• Risk Azaltma: Bilgi varlıklarını (veri, sistemler, fikri mülkiyet) korumak ve siber saldırıların, veri ihlallerinin veya hizmet kesintilerinin olası etkilerini en aza indirmek.
• Yasal ve Düzenleyici Uyum: GDPR, KVKK, HIPAA, ISO 27001 gibi ulusal ve uluslararası yasa ve standartlara uyum sağlamak. Uyumsuzluk, ağır para cezalarına ve itibar kaybına yol açabilir.
• Tutarlılık ve Standardizasyon: Güvenlik uygulamalarında tutarlılık sağlamak, herkesin aynı kurallar ve beklentiler çerçevesinde hareket etmesini temin etmek.
• İş Sürekliliği: Kritik iş süreçlerinin ve operasyonlarının kesintisiz devamlılığını sağlamak.
• İtibar Koruma: Müşteri güvenini ve pazar itibarını korumak. Bir güvenlik ihlali, bir şirketin itibarını ciddi şekilde zedeleyebilir.
• Farkındalık ve Eğitim: Çalışanların güvenlik riskleri ve sorumlulukları konusunda bilinçlenmesini sağlamak.

• Gizlilik (Confidentiality): Bilginin yetkisiz kişilerin erişimine kapalı olmasını sağlar. Hassas verilerin şifrelenmesi, erişim kontrolleri ve yetkilendirme mekanizmaları bu prensibi destekler. Örneğin, müşteri verilerine sadece ilgili departman çalışanlarının erişebilmesi gizliliğin bir parçasıdır.
• Bütünlük (Integrity): Bilginin doğru, tam ve yetkisiz değişikliklerden korunmuş olmasını garanti eder. Veri bozulmalarını veya manipülasyonlarını önlemek için hash doğrulama, dijital imzalar ve sürüm kontrolü gibi yöntemler kullanılır. Bir muhasebe kaydının izinsiz değiştirilememesi bütünlüğü sağlar.
• Erişilebilirlik (Availability): Yetkili kullanıcıların ihtiyaç duydukları zaman bilgiye ve sistemlere erişebilmelerini sağlar. Yedekleme, felaket kurtarma planları, ağ altyapısının sağlamlığı ve DDoS saldırılarına karşı koruma bu prensibin uygulanmasında kritiktir. Bir web sitesinin kullanıcılar tarafından her zaman kullanılabilir olması erişilebilirliği gösterir.

• Varlık Tanımlaması ve Sınıflandırma: Korunması gereken tüm bilgi varlıkları (donanım, yazılım, veri, insan kaynakları, marka değeri vb.) belirlenmeli ve hassasiyetlerine göre sınıflandırılmalıdır (örn. gizli, dahili, genel).
• Risk Değerlendirmesi: Kurumun karşı karşıya olduğu tehditler (siber saldırılar, doğal afetler, insan hataları) ve bu tehditlerin istismar edebileceği zafiyetler (yazılım açıkları, zayıf parolalar, eğitimsiz personel) belirlenir. Her riskin olasılığı ve potansiyel etkisi değerlendirilerek bir risk matrisi oluşturulur. Bu, kaynakların en kritik alanlara yönlendirilmesini sağlar. Örneğin, bir e-ticaret sitesi için kredi kartı bilgilerinin çalınması riski, potansiyel etkisi en yüksek risklerden biri olarak kabul edilebilir.
• Yasal ve Düzenleyici Gereksinimler: Kurumun faaliyet gösterdiği sektör ve coğrafyaya göre tabi olduğu tüm yasalara (KVKK, GDPR, HIPAA vb.) ve endüstri standartlarına (ISO 27001, PCI DSS vb.) uyum gereksinimleri tespit edilir. Politikalar, bu gereksinimleri karşılayacak şekilde tasarlanmalıdır.
• Paydaş Katılımı: Üst yönetim, BT departmanı, hukuk, İK, operasyonlar ve hatta son kullanıcılar da dahil olmak üzere ilgili tüm paydaşlar sürece dahil edilmelidir. Üst yönetimin desteği ve onayı, politikanın başarısı için hayati öneme sahiptir.

