Küçük işletme için üç temel güvenlik politikası
CyberLord Güvenlik Ekibi Yazar profili
Bir işletmenin güvenlik duruşu, satın aldığı araçların listesiyle değil, çalışanlarının ne yapıp ne yapamayacağının yazılı olmasıyla başlar. Küçük işletmelerin yaklaşık yüzde 80'inde bu üç konuyu tanımlayan tek bir belge yok. Veri ihlallerinin yüzde 88'inin insan hatasıyla ilişkilendirildiği bir tabloda bu boşluk, teknik önlemlerin tamamını kırılgan hale getiriyor.
Politika belgesi bürokrasi değildir; hangi davranışın normal, hangisinin ihlal sayıldığını tanımlayan bir sözleşmedir. Aşağıdaki üç şablon, günlük hayatta en sık karşılaşılan belirsizlikleri kapatmak için tasarlandı; köşeli parantezli alanları kendi ortamınıza göre doldurun.
Kısa cevap: hangi üç belge şart
- Kabul edilebilir kullanım politikası: Şirket sistemlerinin hangi amaçla kullanılabileceğini, hangi davranışların yasak olduğunu ve ihlalinde ne olacağını tanımlar.
- BYOD politikası: Kişisel telefon ve dizüstü bilgisayarların şirket verisine nasıl erişebileceğini, hangi güvenlik koşullarını sağlaması gerektiğini belirler.
- Parola ve kimlik doğrulama politikası: Parola uzunluğu, çok faktörlü doğrulama, parola yöneticisi kullanımı ve ayrıcalıklı hesapların kurallarını belirler.
- Üçü birlikte insan kaynaklı olayların büyük bölümünü kapsar. İşletme büyüdükçe olay müdahalesi, veri sınıflandırması ve tedarikçi riski belgeleri eklenir.
Politika neden teknolojiden önce gelir
Güvenlik duvarı, uç nokta koruması ve yedekleme bir kuralı uygular; kuralın kendisini yazmaz. Bir çalışan şirket VPN'ine kişisel alışveriş sitesi parolasını giriyorsa, bunu engelleyen teknik kontrol çoğu zaman yoktur. Kişisel telefonuna müşteri listesi indiren satış temsilcisini durduran da çoğu zaman bir uyarı değil, yazılı kural ve bu kuralın bilinmesidir.
Belge üç şeyi yapar: olay sonrası incelemede "kural neydi" sorusunu cevaplar, sigorta ile ISO 27001 denetimlerinde kanıt olarak istenir ve yeni işe alınan birine güvenliğin nasıl anlatıldığını standartlaştırır. Sözlü kültür, işletme büyüdüğünde dağılır.
Şablon 1: Kabul edilebilir kullanım politikası
Kabul edilebilir kullanım politikası, şirket tarafından sağlanan ağ, e-posta, bulut uygulamaları ve cihazların hangi sınırlar içinde kullanılabileceğini tanımlar. İyi bir belge üç soruyu net cevaplar: sınırlı kişisel kullanım serbest mi, hangi davranışlar kesinlikle yasak, ihlalde hangi adımlar izlenir.
Belgenin üst kısmında sürüm numarası, yürürlük tarihi, politika sahibi ve onaylayan kişi bulunmalı; sahip genellikle IT yöneticisi, onaylayan ise CEO'dur.
Yasak listesi kısa ve somut olmalı: yetkisiz yazılım kurulumu, kimlik bilgilerinin paylaşılması, güvenlik kontrollerinin devre dışı bırakılması, hassas verinin onaysız bulut servislerine yüklenmesi, şirket verisinin kişisel e-posta adresine gönderilmesi. Her maddeyi "IT onayı olmadan" gibi bir ölçütle yazmak, tartışmayı niyetten kurala taşır.
İzleme ve yaptırım bölümü hukuk ekibinizin onayından geçmelidir. "Şirket sistemlerinde mahremiyet beklentisi yoktur" cümlesi birçok ülkede iş hukuku açısından ek düzenleme gerektirir; Türkiye'de KVKK kapsamında çalışan verilerinin işlenmesi için aydınlatma ve hukuki dayanak gerekir. İzleme kapsamını hangi kayıtların tutulduğunu sayarak yazın.
