"Bilgi güvenliği politikası nedir, bizde ne yazmalı?" sorusu çoğu zaman bir müşteri denetimi, bir tedarikçi anketi ya da bir veri ihlalinin ardından gündeme geliyor. Hazır bir şablonu kopyalamak kolay görünse de şirketin gerçek varlıklarına ve risklerine oturmayan bir metin, ilk denetimde işlevsiz kalıyor.
Bu yazıda bilgi güvenliği politikasının ne olduğunu, amacını ve bir şirket politikasında yer alabilecek başlıkları, Türkiye'deki üç kamu kaynağından ve ISO/IEC 27001'in kamuya açık tanıtımından derliyoruz. Başlıklar uydurma bir şablon değil; her biri aşağıda adı verilen kaynaklardaki tedbir alanlarına dayanıyor.
Bilgi güvenliği politikası nedir?
Bilgi güvenliği politikası, şirketin bilgiyi ve bilgi sistemlerini nasıl koruyacağına dair kurallarını, sorumluluklarını ve gözden geçirme düzenini yazılı hâle getiren üst düzey belgedir. Ayrıntılı uygulama adımları genellikle politikaya bağlı prosedürlerde yer alır.
ISO'nun ISO/IEC 27001 tanıtım sayfası, standardın bilgi güvenliğine insanları, politikaları ve teknolojiyi birlikte ele alan bütüncül bir yaklaşım getirdiğini belirtiyor. Yani politika, teknik önlemlerin yerine geçen bir belge değil; insan ve teknoloji tarafındaki önlemleri aynı çerçeveye bağlayan halka. Standardın kendisi, belgelendirme ve sürüm ayrıntıları için ISO 27001 yazısına bakılabilir.
Bilgi güvenliği politikasının amacı nedir?
Kaynakların ortak noktası, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak. 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, tedbirlerin amacını güvenlik risklerinin azaltılması ve özellikle bu üç özelliği bozulduğunda ciddi sonuç doğurabilecek kritik verilerin güvenliğinin sağlanması olarak tanımlıyor.
Kişisel veriler açısından KVKK'nın Kişisel Veri Güvenliği Rehberi, iyi bir politikanın risklerin önceden belirlenmesini ve istikrarlı biçimde önlem alınmasını sağlayacağını belirtiyor. Rehbere göre politika ve prosedürler şirketin işleyişine entegre edilmeli; zamanında hazırlanmadığında güvenlik seviyesi yeterince sağlanamıyor. Bu, 6698 sayılı Kanun'un 12. maddesindeki teknik ve idari tedbir yükümlülüğünün idari tarafını oluşturuyor; Kanun'daki diğer yükümlülükler KVKK şirket yükümlülükleri yazısında özetlendi.
Hangi çerçeveler referans alınabilir?
2019/12 sayılı Genelge. 6 Temmuz 2019 tarihli Resmî Gazete'de yayımlanan Genelge, kritik verilerin yurt içinde depolanmasından kurumsal e-posta kullanımına kadar 21 tedbir sayıyor ve bir Bilgi ve İletişim Güvenliği Rehberi hazırlanmasını öngörüyor.
Bilgi ve İletişim Güvenliği Rehberi. İlk sürümü Temmuz 2020'de Dijital Dönüşüm Ofisi tarafından yayımlanan Rehberin 1.1 sürümü Mart 2026 tarihli. Sürüm tablosuna göre güncelleme, mülga Ofisin yetkilerinin Siber Güvenlik Başkanlığına devredilmesi nedeniyle yapıldı. Rehber; devlet teşkilatındaki kurumları ve kritik altyapı hizmeti veren işletmeleri kapsıyor. Bu kapsam dışındaki bir şirket için bağlayıcı değil, ancak tedbirleri ürün ve teknolojiden bağımsız yazıldığı için iyi bir başlık listesi sunuyor. Rehber ayrıca içeriğini uluslararası standartlarla eşleştiren bir ek tablo içeriyor.
KVKK Kişisel Veri Güvenliği Rehberi. Nisan 2025 tarihli rehber, idari tedbirler tablosunda erişim, bilgi güvenliği, kullanım, saklama ve imha gibi alanlarda kurumsal politikaları ayrı bir kalem olarak sayıyor.
Kritik altyapı ve Siber Güvenlik Kanunu kapsamındaki yükümlülükler için 7545 sayılı Kanun yazısına bakılabilir.
Bilgi güvenliği politikası örnek başlıkları
Aşağıdaki başlıklar, kaynaklarda ayrı tedbir alanı olarak geçen konulardan derlendi. Her şirketin tümüne aynı ağırlıkta ihtiyacı olmayabilir; seçim, varlıklara ve risklere göre yapılmalı.
