Annex A İnsan ve Fiziksel Kontroller: Sahada Uygulama ve Kanıt

Ayrılan çalışanın kartı üç hafta sonra hâlâ sistem odası kapısını açıyorsa, firewall’daki kural setinin ne kadar sıkı olduğunun önemi kalmaz. Annex A’nın insan (6.1–6.8) ve fiziksel (7.1–7.14) temaları toplam 22 kontrol içerir ve IT ekibinin tek başına kapatamayacağı alanlardır: İK, idari işler, tesis yönetimi ve hukuk birlikte çalışmak zorundadır. Bu rehber, kontrolleri bir çalışanın işe alımından ayrılışına ve bir bilginin binaya girişinden ortamın imhasına kadar izler; lokasyon türüne göre farkları ve denetimde sunulacak kanıtları tablolarla verir.

İnsan kaynakları kontrolleri: işe alımdan ayrılışa

İnsan teması sekiz kontrolden oluşur ve çalışan yaşam döngüsünü izler:

1. 6.1 Tarama (screening): İşe alım öncesi geçmiş doğrulaması. Kapsam, rolün eriştiği bilginin sınıfına ve risklere orantılı olmalıdır. Türkiye’de bu doğrulama KVKK ve iş hukuku sınırları içinde yapılır: adayın beyan ettiği diploma, sertifika ve referansların teyidi tipik uygulamadır; hassas roller için ek doğrulama yapılacaksa hukuki dayanak ve aday bilgilendirmesi önceden netleşmelidir.
2. 6.2 İstihdam şartları: İş sözleşmesinde veya eklerinde bilgi güvenliği sorumlulukları; ayrılıştan sonra da süren yükümlülükler.
3. 6.3 Farkındalık, eğitim ve öğretim: İşe girişte oryantasyon, periyodik farkındalık ve rol bazlı eğitim (yöneticiler, yazılımcılar, IT yöneticileri için ayrı içerik).
4. 6.4 Disiplin süreci: Politika ihlallerinde uygulanacak, çalışanlara önceden duyurulmuş bir süreç.
5. 6.5 Ayrılış veya görev değişikliği sonrası sorumluluklar: Ayrılıştan veya görev değişikliğinden sonra da geçerli kalan gizlilik ve diğer yükümlülüklerin tanımlanması ve kişiye hatırlatılması. Eski erişim haklarının kaldırılması organizasyonel temadaki 5.18’in konusudur.
6. 6.6 Gizlilik sözleşmeleri: Çalışan, stajyer, danışman ve tedarikçi personeli için.
7. 6.7 Uzaktan çalışma: Ofis dışında bilgiye erişim kuralları.
8. 6.8 Bilgi güvenliği olay bildirimi: Çalışanın şüpheli bir durumu nasıl ve nereye bildireceği.

Bu temanın en kırılgan noktası ayrılış sürecidir. İK’daki ayrılış tarihi ile IT’deki hesap kapatma tarihi arasındaki boşluk, denetimde en sık örneklenen konudur. Denetçi bir İK listesi ister, dizin servisinden hesapların devre dışı bırakılma kayıtlarını ister, ikisini yan yana koyar. Açık bir hesap çıkarsa iş biter. Ayrılış formunu İK, IT ve idari işlerin ayrı ayrı imzaladığı tek bir kontrol listesine dönüştürün; bu liste 6.5’i, 5.11’i ve 5.18’i birlikte kanıtlar: hesapların devre dışı bırakılması (5.18), uzaktan erişim ve MFA cihazlarının iptali, dizüstü bilgisayar, kart ve anahtarların iadesi (iade kontrolü organizasyonel temadaki 5.11’dir), paylaşılan parolaların değiştirilmesi. Paylaşılan parola kalemini sahada en sık unutulan madde olarak görüyoruz: yerel yönetici, switch enable parolası, Wi-Fi anahtarı. Uzaktan çalışma kuralları için uzaktan çalışma güvenlik politikası yazısına bakabilirsiniz.

