ISO 27001 Bilgi güvenliği politikaları
ISO 27001 kontrolü A.5.1, şirketlerin bilgi güvenliği konusunda uygun rehberlik sağlamak amacıyla bilgi güvenliği politikaları oluşturmasını gerektirir. Bu politikalara yönelik temeller, belgeler ve uygulama süreci şu şekilde açıklanabilir:
Temeller
A.5.1 Bilgi güvenliği politikaları, şirketin bilgi güvenliği hedeflerini belirlemek, ilgili tarafların bu hedeflerden haberdar olmasını sağlamak ve gerektiğinde güncellemeler yaparak bu hedeflere ulaşılmasını temin etmek amacıyla yazılmalıdır.
-
Bilgi güvenliği politikası: Şirketin genel bilgi güvenliği hedeflerini belirler ve üst düzey rehberlik sunar.
-
Erişim kontrol politikası ve bilgi sınıflandırma politikası: Bu tür politikalar, belirli güvenlik alanlarında detaylı rehberlik sağlar.
Belgeleme
Bu politikalar, güvenlik gereksinimlerinin karşılanmasını (örneğin, yasal, düzenleyici veya sözleşmesel gereksinimler) veya belirli riskleri ele almayı amaçlar.
-
Zorunluluk: ISO 27001, bilgi güvenliği politikalarını yazmayı zorunlu kılmaz ancak, tüm şirketler için önerilir.
-
Politika oluşturulması: Şirketler, kendi ihtiyaçlarına ve risk profillerine göre çeşitli bilgi güvenliği politikaları yazabilir.
Uygulama
A.5.1 kontrolüne uymak için şu adımlar atılabilir:
-
Teknoloji: Bilgi güvenliği politikalarının yönetimi için mevcut teknoloji kullanılabilir. Çoğu şirket, bu politikaları kurumsal klasörlerde kontrollü erişimle saklayabilir veya belge yönetim yazılımları kullanarak belgeleri düzenleyebilir.
-
Organizasyon/Süreçler: Bilgi güvenliği politikalarının tanımlanması, onaylanması, yayılması ve zaman içinde gözden geçirilmesi için bir süreç oluşturulmalıdır. Bu süreçlerin yönetilmesi, politikaların etkinliğini arttırır.
-
İnsanlar: Çalışanlara, bilgi güvenliği politikalarının gerekliliği ve yönetimi konusunda eğitim verilmelidir. Ayrıca, politikalara uygunluk sağlanmalıdır.
Denetim Kanıtı
Sertifika denetimi sırasında, denetçiler şu unsurları arar:
-
Bilgi güvenliği politikalarının yazılı olarak mevcut olup olmadığı.
-
Bu politikaların düzenli olarak güncellenip güncellenmediği.
Bu tür kontroller, ISO 27001 gereksinimlerine uygunluğun sağlanmasına yardımcı olur ve şirketin bilgi güvenliği alanındaki iyileşme sürecine katkı sağlar.