Şablon 2: Kendi cihazını getir politikası
Kişisel cihazların iş için kullanımı çoğu küçük işletmede zaten oluyor; asıl soru bunun yönetilip yönetilmediği. Sektör araştırmaları, iş yerindeki BYOD cihazlarının yaklaşık yüzde 70'inin aktif olarak yönetilmediğini ve kaybolan ya da çalınan cihazlarla ilgili olayların yüzde 90'ından fazlasının yetkisiz veri erişimine yol açtığını gösteriyor.
Politika önce izin verilen cihazları tanımlar: işletim sistemi sürümü, güncel yama düzeyi, kırılmış cihaz yasağı. Ardından kayıt şartı gelir; cihaz, şirket kaynaklarına erişmeden önce IT tarafından kaydedilmeli ve mobil cihaz yönetimi çözümüne eklenmelidir. Kayıt olmadan erişim verilmemesi, politikanın en çok atlanan ama en işlevsel maddesidir.
Teknik koşullar madde madde yazılmalı: tam disk şifreleme, en fazla beş dakika sonra kilitlenen ekran, altı haneli PIN veya biyometrik kilit, otomatik güncelleme, güvenilmeyen kaynaklardan uygulama yüklememe, ortak ağlarda şirket VPN'i. MFA kişisel cihazdan erişilen tüm kurumsal uygulamalarda zorunlu olmalı; SMS kodu yerine kimlik doğrulayıcı uygulama veya donanım anahtarı kullanılmalı.
Mahremiyet bölümü pazarlık konusu değildir. Çalışan, IT'nin neyi görebildiğini ve neyi göremediğini yazılı olarak bilmelidir: uyumluluk durumu, kurumsal uygulamalar ve işletim sistemi sürümü görülebilir; kişisel fotoğraflar, mesajlar ve tarama geçmişi görülemez. Ayrılma halinde kurumsal veri kabının silineceği ve kaydın kaldırılacağı da aynı bölümde yer alır; bu süreci çalışan çıkışı kontrol listemiz adım adım anlatıyor.
Şablon 3: Parola ve kimlik doğrulama politikası
Parola politikası son birkaç yılda en çok değişen belge oldu. "90 günde bir parola değiştir" kuralı güncel rehberde önerilmiyor; zorunlu değişim kullanıcıyı tahmin edilebilir küçük değişikliklere iterek parolayı zayıflatıyor.
Yeni yaklaşım üç ilke üzerine kurulu. Birincisi uzunluk: en az 15 karakterlik parola cümleleri teşvik edilir, üst sınır yapay olarak kesilmez. İkincisi blok listesi: sızdırılmış parola veritabanlarında görülen, şirket adını veya kullanıcı adını içeren parolalar reddedilir. Üçüncüsü çok faktörlü doğrulama: yönetici hesapları, uzaktan erişim, bulut uygulamaları ve hassas veri barındıran tüm sistemler için zorunlu.
Politikada parolanın nerede saklanacağı da yazılmalı. Düz metin dosya, paylaşılan elektronik tablo veya yapışkan not yasak; şirket tarafından onaylanmış parola yöneticisi zorunlu. Her hesap için ayrı parola kuralı, hizmet hesaplarının ekip kasasında tutulması ve ayrıcalıklı hesapların en az 20 karakterlik parola ile donanım anahtarı kullanması iyi bir taban çizgisidir. Yönetici erişimi olan bir çalışan ayrıldığında bu parolaların yenilenmesi de belgede yer almalı.
Güncel rehberin değiştirdiği üç kural
- Zorunlu parola süresi: Sabit takvimle değişim yerine, yalnızca ihlal kanıtı, şüpheli erişim veya sızıntı bildirimi olduğunda değişim.
- Karmaşıklık zorunluluğu: Büyük-küçük harf, rakam ve simge dayatması yerine uzunluk ve blok listesi.
- Kurtarma soruları: Bilgiye dayalı doğrulama yerine kimlik doğrulayıcı uygulama, donanım anahtarı veya yönetici onaylı sıfırlama.
Bu üç değişiklik, denetimde "politikanız güncel rehberle uyumlu mu" sorusunun cevabıdır; eski kuralları koruyan belge uyumluluk kanıtı olarak zayıf kalır.
