duymanızın nedenlerini listeleyin. Çoğu durumda, bu…

Veri gizliliğini, bütünlüğünü ve kullanılabilirliğini koruyun
Güvenlik olaylarını azaltmak ve yönetmek için uyumlu bir yaklaşım oluşturun
İlgili denetleyici makamlara uygunluğu gösterin
Kuruluşunuzun itibarını iyileştirin/koruyun

Kapsam: İSS'nin kapsamına giren tüm sistemlerin, varlıkların, kullanıcıların, iş ortaklarının ve uygulamaların bir listesini oluşturun.

İlgili personel: İSS'nin tasarımı ve uygulanmasında yer alan tüm yöneticileri ve personeli iletişim bilgileriyle birlikte listeleyin.

Vücut

Verilerin toplanması ve saklanması: Hangi verileri, nasıl, neden ve ne kadar süreyle toplayacağınızı açıklayın. Ayrıca verilerin nasıl saklandığı, kullanılan şifreleme yöntemleri ve verilerinizi yedekleme yöntemleri hakkında kısa bir özet de vermeniz gerekecektir.

Veri sınıflandırması: Verilerinizin nasıl sınıflandırıldığını açıklayın. En basit veri sınıflandırma şeması Genel, Özel ve Kısıtlı olacaktır. Ancak birçok şirket, şirketlerinin yapısını yansıtan daha karmaşık bir şema seçmeyi tercih ediyor.

Erişim kontrolü: Kullandığınız erişim kontrolü yöntemlerinin türünü belirten bir Erişim Kontrolü Politikasına (ACP) ihtiyacınız olacaktır; örneğin İsteğe Bağlı Erişim Kontrolü (DAC), Rol Tabanlı Erişim Kontrolü (RBAC) veya Zorunlu Erişim Kontrolü (MAC). Daha sonra hangi verilere kim tarafından ve hangi koşullar altında erişilebileceğini belirleyen bir dizi kural tanımlamanız gerekecektir. Ayrıca, erişimin nasıl/ne zaman verilmesi/iptal edilmesi gerektiği de dahil olmak üzere, kullanıcıların kaynaklara erişim talep etmesine izin veren protokolleri de belirtmeniz gerekecektir.

Kabul Edilebilir Kullanım Politikası (AUP): Kritik varlıklara erişimi kontrol etmenin yanı sıra, hangi kullanıcı eylemlerinin kabul edilebilir/kabul edilemez olduğunu belirleyen bir politika oluşturmanız gerekecektir. Bir AUP genellikle ziyaret edebilecekleri web siteleri ve yükleyebilecekleri uygulamalar da dahil olmak üzere kullanıcıların internete nasıl erişebilecekleri ve interneti nasıl kullanabilecekleri hakkında bilgiler içerir. Ayrıca, kimlik bilgilerinin paylaşılması, oturum açıkken iş istasyonunun gözetimsiz bırakılması veya dosyaların bir USB sürücüsüne indirilmesi gibi kabul edilemez olarak değerlendirilen eylemlerin bir listesi de yer alacaktır.

Veri erişimi izleme: Ayrıcalıklı hesaplarınızda ve kritik varlıklarınızda yapılan değişiklikleri nasıl takip etmeyi planladığınızı belirtmeniz gerekecektir. Çoğu durumda kuruluşlar, anormal olayları otomatik olarak tespit etmek, uyarmak ve bunlara yanıt vermek için bir tür gerçek zamanlı denetim çözümü kullanır.

Olay Müdahale Planı (ISP): Sistemlerinize ve verilerinize erişimi izlemek, yalnızca şüpheli olaylara yanıt vermeye yönelik bir stratejiniz varsa faydalıdır. Bir IRP altı aşamaya bölünmüştür; hazırlık, tanımlama, kontrol altına alma, ortadan kaldırma, kurtarma ve öğrenilen dersler. Gerçek zamanlı denetim çözümünüzün, hassas verilere şüpheli bir şekilde erişildiğini bildiren bir uyarı vermesi gibi çoğu durumda, bunun yanlış bir işaret mi yoksa meşru bir tehdit mi olduğunu belirlemek için olay günlüklerini incelemeniz yeterlidir. Meşru bir tehdit olduğu ortaya çıkarsa olay müdahale planınızı derhal uygulamanız gerekecektir.

Yama Yönetimi Politikası: BT ortamınızdaki güvenlik açıklarını azaltmak amacıyla yamaları/güncellemeleri yüklemek için iyi belgelenmiş prosedürlere ihtiyacınız olacaktır.

Güvenlik farkındalığı eğitimi: Eğitim materyalini geliştirmekten ve sunmaktan kimin sorumlu olduğuna ilişkin ayrıntılar da dahil olmak üzere, güvenlik farkındalığı eğitiminin ne zaman ve nasıl verileceğini açıklayın.

Daha önce de belirtildiği gibi, bilgi güvenliği çok büyük bir konudur ve verilerinizin güvenliğini nasıl koruyacağınızla ilgili tam bir açıklama, açıkça bu makalenin kapsamı dışındadır. Örneğin, yukarıda listelenen noktalara ek olarak, verilerinizin hem kullanımda hem de aktarım sırasında şifrelenme yollarını da belgelemeniz gerekecektir. Kilitlerin, alarmların, yaka kartlarının ve CCTV kameralarının kullanımını içerebilecek, uyguladığınız fiziksel güvenlik önlemlerinin ayrıntılarını veren bir politikaya ihtiyacınız olacaktır.