Veri güvenliği olaylarının önemli bir kısmı karmaşık siber saldırılardan değil, gündelik davranışlardan kaynaklanır: paylaşılan bir parola, kilitlenmeden bırakılan bir ekran, yanlış kişiye giden bir e-posta. Bu davranışları yönetmenin ilk adımı, kuralları yazılı hale getirip çalışanlara tebliğ etmektir. Bilgi güvenliği politikası örneği, bu ihtiyaç için hazırlandı.
Hazırladığımız Word şablonu; KVKK kapsamında veri sorumlularının alması gereken idari tedbirlerin önemli bir parçasını oluşturan politikayı, 16 numaralı madde ve bir çalışan taahhütnamesiyle sunar. Şablon; İK ekipleri, BT yöneticileri ve KVKK uyum sorumluları için tasarlandı; özellikle ayrı bir bilgi güvenliği birimi bulunmayan küçük ve orta ölçekli işletmelere uygundur.
Bilgi Güvenliği Politikası (Word) İndirŞablonda Neler Var?
Politika, aşağıdaki numaralı maddelerden oluşur:
- Amaç: gizlilik, bütünlük ve erişilebilirliğin korunması ve KVKK uyumu.
- Kapsam: çalışanlar, stajyerler, uzaktan çalışanlar, tedarikçiler ve tüm bilgi varlıkları.
- Tanımlar: bilgi varlığı, gizlilik, bütünlük, erişilebilirlik ve bilgi güvenliği olayı.
- Roller ve sorumluluklar tablosu: üst yönetim, BT, İK, birim yöneticileri ve tüm çalışanlar.
- Sınıflandırma tablosu: kamuya açık, kurum içi, gizli ve çok gizli bilgiler ile temel kurallar.
- Erişim kontrolü ve parola güvenliği: en az yetki ilkesi, kişisel hesap, çok faktörlü doğrulama ve periyodik yetki gözden geçirme.
- Temiz masa ve temiz ekran kuralları.
- E-posta, internet ve kurumsal sistemler: iş amaçlı kullanım, oltalama, lisanslı yazılım ve aydınlatmaya dayalı ölçülü izleme.
- Mobil cihazlar ve uzaktan çalışma: şifreleme, taşınabilir ortamlar, güvenli bağlantı ve kayıp bildirimi.
- Yedekleme ve teknik tedbirler.
- Fiziksel güvenlik.
- Tedarikçiler: gizlilik hükümleri ve veri işleme sözleşmeleri.
- Olay bildirimi: bildirim kanalı ve kişisel veri ihlallerinde 72 saatlik Kurul bildirimi süreci.
- Farkındalık eğitimi.
- Politikaya aykırılık: disiplin yönetmeliğine atıf.
- Gözden geçirme ve yürürlük: sürüm tablosu.
Son sayfada çalışanın imzalayacağı taahhütname yer alır. Parola uzunluğu, değişim aralığı ve yedekleme sıklığı gibi teknik değerler, altyapınıza göre doldurmanız için yer tutucu olarak bırakıldı.
Nasıl Kullanılır?
- BT sorumlunuzla birlikte mevcut uygulamalarınızı listeleyin: hangi sistemler var, kim neye erişiyor, yedekleme nasıl yapılıyor.
- Şablondaki yer tutucuları (parola kuralları, yedekleme sıklığı, bildirim kanalı, VPN yöntemi) gerçek uygulamalarınıza göre doldurun.
- Uygulamadığınız bir kuralı yazmayın; yazdığınız her kuralın uygulanabilir olduğundan emin olun.
- Politikayı üst yönetime onaylatın ve sürüm tablosuna işleyin.
- Çalışanlara politikayı kısa bir eğitimle anlatın; taahhütnameyi imzalatıp özlük dosyasına koyun.
- Yeni işe girenlere politikayı oryantasyonda verin; politika güncellendiğinde çalışanlara yeniden duyurun.
Dikkat Edilecekler
6698 sayılı Kanun md. 12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getirir. Yazılı politika, bu idari tedbirlerin temel belgelerinden biridir.
| Konu | Kural |
|---|---|
| Kişisel veri ihlali | Kurul'a en kısa sürede ve en geç 72 saat içinde bildirim |
| İlgili kişi başvurusu | En geç 30 gün içinde yanıt |
| Çalışan izleme | Ölçülülük ve önceden aydınlatma |
| Politikaya aykırılık | Disiplin yönetmeliği ve iş mevzuatı çerçevesinde |
Bir ihlal yaşandığında atılacak adımlar için KVKK veri ihlali bildirimi rehberimize göz atabilirsiniz. Uzaktan çalışan ekipler için çalışana bildirilecek kurallar ise uzaktan çalışmada veri güvenliği yazımızda ayrıntılı olarak anlatılıyor.
Çalışanların kurumsal e-posta veya cihazlarının izlenmesi söz konusuysa, politikadaki izleme maddesinin aydınlatma metniyle uyumlu olduğundan ve izlemenin ölçülü yapıldığından emin olun.
Şablon genel bilgilendirme amacıyla hazırlanmıştır; işletmenizin altyapısına ve güncel mevzuata göre uyarlanmalıdır. Hukuki sonuç doğuran konularda bir hukuk danışmanına başvurmanızı öneririz.
Politikayı Diğer Belgelerle Uyumlu Hale Getirmek
Bilgi güvenliği politikası tek başına durmaz; çalışan aydınlatma metni, disiplin yönetmeliği, uzaktan çalışma sözleşmeleri, gizlilik sözleşmeleri ve kişisel veri saklama ve imha politikasıyla birlikte okunur. Bu belgeler arasında çelişki olmaması önemlidir: örneğin politikada yazan izleme uygulaması aydınlatma metninde yer almıyorsa veya disiplin yönetmeliğinde aynı ihlal için farklı bir yaptırım öngörülüyorsa, belgeleri birlikte güncelleyin.
Sık Yapılan Hatalar
- Uygulanmayan kurallar yazmak: Politikada çok faktörlü doğrulama yazıp uygulamamak, bir denetimde aleyhe delil olabilir.
- Politikayı yalnızca BT'ye bırakmak: İşe giriş ve çıkışta yetki yönetimi İK ile birlikte yürütülmelidir.
- Taahhütname almamak: Politikanın tebliğ edildiği ispat edilemezse disiplin süreçlerinde dayanak zayıflar.
- İzlemeyi gizli tutmak: Çalışan aydınlatılmadan yapılan izleme, KVKK ve kişilik hakları açısından risk doğurur.
- Hiç güncellememek: Yeni bulut hizmetleri ve uzaktan çalışma, politikanın düzenli olarak gözden geçirilmesini gerektirir.
Şablonu İndirin
Bilgi Güvenliği Politikası (Word) İndirKVKK uyumunuzu politikalar, aydınlatma metinleri ve İK süreçleri düzeyinde birlikte ele almak için İK Partner'ın iş hukuku ve mevzuat uyumu danışmanlığı ekibiyle ücretsiz ilk görüşme planlayabilirsiniz.