Gizlilik sözleşmeleri ve disiplin süreci

6.6, gizlilik sözleşmelerinin kuruluşun bilgi koruma ihtiyaçlarını yansıtmasını ve düzenli aralıklarla gözden geçirilmesini ister. Sahadaki tipik eksik: yıllar önce hazırlanmış tek bir şablon herkes için kullanılıyor, tedarikçi personeli ise hiç imza atmamış. Bir gizlilik sözleşmesinde en azından korunan bilginin tanımı, yükümlülüğün süresi, sözleşme sonunda bilginin iadesi veya imhası, ihlal halinde yapılacaklar ve denetim hakkı bulunmalıdır. Metni hukuk birimi onaylamalı, imza kayıtları erişilebilir şekilde saklanmalıdır.

6.4 disiplin sürecinde iki ilke öne çıkar: süreç ihlalden önce tanımlanmış ve duyurulmuş olmalı, ihlalin ağırlığına göre kademelenmiş olmalıdır. Denetçi genellikle disiplin yönetmeliğinde bilgi güvenliği ihlallerine atıf olup olmadığına ve yönetmeliğin çalışanlara nasıl duyurulduğuna bakar. Gerçek bir disiplin vakasının ayrıntıları kişisel veri içerir; denetçiye gösterilmesi gerekmez. Sürecin varlığı ve işletildiğine dair anonim kanıt yeterlidir.

Farkındalık eğitiminin denetimde hangi kanıtlarla kabul gördüğünü eğitim ve farkındalık kanıtı yazısında ele aldık. Rol bazlı eğitim içeriğinin tasarımı için BGYS farkındalık ve rol bazlı eğitim hizmetimize bakabilirsiniz.

Fiziksel güvenlik çevresi ve giriş kontrolü

Fiziksel tema katmanlı bir yapı tarif eder. 7.1 güvenlik çevrelerinin tanımlanmasını, 7.2 fiziksel girişin kontrolünü, 7.3 ofis, oda ve tesislerin güvenliğini, 7.4 fiziksel güvenliğin izlenmesini, 7.5 fiziksel ve çevresel tehditlere karşı korumayı, 7.6 güvenli alanlarda çalışmayı kapsar. 7.4, 2022 sürümüyle gelen yeni kontroldür; yetkisiz fiziksel erişimin izleme sistemleriyle (kamera, alarm, kapı sensörü) tespit edilmesini ister.

Kontrol sırası şöyle olsun:

1. Alanları sınıflandırın: Genel alan (lobi, toplantı odası), çalışma alanı, güvenli alan (sistem odası, arşiv, Ar-Ge, prototip alanı).
2. Her sınır için giriş yöntemini belirleyin: Resepsiyon ve ziyaretçi kaydı, kartlı geçiş, güvenli alanlarda kart ile ikinci faktör (PIN veya biyometrik).
3. Giriş yetkilerini yönetin: Kart yetkileri, bilgi sistemlerindeki erişim hakları gibi talep ve onayla verilir, periyodik olarak gözden geçirilir. Kart sistemi ile AD’nin ayrı listeler tuttuğunu unutmayın; ikisi kendiliğinden eşleşmez.
4. İzlemeyi kurun: Güvenli alan kapılarında kamera ve kapı açık kalma alarmı; kayıtların saklama süresi ve kimin izleyebileceği tanımlı olsun.
5. Çevresel tehditleri değerlendirin: Yangın, su baskını, aşırı sıcaklık, deprem. Türkiye’de deprem riski, sistem odası yerleşimi ve kabinet sabitlemesi kararlarında açıkça değerlendirilmelidir.

Sahada sık gördüğümüz bir tablo: sistem odası kapısı kartlı, ama klimanın drenaj borusu rack’in tam üstünden geçiyor. Kapı kontrolü tek başına koruma sağlamaz. Sistem odası tasarımının teknik ayrıntıları için network sitemizdeki sistem odası kabinet ve rack yerleşimi yazısına bakabilirsiniz.