| Politika başlığı | Neyi düzenler? | Dayandığı kaynak |
|---|---|---|
| Amaç, kapsam ve varlık envanteri | Hangi donanım, yazılım ve verinin korunacağı | BİGR 2.1.1, 3.1.1–3.1.2 · KVKK idari tedbirler |
| Roller ve sorumluluklar | Onay, uygulama ve denetim görevleri | BİGR rol tanımları · KVKK 2.2 |
| Risk değerlendirmesi | Tehditlerin belirlenmesi ve önceliklendirilmesi | KVKK 2.1 · ISO tanıtım sayfası |
| Veri sınıflandırma | Verinin kategorilere ayrılması | BİGR 3.1.7.1 |
| Erişim kontrolü ve yetkilendirme | Hesap açma-kapama, asgari yetki | BİGR 3.1.12.1 · Genelge md. 15 |
| Parola ve kimlik doğrulama | Parola kuralları, kimlik doğrulama | BİGR 3.2.1 · KVKK teknik tedbirler |
| Kurumsal e-posta ve iletişim | Kurumsal ve kişisel hesapların ayrımı | Genelge md. 18–19 · BİGR 3.1.4 |
| Mobil ve taşınabilir cihazlar | Telefon, dizüstü, harici bellek kullanımı | BİGR 3.3 · Genelge md. 9–10 |
| Uzaktan çalışma | Uzaktan erişim, cihaz ve veri kuralları | BİGR 3.1.14.1 |
| Yedekleme ve iş sürekliliği | Yedek, felaket kurtarma | BİGR 3.1.13 · KVKK 3.6 |
| Olay yönetimi | Siber olaya müdahale ve bildirim | BİGR 3.1.10 · Genelge md. 14 |
| Tedarikçi ve bulut hizmetleri | Sözleşme ve güvenlik şartları | BİGR 3.5.3, 4.3 · KVKK 2.5, 3.4 |
| Eğitim, farkındalık ve disiplin | Çalışan eğitimi, gizlilik taahhüdü | BİGR 3.5.2 · KVKK 2.2 |
| Saklama ve imha | Verinin saklama süresi ve imhası | KVKK idari tedbirler · BİGR 4.1.5 |
| Gözden geçirme ve denetim | Periyodik kontrol ve güncelleme | KVKK 2.3 · BİGR 2.3.2 |
BİGR: Bilgi ve İletişim Güvenliği Rehberi (Sürüm 1.1). KVKK: Kişisel Veri Güvenliği Rehberi. Numaralar ilgili rehberin bölüm ya da tedbir numarasıdır.
Birkaç başlık için kaynakların altını çizdiği noktalar şöyle:
- Erişim: KVKK rehberi, erişim hakkı verilirken "İzin Verilmedikçe Her Şey Yasaktır" prensibinin esas alınmasını öneriyor. Genelge de üst düzey yöneticiler dahil erişim yetkilerinin fiilen yürütülen işe göre verilmesini istiyor.
- Disiplin: KVKK rehberine göre çalışanların güvenlik politika ve prosedürlerine uymaması hâlinde devreye girecek bir disiplin süreci olmalı.
- Tedarikçiler: Aynı rehber, hizmet alınan veri işleyenlerde en az şirketin kendi güvenlik seviyesinin sağlandığından emin olunmasını istiyor. Bu konudaki riskler tedarikçi kaynaklı veri ihlalleri yazısında ele alındı.
- Olay anı: Kişisel veri içeren ihlallerde Kurul'a bildirim süreci KVKK veri ihlali bildirimi yazısında anlatıldı.
Politikanın güncelliğinden kim sorumlu?
İncelenen kaynaklarda bütün şirketler için tek bir birimi işaret eden bir hüküm yok. Bilgi ve İletişim Güvenliği Rehberi, "Bilgi Güvenliği Yöneticisi"ni kurumda bilgi güvenliğinin sağlanmasından ve yönetiminden sorumlu personel olarak tanımlıyor; uygulama sürecinde ise sorumlu, onaylayan, danışılan ve bilgilendirilen rollerini ayıran bir sorumluluk atama matrisi kullanıyor. KVKK rehberi de politika ve prosedürler kapsamında kontrollerin düzenli yapılmasını, belgelenmesini ve güncellemelerden sonra sürdürülmesini istiyor.
Genelge'nin kapsamındaki kurumlar için ayrıca bir takvim var: Rehberin uygulanması yılda en az bir defa denetlenmeli. Kapsam dışındaki şirketler için bu bir zorunluluk değil, ancak yıllık gözden geçirme makul bir referans noktası.
Nereden başlamalı?
- Varlıkları çıkarın: Hangi sistem ve verinin korunacağını listelemeden yazılan politika genel kalır.
- Başlıkları riske göre seçin: Yukarıdaki tablo bir kontrol listesi olarak kullanılabilir; her başlık için kaynaktaki tedbirlerle mevcut durumu karşılaştırın.
- Sahiplik ve takvim belirleyin: Politikanın onaylayanını, uygulayanını ve gözden geçirme sıklığını belgenin içinde yazın.
Sık sorulan sorular
Bilgi güvenliği politikası yasal olarak zorunlu mu? İncelenen kaynaklarda bütün şirketler için "politika" adıyla bir belge zorunluluğu yer almıyor. Ancak kişisel veri işleyen şirketler için 6698 sayılı Kanun'un 12. maddesi teknik ve idari tedbir almayı zorunlu kılıyor; KVKK rehberi kurumsal politikaları bu idari tedbirler arasında sayıyor.
ISO 27001 belgesi için politika gerekli mi? ISO'nun kamuya açık tanıtımı, standardın bir yönetim sisteminin karşılaması gereken şartları tanımladığını ve politikaları bütüncül yaklaşımın parçası saydığını belirtiyor. Şartların ayrıntısı ücretli standart metninde yer alıyor.
Sonuç
İyi bir bilgi güvenliği politikası, kaynaklarda tanımlı tedbir alanlarını şirketin kendi varlıklarına ve risklerine göre seçen kısa ve uygulanabilir bir belgedir. Orient Global'in bakışıyla, politikayı yazmadan önce varlık envanteri ve boşluk analizi yapmak, metnin denetimde karşılık bulmasını sağlayan en sağlam başlangıç.
Bu yazı genel bilgilendirme amaçlıdır; hukuki danışmanlık yerine geçmez. Kendi durumunuz için uzmanınıza danışın.
#interimmanagement #forwarddeployedengineering