Politikalar

Bilgi Güvenliği Politikası

 

KISALTMALAR TABLOSU

 

KISALTMA TANIM
Bilgi Güvenliği DATASSİST bilgi varlıklarının gizlilik, bütünlük ve erişilebilirlik özelliklerinin korunması.
Bilgi İşleme Altyapısı Bilgi işlenmesi sırasında kullanılan bilgisayar donanım, yazılım, bilgisayar ağları ve insan kaynakları.
BGYS Bilgi Güvenliği Yönetim Sistemi.
Bütünlük Bilginin yetkisiz değiştirmelerden korunması ve değiştirildiğinde farkına varılması.
Erişilebilirlik Bilginin yetkili kullanıcılar tarafından gerek duyulduğu an erişilebilir olması.
Gizlilik Bilginin sadece yetkili kişiler tarafından erişilebilir olması.
Kullanıcı Bilgi İşleme Altyapısını kullanan çalışanlar.
Datassist DATASSİST BİLGİ TEKNOLOJİLERİ A.Ş.
İK İnsan Kaynakları
Bilgi Güvenliği İcra Kurulu Kurum içerisinde ilgili tüm birimlerden katılımcıların bulunduğu yönetimin de temsil edildiği bilgi güvenliği yönetim sisteminde stratejik kararları vererek, Yönetim Gözden Geçirme faaliyetini yürüten kurul.

 

  1. Amaç

Datassist bünyesinde çalışalar ve ilgili tarafların uyması gereken bilgi güvenliği şartlarının çerçevesini çizmek ve yazılı kuralları belirlemek.

 

  1. Kapsam

Datassist bünyesinde bulunan bilgi sistemleri varlıklarının, bilgi sistemlerine erişim sağlayan personelleri, yazılım geliştirme, satış, kurulum, destek, entegrasyon, eğitim, danışmanlık hizmetlerinin iş süreçlerini kapsar.

ISO 27001:2013 Sertifika kapsamı olarak; İdari yerleştirme ve araştırma işleri dahil olmak üzere personel araştırması seçimi gönderilmesi ve yerleştirilmesi şeklinde belirlenmiş olup, aşağıdaki maddeler ise,

 

  • A.9.4.5 – Program kaynak koduna erişim kısıtlamalarının Domain Controller üzerinde Group Policy ile engellendiğinden,
  • A.11.1.6 – Teslimat ve yükleme alanları olarak açık veya kapalı herhangi bir alan olmadığından,
  • A.14.1.2 – Halka açık ağlardaki uygulama hizmetler bulunmadığından,
  • A.14.2.7 – Dışarıdan sağlanan herhangi bir geliştirme faaliyeti bulunmadığından,

Kapsam dışı maddeler olarak belirlenmiştir.

Aşağıda verilen konumdaki çalışma ortamları BGYS sertifikası kapsamındadır.

DATASSİST Bankalar Caddesi No:3 Bozkurt Han Kat:2 Karaköy/İstanbul

DATASSİST Bilgi Güvenliği Yönetim Sistemi aşağıdaki varlık ve teknoloji kategorilerini kapsamaktadır:

 

  • Veri dosyaları, sözleşmeler vb. den oluşan bilgi varlıkları,
  • Uygulama yazılımları, sistem yazılımları ve hizmetlerden oluşan yazılım varlıkları,
  • Yönlendirici cihazları, güvenlik cihazları, sistem yönetim sunucuları, yasal yükümlülükler kapsamında kurulmuş sunucu sistemleri, uydu sistemleri, bilgisayarlar, iletişim donanımı ve veri depolama ortamlarını içeren fiziksel varlıklar,
  • Tüm işlevlerin yerine getirilmesi ile ilgili aydınlatma, iklimlendirme, kablolama gibi unsurlardan oluşan hizmet varlıkları,
  • Kapsamdaki faaliyetlerin yürütülmesini sağlayan insan kaynakları varlıkları.
  • BGYS dokümanları ve kayıtları.

 

  1. Sorumluluk ve Yetki

Bilgi Güvenliği Politikasının güncelliğinin ve sürekliliğinin sağlanmasından BGYS Yöneticisi sorumludur. Bilgi Güvenliği politikasında yapılacak güncellemeler Yönetim Gözden Geçirme toplantılarında belirlenir ve BGYS Yöneticisi tarafından dokümana yansıtılır. Her güncellemede doküman Üst Yönetim tarafından onaylanır.

