ISO 27001’de Uzaktan Çalışma Güvenliği Nasıl Sağlanır?

ISO 27001 kapsamında uzaktan çalışma güvenliği kuruluş dışından erişilen bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini koruyacak risk temelli kontrollerin oluşturulmasıyla sağlanır. Çalışanın kullandığı cihaz, bağlantı yöntemi, erişebildiği sistemler, fiziksel çalışma ortamı ve olası güvenlik olayları birlikte değerlendirilmelidir.

Güncel ISO/IEC 27001:2022 yaklaşımında kuruluşlar kendi bilgi güvenliği risklerini belirler, değerlendirir ve uygun risk işleme yöntemlerini oluşturur. Bu nedenle her kuruluş için aynı uzaktan çalışma modeli uygulanmaz. Finansal verilere veya kritik sistemlere erişen bir personelle düşük hassasiyetteki kurumsal uygulamaları kullanan bir çalışanın güvenlik gereksinimleri farklı olabilir.

ISO 27001 kapsamında güçlü bir uzaktan çalışma yapısı için erişim yönetimi, uç nokta güvenliği, güvenli bağlantı, çalışan farkındalığı, fiziksel güvenlik ve olay yönetiminin aynı sistem içerisinde ele alınması gerekir.

Uzaktan Çalışma Riskleri Nasıl Belirlenir?

İlk adım, personelin ofis dışında çalışırken bilgiye hangi yollarla eriştiğini belirlemektir.

Risk değerlendirmesinde örneğin şu senaryolar ele alınabilir:

• Dizüstü bilgisayarın kaybolması veya çalınması
• Kullanıcı hesabının yetkisiz kişilerce ele geçirilmesi
• Güvenli olmayan kablosuz ağ kullanılması
• Kurumsal verilerin kişisel cihazlara aktarılması
• Hassas bilgilerin üçüncü kişiler tarafından görülmesi
• Kurumsal cihazın başka kişiler tarafından kullanılması
• Zararlı yazılım bulaşması
• Yetkisiz bulut depolama hizmetlerinin kullanılması
• Basılı evrakların kontrolsüz biçimde saklanması
• Güvenlik olayının zamanında bildirilememesi

Riskler, gerçekleşme olasılığı ve bilgi güvenliği üzerindeki etkileri dikkate alınarak değerlendirilir. Uygulanacak kontroller de bu değerlendirmenin sonucuna göre belirlenir.

Uzaktan Erişim Yetkileri Nasıl Yönetilmeli?

Uzaktan çalışanların yalnızca görevlerini yerine getirmek için ihtiyaç duydukları sistem ve bilgilere erişmesi gerekir.

Örneğin satış departmanındaki bir çalışanın görev kapsamında kullanmadığı sunuculara veya yönetim panellerine erişiminin bulunması gereksiz risk oluşturabilir.

Erişim yönetiminde;

• kullanıcı hesapları,
• rol bazlı yetkilendirme,
• ayrıcalıklı hesaplar,
• uzaktan erişim izinleri,
• geçici yetkiler,
• çalışan görev değişiklikleri

düzenli olarak kontrol edilmelidir.

Bir çalışan departman değiştirdiğinde veya kuruluşla ilişkisi sona erdiğinde mevcut yetkilerin gözden geçirilmesi gerekir. Kullanıcı hesabı, uzaktan bağlantı yetkileri, sertifikalar ve ilgili uygulama erişimleri tanımlanmış süreç üzerinden güncellenebilir veya kaldırılabilir.

Kişisel Bilgisayardan Çalışmaya İzin Verilebilir mi?

Kuruluşlar kendi risk değerlendirmeleri ve politikaları doğrultusunda kişisel cihaz kullanımına izin verebilir. Bu durumda hangi bilgilerin kişisel cihazlarda işlenebileceği, hangi uygulamalara erişilebileceği ve verilerin nerede saklanabileceği açık biçimde tanımlanmalıdır.

Kişisel cihaz kullanımı söz konusu olduğunda kuruluşun güvenlik güncellemelerini, zararlı yazılım korumasını, disk şifrelemeyi ve kurumsal verilerin silinmesini ne ölçüde kontrol edebildiği değerlendirilmelidir.

