ISO 27001 erişim yetkileri, çalışanların görevlerini yapması için gereken en düşük düzeyde tutulmalı ve her değişiklik kayıt altına alınmalıdır. En kritik hatalar; gereğinden geniş izin vermek, yetkileri düzenli gözden geçirmemek ve çalışan ayrıldığında erişimi kapatmayı geciktirmektir. Bu eksikler yetkisiz erişim, veri kaybı ve denetim uygunsuzluğu riski doğurabilir. Yetki talepleri onaylanmalı, sorumlusu belirlenmeli ve erişimler düzenli olarak kontrol edilmelidir.
Akılda tutulacaklar
- Her kullanıcı hesabı, tanımlı bir iş ihtiyacına ve sorumlu kişiye bağlı olmalıdır.
- Görev değişikliği, işten ayrılma ve dış hizmet sözleşmesinin bitişi erişim sürecini tetiklemelidir.
- Ayrıcalıklı hesaplar için çok faktörlü kimlik doğrulama ve izleme uygulayın.
- Denetim izi oluşturmak için erişim taleplerini, onayları ve değişiklikleri saklayın.
ISO 27001 erişim yetkileri yönetiminde en riskli hatalar hangileri?
En yüksek risk, kullanıcılara görevleri için gerekenden fazla erişim vermek ve hesapları onaysız açmaktır. Böylece bir hesabın ele geçirilmesi veya hatalı kullanılması, erişilebilecek sistem ve veri sayısını artırır. Asgari yetki ilkesi ve kayıtlı bir yetki onayı, bu riski azaltmanın ilk adımıdır.
1. Kullanıcılara gereğinden geniş yetki vermek
Bir çalışana “işini kolaylaştırmak” için yönetici yetkisi vermek, günlük işlemlerin gerektirmediği dosya ve sistemlere erişim açabilir. Hesap ele geçirilirse saldırgan da aynı geniş izinleri kullanabilir. Rol tabanlı erişim kontrolü kurun: görevleri benzer çalışanları gruplandırın, her role yalnızca gerekli izinleri tanımlayın ve istisnaları gerekçesiyle kaydedin. Yazılım ekiplerinde geliştirme ve canlı ortam izinlerini ayırmak özellikle işe yarar; yazılım firmalarında ISO 27001 kapsamında da erişim yapısı faaliyetlere göre değerlendirilmelidir.
2. Yetki taleplerini onay ve kayıt olmadan işleme almak
E-posta ya da sözlü talep üzerine hesap açmak, talebin kimden geldiğini ve erişimin hangi iş için verildiğini belirsiz bırakır. Onaysız değişiklikler hatalı yetkilendirmeye ve denetimde kanıt eksikliğine yol açabilir. Erişim talebinde kullanıcıyı, sistemi, gerekçeyi ve istenen izin düzeyini belirtin; varlık sahibi veya yetkilendirilmiş yönetici onayından sonra hesabı açın. Onay ve işlem kaydını aynı süreçte saklayın.
Erişim yetkileri ne zaman gözden geçirilmeli?
Yetkiler, görev değişikliği olduğunda ve kurumun belirlediği düzenli aralıklarla gözden geçirilmelidir. ISO 27001 erişim yetkileri için bütün kuruluşlara uyan tek bir kontrol sıklığı yoktur; sistemin hassasiyeti, kullanıcı sayısı ve değişiklik hızı dikkate alınır. Önemli bir sistemde erişimi nadiren kontrol etmek, eski izinlerin fark edilmeden kalmasına neden olabilir.
3. Yetkileri görev değişikliklerinden sonra güncellememek
Çalışan başka bir göreve geçtiğinde eski rolünün izinleri kaldırılmazsa, artık ihtiyaç duymadığı verilere erişmeye devam eder. Bu durum birikmiş yetkiler yaratır ve kimin hangi bilgiye erişebileceğini izlemeyi zorlaştırır. İnsan kaynakları veya ekip yöneticisinin görev değişikliğini bilgi işlem birimine bildirdiği bir süreç kurun. Ardından yeni rolün izinlerini tanımlayın, gereksiz eskileri kaldırın ve erişim gözden geçirme kaydını saklayın. Birden fazla yönetim sistemini birlikte yürütüyorsanız, birden fazla ISO yönetim sistemi için sorumluluk ve kayıtların nasıl eşgüdümlendiğini de kontrol edin.
Çalışan ayrıldığında erişim nasıl kapatılmalı?
Çalışan ayrıldığında veya dış hizmet sağlayıcının işi bittiğinde erişimler gecikmeden kapatılmalı ya da kaldırılmalıdır. Açık kullanıcı hesabı, kurumsal cihaz ve uygulamalara erişim sağlayabilir; parola değişikliği tek başına tüm oturumları sonlandırmayabilir. İşten ayrılma sürecini bilgi işlem ekibine bildirim, hesap devre dışı bırakma ve aktif oturumları sonlandırma adımlarıyla tamamlayın.