 

  1. Bilgi Güvenliği Nedir?

Bilgi, diğer önemli ticari ve kurumsal varlıklar gibi, bir işletme ve kurum için değeri olan ve bu nedenle uygun olarak korunması gereken bir varlıktır. Bilgi güvenliği iş sürekliliğini sağlamak, kayıpları en aza indirmek için tehlike ve tehdit alanlarından korur. Bilgi güvenliği, bu politikada aşağıdaki bilgi niteliklerinin korunması olarak tanımlanır:

          *Gizlilik: Bilginin sadece erişim yetkisi verilmiş kişilere erişilebilir olduğunu garanti etmek,

          *Bütünlük: Bilginin ve işleme yöntemlerinin doğruluğunu ve yetkisiz değiştirilememesini                               temin etmek,

          *Erişilebilirlik: Yetkili kullanıcıların, gerek duyulduğunda bilgiye ve ilişkili kaynaklara en hızlı                      şekilde erişebileceklerini garanti etmek.

Bilgi güvenliği politikası dokümanı, yukardaki korumaları ve gereksinimleri sağlayabilmek için oluşturulmuş denetimlerin uygulanması sırasında kullanılacak en üst seviyedeki prensiplerin belirtildiği dokümandır.

 

  1. Bilgi Güvenliği Hedefleri ve Amaçları

Bilgi Güvenliği Politikası, Datassist çalışanlarına firmanın güvenlik gereksinimlerine uygun şekilde hareket etmesi konusunda yol göstermek, bilinç ve farkındalık seviyelerini artırmak ve bu şekilde firmada oluşabilecek riskleri minimuma indirmek, firmanın güvenilirliğini ve imajını korumak, üçüncü taraflarla yapılan sözleşmelerde belirlenmiş uygunluğu sağlamak, teknik güvenlik kontrollerini uygulamak, firmanın temel ve destekleyici iş faaliyetlerinin en az kesinti ile devam etmesini sağlamak amacıyla firmanın tüm işleyişini etkileyen fiziksel ve elektronik bilgi varlıklarını korumayı hedefler.

 

  1. Bilgi Güvenliği Organizasyonu

Bilgi Güvenliği ile ilgili faaliyetlerin sürdürülmesinden ve geliştirilmesinden BGYS Yönetim Temsilcisi sorumludur. Bilgi Güvenliği Yönetim Sistemi’nin kurulması ve işletilmesinden BGYS Yöneticisi sorumludur. BGYS Yönetim Temsilcisi ve BGYS Yöneticisi, Üst Yönetim tarafından atanmıştır.

Kapsam dahilindeki birimlerde BGYS Sorumluları belirlenmiştir. BGYS Sorumluları kendi birimlerindeki Bilgi Güvenliği Yönetim Sistemi çalışmalarını takip etmek ve koordine etmekle yükümlüdürler.

BGYS’nin işletilmesi, sürdürülmesi gözden geçirilmesi, eylem planı oluşturulması, karar alınması ve uygulanması faaliyetleri bir komite ile yürütülmektedir. Bu anlamda BGYS Yürütme ve Yönetim Komitesi oluşturulmuştur. BGYS Yürütme ve Yönetim Komitesi, BGYS Üst Yönetim Temsilcisi, BGYS Yöneticisi, İlgili Müdürler ve ilgili birimlerden seçilen BGYS Sorumlularından oluşur. BGYS Yürütme ve Yönetim Komitesi İş sürekliliği tatbikat raporlarının değerlendirmesi veya önemli bir güvenlik ihlal olayı olması durumunda da toplanabilir.

 

  1. Risk Yönetim Çerçevesi

Firmanın ISO 27001 risk yönetim çerçevesi; Bilgi Güvenliği ve Hizmet Yönetimi risklerinin tanımlanmasını, değerlendirilmesini ve işlenmesini kapsar. Risk Analizi ve Risk İşleme Planı Bilgi Güvenliği ve Hizmet Yönetimi risklerinin nasıl kontrol edildiğini tanımlar. Risk İşleme Planının yönetiminden ve gerçekleştirilmesinden BGYS Yürütme ve Yönetim Komitesi sorumludur.

 

  1. Rol ve Sorumluluklar

Bu Bölümde Datassist için bilgi güvenliği sorumlulukları tanımlanmaktadır.

