Bilgi Güvenliği İç Organizasyonu Nasıl Olmalı?

ISO 27001:2013 A-6 Bilgi Güvenliği Organizasyonu

ISO 27001:2013 A 6.1 İç Organizasyon

Hedef: Kuruluş içerisinde bilgi güvenliği uygulaması ve işletimini başlatmak ve kontrol etmek için bir yönetim çerçevesi oluşturmak.

     ISO 27001:2013 A 6.1.1 Bilgi Güvenliği Rol ve Sorumlulukları

Kontrol: Tüm bilgi güvenliği sorumlulukları tanımlanmalı ve atanmalıdır.

Uygulama Kılavuzu;

Bilgi güvenliği sorumlulukları Bilgi Güvenliği Politikaları ile paralel olacak şekilde tahsis edilmesi gerekmektedir.

Genel olarak;

-  Her bir varlığın korunmasına ve özel bilgi güvenliği süreçlerinin uygulanmasına ilişkin sorumluluklar belirlenmelidir.

-  Bilgi güvenliği risk yönetim aktiviteleri ve artık riskin kabülüne ilişkin sorumluluklar tanımlanmalıdır.

-  Gerekli görülen noktalarda, özel konular ve bilgi işleme olanakları için tüm sorumluluklar, kılavuzluk edecek şekilde detaylandırılmalıdır.

-  Varlıkların korunması ve bilgi güvenliği aksiyonlarına alınmasına ilişkin sorumluluklar tanımlanmalıdır.

Bilgi güvenliğinin etkin olarak sürdürülebilmesi için sorumluluk sahibi kişiler sorumluklarını kurum içi diğer çalışanlara aktarabilirler. Burada en önemli nokta sorumluluklarını paylaşan kişilerin halen ‘accountable’ kişi olduğu unutulmamalıdır. Sorumluklarını delege eden kişi, görevlerin doğru olarak yerine getirip getirilmediğini takip etmekle sorumludur. Yetki delegasyonu sorumluluğu tümden ortadan kaldırmamalıdır.

Kişilerin hangi alanlardan sorumlu oldukları  belirlenmelidir. Bu süreçte;

-  Varlıklar ve bilgi güvenliği süreçleri belirlenmeli ve tanımlanmalıdır.

-  Her bir varlık veya bilgi güvenliği süreci ile atamalar yapılmalı ve sorumluluklara ilişkin detaylar dokümante edilmelidir. (ISO 27002:2013 8.1.2 gözden geçirilebilir)

-  Yetkilendirme mekanizmaları ve seviyeleri tanımlanmalı ve dokümante edilmelidir.

- Sorumlukları atanmış kişilerin yeterli yetkinlikte olması veya yeterli yetkinliğe gelmesi sağlanmalıdır.

-  Tedarikçi veya üçüncü tarafların koordinasyonu ve gözetimine ilişkin roller tanımlanmalı ve dokümante edilmelidir.