Uzaktan Denetim Hazırlığı: Ekran Paylaşımı ve Gizlilik Kuralları

Uzaktan denetimde sorun çoğu zaman kanıtın kendisinde değil, gösterilme biçiminde çıkar: yanlış pencere paylaşılır, ekrana bir Teams bildirimi düşer, saha turunda tablet Wi-Fi’dan kopar. Yerinde denetimde kendiliğinden çözülen bu konular, video konferans ve ekran paylaşımıyla yürütülen uzaktan ya da hibrit denetimde ayrı hazırlık ister. Hangi ekran paylaşılacak, gizli bilgi nasıl korunacak, kayıt alınacak mı, fiziksel kontroller nasıl doğrulanacak? Aşağıda BGYS sorumluları ve BT ekipleri için bu düzeni adım adım anlatıyoruz.

Uzaktan denetim hangi durumda uygulanır?

Yönetim sistemi denetimlerine kılavuzluk eden ISO 19011:2018, Ek A’da denetim yöntemlerini yerinde ve uzaktan olarak sınıflandırır; sanal faaliyet ve konumların denetimi için ayrı rehberlik içerir. Akreditasyon tarafında IAF MD 4, bilgi ve iletişim teknolojilerinin denetim amacıyla kullanımına ilişkin zorunlu belgedir. Karar belgelendirme kuruluşunundur: kuruluşun BT altyapısının uzaktan denetime uygunluğu, kapsamın niteliği ve önceki denetim geçmişi değerlendirilir, yöntem denetim planına yazılır.

Sahada karşılaşılan senaryolar: tamamen uzaktan yürütülen gözetim denetimleri, doküman incelemesinin uzaktan, saha incelemesinin yerinde yapıldığı hibrit denetimler ve çok lokasyonlu kuruluşlarda küçük şubelerin uzaktan denetimi. TISAX değerlendirmelerinde yöntem değerlendirme seviyesine ve seçilen etiketlere bağlıdır; ayrıntı için ENX dokümanlarını esas alın.

Yerinde ve uzaktan denetim karşılaştırması

Konu	Yerinde	Uzaktan	Hazırlık notu
Doküman incelemesi	Ekranda veya basılı	Paylaşılan klasör veya ekran paylaşımı	Salt okunur, süreli erişim
Süreç görüşmesi	Toplantı odasında	Video görüşme	Katılımcı listesi ve bağlantı testi
Sistem gösterimi	Kullanıcının masasında	Pencere paylaşımı	Bildirimler kapalı, ayrı profil
Fiziksel güvenlik	Doğrudan gözlem	Canlı video turu, kayıtlar	Mobil cihaz, kapsama testi
Rastgele personel görüşmesi	Sahada anlık	Planlı çağrı	Seçim denetçide kalmalı

Son satırı atlamayın. Uzaktan denetimde de görüşülecek personeli denetçi seçebilmelidir. Kuruluşun önceden “hazırlanmış” kişileri sunması farkındalık kanıtının değerini düşürür ve denetçi bunu fark eder. Görüşmelerin içerik hazırlığı denetçi görüşmesine hazırlık rehberinde ayrıca ele alınıyor.

Teknik hazırlık: platform, bağlantı, yedek kanal

Platform (Microsoft Teams, Zoom veya belgelendirme kuruluşunun tercih ettiği araç) denetim planı aşamasında netleşmeli. Kurumsal politikanız dış platformlara katılımı kısıtlıyorsa istisna onayını önceden alın; denetim sabahı proxy’de takılan bir toplantı bağlantısı ilk saati yer. Denetimden birkaç gün önce denetçiyle kısa bir deneme oturumu yapın. Ses, ekran paylaşımı ve dosya erişimi sorunları o gün çıksın, denetim günü değil.

• Bağlantı: Ana sunum bilgisayarı kablolu bağlantıda olmalı. Saha turu için kullanılacak tablet veya telefonla tesis içindeki Wi-Fi ve mobil kapsama önceden yürünerek test edilmeli; depo ve sistem odası gibi beton ve metal yoğun alanlar tipik kör noktalardır.
• Yedek kanal: Platform kesildiğinde kullanılacak telefon köprüsü veya ikinci toplantı bağlantısı ve iki tarafın irtibat numaraları denetim planına yazılmalı.
• Donanım: Kulaklıklı mikrofon, ikinci ekran (biri paylaşılan, biri notlar için) ve yankıyı önlemek için tek odada tek bağlı cihaz.
• Doküman erişimi: Kanıtlar denetime özel bir klasörde, yalnız görüntüleme yetkisiyle ve süreli bağlantıyla paylaşılmalı. SharePoint’te paylaşım bağlantısına son kullanma tarihi ve indirme engeli eklenebilir; kiracı ayarlarınıza göre doğrulayın.

