Uzaktan Çalışma Güvenlik Politikası: Kapsam ve Örnek Kurallar

Çalışan evde, mutfak masasında, açık ekranla müşteri sözleşmesi üzerinde çalışıyor; yazıcıdan çıkan taslak akşam ev çöpüne gidiyor. Uzaktan ve hibrit çalışma, bilginin kuruluşun fiziksel ve ağ sınırları dışına çıktığı en yaygın senaryodur. Genel kullanım kurallarıyla yönetilemez: evde ekranı kimin görebileceği, basılı belgenin nerede imha edileceği, kişisel cihazdan hangi verilere erişileceği cevapsız kalır. Aşağıda ISO/IEC 27001:2022 Annex A 6.7’yi karşılayan bir uzaktan çalışma güvenlik politikasının kapsamını, yetkilendirme ölçütlerini, cihaz senaryolarını ve çalışan yükümlülüklerini örnek maddelerle anlatıyoruz.

Kontrolün amacı ve politika kapsamı

Annex A 6.7, personel uzaktan çalışırken kuruluş tesisleri dışında erişilen, işlenen veya saklanan bilgiyi korumak için güvenlik önlemlerinin uygulanmasını ister. Kontrol tek başına çalışmaz. Uzaktan çalışma politikası genellikle şu kontrollerle birlikte okunur:

• 8.1 Kullanıcı uç nokta cihazları: Cihaz yapılandırması ve koruma.
• 7.9 Tesis dışındaki varlıkların güvenliği: Dizüstü bilgisayar, telefon ve belgelerin taşınması.
• 7.7 Temiz masa ve temiz ekran: Ev ve ortak alanlarda da geçerlidir.
• 6.8 Bilgi güvenliği olaylarının raporlanması: Uzaktaki çalışanın bildirim yolu.

Kapsam bölümünde hangi çalışma biçimlerinin politikaya girdiğini açıkça yazın: düzenli evden çalışma, hibrit çalışma, seyahatte çalışma, ortak çalışma alanları ve mesai dışı acil müdahaleler. Tedarikçi personelinin uzaktan erişimi farklı bir risk profilidir. Onu ayrı bir tedarikçi erişim prosedürüyle yönetin.

Politikanın neyi yazmayacağı da kapsamın parçasıdır. VPN protokolü, şifreleme algoritması veya uç nokta yönetim profili politikaya değil, teknik standartlara girer. Politika “kuruluşun onayladığı güvenli bağlantı yöntemi kullanılır” der; hangi yöntemin onaylandığını teknik standart belirler. Teknoloji değişir, politika yerinde kalır. Yeniden onaya girmez.

Uzaktan çalışma yetkilendirmesi

Her rol aynı şekilde uzaktan çalışamaz. Yetkilendirme bölümü, uzaktan çalışmanın hangi koşullarda ve kimin onayıyla verildiğini tanımlar. Çalışma düzenini iş hukuku ve İK politikası belirler; bilgi güvenliği politikası ise erişilecek bilgiye göre ek koşul koyar.

Yetkilendirme ölçütleri:

1. Erişilecek bilginin sınıfı: “Gizli” sınıftaki bilgiyle çalışan roller için ek kısıtlar (yalnız şirket cihazı, basılı çıktı yasağı) tanımlanır.
2. Müşteri ve sözleşme şartları: Prototip verisi veya müşteriye ait mühendislik verisi gibi bilgiler için müşteri sözleşmesi uzaktan erişimi kısıtlayabilir.
3. Rolün sistem erişimi: Ayrıcalıklı yönetici erişimi uzaktan yalnız güçlendirilmiş yöntemlerle verilir.
4. Coğrafya: Yurt dışından çalışma, kişisel verilerin yurt dışına aktarımı ve müşteri şartları açısından ayrıca değerlendirilir.

Onay kaydı, çalışanın politikayı okuyup kabul ettiğini gösteren beyanla birlikte saklanır. Yetkilendirmenin erişim haklarına yansıması erişim kontrol politikası yazım rehberindeki ilkelerle tutarlı olmalıdır.

Yetki bir kez verilip unutulmaz. Rol değişikliği, “Gizli” sınıftaki bir projeye atanma veya yurt dışından çalışma talebi yeniden değerlendirmeyi tetikler. Yılda en az bir kez, uzaktan çalışma yetkisi olan personel listesini uzak erişim sisteminde hesabı aktif olan kullanıcılarla karşılaştırın. Pratikte bu, VPN erişimini veren AD grubunun üye listesini İK’nın onay listesiyle yan yana koymaktır. Listede olmayan ama bağlanan kullanıcı, yetkilendirmenin atlandığını gösterir. Karşılaştırmanın tarihli çıktısı, kontrolün işletildiğinin en doğrudan kanıtıdır.

