Politika, standart ve prosedür farkı

Altay Kargo altı ay sonra ISO/IEC 27001 sertifikasyon denetimine girecek. Güvenlik ekibi ortak klasördeki belgeleri saydı ve kırk iki dosya buldu. Parola kuralı üç ayrı belgede üç farklı biçimde yazılmıştı. Birinde sekiz karakter, ötekinde on iki karakter isteniyordu.

Üçüncüsü yalnız güçlü parola kullan diyordu. Denetçi bu klasörü açınca ilk olarak hangi belgenin bağlayıcı olduğunu soracak. Bu derste belge katmanlarını ayırmayı öğreneceksin.

Önce dört katmanı ve bağlayıcılık farkını göreceksin. Sonra denetlenebilir bir politika cümlesinin nasıl kurulduğuna bakacaksın. Ardından parola kuralını üç katmanda yazıp etki alanı ayarıyla kanıtlayacaksın. En sonda politikanın yaşam döngüsünü, sürüm kontrolünü ve istisna kaydını öğreneceksin.

Güvenlik belgeleri dört katmanda durur ve her katmanın ayrı bir görevi vardır. Politika en üstte yer alır. Üst yönetim onaylar ve politika bütün kurumu bağlar. Politika ne ve neden sorularını yanıtlar.

Altay Kargo'nun Bilgi Güvenliği Politikası, her çalışanın müşteri verisini koruma yükümlülüğünü anlatır. Standart politikanın altındadır ve ölçülebilir bir eşik koyar; ne kadar sorusunu yanıtlar. Parola Standardı en az on iki karakter ve üç farklı karakter sınıfı ister. Prosedür bir kademe aşağıdadır ve nasıl sorusunu adım adım yanıtlar.

Parola Sıfırlama Prosedürü, destek ekibinin arayan kişiyi hangi sırayla doğrulayacağını yazar. En altta kılavuz durur. Kılavuz tavsiye niteliğindedir ve duruma göre esner.

Uzaktan Çalışma Kılavuzu ev ağını güvenli kurmak için öneri verir ama zorunlu tutmaz. Dört katman aynı hedefe hizmet eder. Aralarındaki fark bağlayıcılık derecesidir.

Her katmanın içinde tanıdık belge türleri bulunur. Politika katmanında kabul edilebilir kullanım politikası (AUP), çalışanın kurum cihazıyla ne yapabileceğini söyler. Kendi cihazını getir (BYOD) politikası, kişisel telefonun iş verisine nasıl dokunacağını belirler.

Temiz masa, veri sınıflandırma ve saklama, erişim kontrolü, veri imhası, gizlilik ve olay müdahalesi politikaları da bu katmandadır. Zafiyet bildirim politikası, dışarıdan gelen açık bildiriminin nasıl karşılanacağını anlatır. Standart katmanında parola, şifreleme, fiziksel güvenlik ve sistem sıkılaştırma temel çizgileri yer alır.

Prosedür katmanında standart işletim prosedürü (SOP) ve runbook bulunur. SOP ile rutin bir iş herkesçe aynı biçimde yapılır. Runbook ise tek bir operasyon görevini, örneğin bir sunucuyu yedekten dönmeyi, komut komut tarif eder.

Kılavuz katmanında kıyaslama belgeleri, uygulama kılavuzları ve referans mimariler durur. CompTIA Security+ SY0-801 sınav hedefleri de belgeleri bu gruplarla sayar. İş sürekliliği ve felaket kurtarma planlarını ise ayrı bir plan grubu olarak ekler.

Bağlayıcılık derecesi pratikte fark yaratır. Standarttan sapmak istisna onayı gerektirir. Güvenlik ekibi ya da politika sahibi bu istisnayı yazılı olarak onaylar ve bir süre koyar. Kılavuzdan sapmak için böyle bir onay gerekmez; ekip kendi bağlamına göre karar verir.

Altay Kargo'da depo ekibi, kılavuzdaki bir öneriyi saha koşulları nedeniyle uygulamayabilir ve gerekçesini not düşer. Aynı ekip parola standardındaki asgari uzunluğu kendi kararıyla düşüremez. Bunun için yazılı istisna ister.

Prosedürde de benzer bir kural vardır. Bir adımı atlayan kişi bunu kayda geçirir, çünkü denetçi prosedürü adım adım izler.

