ISO 27001 Doküman Güvenliği: Rol Tabanlı Erişim ve MFA

ISO 27001 doküman güvenliğinde temel kural şudur: herkes yalnızca işi için gereken dokümana erişmeli, giriş ikinci bir doğrulamayla korunmalı ve her yetki değişikliği kayda geçmeli. Rol tabanlı erişim ile çok faktörlü giriş bu üç şartı birlikte karşılar. Aşağıda kurulumun nerede başladığını ve nerede bozulduğunu anlatıyoruz.

Denetçi doküman erişiminde neye bakar?

Denetimlerde en sık sorulan soru basittir: bu dokümanı kim görebilir ve neden? Cevap kişi isimleriyle değil, gerekçeyle verilmelidir. Klasör paylaşım listesinin uzunluğu, olgunluğun değil dağınıklığın işaretidir.

Sahada gördüğümüz tablo çoğu zaman şöyle: erişim yıllar içinde birikmiş, işten ayrılanların hesabı açık kalmış, geçici yetkiler kalıcı hale gelmiş. Denetçi bu birikimi tek bir örnek hesabı inceleyerek bile görebilir.

Bu yüzden hedef üç parçalıdır: en az yetki, doğrulanmış kimlik ve izlenebilir değişiklik. Aşağıdaki bölümler bu üç parçayı sırayla ele alıyor.

Rol tabanlı erişim neden kişi bazlı yetkiden iyidir?

Kişi bazlı yetkide her çalışan için ayrı karar verilir. Beş kişide yönetilebilir, elli kişide kaçınılmaz olarak tutarsızlaşır. Rol tabanlı erişimde (RBAC) yetki kişiye değil göreve bağlanır; kişi göreve girince rolü alır, çıkınca kaybeder.

Filezonia, 6+1 rolle çalışan bir RBAC yapısı kullanır. Bu, her departman için ayrı bir rol uydurmak yerine sınırlı sayıda net rolün yeterli olduğunu gösterir. Rol sayısı arttıkça yönetim zorlaşır ve istisnalar çoğalır.

Rol tasarlarken unvana değil yapılan işe bakın. Bir kalite sorumlusu ile bir stajyerin dokümanla ilişkisi farklıdır; ikisine aynı rolü vermek kolaydır ama savunulamaz.

Zero-trust yaklaşımı pratikte ne demek?

Zero-trust, ağın içinde olmanın güven sağlamadığı varsayımıdır. Ofis ağından bağlanan kullanıcı da her istekte doğrulanır. Yetki bir kez verildi diye süresiz geçerli kabul edilmez.

Uygulamada bu, her erişim isteğinin kimlik, rol ve bağlam açısından kontrol edilmesi demektir. Filezonia bu yaklaşımı rol denetimi, ikinci faktör ve cihaz bağlamıyla birlikte uygular.

Sık yapılan hata, zero-trust'ı yalnızca bir ürün özelliği sanmaktır. Aslında bir işleyiştir: yetkiyi düzenli gözden geçirmezseniz en iyi altyapı da eskir.

MFA'yı şifrenin yanına nasıl koymalısınız?

Çok faktörlü giriş (MFA), şifreye ikinci bir kanıt ekler. Filezonia'da bu, RFC 6238 standardındaki zaman tabanlı tek kullanımlık kod (TOTP) ile yapılır. Kod, kullanıcının telefonundaki doğrulayıcı uygulamada kısa aralıklarla yenilenir.

Çalınan bir şifre tek başına yetmediği için riskin büyük kısmı bu adımda kesilir. Ayrıca IP ve tarayıcı parmak izi bağlamı, olağan dışı bir girişi fark etmeyi kolaylaştırır.

Karar noktası şudur: MFA'yı yalnızca yöneticilere mi, herkese mi zorunlu tutacaksınız? Doküman erişimi söz konusuysa herkese zorunlu tutmak daha savunulabilir; zayıf halka genellikle en az ilgilenilen hesaptır.

Yetki değişiklikleri kayıt altında olmalı

Erişimi doğru kurmak yetmez; sonradan ne değiştiğini de göstermeniz gerekir. Kim, kime, hangi rolü, ne zaman verdi? Bu soru yanıtsızsa denetimde güven kaybedersiniz.

Filezonia'da yetki değişiklikleri de denetim zincirine yazılır. Böylece rol atama ve kaldırma işlemleri, doküman işlemleriyle aynı izlenebilirlik mantığında tutulur.

Revizyon ve onay tarafındaki izlenebilirlik için ISO 9001 doküman kontrolü yazımıza göz atabilirsiniz. İki standart aynı kayıt disiplininden beslenir.

Yüklemede de güvenlik: sahte dosyayı içeri almamak

Erişim kontrolü yalnızca okuma tarafı değildir. Sisteme giren dosyanın gerçekten söylediği türde olması da gerekir. Uzantısı PDF görünen bir dosya aslında başka bir şey olabilir.

ISO 27001:2022 kapsamındaki yaklaşımımızda magic-byte kontrolü bu riske karşı kullanılır. Dosyanın ilk baytları gerçek türünü belirler; uzantı değiştirilse bile uyuşmazlık yakalanır.

Kişisel veri içeren dokümanlarda erişim kadar maskeleme ve silme de önemlidir. Bunun için KVKK uyumlu doküman yönetimi yazımıza bakın.

Mevcut düzeninizi bu ölçütlerle sınayın

Aşağıdaki karşılaştırma, kendi durumunuzu hızlıca tartmanıza yardım eder. Soldaki sütun sık görülen zayıf uygulamayı, sağdaki karşılığı gösterir.

• Her çalışanın hangi role bağlı olduğunu tek listede görebiliyor musunuz?
• Ayrılan birinin erişimi aynı gün kapanıyor mu?
• Tüm kullanıcılar için ikinci faktör zorunlu mu?
• Yetki değişikliklerinin kaydını denetçiye gösterebilir misiniz?
• Yüklenen dosyaların gerçek türü doğrulanıyor mu?

Önce rolleri yazın, sonra aracı seçin

Bu hafta yapabileceğiniz ilk iş, dokümanlara erişen herkesi görevine göre gruplamak ve gerekmeyen yetkileri kaldırmaktır. Ardından MFA'yı tüm hesaplar için zorunlu hale getirin.

Rol ve denetim kaydı yapısını hazır görmek isterseniz Filezonia kalite ve doküman yönetimi sayfasını inceleyebilirsiniz. Araç, yalnızca önceden düşünülmüş bir erişim planı varsa işe yarar.

Son olarak üç ayda bir yetki gözden geçirmesi takvimi koyun. ISO 27001 doküman güvenliği tek seferlik kurulum değil, düzenli tekrarlanan bir kontrol alışkanlığıdır.