• Politika Taslağının Hazırlanması: Politikalar, açık, net, anlaşılır ve uygulanabilir bir dille yazılmalıdır. Çok teknik veya çok genel olmaktan kaçınılmalıdır. Her politika, belirli bir amaca hizmet etmeli ve bu amaca ulaşmak için atılacak adımları tanımlamalıdır.
• Rol ve Sorumlulukların Belirlenmesi: Her politikanın uygulanmasından kimin sorumlu olduğu, kimin denetleyeceği ve kimin raporlama yapacağı net bir şekilde tanımlanmalıdır. Örneğin, "Erişim Kontrol Politikası"nda kimin erişim yetkilerini vereceği, kimin denetleyeceği ve kullanıcıların kendi parolalarını nasıl yönetecekleri belirtilir.
• Özgül Politika Alanları: Kurumun ihtiyaçlarına göre çeşitli spesifik güvenlik politikaları geliştirilmelidir. Bunlara örnek olarak şunlar verilebilir:
  • Erişim Kontrol Politikası: Kimin neye, ne zaman ve nasıl erişebileceğini tanımlar. "En Az Ayrıcalık" prensibi esas alınır.
  • Veri Sınıflandırma ve İşleme Politikası: Verinin nasıl sınıflandırılacağı, depolanacağı, işleneceği ve yok edileceği.
  • Olay Müdahale Politikası: Güvenlik ihlali veya olayı durumunda atılacak adımlar, iletişim planları ve iyileşme süreçleri.
  • Kabul Edilebilir Kullanım Politikası (AUP): Kurumsal sistemlerin ve ağın çalışanlar tarafından nasıl kullanılabileceği.
  • Yedekleme ve Felaket Kurtarma Politikası: Veri yedekleme sıklığı, yedeklerin saklanması ve bir felaket anında sistemlerin nasıl kurtarılacağı.
  • Parola Politikası: Parola karmaşıklığı, değiştirme sıklığı ve depolama gereksinimleri.
  • Uzak Erişim Politikası: Uzaktan çalışırken veya VPN kullanırken güvenlik gereksinimleri.

• İletişim ve Eğitim: Politikalar, tüm ilgili çalışanlara açıkça iletilmeli ve anlaşılmaları için gerekli eğitimler verilmelidir. Eğitimler, politikanın amacını, çalışanların sorumluluklarını ve politikalara uymamanın sonuçlarını açıklamalıdır. Eğitim materyalleri (broşürler, sunumlar, e-öğrenme modülleri) hazırlanabilir.
• Teknik Uygulama: Politikalar, teknik güvenlik kontrolleri (güvenlik duvarları, IDS/IPS, antivirüs yazılımları, şifreleme, SIEM sistemleri) ile desteklenmelidir. Otomasyon, politikaların tutarlı bir şekilde uygulanmasına yardımcı olabilir.
• Pilot Uygulama: Büyük ölçekli uygulamadan önce politikaların küçük bir grup veya departmanda pilot olarak test edilmesi, olası sorunları ve iyileştirme alanlarını tespit etmeye yardımcı olabilir.

• Düzenli Denetimler ve İncelemeler: Politikaların etkinliği düzenli olarak denetlenmeli ve incelenmelidir. İç ve dış denetimler, uyumsuzlukları ve iyileştirme alanlarını ortaya çıkarabilir.
• Güncelleme Mekanizması: Yeni tehditler, teknolojiler, iş süreçleri veya yasal gereksinimler ortaya çıktıkça politikalar güncellenmelidir. Bir güvenlik ihlali sonrası elde edilen dersler de politikalara yansıtılmalıdır.
• Performans Metrikleri: Politikaların etkinliğini ölçmek için belirli performans metrikleri (örn. siber olay sayısı, denetim bulgusu sayısı, çalışan farkındalık test sonuçları) belirlenmelidir.