Kanıt klasörünün yapısını önceden kurun; denetim günü dosya aramak hem zaman kaybettirir hem de yanlış klasörün ekranda açılma riskini artırır. Bu yapı için SharePoint ile kanıt yönetimi yazısındaki klasör ve izin modeli kullanılabilir.

Ekran paylaşımında gizlilik ve veri minimizasyonu

Uzaktan denetimde en sık yaşanan olay, yanlış ekranın veya bir bildirimin paylaşılmasıdır. Denetçi gizlilik yükümlülüğü altındadır; bu, kapsam dışı gizli bilginin ya da gereksiz kişisel verinin gösterilmesini haklı kılmaz. Uygulanabilir kurallar:

1. Tüm ekranı değil, yalnızca ilgili uygulama penceresini paylaşın.
2. Paylaşımdan önce işletim sistemi ve uygulama bildirimlerini kapatın (Windows 11’de “Rahatsız etmeyin”, Windows 10’da “Odaklanma yardımı”; Teams ve e-posta istemcisinin kendi bildirimleri de dahil).
3. Denetim için ayrı bir tarayıcı profili kullanın; yer imleri, otomatik tamamlama ve açık sekmeler kişisel ve gizli bilgi sızdırır.
4. Masaüstünü ve indirilenler klasörünü temizleyin; dosya açma pencereleri klasör içeriğini gösterir.
5. Kişisel veri içeren listeleri gösterirken filtreyle yalnızca örneklem satırlarını açın veya maskeli bir görünüm kullanın.
6. Parola yöneticisi veya yönetici konsolu açılacaksa paylaşımı önce durdurun.

Bu yaklaşım 6698 sayılı KVKK’nın kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesiyle de uyumludur. Denetçinin gördüğü veri, kontrolü doğrulamaya yetecek kadar olmalı. Fazlası risktir.

Canlı sistem gösterimi ve kayıt alma kuralları

Denetçi bir kontrolün işlediğini canlı sistemde görmek isteyebilir: yedekleme konsolundaki iş geçmişi, Entra ID’deki koşullu erişim politikaları, firewall kural tabanı. ISO/IEC 27001:2022 Ek A’daki A.8.34 (Denetim testleri sırasında bilgi sistemlerinin korunması), denetim faaliyetlerinin operasyonel sistemleri etkilememesini, erişimin planlanmasını ve sınırlanmasını ister. Uzaktan denetimde bu ilke şu kurallara dönüşür:

• Sistemi kuruluş personeli kullanır; denetçiye uzaktan kontrol veya doğrudan erişim verilmez.
• Gösterim için mümkünse salt okunur yetkili bir hesap kullanılır.
• Gösterim sırasında yapılandırma değişikliği yapılmaz; denetçi bir ayarın etkisini görmek isterse test ortamı kullanılır.
• Gösterilen ekranda tarih ve sistem adı görünür olur; denetçinin notu böylece kendi başına anlamlı bir kanıta dönüşür.

Konsol başında sık yapılan hata, “hızlıca göstereyim” diye üretim firewall’unda kural düzenleme ekranını açmaktır. Yanlış bir tık, denetimi olay müdahalesine çevirir. Oturum kaydı da ayrıca kararlaştırılmalı. Kayıt alınacaksa amacı, saklayan taraf, saklama süresi ve imha yöntemi denetimden önce yazılı olarak netleşmeli. Gizli bilgi gösterilecek bölümlerde kaydın durdurulmasını istemek makul bir taleptir. Denetçinin kendi notları için aldığı ekran görüntüleri de aynı kurala bağlanır; denetim sonunda hangi kanıt kopyalarının denetçide kaldığını listeleyin.

