Güvenlik kültürü, politika ve prosedürler
Politika, prosedür ve ISO 27001 tabanlı bilgi güvenliği yönetimi: hatayı erken bildirmenin ödüllendirildiği bir güvenlik kültürü kurmak.
Neden önemli?
En iyi teknoloji bile, kuralları bilinmeyen ve "bize bir şey olmaz" diyen bir ekipte işe yaramaz. Güvenlik kültürü; doğru davranışın kolay, yanlışın zor olduğu ortamdır.
Temel bilgiler
- Politika: Ne yapılacağını söyleyen kural (ör. "Her çalışan MFA kullanır").
- Prosedür: Nasıl yapılacağını adım adım anlatan rehber (ör. "MFA'yı telefona şöyle kurarsınız").
- Bilgi Güvenliği Yönetim Sistemi (BGYS / ISMS): Kurumun bilgi varlıklarını, risklerini ve önlemlerini düzenli olarak ele aldığı yönetim çerçevesi. En bilinen standardı ISO/IEC 27001'dir. Temel döngüsü: varlıkları belirle → riskleri değerlendir → önlem al → ölç → iyileştir.
- Temel politikalar: kabul edilebilir kullanım, parola ve erişim, uzaktan çalışma, yedekleme, olay bildirimi, işe giriş ve çıkış.
- Kültürün işaretleri: Yöneticilerin kurallara kendilerinin de uyması; hata bildirenin cezalandırılmaması, teşekkür görmesi; eğitimlerin yılda bir kez değil, kısa ve sık olması.
Gerçekçi bir örnek
Bir çalışan oltalama bağlantısına tıkladığını fark eder ama "azar yerim" diye kimseye söylemez. İki gün sonra saldırgan bütün e-posta sistemine yayılmıştır. Hatasını hemen bildiren çalışanın teşekkür gördüğü bir kurumda, olay ilk saatte kapanırdı.
Yapılacaklar
- Kurallarınızı bir sayfaya sığacak kadar sade yazın; kimse 40 sayfalık politikayı okumaz.
- İşe giriş ve çıkışlar için bir kontrol listesi kullanın (hesaplar, cihazlar, yetkiler).
- "Yanlışlıkla tıkladım" diyen çalışana teşekkür edin.
Akılda kalsın: Hatayı erken bildiren çalışan, kurumun en iyi güvenlik aracıdır.
*Bu yazı, 14 bölümlük Siber Güvenlik Farkındalık dizisinin 12. bölümüdür.* Sıradaki bölüm: Bir güvenlik olayı yaşandığında: fark etmek, bildirmek, müdahale etmek