• Amaç ve Kapsam: Politikanın neden var olduğu ve hangi varlıkları, sistemleri, kişileri kapsadığı.
• Tanımlar: Politika içinde kullanılan anahtar terimlerin açıklanması.
• Politika Beyanları: Kurumun belirli bir güvenlik konusu hakkında neye inandığı ve nasıl davranması gerektiği. Bunlar "zorunluluk" ve "yasaklama" ifadeleri içerir.
• Roller ve Sorumluluklar: Kimin neyi yapmaktan ve neyden sorumlu olduğu.
• Uygulama ve Yaptırımlar: Politikaya uyulmaması durumunda ne olacağı.
• Gözden Geçirme Tarihi: Politikanın ne zaman gözden geçirileceğinin belirtilmesi.

• Kaynak Eksikliği: Nitelikli personel, bütçe veya zaman eksikliği.
• Değişime Direnç: Çalışanların yeni kurallara veya prosedürlere uyum sağlamakta zorlanması.
• Karmaşıklık: Büyük ve karmaşık organizasyonlarda tüm gereksinimleri kapsayan politikalar oluşturmak.
• Teknolojik Gelişmeler: Yeni tehditler ve teknolojilerle sürekli güncel kalma ihtiyacı.

• Risk Azaltma: Potansiyel siber olayların olasılığını ve etkisini önemli ölçüde azaltır.
• Yasal Uyum ve Ceza Önleme: Yasal düzenlemelere uyumu garanti altına alarak, olası hukuki ve finansal yaptırımlardan korunma sağlar.
• Organizasyonel Verimlilik: Net kurallar, çalışanların güvenlik konusunda ne yapmaları gerektiğini bilmelerini sağlayarak karar verme süreçlerini hızlandırır ve hataları azaltır.
• İş Sürekliliği ve Felaket Kurtarma: Olaylara hazırlıklı olmayı ve kritik operasyonların kesintisiz devamını sağlar.
• İtibar ve Müşteri Güveni: Şirketin bilgi güvenliğine olan bağlılığını göstererek müşteri ve paydaş güvenini artırır.
• Güvenlik Kültürü: Tüm organizasyonda bir güvenlik bilinci ve sorumluluk kültürü oluşturur.

[b]1. Amaç:[/b] Bu politika, çalışanların kurumsal ağa ve bilgi varlıklarına güvenli bir şekilde uzaktan erişim sağlamalarını temin etmektir. Yetkisiz erişimi ve veri ihlallerini önlemek için standartlar ve prosedürler belirlenmiştir.

[b]2. Kapsam:[/b] Bu politika, şirket ağına uzaktan erişim sağlayan tüm çalışanları, yüklenicileri ve üçüncü taraf satıcıları kapsar.

[b]3. Politika Beyanları:[/b]
    a. Tüm uzaktan erişim, onaylanmış bir VPN (Sanal Özel Ağ) çözümü üzerinden yapılmalıdır.
    b. Uzaktan erişim için kullanılan cihazlar, güncel antivirüs yazılımına ve güvenlik yamalarına sahip olmalıdır.
    c. Kullanıcılar, uzaktan erişim sırasında kişisel cihazlarında hassas şirket verilerini depolamamalıdır.
    d. Uzak erişim parolaları, karmaşık olmalı ve [b]Parola Politikası[/b]'na uygun olarak düzenli olarak değiştirilmelidir.
    e. [b]Çok Faktörlü Kimlik Doğrulama (MFA)[/b] uzak erişim için zorunludur.

[b]4. Sorumluluklar:[/b]
    a. IT Departmanı: VPN altyapısını yönetmek, uzaktan erişim günlüklerini izlemek.
    b. Çalışanlar: Bu politikaya uymak ve şüpheli etkinlikleri derhal bildirmek.

"Güvenlik, bir ürün değil, bir süreçtir." - Bruce Schneier

Genişletmek için tıkla ...