Fiziksel kontrollerin uzaktan doğrulanması

Fiziksel güvenlik kontrolleri (ISO 27001 Ek A’daki 7. tema) uzaktan doğrulanması en zor alandır. Denetçi genellikle birkaç kaynağı birleştirir: tablet veya telefonla yürütülen canlı saha turu, kartlı geçiş sistemi kayıtları, ziyaretçi kayıtları, sistem odası erişim listesi, ortam izleme ve bakım kayıtları, tarih bilgisi içeren fotoğraflar. Kontrolün içeriği için Annex A insan ve fiziksel kontroller rehberine bakın.

Canlı turda kamerayı tutan kişi denetçinin yönlendirmesini izlemeli. Önceden çekilmiş video, gözlem kanıtı yerine geçmez. Çekimin kendisi de risk taşır: alarm paneli kodları, beyaz tahtadaki notlar veya müşteri prototipleri kadraja girebilir. TISAX kapsamında prototip koruma alanlarında görüntü alma genellikle kısıtlıdır; bu alanlar için yöntem önceden denetçiyle kararlaştırılmalı. Uzaktan yeterli güvence elde edilemeyen kontroller denetim raporunda belirtilerek bir sonraki yerinde ziyarete bırakılabilir. Belgelendirme aşamaları açısından bu kararların yeri Aşama 1 ve Aşama 2 denetim yazısında anlatılıyor.

Hazırlık kontrol listesi

• Denetim planında uzaktan ve yerinde bölümler, platform ve yedek kanal yazılı.
• Deneme oturumu yapıldı; ses, görüntü ve paylaşım test edildi.
• Kanıt klasörü salt okunur ve süreli erişimle hazır.
• Sunum bilgisayarında ayrı profil, bildirimler kapalı, masaüstü temiz.
• Kişisel veri içeren raporlar için filtreli veya maskeli görünümler hazır.
• Canlı gösterim için salt okunur hesaplar tanımlı.
• Kayıt ve ekran görüntüsü kuralları denetçiyle yazılı olarak kararlaştırıldı.
• Saha turu cihazı şarjlı, kapsama test edildi; çekim yasaklı alanlar belirlendi.
• Görüşmeye çağrılabilecek personelin denetim saatlerinde ulaşılabilir olduğu teyit edildi.

Kanıt alanının kurulması için SharePoint ile denetim kanıt yönetimi, belgelendirme sürecinin genel hazırlığı için ISO 27001 belgelendirme denetimi hazırlığı hizmetlerimiz bu düzenin kurulmasında destek verir.

Sık sorulan sorular

Uzaktan denetime kuruluş mu karar verir, belgelendirme kuruluşu mu?

Kararı belgelendirme kuruluşu, akreditasyon kurallarına ve kendi risk değerlendirmesine göre verir; yöntem denetim planında belirtilir. Kuruluşun işi, uzaktan yürütme için gerekli altyapıyı ve erişimi sağlamak, uzaktan doğrulanamayacak konuları önceden bildirmektir. TISAX gibi programlarda değerlendirme seviyesine göre yerinde inceleme zorunlu olabilir; güncel kuralı ENX dokümanlarından doğrulayın.

Denetçi oturumu kaydetmek isterse ne yapmalıyız?

Kayıt konusunu denetimden önce yazılı olarak netleştirin: kaydın amacı, kimde saklanacağı, saklama süresi ve imha yöntemi. Gizli bilgi veya kişisel veri gösterilecek bölümlerde kaydın durdurulmasını talep edebilirsiniz. Denetçinin kendi notları için ekran görüntüsü alması da aynı kurala bağlanmalıdır.

Denetçiye sistemlerimize uzaktan erişim veya ekran kontrolü vermeli miyiz?

Genel olarak hayır. Sistemi kuruluş personeli kullanır, denetçi ekranı izler ve ne görmek istediğini söyler. ISO 27001 A.8.34, denetim testlerinin operasyonel sistemleri etkilememesini ve erişimin planlı ve sınırlı olmasını ister. Doğrudan erişim gerçekten gerekiyorsa salt okunur, süreli ve kayıtlı bir hesapla verilmelidir.

Fiziksel güvenlik kontrolleri uzaktan nasıl doğrulanır?

Canlı video ile yürütülen saha turu, kartlı geçiş ve ziyaretçi kayıtları, tarihli fotoğraflar ve bakım kayıtları birlikte kullanılır. Denetçi bunları yeterli bulmazsa ilgili kontrolleri bir sonraki yerinde ziyarete bırakabilir. Prototip alanı gibi çekim yasağı olan bölgeler için alternatif yöntem önceden kararlaştırılmalıdır.