Günümüzde birçok işletme, ağ sunucularında, bilgisayarlarında, dizüstü bilgisayarlarında, mobil cihazlarında ve bulut hizmet sağlayıcılarında depolanan verilere tamamen bağımlı durumda. Bu verilerin bir kısmı muhtemelen kişisel bilgiler ve/veya gizli şirket bilgileri içermektedir.
Burada, erişim kontrolleri açısından bilgisayar sistemlerinizin güvenliğini gözden geçirirken dikkate alınması gereken bazı konulara bakıyoruz. Genel Veri Koruma Yönetmeliği (GDPR), kişisel verileri güvenli bir şekilde işlerken 'uygun teknik ve organizasyonel önlemler' almanız gerektiğini belirten güvenlik ilkesini ortaya koymaktadır. Bu, GDPR'yi geliştiren ve 'kişisel verilerin güvenli bir şekilde işlenmesi gerekliliğini' de belirten 2018 Veri Koruma Yasası'nın (DPA) 6. İlkesi olarak da tekrarlanmaktadır.
Bu nedenle, işlediğiniz kişisel verilere yetkisiz veya kaz accidental erişimi önlemek, uyumluluk yolunda önemli bir adımdır.
Erişim güvenliği
Bilgisayarlara ve ağa yönelik iyi erişim kontrolleri, veri hırsızlığı veya kötüye kullanım riskini en aza indirir.
Erişim kontrolleri iki ana alana ayrılabilir:
- Fiziksel erişim – tesise kimlerin girebileceği ve kişisel verilere kimlerin erişebileceği üzerindeki kontroller
- Mantıksal erişim – çalışanların yalnızca kendi rollerini yerine getirmek için gerekli olan uygun yazılımlara, verilere ve cihazlara erişebilmelerini sağlamaya yönelik kontroller.
Fiziksel erişim
Kilitler, alarmlar, güvenlik aydınlatması ve CCTV gibi fiziksel erişim kontrollerinin yanı sıra, tesise erişimin nasıl kontrol edildiği gibi başka hususlar da dikkate alınmalıdır.
Ziyaretçilerin sıkı gözetim altında olmadıkça serbestçe dolaşmalarına izin verilmemelidir.
Bilgisayar ekranlarının dışarıdan görünmemesini sağlayın.
Ağ politikaları kullanarak, iş istasyonlarının ve/veya mobil cihazların gözetimsiz bırakıldıklarında veya kullanılmadıklarında kilitlenmelerini sağlayın.
Kaybolan bir mobil cihazın uzaktan devre dışı bırakılabildiğinden emin olun.
Mobil cihazlar küçük boyutları nedeniyle yüksek riskli ürünlerdir; bu nedenle hassas veriler her zaman şifrelenmeli ve hizmete erişim PIN numarası veya parola ile kontrol edilmelidir.
USB aygıtlarına ve optik okuyucu ve yazıcılara erişimi devre dışı bırakmak veya kısıtlamak gerekebilir.
Yetkisiz ekipmanların kablo yoluyla ağa bağlanmasını önlemek için Radius sunucuları veya diğer ağ donanımları aracılığıyla ağ portlarının bloke edilmesi gerekebilir.
Son olarak, basılı haldeki bilgiler güvenli bir şekilde imha edilmelidir.
Mantıksal erişim
Personelin görevlerini yerine getirmek için gerekli olandan daha fazla erişime sahip olmamasını sağlamak amacıyla mantıklı erişim teknikleri kullanılmalıdır.
Hassas veriler şifrelenmeli ve bu verilere erişim ağ güvenliği, erişim kontrol listeleri ve kullanıcı profilleri aracılığıyla kontrol edilmelidir.
Bazı uygulamalara ve klasörlere erişimin kullanıcı bazında kısıtlanması da gerekebilir.
Son olarak, Windows'ta grup politikası aracılığıyla veya üçüncü taraf bir yönetim uygulaması kullanarak belirli makinelerdeki belirli aygıtları kilitlemek gerekebilir.
Şifreler
Kullanıcı adı ve şifreden oluşan bir parola politikası iyi bir uygulamadır.
Bunlar, ağdaki bir kullanıcının tanımlanmasına ve uygun izinlerin atanmasına yardımcı olur.
Şifrelerin etkili olabilmesi için şu özelliklere sahip olmaları gerekir :
- nispeten uzun olmalıdır (yani sekiz karakter veya daha fazla).
- Alfabetik, sayısal ve özel karakterlerin (örneğin &^) bir karışımını içerir.
- Otomatik parola yenileme seçenekleri aracılığıyla düzenli olarak değiştirilebilir.
- Bir çalışan ayrıldığında kaldırılır veya değiştirilir.
- Kişisel bilgiler içeren elektronik tablolar veya kelime işlem belgeleri gibi bireysel dosyalarda kullanılabilir.
- Sistemlerinizde güçlü bir şifreleme algoritması kullanılarak şifrelenmelidir.
ve yapmamalıdır
- Genel bir parola olabilir (yani tüm uygulamalar veya tüm kullanıcılar için aynı parola).
- Klavyeye veya ekrana yapıştırılan 'post-it' notlarına yazılabilir.
- Ortak kelimelerden veya ifadelerden ya da şirket adından oluşabilir.
- Geçici bir şifre olmadığı sürece (kullanım amacı ve kullanıcı adı gibi destekleyici bilgiler içermeyen), e-posta yoluyla gönderilmelidir.
- Sistemlerinizde düz metin olarak saklanmaz.
Denetim erişimi
GDPR'ın yasal bir zorunluluğu olmasa da, verilerin (ve bunlarda yapılan değişikliklerin) kaydedilmesi ve izlenmesi, GDPR'ın 32. maddesine uyumu desteklemede büyük ölçüde yardımcı olacaktır.
Veri işleme süreçlerinizi denetlemek, şunları incelemenize, raporlamanıza ve kanıtlamanıza olanak tanır:
- Verilere kimlerin ve ne zaman eriştiği
- Verilere ne sıklıkla erişildiği ve bu erişim miktarının uygun olup olmadığı
- Veri kaybı yaşanması durumunda, yapılan değişiklikleri ve kimler tarafından yapıldığını inceleyin.
Hem GDPR hem de DPA 2018, almanız gereken kesin önlemleri belirtmese de, ihtiyaçlarınıza ve işlediğiniz verilere uygun bir teknik çözüm kullanmayı düşünmelisiniz.