Kurumsal ve kişisel verilerin ayrılması için cihaz yönetimi veya uygulama bazlı koruma teknolojileri de kullanılabilir.

Fiziksel Güvenlik Evden Çalışmada Neden Önemlidir?

Bilgi güvenliği dijital verilerle sınırlı bir alan oluşturmaz. Kağıt üzerindeki bilgiler, telefon görüşmeleri ve bilgisayar ekranında görüntülenen veriler de korunmalıdır.

Ev veya ortak çalışma ortamında;

• ekranın üçüncü kişiler tarafından görülmesi,
• toplantıların başkaları tarafından duyulması,
• çıktıların açıkta bırakılması,
• cihazın gözetimsiz bırakılması

gibi riskler oluşabilir.

Çalışanların masadan ayrılırken ekranı kilitlemesi, kurumsal cihazları başkalarıyla paylaşmaması ve hassas görüşmeleri uygun ortamlarda yapması bilgi güvenliğini destekleyen temel uygulamalardır. Basılı dokümanların saklanması ve imhası için de kurum kuralları belirlenebilir.

Veri Paylaşımı Nasıl Yapılmalı?

Uzaktan çalışma sırasında personel ekip arkadaşları, müşteriler ve tedarikçilerle yoğun biçimde dosya paylaşabilir.

Kuruluş hangi dosya paylaşım sistemlerinin kullanılabileceğini tanımlamalıdır. Kurumsal bilgilerin kişisel e-posta hesaplarına, izinsiz bulut depolama servislerine veya kontrolsüz mesajlaşma uygulamalarına aktarılması bilgi güvenliği riski oluşturabilir.

Bilgi sınıflandırması bu noktada önem taşır.

Herkese açık bilgiler ile ticari sır, kişisel veri veya müşteri bilgisi içeren dosyalar aynı güvenlik seviyesiyle yönetilmeyebilir.

Bilginin sınıfına göre paylaşım, şifreleme ve erişim koşulları belirlenebilir.

ISO 27001 ile ISO 9001 Birlikte Uygulanabilir mi?

ISO/IEC 27001 ile ISO 9001 aynı kuruluş içerisinde entegre yönetim sistemi yaklaşımıyla uygulanabilir.

ISO 9001:2026 kalite yönetim sistemi gerekliliklerini ele alırken ISO/IEC 27001:2022 bilgi güvenliği yönetimine odaklanır.

Her iki yönetim sistemi de kuruluşun bağlamının anlaşılması, liderlik, planlama, performans değerlendirmesi ve sürekli iyileştirme gibi ortak yönetim prensipleriyle çalışır.

Örneğin uzaktan yürütülen bir müşteri hizmetleri sürecinde hizmet kalitesi ve müşteri beklentileri ISO 9001 kapsamında, kullanılan müşteri bilgilerinin güvenliği ise ISO 27001 kapsamında yönetilebilir.

Bu yapı, kalite ve bilgi güvenliği süreçlerinin aynı yönetim yaklaşımı içerisinde izlenmesine katkı sağlar.

ISO 27001’de Güvenli Uzaktan Çalışma İçin Temel Yaklaşım Nedir?

ISO 27001 kapsamında güvenli uzaktan çalışma için tek bir teknoloji veya yazılım çözümü bulunmaz. Kuruluşun faaliyetleri, kullandığı bilgi varlıkları, çalışan profili ve riskleri uygulanacak kontrolleri belirler.

Etkili bir yapı için kimlerin uzaktan çalışabileceği, hangi sistemlere erişebileceği, hangi cihazların kullanılacağı, bağlantının nasıl kurulacağı ve güvenlik olaylarının nasıl bildirileceği açık biçimde tanımlanmalıdır.

Teknik önlemler çalışan farkındalığı, fiziksel bilgi güvenliği ve düzenli risk değerlendirmesiyle desteklendiğinde uzaktan çalışma daha kontrollü bir yapıya kavuşur. Kontrollerin etkinliğinin izlenmesi ve çalışma koşulları değiştikçe risklerin yeniden değerlendirilmesi de bilgi güvenliği yönetim sisteminin sürekliliğini destekler.