Temiz masa, ekran ve ekipman güvenliği

7.7 temiz masa ve temiz ekran kuralını, 7.8 ekipmanın yerleşimi ve korunmasını, 7.9 kuruluş dışındaki varlıkların güvenliğini, 7.11 destekleyici altyapıyı (enerji, iklimlendirme), 7.12 kablolama güvenliğini, 7.13 ekipman bakımını kapsar.

• 7.7: Kural yazılı olmalı ve teknik olarak desteklenmeli: otomatik ekran kilidi süresi grup ilkesiyle zorlanmalı, yazıcılarda kartla çıktı alma (pull printing) gibi önlemler değerlendirilmeli. Kanıt: politika, ilke yapılandırmasının ekran görüntüsü ve dönemsel saha kontrolü kaydı.
• 7.8 ve 7.11: Sunucu ve ağ cihazları kilitli kabinette; UPS ve iklimlendirme bakımı yapılmış; sıcaklık ve nem izleniyor. UPS akü testinin tarihi yoksa bakım yapılmış sayılmaz.
• 7.9: Dizüstü bilgisayarlar ve mobil cihazlar için disk şifreleme, araçta bırakmama kuralı, kayıp bildirimi.
• 7.12: Kabloların hasara ve dinlemeye karşı korunması, kabinet ve patch panellerin etiketli olması.
• 7.13: Bakım kayıtları; bakım için dışarı çıkan cihazlarda verinin korunması veya silinmesi.

Depolama ortamı ve güvenli imha

7.10 depolama ortamlarının (USB bellek, harici disk, yedek kartuşu, kâğıt) edinimden imhaya kadar yönetimini, 7.14 ise ekipmanın güvenli imhası veya yeniden kullanımını kapsar. İkisini birlikte tasarlayın; en riskli an bir cihazın kuruluştan çıktığı andır: arızalı diskin garantiye gönderilmesi, kiralık yazıcının iadesi, eski bilgisayarın bağışlanması. Kiralık yazıcıların dahili diski sahada en çok gözden kaçan ortamdır.

Pratik bir imha yaklaşımı:

• Yeniden kullanılacak ortam: Üreticinin desteklediği güvenli silme yöntemiyle (ör. SSD’ler için kriptografik silme veya üreticinin sanitize komutu) silme ve doğrulama. Medya temizleme yöntemlerinin sınıflandırılması için NIST SP 800-88 “Guidelines for Media Sanitization” yaygın bir başvuru kaynağıdır.
• İmha edilecek ortam: Fiziksel parçalama veya imha hizmeti; kâğıt ve elektronik ortamlar için parçacık boyutu güvenlik seviyelerini tanımlayan DIN 66399 standardına atıfla hizmet alınabilir.
• Kayıt: Seri numarası bazında imha tutanağı veya imha firmasının sertifikası; envanterde varlığın durumunun “imha edildi” olarak güncellenmesi.
• Kişisel veri: Kişisel veri içeren ortamlar için “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” kapsamındaki süreç ve kayıtlarla uyum.

Lokasyon türüne göre farklar

Aynı kontrol ofiste, üretim sahasında ve uzak lokasyonda farklı uygulanır. Risk değerlendirmesinde lokasyonları ayrı ele almak, SoA’daki tek bir “uygulandı” ifadesinin arkasındaki farkları görünür kılar. Üretim sahasındaki ortak kullanıcılı HMI terminali ile genel müdürlükteki dizüstü bilgisayar aynı risk değildir.

