Amaç ve kapsam
Kafkal Yazılım bilgi sistemlerine erişimi, doğrulanmış kimlik ve onaylanmış iş ihtiyacı temelinde sağlar. Politika; çalışan, dış taraf, hizmet hesabı, ayrıcalıklı hesap ve müşteri/kullanıcı erişimleri dâhil BGYS kapsamındaki tüm kimlikleri ve erişim kanallarını kapsar.
Kullanıcı türleri
| Kullanıcı türü | Kullanım amacı | Temel yetki kuralı | Onay sahibi | Gözden geçirme |
|---|---|---|---|---|
| Standart çalışan | Günlük iş uygulamaları | Rol tabanlı, en az ayrıcalıklı erişim | BGYS Sorumlusu | Asgari kontrol takvimine göre |
| Ayrıcalıklı yönetici | Sistem, ağ, veri tabanı ve güvenlik yönetimi | Ayrı hesap, MFA, süreli yetki ve ayrıntılı kayıt | Üst Yönetim | Asgari kontrol takvimine göre |
| Dış taraf / tedarikçi | Sözleşmeli ve sınırlı destek faaliyeti | Süreli, gözetimli ve yalnızca ilgili sistemle sınırlı | Üst Yönetim | Asgari kontrol takvimine göre ve sözleşme sonunda |
| Hizmet / uygulama hesabı | Sistemler arası teknik işlem | Etkileşimli oturum kapalı; sır sahibi, rotasyonu ve kullanım amacı kayıtlı | BGYS Sorumlusu; ayrıcalıklıysa Üst Yönetim | Asgari kontrol takvimine göre |
| Geçici / stajyer | Süreli görev veya proje | Otomatik bitiş tarihli, rol ile sınırlı | Üst Yönetim | Asgari kontrol takvimine göre ve görev sonunda |
| Müşteri / son kullanıcı | Sunulan hizmetlere erişim | Hizmet riskine uygun kimlik doğrulama ve işlem kontrolleri | Üst Yönetim tarafından onaylanan hizmet kuralları | Risk ve mevzuat gereğine göre |
Yeni bir kullanıcı türü veya rol, kullanılmadan önce görevlerin ayrılığı ve veri erişimi yönünden değerlendirilir; sahibi ve yetki kapsamı tanımlanır.
Tabloda belirtilen olağan gözden geçirme dönemleri Güvenlik Yönetimi Prosedürü içindeki asgari kontrol takviminden uygulanır.
Politika kuralları
- Her kullanıcıya izlenebilir, kişiye özel hesap atanır; ortak hesaplar zorunlu olmadıkça kullanılmaz.
- Yetkiler en az ayrıcalık, bilinmesi gereken ve görevlerin ayrılığı ilkelerine göre verilir.
- Kritik ve uzaktan erişimlerde çok faktörlü kimlik doğrulama uygulanır.
- Ayrıcalıklı hesaplar normal kullanıcı hesaplarından ayrılır; kullanımları kayıt altına alınır ve periyodik gözden geçirilir.
- İşe giriş, görev değişikliği ve işten ayrılma bildirimleri erişim yaşam döngüsünü tetikler.
- Kullanılmayan, süresi dolan veya sahibi belirsiz hesaplar kapatılır.
- Erişim hakları yukarıdaki sıklıklarda ve ayrıca rol, risk, sistem ya da sözleşme değişikliğinde gözden geçirilir.
- Başarısız oturum açma, yetki yükseltme ve kritik işlem kayıtları izlenir.
Parola ve kimlik doğrulama kuralları
Parolalar kişiye özeldir; paylaşılmaz, açık metin olarak saklanmaz ve kişisel hesaplarla ortak kullanılmaz. Kafkal Yazılım uzun ve tahmin edilmesi güç parola cümlelerini, çok faktörlü kimlik doğrulamayı ve onaylı parola yöneticilerini esas alır.
- Varsayılan ve üretici parolaları sistem kullanıma alınmadan değiştirilir.
- Parola uzunluğu, engellenen zayıf parola listesi ve deneme sınırı sistem riskine göre belirlenir.
- Parolalar e-posta, mesaj veya destek kaydı içinde açık biçimde gönderilmez.
- İlk kullanım ve yönetici sıfırlaması sonrasında parola değişikliği zorunludur.
- İhlal şüphesinde parola derhal değiştirilir, aktif oturumlar sonlandırılır ve olay bildirimi yapılır.
- Hizmet hesaplarının sırları güvenli kasada, sahibi ve yenileme tarihi tanımlı olarak tutulur.
Periyodik parola değişikliği, risk veya mevzuat gereği tanımlanır; kullanıcıları öngörülebilir parolalara yönelten gereksiz değişiklik zorunluluğu uygulanmaz. Ayrıcalıklı ve uzaktan erişimlerde MFA zorunludur.
Erişim yaşam döngüsü
- Talepte kullanıcı türü, rol, sistem/veri, iş gerekçesi, süre ve talep eden BGYS rolü belirtilir.
- BGYS Sorumlusu standart ve ayrıcalıksız hizmet hesabı erişimini onaylar. Ayrıcalıklı, dış taraf, geçici ve istisnai erişimler Üst Yönetim tarafından onaylanır.
- Yetki yalnızca onaylanan kapsamda uygulanır; uygulayan kişi, zaman ve teknik kanıt kaydedilir.
- Görev değişikliğinde mevcut yetkiler yeniden değerlendirilir; gereksiz yetkiler yeni yetki verilmeden kaldırılır.
- İşten ayrılma veya sözleşme bitiminde erişimler zamanında kapatılır, aktif oturumlar sonlandırılır ve kurumsal varlıklar iade alınır.
Ayrıcalıklı ve acil erişim
Ayrıcalıklı erişimler ayrı hesap, güçlü kimlik doğrulama, sınırlı süre ve etkinlik kaydıyla verilir. Acil erişim iş sürekliliği için önceden tanımlanır; kullanım kaydı BGYS Sorumlusu tarafından, önemli veya olağandışı kullanım ise Üst Yönetim tarafından sonradan incelenir.
Periyodik gözden geçirme
BGYS Sorumlusu güncel kullanıcı-yetki listesini hazırlar ve her erişim için koru, değiştir veya kaldır kararını kaydeder. Standart ve ayrıcalıksız hizmet hesabı kararlarını BGYS Sorumlusu kapatır; ayrıcalıklı, dış taraf, geçici ve istisnai erişimler Üst Yönetim onayına sunulur. Gerekçesiz ve yanıtsız erişimler korunmuş sayılmaz. Ayrılan kullanıcılar, kullanılmayan hesaplar, rol dışı yetkiler, süresi dolmuş dış taraf erişimleri ve ayrıcalıklı erişimler özellikle kontrol edilir. Sonuçlar tamamlanma tarihi, onaylayan BGYS rolü ve kapatılan yetki kanıtlarıyla saklanır; önemli veya geciken aksiyonlar Üst Yönetime raporlanır.
İstisnalar ve ihlaller
İstisnalar BGYS Sorumlusu değerlendirmesi ve Üst Yönetim onayıyla, süreli ve telafi edici kontroller belirtilerek açılır. Yetkisiz erişim şüphesi güvenlik olayı olarak ele alınır.