 

Taraflar Sorumluluklar
BGYS Yönetim Temsilcisi Bilgi Güvenliği Yönetim Sistemi’nin kurulması ve işletilmesi için gerekli kaynak ve sorumluluk tahsislerini gerçekleştirmek,BGYS altyapısını desteklemek ve işleyişini devam ettirmek,Çalışanların BGYS hakkında bilgilenmelerini sağlayacak mekanizmaların işletilmesini sağlamak,Çalışanların bilgi güvenliğine ilişkin olarak karşılaşabileceği riskleri anlaması ve tanıması için eğitici yöntemlerin kullanımını sağlamak,Bilgi güvenliğini sağlamaya yönelik olarak tespit edilen ihtiyaçların karşılanmasını planlamak ve sağlamak,Güvenlik Politikasını onaylamak ve firma içinde uygulanmasını sağlamak,BGYS kapsamlı dokümanları onaylamak,BGYS kapsamlı Risk analizi sonucunda ortaya çıkan artık riskleri onaylamak.
BGYS Yöneticisi Bilgi Güvenliği Yönetim Sistemi’nin kurulması ve işletilmesini sağlamak,Yönetim Gözden Geçirme toplantılarını koordine etmek,BGYS dokümanlarının revizyonunu ve kontrolünü yapmak,BGYS kapsamlı dokümanları onaylamak,Çalışanların bilgi güvenliği farkındalık eğitimlerinin koordine edilmesi ve eğitim etkinliklerinin değerlendirilmesi,Risk analizi sonuçlarını değerlendirmek, kontrollerin belirlenmesi ve uygulanmasını koordine etmek,Bilgi Güvenliği İhlal olaylarını değerlendirmek ve takibini yapmak,Bilgi Güvenliği’ne ilişkin Düzeltici ve Önleyici faaliyetleri takip etmek ve kayıtları onaylamak,Bilgi Güvenliği Politikası’nı belli aralıklarla gözden geçirmek ve BGYS Yönetim Temsilcisi’nin onaylamasını sağlamak.
Birim Müdürleri Bilgi Güvenliği Politikası’nı uygulamak ve çalışanlarının esaslara bağlılıklarını sağlamak,Üçüncü taraf bilgi sistemleri kullanıcılarının politikadan haberdar olmasını sağlamak,Fark ettiği veya kendisine iletilen bilgi sistemleri ile ilgili güvenlik ihlal olaylarını BGYS Yöneticisine bildirmek,Sahibi olduğu bilgi varlığını korumak ve gerektiğinde güncellemelerde bulunmak,Faaliyet gösterdikleri konularla ilgili otoritelerle iletişimi sağlamak.
Tüm Çalışanlar Bilgi Güvenliği Politikasını bilmek ve uymak,BGYS kapsamında belirlenen uyulması gereken davranışlara riayet etmek,BGYS’nin sağlıklı işlemesi için gerekli görülen önerileri ilgilisine iletmek ve sistemin iyileştirilmesine katkıda bulunmak,Fark ettiği bilgi sistemleri ile ilgili güvenlik ihlal olaylarını Birim Müdürü’ne bildirmek,Bilgi Güvenliği Farkındalık eğitimlerine katılmak.
3.Taraflar Bilgi Güvenliği Politikasını bilmek ve uymak,BGYS kapsamında belirlenen uyulması gereken davranışlara riayet etmek,Taahhüt ettiği Gizlilik Sözleşmelerine riayet etmek,BGYS’nin sağlıklı işlemesi için gerekli görülen önerileri ve ihlal olaylarını ilgili kişiye iletmek.


 

  1. Bilgi Güvenliği Politikası

          9.1. Genel Esaslar

 

