27001 Bilgi Güvenliği

ISO/IEC 27001 ve BGYS nedir?

Bilgi Güvenliği Yönetim Sistemi (BGYS), bilginin yetkisiz erişime, değiştirilmeye veya kaybolmaya karşı korunması için kurulan kurallar, roller ve kontroller bütünüdür. ISO/IEC 27001 bu sistemin nasıl kurulacağını, işletileceğini, izleneceğini ve geliştirileceğini tanımlayan uluslararası standarttır.

Standart üç temel güvenlik hedefi üzerine kuruludur:

• Gizlilik: Bilgiye yalnızca yetkili kişiler erişir.
• Bütünlük: Bilgi doğru ve eksiksizdir; izinsiz değiştirilemez.
• Erişilebilirlik: Bilgiye ihtiyaç duyulduğunda yetkili kişiler ulaşabilir.

27001 belirli bir teknolojiyi dayatmaz. Kurum önce hangi bilgi varlıklarına sahip olduğunu ve hangi risklerle karşılaşabileceğini belirler, sonra bu risklere uygun kontrolleri seçer.

Standart, bilginin yalnızca bilgisayar ortamındaki halini değil; kâğıt belgeleri, çalışanların bildiklerini ve fiziksel ortamları da kapsar. Bu nedenle bilgi güvenliği yalnızca bilgi işlem biriminin değil, tüm çalışanların sorumluluğundadır. Risk değerlendirmesi, hangi varlığın ne kadar değerli olduğunu ve hangi tehditle karşılaşabileceğini belirler; kontroller de bu değerlendirmeye göre seçilir. Kontroller teknik (şifreleme, erişim yönetimi, yedekleme), kurumsal (politika, eğitim, rol tanımı) ve fiziksel (kapı kontrolü, güvenli saklama) olabilir.

Sayfadaki belgeler neyi anlatır?

Sayfada listelenen belgeler, bir BGYS'nin tipik yapı taşlarını yansıtır:

• Bilgi güvenliği yönetim beyanı: Üst yönetimin bilgi güvenliğine bağlılığını ve genel hedefleri ortaya koyar.
• Bilgi güvenliği ilkesi ve politikası: Çalışanların ve ilgili tarafların uyması gereken genel kuralları belirler.
• Kimlik doğrulama politikası: Sistemlere kimlerin, hangi yöntemle giriş yapabileceğini düzenler. Bu tür politikalarda genellikle güçlü parola, çok faktörlü doğrulama ve yetkilendirme gibi konular ele alınır.
• Sosyal medya kullanımı: Kurum adına ya da kurum bilgisiyle yapılan paylaşımların sınırlarını belirler.

Her belgenin tam kapsamı için ilgili PDF dosyasını doğrudan okumanız gerekir; burada yalnızca bu tür belgelerin genel işlevi açıklanmıştır.

Bu belgeler birbirini tamamlar: yönetim beyanı neden, politika ne, prosedürler ise nasıl sorularını yanıtlar. Bu hiyerarşi, kurumun bilgi güvenliğini yalnızca teknik bir konu değil, yönetim sorumluluğu olarak ele aldığını gösterir. Belgelerin çoğu çalışanlara yöneliktir; dışarıdan okuyan biri için ise kurumun hangi ilkelere bağlı kaldığını görmek açısından bilgilendiricidir.

Sınai mülkiyet başvurusunda bilgi güvenliği neden önemlidir?

Patent veya faydalı model başvurusundaki buluş tarifi, henüz kamuya açılmamış teknik bilgi içerir. Marka ve tasarım başvurularında ise iş stratejisini ele veren bilgiler (yeni ürün adları, görünümler) bulunabilir. Bu bilgilerin erken ifşası hak kaybına, rakiplere avantaj sağlanmasına veya güven kaybına yol açabilir.

Buluşlarda ayrıca yenilik şartı vardır: buluş, başvuru tarihinden önce kamuya açıklanmışsa yenilik şartı zedelenebilir. Bu nedenle başvuru öncesinde bilginin kontrolsüz paylaşılmaması önemlidir. Kurumun bilgi güvenliği sistemi başvuru sonrasında da verilerin korunmasına katkı sağlar, ancak başvuru öncesindeki gizliliği korumak başvuru sahibinin sorumluluğundadır.

