Kabul Edilebilir Kullanım Politikası: Kapsam ve Örnek Maddeler

Kabul edilebilir kullanım politikası, bilgi güvenliği dokümanları içinde her çalışanın okuyup onayladığı belki de tek metindir. Okuru BT uzmanı değil; muhasebeci, satış temsilcisi, üretim planlamacısıdır. Bu yüzden diğer politikalar gibi yazılamaz. Aşağıda ISO/IEC 27001:2022 Annex A 5.10 kontrolünü karşılayan bir kabul edilebilir kullanım politikasının kapsamını, okunabilir madde yazımını, konu bazlı örnek maddeleri ve çalışan izlemesinde KVKK açısından dikkat edilecek noktaları anlatıyoruz.

Politikanın amacı ve kapsamı

Annex A 5.10, bilginin ve ilişkili diğer varlıkların kabul edilebilir kullanımı ve işlenmesi için kuralların ve prosedürlerin belirlenmesini, dokümante edilmesini ve uygulanmasını ister. Politika bu kuralların çalışana dönük yüzüdür. Kapsamı diğer kontrollerle ilişkisi belirler: 5.11 ayrılışta varlıkların iadesini, 6.4 disiplin sürecini, 8.1 kullanıcı uç nokta cihazlarını ele alır. Kabul edilebilir kullanım politikası bunlara atıf yapar, yerlerini almaz.

Kapsam bölümünde üç soru net cevaplanmalı:

• Kimler? Çalışanlar, stajyerler, geçici personel ve kurum varlıklarını kullanan tedarikçi personeli. Tedarikçiler için politika sözleşmeye eklenmeli ya da ayrıca onaylatılmalıdır.
• Hangi varlıklar? Kurumun sağladığı bilgisayar, telefon, e-posta, kurumsal bulut hizmetleri, ağ erişimi, basılı belgeler ve kurum verisinin işlendiği kişisel cihazlar.
• Hangi ortamlarda? Ofis, saha, uzaktan çalışma. Uzaktan çalışmaya özgü kurallar ayrı politikada tutulabilir; bunun için planlanan uzaktan çalışma güvenlik politikası yazısına bakabilirsiniz.

Üst politikayla ilişki, bilgi güvenliği politikası yazım rehberinde anlatılan hiyerarşiyi izler: üst politika ilkeyi koyar, kabul edilebilir kullanım politikası çalışan davranışını tanımlar.

Okunabilir madde yazımı

Çalışanların çoğu politikayı bir kez, onay ekranında okur. O tek okumada anlaşılmayan madde uygulanmaz. Sahada en sık gördüğümüz tablo, “okudum, onaylıyorum” kutusunun metin açılmadan işaretlenmesidir; metin uzun ve hukukçu diliyle yazılmışsa bu kaçınılmaz olur. Okunabilirlik için şu kurallar işe yarar:

• “Siz” diliyle yazın. “Kullanıcılar … yapmamalıdır” yerine “Kurum e-postasını kişisel abonelikler için kullanmayın.”
• Yasakla birlikte doğru yolu verin. “Kurum dosyalarını kişisel bulut hesabına yüklemeyin; dışarıyla paylaşım için kurumsal paylaşım hizmetini kullanın.” Alternatifi olmayan yasak gölge BT üretir.
• Teknik terimleri azaltın. “Kimlik avı” kelimesini kullanıyorsanız ne olduğunu bir cümleyle açıklayın.
• Kuralları konu başlıklarına bölün. E-posta, internet, bulut, cihaz, yapay zekâ gibi başlıklar çalışanın aradığı kuralı bulmasını kolaylaştırır.
• Belirsiz ölçü kullanmayın. “Makul ölçüde kişisel kullanım” yerine neyin kabul edildiğini örnekle tarif edin.
• Uzunluğu sınırlayın. Teknik ayrıntılar BT standartlarında kalır; çalışana dönük metin birkaç sayfayı geçmemeli.

Konu bazlı örnek maddeler

Aşağıdaki tablo her konu için tipik bir izin ve bir yasağı gösterir. Maddeleri kurumun gerçekten kullandığı araçlara göre uyarlayın. Politika, kurumun sunmadığı bir alternatifi önermemeli; “kurumsal paylaşım hizmetini kullanın” yazıp o hizmeti kurmamak, çalışanı doğrudan kişisel hesaba iter.