  • Bu politika ile çerçevesi çizilen bilgi güvenliği gereksinimleri ve kurallarına ilişkin ayrıntılar, BGYS prosedürleri ile düzenlenir. Datassist çalışanları ve 3. taraflar bu prosedürleri bilmek ve çalışmalarını bu kurallara uygun şekilde yürütmekle yükümlüdür.
  • Bu kural ve prosedürlerin, aksi belirtilmedikçe, basılı veya elektronik ortamda depolanan ve işlenen tüm bilgiler ile bütün bilgi sistemlerinin kullanımı için dikkate alınması esastır.
  • Bilgi Güvenliği Yönetim Sistemi, TS ISO/IEC 27001 “Bilgi Teknolojisi Güvenlik Teknikleri (Information Technology Security Techniques) ve Bilgi Güvenliği Yönetim Sistemleri Gereksinimler (Information Security Management Systems Requirements)” standardını temel alarak yapılandırılır ve işletilir.
  • BGYS’nin hayata geçirilmesi, işletilmesi ve iyileştirilmesi çalışmalarını, ilgili tarafların katkısıyla, Bilgi Güvenliği Yönetim Birimi yürütür. BGYS dokümanlarının gerektiği zamanlarda güncellenmesi BGYS Yöneticisi sorumluluğundadır. Ek, form, talimat gibi dokümanların güncellenmesi ise ilgili müdürlüklerin sorumluluğundadır.
  • Firma tarafından çalışanlara veya 3. taraflara sunulan bilgi sistemleri ve altyapısı ile bu sistemler kullanılarak üretilen her türlü bilgi, belge ve ürün aksini gerektiren kanun hükümleri veya sözleşmeler bulunmadıkça firmaya aittir.
  • Kritik iş süreçlerini büyük felaketlerin ve işletim hatalarının etkilerinden korumak amacıyla iş sürekliliği yönetimi uygulanır.
  • Çalışanların bilgi güvenliği farkındalığını artıracak ve sistemin işleyişine katkıda bulunmasını sağlayacak eğitimler düzenli olarak mevcut firma çalışanlarına ve yeni işe başlayan çalışanlara verilir.
  • Bilgi güvenliğinin gerçek ya da şüpheli tüm ihlalleri rapor edilir; ihlallere sebep olan uygunsuzluklar tespit edilir, ana sebepleri bulunarak tekrar edilmesini engelleyici önlemler alınır.

          9.2. Temel BGYS Prensipleri

 

  • Gerekli durumlarda çalışanlar ve üçüncü taraflarla kurumun gizlilik ihtiyaçlarını güvence altına almayı amaçlayan gizlilik anlaşmaları yapılır.
  • Dış kaynak kullanım durumlarında oluşabilecek güvenlik gereksinimleri analiz edilerek güvenlik şart ve kontrolleri şartname ve sözleşmelerde ifade edilir.
  • Bilgi varlıklarının envanteri bilgi güvenliği yönetim ihtiyaçları doğrultusunda oluşturulur ve varlık sahiplikleri atanır.
  • Kurumsal veriler sınıflandırılır ve her sınıftaki verilerin güvenlik ihtiyaçları ve kullanım kuralları belirlenir.
  • İşe alım, görev değişikliği ve işten ayrılma süreçlerinde uygulanacak bilgi güvenliği kontrolleri belirlenir ve uygulanır.
  • Güvenli alanlarda saklanan varlıkların ihtiyaçlarına paralel fiziksel güvenlik kontrolleri uygulanır.
  • Firmaya ait bilgi varlıkları için firma içinde ve dışında maruz kalabilecekleri fiziksel tehditlere karşı gerekli kontrol ve politikalar geliştirilir ve uygulanır.
  • Kapasite yönetimi, üçüncü taraflarla ilişkiler, yedekleme, sistem kabulü ve diğer güvenlik süreçlerine ilişkin prosedür ve talimatlar geliştirilir ve uygulanır.
  • Ağ cihazları, işletim sistemleri, sunucular ve uygulamalar için denetim kaydı üretme konfigürasyonları ilgili sistemlerin güvenlik ihtiyaçlarına paralel biçimde ayarlanır. Denetim kayıtlarının yetkisiz erişime karşı korunması sağlanır.
  • Erişim hakları ihtiyaç nispetinde atanır. Erişim kontrolü için mümkün olan en güvenli teknoloji ve teknikler kullanılır. Sistem temini ve geliştirilmesinde güvenlik gereksinimleri belirlenir, sistem kabulü veya testlerinde güvenlik gereksinimlerinin karşılanıp karşılanmadığı kontrol edilir.
  • Bilgi güvenliği ihlal olayları ve zayıflıklarının raporlanması için gerekli altyapı oluşturulur. İhlal olay kayıtları tutulur, gerekli düzeltici önleyici faaliyetler uygulanır ve düzenlenen farkındalık eğitimleri vasıtasıyla güvenlik olaylarından öğrenme sağlanır.
  • Kritik altyapı için süreklilik planları hazırlanır, bakımı ve tatbikatı yapılır. Yasalara, iç politika ve prosedürlere, teknik güvenlik standartlarına uyum için gerekli süreçler tasarlanır, sürekli ve periyodik olarak yapılacak gözetim ve denetim faaliyetleri ile uyum güvencesi sağlanır.