4. Ayrılan çalışanların hesaplarını zamanında kapatmamak
İşten ayrılış tarihi ile erişimin kapatıldığı an arasında kontrolsüz bir boşluk oluşması, yetkisiz erişim riskini artırır. Özellikle uzaktan erişim, e-posta, bulut uygulamaları ve paylaşılan hesaplar ayrıca kontrol edilmelidir. Ayrılış bildirimi geldiğinde kullanıcı hesabını devre dışı bırakın, oturumları sonlandırın, erişim kartlarını ve kurumsal cihazları geri alın; hizmet sağlayıcı hesapları için de sözleşme bitişini aynı iş akışına bağlayın. Yasal veya operasyonel saklama ihtiyacı bulunan verileri silmek yerine yetkili kişiye devredin.
Erişim kayıtları ve acil durum yetkileri nasıl yönetilmeli?
Erişim kayıtları, kimin hangi yetkiyi ne zaman talep ettiğini, onayladığını ve değiştirdiğini göstermelidir. Ayrıcalıklı hesaplar normal kullanıcı hesaplarından daha yakından izlenmeli; acil erişimler ise gerekçe, süre sınırı ve sonradan incelemeyle kontrol edilmelidir. Bu kayıtlar, bir olayın araştırılmasına ve denetim izinin gösterilmesine yardımcı olur.
5. Erişim değişikliklerini kaydetmemek ve ayrıcalıklı hesapları izlememek
Kayıt tutulmadığında yetki değişikliğinin nedeni ve sorumlusu belirlenemez; ayrıcalıklı hesapların izlenmemesi de hatalı veya kötüye kullanılan işlemlerin geç fark edilmesine yol açar. Erişim günlüklerini koruyun, yetkili kullanıcıları sınırlandırın ve düzenli inceleyin. Acil erişimi belirli bir süreyle verin, kullanımını kaydedin ve sonrasında varlık sahibine kontrol ettirin. ISO 27001 Bilgi Güvenliği Yönetim Sistemi kapsamındaki süreçleri değerlendirirken ISO 27001 Bilgi Güvenliği gereklilikleriyle mevcut kontrollerinizi birlikte ele alın.
- Her kullanıcı ve hesabın bir sahibi ile iş gerekçesi tanımlı mı?
- Yetki talepleri onaylanıyor ve değişiklikler kayıt altına alınıyor mu?
- Görev değişikliği ve ayrılış bildirimleri erişim sürecini başlatıyor mu?
- Ayrıcalıklı hesaplar, çok faktörlü kimlik doğrulama ve kayıt incelemesiyle korunuyor mu?
- Acil erişimler süreli veriliyor ve sonradan gözden geçiriliyor mu?
ISO 27001 erişim yetkileri yönetiminde en yararlı ilk adım, mevcut hesapları görev ve iş ihtiyacıyla karşılaştırmaktır. Önce yönetici ve ayrıcalıklı hesapları inceleyin; gereksiz izinleri kaldırın, ardından düzenli erişim gözden geçirme takvimi oluşturun.
Bu kontrollerin sorumlularını, kayıtlarını ve gözden geçirme sıklığını yazılı bir süreçte birleştirin. Böylece bir çalışan rol değiştirdiğinde ya da ayrıldığında hangi adımın kim tarafından atılacağı baştan belli olur.
İso 27001 Erişim Yetkileri İle İlgili Sıkça Sorulan Sorular
ISO 27001 erişim yetkileri ne sıklıkla gözden geçirilmelidir?
Erişim yetkileri, kuruluşun belirlediği düzenli aralıklarla ve görev değişikliği gibi önemli olaylardan sonra gözden geçirilmelidir. Tek bir zorunlu sıklık varsaymak yerine sistemin hassasiyetini, kullanıcı sayısını ve değişiklik hızını dikkate alın. İnceleme tarihini, kontrol eden kişiyi ve kaldırılan izinleri kaydedin.
Ayrıcalıklı kullanıcı hesapları için hangi ek kontroller uygulanmalıdır?
Ayrıcalıklı hesaplar sınırlandırılmalı, çok faktörlü kimlik doğrulamayla korunmalı ve işlemleri kayıt altına alınmalıdır. Günlük işler için ayrı, yönetim işlemleri için ayrı hesap kullanılması yetki kötüye kullanımını azaltır. Acil erişimi süreli verin ve kullanım sonrasında yetkili bir kişiye inceletin.
ISO 27001 erişim yetkileri yönetimi küçük işletmeler için nasıl uygulanabilir?
Küçük işletmeler, basit bir yetki matrisi ve standart erişim talep formuyla başlayabilir. Her çalışanı görevine uygun bir role atayın; işe giriş, görev değişikliği ve ayrılış bildirimlerini hesap işlemlerine bağlayın. Ayrıcalıklı hesapları önce kontrol edin, onayları ve değişiklik tarihlerini tek yerde saklayın.