Şirket cihazı ve kişisel cihaz senaryoları

Politikanın en çok tartışılan bölümü kişisel cihaz kullanımıdır. Kuruluşun yönetemediği bir cihazda bilginin korunduğunu kanıtlamak zordur. Bu yüzden kişisel cihaza izin verilecekse erişim kapsamı daraltılır.

Konu	Şirket cihazı	Kişisel cihaz
Yönetim	Tam cihaz yönetimi	Uygulama düzeyinde koruma veya tarayıcı erişimi
Disk şifreleme	Zorunlu, merkezi doğrulanır	Doğrulanamazsa yerel veri saklama yasak
Erişilebilecek bilgi	Rolün tüm yetkileri	E-posta, iş birliği araçları; “Gizli” veri yok
Kayıp/çalınma	Uzaktan silme	Yalnız kurumsal verinin silinmesi
Gizlilik	Kuruluş izleme yapabilir, bildirilir	Kişisel alan izlenmez

Kişisel cihazda gizlilik satırını atlamayın. Kuruluş, kişisel cihazdaki fotoğraflara, konuma veya kişisel uygulamalara erişmeyeceğini ve kayıp durumunda yalnız kurumsal veriyi sileceğini politikada açıkça yazmalıdır. Çalışan izleme kapsamı KVKK’daki aydınlatma yükümlülüğüyle uyumlu biçimde bildirilir. Bu yazılmazsa çalışan cihazını kaydettirmez, e-postayı kişisel uygulamaya yönlendirir; kontrol kâğıtta kalır.

Şirket cihazlarında politika yükümlülükleri teknik olarak doğrulanabilir olmalıdır. Bir Windows dizüstü bilgisayarda disk şifrelemesinin durumu şu komutlarla görülür (yönetici yetkisiyle):

Get-BitLockerVolume -MountPoint "C:" |
  Select-Object MountPoint,VolumeStatus,ProtectionStatus,EncryptionMethod

manage-bde -status C:

Dikkat edilecek nokta: VolumeStatus “FullyEncrypted” olup ProtectionStatus “Off” görünüyorsa şifreleme askıya alınmıştır; genellikle BIOS veya işletim sistemi güncellemesinden sonra yeniden etkinleştirilmemiş bir koruyucudur. Sahada sık görülür. Tek tek cihaz kontrolü yerine uç nokta yönetim aracının uyum raporunu kullanın; bu rapor aynı zamanda denetim kanıtıdır.

Ev ortamında fiziksel güvenlik ve basılı belgeler

Uzaktan çalışma politikalarında en sık atlanan kısım fiziksel ortamdır. Evde veya ortak alanda çalışan kişi için örnek maddeler:

5.1 Çalışan, ekranı yetkisiz kişilerin göremeyeceği bir konumda çalışır; kamuya açık alanlarda ekran gizlilik filtresi kullanır.
5.2 Cihazın başından ayrılırken ekran kilitlenir; cihaz araçta görünür biçimde bırakılmaz.
5.3 Gizli içerikli toplantılar, konuşmanın başkalarınca duyulabileceği ortamlarda yapılmaz.
5.4 “Gizli” sınıftaki bilgiler evde yazdırılmaz. Diğer basılı belgeler kilitli bir alanda saklanır ve evde çöpe atılmaz; ofise geri getirilerek imha sürecine teslim edilir veya kuruluşun onayladığı kesici ile imha edilir.
5.5 Kuruluşa ait cihaz, aile bireyleri dahil başkalarının kullanımına açılmaz.

Maddeler kısa, gözlemlenebilir ve çalışanın kontrolündeki davranışlar olmalıdır. “Çalışan ev ortamını güvenli hale getirir” cümlesi neyin beklendiğini söylemez; ne uygulanır ne denetlenir. Okunabilir madde yazımı için kabul edilebilir kullanım politikası rehberindeki yaklaşım uzaktan çalışma maddelerine de uygulanabilir.

Bağlantı ve veri saklama kuralları

Bağlantı kuralları politikada ilke olarak yazılır, teknik ayrıntı standarda bırakılır:

• Kurumsal sistemlere yalnız kuruluşun onayladığı uzak erişim yöntemiyle ve çok faktörlü kimlik doğrulama ile bağlanılır.
• Ev ağı için modem yönetici parolasının varsayılan değerden değiştirilmesi ve güncel kablosuz şifreleme kullanılması beklenir; kuruluş bu konuda kısa bir rehber sağlar.
• Herkese açık kablosuz ağlarda yalnız onaylı uzak erişim yöntemi üzerinden çalışılır.
• İş verisi yalnız kuruluşun onayladığı depolama alanlarında tutulur; kişisel bulut hesaplarına, kişisel e-postaya veya onaysız USB belleklere aktarılmaz.
• Uzaktan yönetici erişimi, ayrıcalıklı hesap prosedüründe tanımlanan ek kontrollerle yapılır.