Belgeyi yöneten kişi ve gözden geçirme takvimi
Her politikanın tek bir sahibi olmalı. Sahiplik "IT departmanı" gibi bir birime değil, bir isme ve unvana yazılmalıdır. Gözden geçirme yılda en az bir kez, tercihen sabit bir ayda yapılır; ayrıca önemli bir olay, yeni bir düzenleme, yeni bir platform geçişi veya güvenlik ekibindeki değişiklik tetikleyici sayılır.
Her belgenin ilk sayfasına sürüm, tarih, sahip ve onay satırı koyun; değişiklik geçmişini tek satırlık kayıtlarla tutun. Denetçi içerikten çok, belgenin yaşadığını gösteren bu ize bakar.
İmza, eğitim ve yaptırım
Politika okunmadığı sürece yoktur. İşe alımda imza alın, yılda bir yenileyin. Eğitimi tek sunum yerine üç ayda bir kısa oturumlar ve aylık kimlik avı simülasyonlarıyla sürdürün; sürekli eğitim çalışan kaynaklı olayları belirgin biçimde azaltıyor.
Yaptırımda kademeli bir yol izleyin: sözlü uyarı ve yeniden eğitim, yazılı uyarı, erişimin askıya alınması, sözleşmenin ilgili maddelerinin uygulanması. Cezayı ilk adım yapmak, olayların bildirilmek yerine gizlenmesine yol açar; iyi niyetli bildirimi koruyan bir cümle ekleyin.
Sık yapılan hatalar
- Kimsenin okumadığı uzun belgeler: Elli sayfalık hukuk metni rafta kalır. Kısa, sade ve örnekli yazın.
- Yaptırımın tanımsız olması: Sonucu yazılmayan kural bir öneridir.
- BYOD'u görmezden gelmek: Kural yoksa çalışanlar yine kişisel cihaz kullanır, sadece görünmez olur.
- Eski parola kurallarını korumak: 90 günde bir değişim zorunluluğu güvenliği artırmaz, azaltır.
- Sahibi olmayan politika: Yıllık gözden geçirme yapılmaz ve belge iki yıl içinde gerçeği anlatmaz.
Politika setini tamamladıktan sonraki adım, olay anında ne yapılacağını yazmaktır; olay müdahale planı şablonu bu boşluğu dolduruyor. Denetim tarafında ISO 27001 ile SOC 2 arasındaki farkı merak ediyorsanız karşılaştırma yazımız başlangıç için yeterli.
Sık sorulan sorular
Küçük bir işletme hangi politikalarla başlamalı? Üç belgeyle: kabul edilebilir kullanım, BYOD ve parola politikası. Bu üçü insan kaynaklı olayların büyük kısmını kapsar; işletme büyüdükçe olay müdahalesi, veri sınıflandırması ve tedarikçi değerlendirmesi belgeleri eklenir.
Parolalar hâlâ 90 günde bir değişmeli mi? Hayır. Güncel rehber, ihlal kanıtı olmadıkça zorunlu süreli değişimi önermiyor; zorunlu değişim kullanıcıyı tahmin edilebilir küçük değişikliklere itiyor. Bunun yerine uzun parola cümleleri, sızıntı blok listesi, MFA ve kimlik bilgisi izleme kullanın.
BYOD politikası neleri kapsamalı? İzin verilen cihaz ve sürümler, kayıt ve MDM zorunluluğu, şifreleme ile ekran kilidi, erişilebilecek veri türleri, kayıp ve çalınma prosedürü, uzaktan silme hakkı, mahremiyet sınırları ve çıkış süreci.
Politikaları birleştirip tek belge yapabilir miyiz? Önerilmez. Ayrı belgeler güncellenmesi, referans verilmesi ve denetimde istenen dokümanın sunulması açısından daha kolaydır. En azından kabul edilebilir kullanım, BYOD ve parola politikasını ayrı tutun.
Bu şablonlar ISO 27001 ve SOC 2 için yeterli mi? Şablonlar ilgili kontrol başlıklarıyla uyumlu bir çerçeve verir, ancak uyumluluk belgeden değil uygulamadan doğar; denetçi kuralın teknik kontrollerle desteklendiğini ve kanıtının tutulduğunu görmek ister.
Şablonları kendi ortamınıza uyarlamak veya mevcut belgelerinizi gözden geçirmek isterseniz Ekiple görüşün.