          9.3. Uyulması Gereken BGYS Kuralları

 

  • Uyulması Gereken Kabul Edilebilir Kullanım Kuralları, çalışanlar ve 3. taraflar için kurum iş süreçlerinde ve ilgili çalışmalarında bilgi depolama, iletim ve kullanım biçimleri ile ilgili uyulması gereken kuralları belirler.
  • Aşağıda yer alan davranışlar; aksi yönde açık ve net bir iş tanımı, talimat veya prosedür bulunmadıkça Bilgi Güvenliği Politikası’nın ihlali olarak değerlendirilir.
  • Firma tarafından sağlanan bilgi işlem sistemleri ve uygulamalar iş amaçlı olarak kullanılır. İş süreçlerini engellemeyecek düzeyde ve Bilgi Güvenliği Politikası’nı ve BGYS prosedürlerini ihlal etmeyen kişisel kullanımlar kabul edilebilir kapsamda değerlendirilir.
  • Çalışma alanlarında, “Temiz Masa ve Temiz Ekran” prensiplerine uygun olarak, Genel özellikteki bilgiler dışında bilgilerin başkalarınca görülmesine imkan verilmeyecek şekilde önlemler alınmalıdır;
  • Genel olmayan belgeler, masalarda bırakılmamalıdır.
  • Genel olmayan dosyalar üzerinde çalışılırken bilgisayar ekranları herkesin görebileceği konumda bırakılmamalıdır.
  • Genel olmayan dokümanlar diğer kişilerce görülmesini engellemek amacıyla, kullanılmadığı zamanlarda masa üstlerinden kaldırılıp gerekli korumaları alınmış çekmece ve dolaplarda saklanmalıdır.
  • Genel olmayan belgeler dışında doğrudan işle ilgili olarak kendisine ulaştırılmayan ya da teslim edilmeyen firma belgelerini incelememeli, değiştirmemeli, saklamamalı, kopyalamamalı, silmemeli ve paylaşmamalıdır.
  • Firma tarafından açıkça belirtilen durum ve yöntemler dışında 3. taraflar ile kurum bilgilerini paylaşmamalı, satmamalı, aktarmamalı, yayınlamamalı ve internet ortamında paylaşmamalıdır.
  • Birim çalışanları çalıştıkları ortamdaki masa ve dolap çekmecelerini kilitli tutmalı ve anahtarları sorumlu kişiler haricinde kimseyle paylaşmamalıdır.
  • Bilgisayarlar, aktif kullanım dışında iken şifreli ekran koruyucular devreye alınmalıdır.
  • Mesai zamanları dışında bilgisayar sistemleri kapalı tutulmalıdır.
  • Çalışanlar, kendilerine verilmiş olan kullanıcı adı ve şifreleri sadece kendileri kullanmalıdır.
  • Çalışanlar, kendilerine verilmiş olan kullanıcı adı ve parola bilgilerini yetkilendirilmemiş kişilerin ele geçirmesine imkan verecek şekilde söylememeli, yazmamalı, kaydetmemeli, ve elektronik ortamda depolamamalıdır.
  • Firmanın, bilgi ve haberleşme sistemleri ve donanımları (İnternet, e-posta, telefon, çağrı cihazları, faks, bilgisayarlar, mobil cihazlar ve cep telefonları vb.) firma işlerinin yürütülmesi için kullanılmalıdır. Bu sistemler yasadışı, firmanın diğer politika, standart ve rehberlerine aykırı veya firmaya zarar verecek herhangi bir şekilde kullanılmamalıdır. Firmaya ait bilgi sistemleri üzerindeki kaynaklara erişecek tüm bilgisayarlar etki alanına dahil edilerek kullanılmalıdır.  “İnternet ve Ağ Kullanım Politikası” ‘nda belirtilen kullanım esaslarına uyulmalıdır.
  • Gerekmedikçe bilgisayar kaynaklarını paylaşıma açılmamalıdır. Kaynakların paylaşıma açılması halinde sadece ilgili kişilere yetki verilmelidir.
  • Gizli ve hassas bilgiler elektronik ortamda firma içine ve özellikle firma dışına gönderilmeden önce şifrelenmelidir.
  • Gizlilik dereceli bilgiler içeren belgeleri, elektronik ortamları ve bilgi işlem sistemlerini korumak için gerekli fiziksel önlemleri “Fiziksel Güvenlik Prosedürü” uygun şekilde yerine getirmelidir.
  • Firmaya ait bilgi işlem sistemlerini, veri tabanlarını, dosyaları, ağ topolojilerini, cihaz konfigürasyonlarını ve benzeri kaynakları, firma tarafından açıkça yetkilendirilmedikçe 3.taraflar ile paylaşmamalıdır.
  • Firma çalışanları, çalıştıkları sürece veya firmadan ayrılmaları (emeklilik, istifa, vs.) durumunda firma bilgilerini gizlilik prensibine uygun olarak korumaktan sorumludur. Taşınabilir sistemlerin kullanıcıları, bu sistemlerin güvenliğini sağlamak üzere “Taşınabilir Ortam Kullanımı Prosedürü” uymalıdırlar.