Başvuru sahibi olarak alabileceğiniz önlemler

Kurumun bilgi güvenliği politikası kadar, başvuru sahibinin kendi alışkanlıkları da önemlidir. Pratik öneriler:

1. Elektronik sistem hesabınızı güçlü ve başka yerde kullanılmayan bir parolayla koruyun; paylaşmayın.
2. Başvuru dosyalarını e-posta ile kontrolsüz biçimde göndermekten kaçının; mümkünse şifreli ve yetkili kişilerle sınırlı paylaşım yapın.
3. Buluş ayrıntılarını fuarlarda, sosyal medyada veya akademik yayınlarda başvurudan önce açıklamayın.
4. Danışman veya vekille çalışırken gizlilik taahhüdü alın.
5. Şüpheli e-posta veya sahte site yönlendirmelerine karşı dikkatli olun; işlemleri yalnızca resmî adresler üzerinden yapın.

Bilgi güvenliği bir belge değil, süreklilik gerektiren bir alışkanlıktır.

Kurumların bilgi güvenliği sistemlerinin yanında, bireysel dikkat de belirleyicidir. Örneğin aynı parolayı birden çok hizmette kullanmak, bir sızıntı halinde tüm hesapların risk altına girmesine neden olur. Ortak kullanılan bilgisayarlarda oturumu açık bırakmak, kimlik bilgilerini e-postayla paylaşmak veya şüpheli ekleri açmak da yaygın hatalardır. Bir vekille çalışıyorsanız, başvuru dosyalarınızın hangi kanallardan iletileceğini baştan netleştirin. Bu küçük önlemler, kurumun uyguladığı kontrollerle birleştiğinde buluş, marka ve tasarım bilgilerinizin korunma düzeyini belirgin biçimde yükseltir.

Bilgi güvenliği ihlali olduğunda ne yapılır?

Bilgi güvenliği yönetim sistemlerinin önemli bir parçası da olay yönetimidir. Yetkisiz erişim, kayıp veya sızıntı şüphesi doğduğunda kurumun şu adımları izlemesi beklenir: olayın tespiti, etkilenen varlıkların belirlenmesi, zararın sınırlandırılması, kök nedenin araştırılması ve tekrarını önleyecek düzeltici faaliyetin uygulanması.

Bir başvuru sahibi olarak aşağıdaki durumlardan birini fark ederseniz kuruma gecikmeden bildirmeniz uygun olur:

• Hesabınıza yetkisiz giriş yapıldığına dair şüphe.
• Başvurunuzda sizin yapmadığınız bir değişiklik görmeniz.
• Kurum adına gelen ve kimlik doğrulaması şüpheli e-posta veya mesajlar.

Bildirimlerinizi yazılı ve tarihli yapın; mümkünse ekran görüntüsü gibi kanıtları saklayın. Kişisel verilerin korunmasına ilişkin ayrı mevzuat da bulunduğundan, veri ihlali söz konusuysa hukuki sürecin nasıl işleyeceği konusunda uzman görüşü almak yerinde olur.

Bilgi güvenliği, bir kez kurulup tamamlanan bir proje değildir. Tehditler değiştikçe politikalar gözden geçirilir, çalışanlar eğitilir ve kontroller güncellenir. Bu nedenle sayfadaki belgelerin sürümlerini zaman zaman kontrol etmek yararlıdır.

Sonuç olarak bilgi güvenliği, kurum ile başvuru sahibi arasında paylaşılan bir sorumluluktur. Kurum sistemlerini ve süreçlerini korurken, siz de hesaplarınızı, cihazlarınızı ve paylaşım alışkanlıklarınızı koruyarak zinciri güçlendirirsiniz. Sayfadaki belgeler bu ortak sorumluluğun kurum tarafındaki çerçevesini gösterir.

Belgelerde geçen terimlerden emin değilseniz, bilgi güvenliği sözlüklerine veya ilgili standardın giriş bölümlerine başvurabilirsiniz.