Bilgi Güvenliği Politikası Nedir? Örnek Metin

Bilgi güvenliği politikası, üst yönetimin bilgiyi koruma konusundaki kararlılığını ve temel ilkelerini anlatan yazılı beyandır. ISO 27001’in 5.2 maddesi her kuruluştan bu politikayı oluşturmasını ister.

Bu rehber, ISO 27001 Belgesi için bilgi güvenliği politikasının nasıl yazılacağını örnekle anlatır.

Bilgi Güvenliği Politikası Nedir?

Politika, bilgi güvenliği yönetim sisteminin çatısıdır. Hedefler, kontroller ve alt politikalar bu çatının altında şekillenir.

Politika teknik bir doküman değildir, yönetimin taahhüdüdür. Parola uzunluğu gibi ayrıntılar alt politikalarda ve prosedürlerde yer alır.

ISO 27001 Madde 5.2’nin İstedikleri

Standart, politikanın içeriği için açık şartlar koyar. Denetçi politikayı bu şartlarla karşılaştırır.

Kuruluşun amacına uygun olmalıdır.
Bilgi güvenliği hedeflerini içermeli veya hedef belirlemeye çerçeve sunmalıdır.
Geçerli bilgi güvenliği şartlarını karşılama taahhüdü içermelidir.
Sürekli iyileştirme taahhüdü içermelidir.
Dokümante edilmeli, çalışanlara duyurulmalı ve uygun olduğunda ilgili taraflara açık olmalıdır.

Bilgi Güvenliği Politikası Nasıl Yazılır?

Kısa, anlaşılır ve kuruluşa özgü bir politika en iyi sonucu verir. Aşağıdaki adımlar bir sayfayı geçmeyen etkili bir metin çıkarır.

1. Korunacak Bilgiyi Tanımlayın

Müşteri verisi, kaynak kod, finansal bilgi veya kişisel veriler gibi en değerli bilgileri belirleyin. Politika bu bilgilere odaklanmalıdır.

2. Üç İlkeyi Yazın

Gizlilik, bütünlük ve erişilebilirliğin nasıl sağlanacağını birer cümleyle anlatın. Bu üç ilke politikanın omurgasıdır.

3. Zorunlu Taahhütleri Ekleyin

Yasal ve sözleşmeden doğan şartlara uyma ile sürekli iyileştirme taahhüdünü açıkça yazın. Bu ifadeler eksikse denetimde uygunsuzluk çıkar.

4. Sorumlulukları Belirtin

Her çalışanın politikaya uymakla yükümlü olduğunu ve ihlallerin sonuçlarını belirtin. Bilgi güvenliği sorumlusunu da adıyla değil, rolüyle anın.

Bilgi Güvenliği Politikası Örneği

Aşağıdaki metin, bulut tabanlı yazılım hizmeti veren bir firma için hazırlanmış örnektir. Kendi firmanıza uyarlamadan kullanmayın.

Müşterilerimize bulut tabanlı muhasebe yazılımı sunuyoruz ve onların finansal verilerini işliyoruz. Bu verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak temel sorumluluğumuzdur.

Bilgi varlıklarımıza yönelik riskleri düzenli olarak değerlendiriyor ve riske uygun kontroller uyguluyoruz. KVKK başta olmak üzere yasal şartlara ve müşteri sözleşmelerine uymayı taahhüt ediyoruz.

Tüm çalışanlarımızı bilgi güvenliği konusunda eğitiyor, ihlalleri hızla tespit edip yanıtlıyoruz. Tedarikçilerimizden de aynı güvenlik düzeyini bekliyoruz.

Bilgi güvenliği yönetim sistemimizi sürekli iyileştirmeyi taahhüt ediyoruz.

Alt Politikalar

Ana politika genel çerçeveyi çizer, ayrıntılar alt politikalarda yer alır. Hangi alt politikaların gerektiğini risk değerlendirmesi belirler.

Alt politika	İlgili Ek A kontrolü
Erişim kontrol politikası	5.15 Erişim kontrolü
Kabul edilebilir kullanım politikası	5.10 Kabul edilebilir kullanım
Parola ve kimlik doğrulama politikası	5.17 Kimlik doğrulama bilgisi
Yedekleme politikası	8.13 Bilgi yedekleme
Uzaktan çalışma politikası	6.7 Uzaktan çalışma
Temiz masa ve temiz ekran politikası	7.7 Temiz masa ve temiz ekran
Kriptografi politikası	8.24 Kriptografi kullanımı

Bu kontrollerin tam listesi için ISO 27001 Ek A Kontrolleri rehberine bakın.

Denetçi Bilgi Güvenliği Politikasında Neye Bakar?

Denetçi politikanın yazılı olmasının yanında çalışanlarca bilinip bilinmediğini de kontrol eder. Görüşmelerde çalışanlara politikanın ana ilkelerini sorar.

Politika üst yönetimce onaylı, tarihli ve güncel mi?
Şartları karşılama ve sürekli iyileştirme taahhütleri var mı?
Bilgi güvenliği hedefleri politikayla bağlantılı mı?
Çalışanlara ve gerektiğinde tedarikçilere duyurulmuş mu?
Alt politikalar ana politikayla çelişmiyor mu?

Sıkça Sorulan Sorular

Bilgi güvenliği politikası kaç sayfa olmalı?

Ana politika bir sayfayı geçmemelidir. Ayrıntılar alt politikalarda ve prosedürlerde yer almalıdır.

Kalite politikası ile birleştirilebilir mi?

Evet, entegre sistemlerde tek bir politika yazılabilir. Her iki standardın zorunlu taahhütleri metinde ayrı ayrı yer almalıdır.

Politika web sitesinde yayımlanmalı mı?

Zorunlu değildir, ancak müşterilere güven verir. Hassas ayrıntılar içermeyen ana politika yayımlanabilir.

Politika ne sıklıkla gözden geçirilmeli?

Yönetimin gözden geçirmesinde yılda en az bir kez değerlendirilir. Önemli değişikliklerde hemen güncellenir.