Bilgi Güvenliği Politikası Nasıl Yazılır ve Uygulanır?

Bilgi güvenliği politikası, yönetimin bilgi güvenliğine bakışını ve taahhüdünü ifade eden en üst düzey dokümandır. İyi bir politika kısa, anlaşılır ve uygulanabilir olur; ayrıntılı kurallar alt politika ve prosedürlere bırakılır. Kötü yazılmış bir politika ise ya kimsenin okumadığı uzun bir metne ya da hiçbir işleyişe karşılık gelmeyen genel cümlelere dönüşür. Bu rehber, politikanın nasıl yazılacağını ve hayata geçirileceğini anlatır.

Politikanın görevi nedir?

• Kuruluşun amacı ve bağlamıyla uyumlu bilgi güvenliği yönünü belirlemek.
• Bilgi güvenliği hedeflerine çerçeve sağlamak.
• Uygulanabilir gereklilikleri karşılama ve BGYS’yi sürekli iyileştirme taahhüdünü ifade etmek.
• Kuruluş içinde duyurulmak ve ilgili taraflara uygun şekilde erişilebilir olmak.

Önerilen yapı (2–4 sayfa)

İyi ve kötü cümle örnekleri

Politika ile prosedürü karıştırmayın

Politika “ne” ve “neden” sorularını, prosedür “kim, nasıl, ne zaman” sorularını yanıtlar. Parola uzunluğu, yedekleme saati veya log saklama süresi gibi ayrıntılar politikaya yazılırsa, her teknik değişiklikte üst yönetim onayı gerekir. Bu ayrıntılar alt politika veya prosedürlerde tutulmalıdır. Doküman türleri için ISO 27001 dokümanları rehberine bakabilirsiniz.

Politikayı hayata geçirmek

1. Onay: Üst yönetimin imzası veya elektronik onayı, tarihli.
2. Duyuru: Tüm çalışanlara e-posta veya intranet duyurusu; yeni çalışanlara işe girişte.
3. Taahhüt: Kabul edilebilir kullanım gibi kullanıcı politikaları için okundu/kabul kaydı.
4. Eğitim: Farkındalık eğitimlerinde politikanın ana ilkeleri.
5. Ölçüm: Hedeflerin ve ihlallerin YGG’de raporlanması.
6. Gözden geçirme: Yılda bir veya önemli değişikliklerde.

TISAX ve IATF açısından

TISAX değerlendirmelerinde politikanın varlığından çok, kurum genelinde iletildiği ve uygulandığı değerlendirilir; prototip koruma veya veri koruma hedefleri varsa ilgili ilkeler politika setinde yer almalıdır. IATF 16949 kapsamında siber saldırılara karşı hazırlık ve eğitim beklentileri de politikaya bağlı süreçlerle karşılanabilir.

Sık sorulan sorular

Politikayı kim imzalamalı?

Üst yönetim; genellikle genel müdür veya yönetim kurulu adına yetkili bir yönetici.

Politika kamuya açık olmalı mı?

Standart, politikanın ilgili taraflara uygun şekilde erişilebilir olmasını bekler. Kısa bir özetin web sitesinde yayımlanması yaygın bir uygulamadır.

Grup politikası varsa yerel politika gerekir mi?

Grup politikası kapsamı karşılıyorsa kullanılabilir; yerel mevzuat ve kapsam farkları için kısa bir ek doküman hazırlanabilir.

Politika ve alt dokümanlarınızı kurumunuza özel hazırlamak için Bilgi Güvenliği Politika ve Prosedür Paketi; BT operasyonlarına yönelik kurallar için Kurumsal BT Politikaları ve Prosedürleri hizmetlerimizi inceleyebilirsiniz.