  • Başta kullanıcı bilgisayarları ve sunucular olmak üzere mümkün olan tüm sistemler, zararlı yazılımlara karşı korunması için “Virüslü ve Zararlı Yazılımdan Korunma Prosedürü” uygun şekilde kullanılmalıdır.
  • Gizlilik dereceli bilgiler elektronik ortamda işlenirken, depolanırken, aktarılırken “Bilgi İşleme Prosedürü” uygun şekilde davranılmalıdır.
  • Gizlilik dereceli bilgilerin ve bilgi içeren ortamlarının imhasında “Teçhizatın Elden Çıkarma Prosedürü” uygun şekilde davranılmalıdır.
  • Herkese açık sistemler (ör. genel internet sayfaları) hariç tüm bilişim sistemlerine erişim parola korumalı olmalıdır. Parolalar “Şifre Politikası’’ uygun şekilde tanımlanmalı ve kullanılmalıdır.
  • Gizlilik dereceli bilgilerin posta, faks, telefon, e-posta ve benzeri elektronik yöntemlerle iletiminde “Bilgi İşleme Prosedürü” uygun davranılmalıdır.
  • Herkese açık bilgiler dışındaki bilgileri internet üzerinde, haber gruplarında, posta listelerinde ve forumlarda paylaşmamalıdır.
  • Yeni bilgi sistemlerinin devreye alınması ve geliştirilmesi “Yeni Bilgi Sistemleri ve Yapılan Geliştirme Prosedürü” uygun yapılmalıdır. Çalışanlara ve gerekli görülen durumlarda 3. taraflara tahsis edilen e-posta hesapları, “E-posta Kullanım Politikası” ‘na  uygun şekilde kullanılmalıdır.
  • Bilgi işlem sistemlerinin teknik güvenlik gereksinimlerine uygun durumda bulunup bulunmadığı, “Teknik Açıklıklarının Kontrolü Prosedürü” uygun şekilde kontrol edilmelidir.
  • Firmaya ait bilgi işlem sistemlerini izinsiz olarak kullanım dışı bırakılmamalı, yeri değiştirilmemeli ve firma dışına çıkartılmamalıdır.
  • Kullanım gerekliliği firma tarafından yazılı olarak belirtilen güvenlik yazılımlarını (ör. Anti virüs, kişisel güvenlik duvarı, vb.) bilgi işlem sistemlerden kaldırmamalı veya devre dışı bırakmamalıdır.
  • İstemciden istemciye dosya paylaşım programlarını (P2P) kurum bilgisayarlarına yüklememeli ve kullanmamalıdır.
  • Firmaya ait bilgisayarlara, firmanın yasakladığı yazılımları yüklememeli ve çalıştırmamalıdır.
  • Firma tarafından lisanslanmış yazılımları çoğaltmamalı, paylaşıma açmamalı ve firma dışına çıkarmamalıdır.
  • Etki alanına dahil olmayan sistemler ile etki alanına dahil olan sistemler arasında bilgi aktarımı yapılmamalıdır. 3. Taraflar ile gizlilik sözleşmesi imzalanmadan ve yetkili firma çalışanınca nezaret edilmeden kurum bilgi işlem sistemlerine ve donanımlarına bağlanmamalı ve çalışmalarına izin verilmemelidir.
  • Sunucu sistemleri üzerinde, kişisel bilgisayar uygulamalarını (ör; e-posta programları, ofis uygulamaları, yazılım geliştirme araçları, network test araçları, vb.) kurulmamalı ve kullanılmamalıdır.
  • İş süreçleri için gerekmeyen ve kullanılmasına izin verilmeyen sunucu hizmetlerini (ör; HTTP, Telnet, SSH, vb.) bilgi işlem sistemleri üzerinde çalıştırılmamalıdır.
  • Firma tarafından sağlanan ve kullanım amaç ve biçimleri yazılı olarak bildirilen kurum ağ bağlantı yöntemleri dışında bir yöntemle (ör; ADSL modem, 3G modem, GPRS, vb.) internete veya başka ağlara bağlanmak için kullanılmamalıdır.
  • Çalışanlar, firma içi ya da firma dışı bilgi sistemlerine yetkisi olmadığı halde zorla girmeye çalışmamalıdır.
  • Firmaya ait bilgi işlem sistemlerine şifreleme ve parola mekanizmalarını kırmaya yönelik program ve araçlarını yüklenmemeli ve kullanılmamalıdır.
  • Firmaya ait bilgi sistemleri üzerinde, firmanın bilgisi ve izni olmadan değişiklik, yükseltme, genişletme yapılmamalıdır.
  • İşle ilgili olmayan veya telif hakları ile korunan dosyaları (ör. müzik, film, kitap dosyaları, vb.) firma bilgisayarlarına ve bilgi sistemlerine indirilmemeli, depolanmamalı, çoğaltılmamalı ve paylaşıma açılmamalıdır.
  • Firma bilgi işlem sistemlerini iş dışında, eğlence amaçlı (oyun vb.) kullanılmamalıdır.
  • Firma e-posta hesabı ile zincirleme e-posta gönderilmemelidir.