Ev ağı kuruluşun kontrolünde değildir. Aynı ağda akıllı televizyon, oyun konsolu ve misafir telefonu durur. Politika bu yüzden ev ağına güvenmeyi değil, bağlantının kendisinin korunmasını esas alır. Onaylı uzak erişim yönteminin VPN mi yoksa sıfır güven erişimi mi olacağı teknik bir karardır; seçenekler ZTNA ve VPN karşılaştırmasında ele alınıyor. Politika açısından önemli olan, seçilen yöntemin teknik standartta yazılı olması ve politika maddesinin bu standarda atıf yapmasıdır.

Uzaktan çalışma iş sürekliliği stratejisinin de parçası olabilir. Ofis erişilemez olduğunda tüm personelin uzaktan çalışabileceği varsayımını kapasite, lisans ve cihaz açısından test edin; eşzamanlı VPN oturum limiti çoğu zaman ilk tıkanan yerdir. Bu yön alternatif çalışma yeri stratejisi yazısında tartışılıyor.

Olay bildirimi ve politika ihlali

Uzaktaki çalışanın yanında danışacak meslektaşı yoktur; bu yüzden bildirimi geciktirir. Politika, uzaktan çalışırken bildirilecek durumları somut örneklerle sayar: cihazın kaybolması veya çalınması, cihazın başkası tarafından kullanılması, şüpheli bir bağlantıya tıklanması, basılı belgenin kaybı, ev ağında olağan dışı bir durum. Bildirim kanalı ve mesai dışı telefon numarası politikada yer alır. Bildirimin ardından olayın nasıl değerlendirileceği olay yönetimi prosedürü rehberinde anlatılıyor.

Bildirimi hızlandırmak için şu ilkeyi açıkça yazın: kaybı veya hatayı zamanında bildiren çalışan, bildirimi nedeniyle değil, varsa kasıtlı ihlali nedeniyle değerlendirilir. Korkan çalışan susar. İhlal durumunda uygulanacak yaptırım, Annex A 6.4 kapsamındaki disiplin sürecine atıfla belirtilir; uzaktan çalışma yetkisinin geri alınması da olası sonuçlardan biridir.

Yayına almadan önce son kontrol:

• Kapsam, tedarikçi uzaktan erişimini ayrı prosedüre bırakıyor mu?
• Kişisel cihaz senaryosunda erişilebilecek bilgi ve kurumsal silme kapsamı açık mı?
• Fiziksel güvenlik ve basılı belge maddeleri gözlemlenebilir davranışlar mı?
• Teknik ayrıntılar standarda devredilmiş ve atıflar doğru mu?
• Çalışan beyanı ve yetkilendirme kaydı nerede tutuluyor?

Uzaktan çalışma politikasını diğer BT politikaları ve talimatlarıyla tutarlı bir set olarak hazırlamak için kurumsal BT politikaları, prosedürler ve talimatlar sayfasına bakabilirsiniz. Kontrolün resmi kaynağı ISO/IEC 27001 standardıdır.

Sık sorulan sorular

Uzaktan çalışma politikası ayrı bir belge mi olmalı?

Zorunlu değil. Konu bazlı ayrı bir politika olarak yazılabilir ya da kabul edilebilir kullanım politikasının bir bölümü olabilir. Yetkilendirme, cihaz senaryoları ve fiziksel güvenlik gibi uzaktan çalışmaya özgü kuralların açıkça yer alması yeterlidir.

Kişisel cihazla uzaktan çalışmaya izin verilmeli mi?

Kuruluşun risk değerlendirmesine bağlıdır. İzin verilecekse erişim kapsamı daraltılır, kurumsal veri uygulama düzeyinde korunur, yerel veri saklama sınırlanır ve kuruluşun kişisel alana erişmeyeceği politikada açıkça yazılır.

Evde basılı belge kullanımı nasıl düzenlenmeli?

Gizli sınıftaki bilgilerin evde yazdırılması yasaklanabilir. Diğer belgeler kilitli bir yerde saklanır, ev çöpüne atılmaz; ofise geri getirilerek imha sürecine teslim edilir veya kuruluşun onayladığı yöntemle imha edilir.

VPN türü veya şifreleme ayarları politikaya yazılmalı mı?

Hayır. Politika onaylı uzak erişim yönteminin kullanılmasını ilke olarak yazar; teknoloji ve ayarlar teknik standartta yer alır. Teknoloji değiştiğinde politikanın yeniden onaylanması gerekmez.