Konu	Ofis	Üretim sahası	Uzak lokasyon / ev
Giriş kontrolü	Resepsiyon, kartlı geçiş	Vardiyalı geçiş, taşeron girişi	Kuruluş kontrolünde değil
Ana risk	Ziyaretçi, temiz masa	Açık terminaller, OT kabinetleri	Cihaz kaybı, ekran görülmesi
Ekran güvenliği	Otomatik kilit	Ortak kullanım hesapları, kiosk	Kilit ve gizlilik filtresi
Ekipman koruma	Kilitli sistem odası	Toz, titreşim, sıcaklık	Disk şifreleme, VPN
Tipik kanıt	Geçiş kayıtları, ziyaretçi defteri	Kabinet kilit kontrolü, saha turu	MDM raporu, taahhütname

Prototip veya müşteri mülkiyeti fiziksel parçaların bulunduğu alanlarda gereklilikler ağırlaşır; otomotiv tedarikçileri için bu konuyu TISAX prototip koruma yazısında ele alıyoruz.

Kontrol–kanıt tablosu

Kontrol	Uygulama	Denetimde kanıt
6.1 Tarama	Rol bazlı doğrulama listesi	Örnek personel dosyasında doğrulama kaydı
6.3 Eğitim	Oryantasyon ve yıllık eğitim	Katılım listesi, sınav sonuçları
6.5 / 5.18 Ayrılış	Ortak ayrılış kontrol listesi, yükümlülük hatırlatması	Ayrılış tarihi ile hesap kapatma tarihi karşılaştırması
6.6 Gizlilik	Çalışan ve tedarikçi şablonları	İmzalı örnekler, şablon gözden geçirme kaydı
7.2 Fiziksel giriş	Kart yetki süreci	Güvenli alan yetki listesi ve gözden geçirmesi
7.4 İzleme	Kamera ve kapı alarmı	Kayıt saklama ayarı, alarm testi
7.7 Temiz masa	Politika ve ekran kilidi ilkesi	Saha kontrol kaydı, ilke ayarı
7.14 İmha	Silme ve imha prosedürü	Seri numaralı imha tutanağı

Tablodaki her satırın kanıtı denetimden önce sizin elinizde olmalı. Denetçi bulmaya çalışmamalı. Organizasyonel kontrollerin yorumu için Annex A organizasyonel kontroller yazısına, kontrol metinlerinin genel çerçevesi için ISO/IEC 27001:2022 sayfasına bakabilirsiniz. İnsan ve fiziksel kontrolleri BGYS’nin geri kalanıyla birlikte kurgulamak için BGYS kurulumu ve uygulama danışmanlığı kapsamında çalışıyoruz.

Sık sorulan sorular

İşe alım öncesi adli sicil kaydı istenebilir mi?

Bu, rolün niteliğine ve geçerli mevzuata bağlıdır. İstenecek her belgenin hukuki dayanağı ve orantılılığı İK ve hukuk birimiyle birlikte değerlendirilmeli, aday KVKK kapsamında bilgilendirilmelidir. ISO 27001 taramanın rolün riskiyle orantılı olmasını ister; belirli bir belgeyi zorunlu tutmaz.

Sistem odası olmayan, tamamen bulut kullanan bir şirkette fiziksel kontroller hariç tutulabilir mi?

Bazıları hariç tutulabilir; ama ofis girişi, temiz masa ve ekran, kuruluş dışındaki cihazların güvenliği ve güvenli imha gibi kontroller çoğu durumda uygulanabilir kalır. Veri merkezi tarafındaki fiziksel güvenlik ise bulut sağlayıcının güvence raporlarıyla tedarikçi kontrolleri üzerinden ele alınır.

Ayrılan çalışanın hesabı ne kadar sürede kapatılmalı?

Standart bir süre vermez; süreyi kuruluş risk değerlendirmesine göre kendisi belirler ve prosedüre yazar. Denetçi bu sürenin uygulanıp uygulanmadığını ayrılış tarihleriyle hesap kapatma kayıtlarını karşılaştırarak test eder.

Disk imhası için imha firmasının sertifikası yeterli mi?

Sertifika seri numaralarını içeriyorsa ve envanterdeki kayıtla eşleşiyorsa güçlü bir kanıttır. Seri numarası olmayan toplu tutanaklar hangi ortamın imha edildiğini göstermez; zayıf kalır.