İlkeler ve Prosedürler

Politikalar ve prosedürler, güvenliği kişilere özgü bilgiden tekrarlanabilir ve uygulanabilir bir uygulamaya dönüştürür. Beklenen davranışları tanımlar, sorumlulukları dağıtır ve denetçilerin talep ettiği kanıtları sağlar.

Yazılı değilse bir şeyi tutarlı biçimde uygulayamaz veya kanıtlayamazsınız.

Güvenlik belgeleri katmanlıdır:

• Politika: üst düzey amaç ve kurallar (ne ve neden).
• Standart: belirli, zorunlu gereksinimler.
• Prosedür: adım adım nasıl yapılacağını açıklayan talimatlar.
• Kılavuz: önerilen en iyi uygulama (isteğe bağlı).

Aradaki ayrımı net tutun:

• Bir politika bir kural belirtir: parolalar en az 12 karakter olmalıdır.
• Bir prosedür nasıl yapılacağını açıklar: kimlik sağlayıcısında parola politikasını ayarlamak için izlenecek kesin adımlar.

Politikalar sabittir; prosedürler araçlar değiştikçe değişir.

Çoğu program şunları içerir:

• Kabul Edilebilir Kullanım Politikası.
• Erişim Denetimi / Kimlik Politikası.
• Veri Sınıflandırma ve İşleme Politikası.
• Olay Müdahale Politikası.
• İş Sürekliliği / Felaket Kurtarma Politikası.

AUP, kullanıcıların şirket sistemleri ve verileriyle neler yapabileceğini ve neler yapamayacağını tanımlar. E-postayı, interneti, cihazları ve ihlallerin sonuçlarını kapsar; genellikle işe giriş sürecinde okunup kabul edildiği onaylanır.

Erişim denetimi politikası, en az ayrıcalık ilkesini ve inceleme sıklığını kurallara bağlar.

• Erişimin nasıl talep edilip onaylandığı.
• Rol tanımları ve görevlerin ayrılığı.
• Erişimin ne sıklıkla incelenip kaldırıldığı (örneğin işten ayrılma sürecinde).

Bu politika, kuruluşun güvenlik olaylarını nasıl tespit ettiğini, bildirdiğini ve ele aldığını tanımlar. Kriz sırasında doğaçlama yapmak yerine bir planın izlenmesini sağlamak için rolleri, üst makamlara bildirim yollarını ve iletişim kurallarını belirtir.

Her politikanın, onu güncel tutmaktan sorumlu bir sorumlusu ve açıkça atanmış sorumlulukları olmalıdır. Sorumluluk atanmadığında belgeler zamanla güncelliğini yitirir ve yetkisini kaybeder.

• Sorumlu kişi belgeyi onaylar ve sürdürür.
• Paydaşlar belgeyi uygular ve ona uyar.

Belgeler resmi olarak onaylanmalı ve sürüm denetimine tabi tutulmalıdır.

• Yazarı, onaylayanı, onay tarihini ve sürüm numarasını kaydedin.
• Denetçilerin geçmişi görebilmesi için değişiklikleri izleyin.
• Genellikle yıllık olacak şekilde bir inceleme döngüsü belirleyin.

Kimsenin okumadığı bir politika değersizdir. Belgeleri dağıtın, çalışanları eğitin ve okunduğuna dair onayları toplayın. Farkındalık, yazılı kuralları gerçek davranışlara dönüştürür ve uygulamanın kanıtını sağlar.

Politikaların yaptırım gücü olmalıdır. İhlallerin sonuçlarını tanımlayın ve mümkün olduğunda bunları teknik kontrollerle destekleyin (örneğin parola standardını yalnızca kâğıt üzerinde bırakmayıp kimlik sağlayıcısında uygulayın). Tutarlı uygulama, politikanın güvenilirliğini korur.

Belgeler güvenliği tekrarlanabilir ve kanıtlanabilir hâle getirir:

• Hiyerarşiyi kullanın: politika, standart, prosedür, kılavuz.
• Politikalar kuralları belirtir; prosedürler adımları verir.
• Sorumlular atayın, onaylayın, sürüm bilgilerini yönetin ve düzenli olarak inceleyin.
• Belgeleri gerçek uygulamalara dönüştürmek için iletişim kurun, eğitim verin ve uygulayın.