Firma bilgi işlem sistemlerinde veya süreçlerinde gözlenen güvenlik zafiyetlerini, açıklarını veya oluşmuş saldırıları Bilgi Güvenliği İhlal Olayı Yönetim Prosedürü’nde belirtilen “bildirme” yöntemi ve muhatapları dışında ilgili olmayan kişilere iletilmemeli, açıklanmamalı, yayınlanmalı veya bu zafiyetleri yetkisi dışındaki sistem ve bilgilere erişmek için veya kendi yetkilerini arttırmak için kullanılmamalıdır.

 

  1. Yaptırım

Datassist politika ve prosedürlerine uyulmadığının tespit edilmesi halinde, bu ihlalden sorumlu olan çalışan yada 3. taraf için geçerli olan usul, esas ve sözleşmelerde geçen ilgili maddelerinde belirlenen yaptırımlar uygulanır.

 

  1. Yönetimin Sorumluluğu

          11.1. Yönetimin Taahhüdü

Datassist Belirlediği hedef ve politikalarını gerçekleştirmek için Bilgi Güvenliği Yönetim Sistemini ISO/IEC 27001’de belirtilen gereksinimleri yerine getirecek şekilde kurarak yürütür.

Datassist Yönetimi, tanımlanmış, yürürlüğe konmuş ve uygulanmakta olan Bilgi Güvenliği Yönetim Sistemine uyacağını ve sistemin verimli şekilde çalışması için gerekli olan kaynakları tahsis edeceğini, etkinliğini, sürekli iyileştireceğini ve bunun tüm çalışanlar tarafından anlaşılmasını sağlayacağını taahhüt eder. Bu taahhüdün sonucu olarak, firma genelinde bilgi güvenliği farkındalık programları düzenler ve alt yapı yatırımlarını sürdürür.

BGYS kurulurken üst yönetim tarafından BGYS Yönetim Temsilcisi ve BGYS Yöneticisi, atama yazısı ile atanır. BGYS Yönetim Temsilcisi ve BGYS Yöneticisi değiştiğinde, işten ayrıldığında üst yönetim tarafından doküman revize edilerek atama tekrar yapılır. BGYS Yöneticisini belirlemek ve değiştirmek üst yönetimin yetkisindedir.