Konu	Yapın	Yapmayın
E-posta	Şüpheli e-postayı bildirim düğmesi veya BT destek kanalı ile bildirin.	Kurum e-postasını iş dışı üyelik ve aboneliklerde kullanmayın; iş e-postasını kişisel adrese otomatik yönlendirmeyin.
İnternet	İş için gereken siteler engelliyse BT’den erişim talep edin.	Engelleme ve filtreleme kontrollerini atlatmaya çalışmayın.
Bulut depolama	Kurum dosyalarını kurumun sağladığı depolama ve paylaşım hizmetinde tutun.	Kurum verisini kişisel bulut hesaplarına, kişisel e-postaya veya mesajlaşma uygulamalarına aktarmayın.
Yazılım	İhtiyaç duyduğunuz yazılımı BT talep süreciyle isteyin.	Onaysız yazılım, tarayıcı eklentisi veya uzaktan erişim aracı kurmayın.
Kişisel cihaz	Kurum verisine yalnız kayıtlı ve yönetilen cihazlardan erişin.	Kurum verisini kişisel cihazın yerel belleğine indirmeyin.
Hesap ve parola	Hesabınızın ele geçirildiğinden şüphelenirseniz hemen bildirin.	Parolanızı veya doğrulama kodunuzu kimseyle, BT personeliyle de paylaşmayın.
Basılı belge	Gizli belgeleri masada bırakmayın; kilitli dolapta saklayın.	Gizli belgeleri normal çöpe atmayın; imha kutusunu kullanın.

Kişisel kullanımı açıkça düzenleyin. Kurumlar genellikle sınırlı kişisel kullanıma izin verir; izin veriliyorsa sınırları (iş performansını etkilememek, yasa dışı veya kurumu riske atan içerik olmamak, kurum adına beyan içermemek) ve bu kullanımın da izleme kapsamında kalabileceğini yazın.

Üretken yapay zekâ araçlarının kullanımı

Yapay zekâ sohbet ve yazım araçları, kabul edilebilir kullanım politikalarına en son eklenen ve en hızlı değişen başlıktır. Annex A’da bu araçlara özgü bir kontrol yoktur; kurallar bilgi sınıflandırma (5.12), bilgi aktarımı (5.14), tedarikçi ilişkileri ve bulut hizmetleri (5.19, 5.23) ile kişisel verilerin korunması (5.34) üzerinden türetilir. Pratikte risk basittir. Bir log dosyası sohbet penceresine yapıştırıldığında içindeki iç IP adresleri, kullanıcı adları ve bazen oturum anahtarları da gider. Politikada şu kararlar yer almalı:

• Onaylı araç listesi: Kurumun değerlendirip sözleşme yaptığı araçlar ile bireysel ücretsiz hesaplar ayrılır. Kurum verisi yalnız onaylı araçlarda kullanılır.
• Veri sınıfına göre kural: Hangi sınıftaki bilginin hangi araca girilebileceği tablo halinde verilir. Örneğin “kamuya açık” bilgi her araçta, “kuruma özel” bilgi yalnız kurumsal sözleşmeli araçta, “gizli” bilgi hiçbir araçta kullanılmaz.
• Kişisel veri: Kişisel verinin yurt dışında barındırılan bir hizmete girilmesi, KVKK’nın 9. maddesi kapsamında yurt dışına aktarım değerlendirmesi gerektirebilir. Bu değerlendirme yapılmadan kişisel veri girilmez.
• Çıktının sorumluluğu: Araç çıktısı kontrol edilmeden müşteriye, resmi kuruma veya üretim sistemine aktarılmaz; doğruluk sorumluluğu kullanan çalışandadır.
• Kod ve yapılandırma: Kaynak kod, yapılandırma dosyası, log ve ağ bilgileri onaysız araçlara yapıştırılmaz; bu içerikler parola, anahtar ve iç adresler barındırabilir.

İzleme ve çalışan bilgilendirmesi

Kurumun hangi kayıtları hangi amaçla izlediğini çalışana açıklayan yer bu politikadır. Kurumsal sistemlerdeki oturum, e-posta geçidi, web filtresi ve uç nokta güvenliği logları çalışanlara ilişkin kişisel veri içerir. Log kişisel veridir. Bu yüzden izleme bölümü hukuk birimiyle birlikte, KVKK açısından şu noktalar gözetilerek yazılır:

• Aydınlatma: KVKK’nın 10. maddesindeki aydınlatma yükümlülüğü gereği, hangi verilerin hangi amaçla, hangi hukuki sebeple işlendiği ve kimlere aktarılabileceği çalışana bildirilir. Kabul edilebilir kullanım politikası çalışan aydınlatma metnine atıf yapmalı ve onunla çelişmemelidir.
• Hukuki sebep: İzlemenin KVKK’nın 5. maddesindeki hangi işleme şartına dayandığını hukuk birimi belirler. İş ilişkisinde açık rızanın serbest iradeye dayanıp dayanmadığı tartışmalı olabilir; bu değerlendirme yapılmadan imzalı onay formunu açık rıza olarak kurgulamayın.
• Ölçülülük: KVKK’nın 4. maddesindeki ilkeler gereği izleme amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. Güvenlik amacıyla toplanan loglar performans değerlendirmesi gibi başka bir amaçla kullanılacaksa bu ayrıca değerlendirilir.
• Erişim ve saklama: İzleme kayıtlarına kimin hangi durumda erişebileceği ve ne kadar saklanacağı tanımlanır; içerik incelemesi gibi müdahaleci işlemler için ayrı bir onay basamağı konur.