Yönetim kademelerindeki yöneticiler güvenlik konusunda alt kademelerde bulunan personele sorumluluk verme ve örnek olma açısından yardımcı olurlar. Üst kademelerden başlayan ve uygulanan bir güvenlik anlayışıyla, firmanın en alt kademe personeline kadar inilmesi zorunludur. Bu yüzden firmadaki yöneticilerin, gerek yazılı gerekse sözlü olarak güvenlik prosedürlerine uymaları, güvenlik konusundaki çalışmalara katılmaları konusunda güvenlik ile ilgili çalışmalarda bulunan personele destek olurlar. Datassist üst yönetimi, bilgi güvenliği kapsamlı çalışmalar için gerek duyulan bütçeyi oluşturur.

 

  1. Yönetimin Gözden Geçirmesi

Yönetim Gözden geçirme toplantıları BGYS Yürütme ve Yönetim Komitesi tarafından yapılır. Bu komite BGYS Yönetim temsilcisi katılımında yılda en az bir kez veya ihtiyaç duyulduğunda Bilgi Güvenliği Yönetim Sisteminin uygunluğunun ve etkinliğinin periyodik olarak değerlendirmesi için toplanır.

Toplantılar BGYS El Kitabı’na uygun olarak yapılır.

 

  1. Üçüncü Şahısların Bilgiye Erişimi

Datassist çalışanı olmayan 3. tarafların, bilgi sistemlerini kullanma ihtiyacı olması durumunda (ör: firma dışı bakım onarım personeli) BGYS Yöneticisi, bu kişilerin firma ile ilgili bilgi güvenliği politikalarından haberdar olmalarından sorumludur. Bu amaçla geçici ya da sürekli çalışma sözleşmelerinde sözleşme imzalanmadan önce kararlaştırılmış ve onaylanmış güvenlik anlaşmaları yapılmalıdır. Gerektiği takdirde üçüncü taraf personelinin politikaya uyması için süre tahsis edilmelidir.

 

  1. Dış Kaynak Sağlanması

Bilgi ağı ve/veya kullanıcı bilgisayarı ortamlarının yönetimi dış kaynaklara verilirken, bilgi güvenliği ihtiyaçları ve şartları her iki taraf arasında kabul edilmiş bir sözleşmede açıkça yer almalıdır.

 

  1. Bilgi Güvenliği Politika Dokümanı Güncellenmesi ve Gözden Geçirilmesi

Politika dokümanının sürekliliğinin sağlanmasından ve gözden geçirilmesinden BGYS Yöneticisi sorumludur.

Bilgi Güvenliği Politikası organizasyonel değişiklikler, iş şartları, yasal ve teknik düzenlemeler vb. nedenlerle günün koşullarına uyumluluk açısından değerlendirilir.

Bilgi Güvenliği Politikası Dokümanı, en az yılda bir kez gözden geçirilmelidir. Bunun dışında sistem yapısını veya risk değerlendirmesini etkileyecek herhangi bir değişiklikten sonra da gözden geçirilmeli ve herhangi bir değişiklik gerekiyorsa versiyon değişimi olarak kayıt altına alınmalı ve her versiyon üst yönetime onaylatılmalıdır. Her versiyon değişikliği tüm kullanıcılara e-mail, sunucu üzerinden yada yazılı olarak yayımlanmalıdır. Gözden geçirmelerde;

 

  • Politikanın etkinliği, kaydedilmiş güvenlik arızalarının yapısı, sayısı ve etkisi aracılığıyla gözlemlenmelidir.
  • Politikanın güncelliği teknolojik değişimlerin etkisi vasıtasıyla gözlemlenmelidir.
  • Politika, sistem yapısını veya risk değerlendirmesini etkileyecek herhangi bir değişiklikten sonra gözden geçirilmelidir.

 

 

  • İlgili Dokümanlar
  • Erişim Denetim Prosedürü
  • Varlık ve Risk Yönetimi Prosedürü
  • Yasal Gereksinimlere Uyum Prosedürü
  • Bilgi Güvenliği Organizasyonu Prosedürü
  • Bilgi Güvenliği İhlal Olayı Yönetim Prosedürü
  • Temiz Ekran / Temiz Masa Politikası
  • Parola Politikası
  • İnternet ve Ağ Kullanım Politikası
  • E-Posta Kullanım Politikası
  • İnsan Kaynakları Güvenliği Prosedürü
  • Üçüncü Taraflarla Çalışma Prosedürü
  • Bilişim Olanakları Kullanım ve Yetkilendirme Prosedürü
  • Yazılım Geliştirme Prosedürü