Bu başlıkları teknik ve idari tedbirlerle birlikte kurgulamak için KVKK teknik ve idari tedbirler çalışmasından yararlanabilirsiniz. Güncel Kurul kararları ve rehberler için KVKK resmi sitesi izlenmelidir.

Onay, imza ve ihlal yönetimi

Politikanın okunduğunun ve kabul edildiğinin kanıtı, denetimde istenen ilk kayıtlardan biridir. Onay süreci şöyle kurgulanabilir:

1. Yeni çalışan, kurum sistemlerine erişim verilmeden önce politikayı okuyup onaylar; onay İK dosyasına veya eğitim platformuna kaydedilir. Erişim önce açılırsa onay çoğu zaman hiç alınmaz.
2. Önemli revizyonlarda mevcut çalışanlardan yeniden onay alınır; küçük değişiklikler duyuruyla bildirilir.
3. Yıllık farkındalık eğitiminde politikanın temel maddeleri tekrar edilir; katılım kaydı tutulur. Bu kayıtların denetimde nasıl sunulacağı planlanan eğitim ve farkındalık kanıtı yazısında anlatılıyor.
4. Tedarikçi personeli için onay, sözleşme eki veya erişim öncesi imzalanan taahhütnameyle alınır.

İhlal bölümü kısa ve öngörülebilir olmalı: ihlal tespit edildiğinde olayın bilgi güvenliği olay sürecine göre kaydedileceği, gerekirse erişimin geçici olarak askıya alınacağı ve disiplin sürecinin Annex A 6.4 kapsamında İK prosedürüne göre işletileceği yazılır. Yaptırımların türünü politika yerine disiplin yönetmeliğinde tanımlamak, iş hukuku açısından tutarlılığı korur. Kasıtsız ihlallerin bildirilmesini teşvik eden bir ifade de ekleyin. Erken bildirim etkiyi sınırlar. Yanlış alıcıya giden e-postayı hemen bildiren çalışan, geri çağırma veya erişim iptali için zaman kazandırır; cezalandırılacağını düşünen çalışan ise susar.

Yayın öncesi kontrol listesi

• Her yasak maddenin yanında kurumun sağladığı alternatif belirtilmiş.
• Kişisel kullanım sınırları açıkça yazılmış.
• Yapay zekâ kuralları bilgi sınıflandırma şemasıyla eşleştirilmiş, onaylı araç listesi ayrı ek olarak yayımlanmış.
• İzleme bölümü çalışan aydınlatma metniyle tutarlı ve hukuk biriminin onayından geçmiş.
• Onay kaydının nerede tutulacağı ve yeniden onay tetikleyicileri belirlenmiş.
• Erişim kuralları erişim kontrol politikası ile çelişmiyor.

Çalışana dönük politika metinlerini kurumun BT süreçleriyle birlikte hazırlamak, kurumsal BT politikaları ve prosedürleri çalışmamızın parçasıdır.

Sık sorulan sorular

Kabul edilebilir kullanım politikası ISO 27001’de zorunlu mu?

Annex A 5.10, bilginin ve ilişkili varlıkların kabul edilebilir kullanımı için kuralların belirlenmesini, dokümante edilmesini ve uygulanmasını ister. Kontrol SoA’da uygulanabilir ise bu kuralların yazılı olması gerekir; ayrı bir politika en yaygın yöntemdir.

Çalışanın imzalı onayı KVKK açısından izleme için yeterli mi?

Tek başına yeterli kabul edilmemeli. Aydınlatma yükümlülüğü ayrıca yerine getirilmeli ve izlemenin hangi işleme şartına dayandığını hukuk birimi belirlemelidir. Politika onayı, kuralların okunduğunun kanıtıdır.

Yapay zekâ araçlarını tamamen yasaklamak doğru bir yaklaşım mı?

Tam yasak, çalışanları onaysız araçları kişisel hesaplarla kullanmaya iter. Daha uygulanabilir yol, onaylı araçları belirlemek ve hangi veri sınıfının hangi araçta kullanılabileceğini açıkça tanımlamaktır.

Politika ne zaman yeniden onaylatılmalı?

Kuralları veya çalışan yükümlülüklerini değiştiren önemli revizyonlarda yeniden onay alın. Anlamı değiştirmeyen düzeltmeler duyuruyla bildirilebilir; temel maddeler yıllık farkındalık eğitiminde tekrarlanır.