İyi bir politika cümlesi ölçülebilir olur. "Sistemler güvenli tutulmalıdır" cümlesi hoş görünür ama denetlenemez. Kimse bu cümlenin karşılanıp karşılanmadığını kanıtlayamaz.

"Üretim sunucularına çok faktörlü kimlik doğrulama olmadan erişim kapalıdır" cümlesi aynı niyeti taşır. Üstelik denetçi bu cümleyi tek bakışta sınar: ayarı okur ya da çok faktörsüz bir giriş dener. Ölçülebilir cümlenin üç işareti vardır. Bir özne taşır, yani kimin ya da neyin uyacağını söyler.

Bir koşul taşır, yani hangi durumda ne olacağını yazar. Bir de gözlenebilir bir sonuç taşır: erişim açık mı kapalı mı, kayıt var mı yok mu. "Gereken özen", "makul önlem" ve "uygun düzeyde" gibi ifadeler bu işaretlerin hiçbirini vermez. Denetçi böyle bir cümlede neyi arayacağını bilemez.

Politika belgesinin kendisi de dört unsur taşır. Amaç bölümü belgenin neden var olduğunu söyler. Kapsam bölümü kime ve hangi sistemlere uygulandığını yazar.

Sahip bölümü belgeyi güncel tutacak kişiyi unvanıyla atar. Gözden geçirme tarihi de bir sonraki kontrolün ne zaman yapılacağını gösterir. Sahibi olmayan politika kimsenin sorumluluğunda kalmaz ve zamanla eskir.

Politikaya ürün adı ve sayısal eşik yazmak da sık görülen bir hatadır. "Bütün dizüstü bilgisayarlarda X marka şifreleme yazılımı kullanılır" cümlesi, ürün değişince politikayı geçersiz bırakır. Üst yönetim onayı gereken belge, bir yazılım lisansı yüzünden yeniden onaya girer.

Doğru yerleşim şöyledir. Politika diskteki verinin şifrelenmesini ister. Standart algoritmayı ve anahtar uzunluğunu yazar. Prosedür kurulum adımlarını sayar.

Taslağı denetçi gözüyle okumanın kısa bir yolu var. Her cümlenin yanına bir soru yaz: Bunu hangi kayıtla görürüm? Cevap bir log, bir sistem ayarı ya da imzalı bir form ise cümle denetlenebilirdir.

Cevap "çalışana sorarım" ise cümle yeniden yazılır. Altay Kargo'nun güvenlik ekibi bu soruyla taslaktaki on dokuz cümleden yedisini yeniden yazdı. Yeniden yazılan her cümle ya bir koşul kazandı ya da bir standarda taşındı.

Şimdi Altay Kargo'nun parola kuralını üç katmanda yazalım. Amaç, her katmanın neyi taşıdığını ve denetçinin kanıtı nereden alacağını görmektir. Politika yalnız ilkeyi söyler ve sayı içermez. Standart ölçülebilir eşikleri madde madde sayar.

Prosedür bu eşiklerin etki alanında nasıl kurulacağını adım adım yazar. Aşağıdaki ilk blok bu üç katmanı gösterir. İkinci blok ise denetim günü alınan kanıttır.

Sistem yöneticisi Get-ADDefaultDomainPasswordPolicy komutunu denetçinin gözü önünde çalıştırır. Komut yalnız okur, hiçbir ayarı değiştirmez. Çıktı, etki alanının varsayılan parola ilkesini tek ekranda listeler.

BGP-01 BİLGİ GÜVENLİĞİ POLİTİKASI, madde 4.2
  Kurumun bilgi sistemlerine erişim, standartta tanımlı güçlü kimlik
  doğrulama ile yapılır. Sahip: Bilgi Güvenliği Yöneticisi.

PS-02 PAROLA STANDARDI, sürüm 3.1 (bağlı politika: BGP-01)
  1. Parola en az 12 karakterdir.
  2. Parola üç farklı karakter sınıfı içerir.
  3. Parola en geç 60 günde bir değiştirilir.
  4. 10 hatalı denemeden sonra hesap 30 dakika kilitlenir.
  5. Son 24 parola yeniden kullanılamaz.

PR-07 ETKİ ALANI PAROLA AYARI PROSEDÜRÜ (bağlı standart: PS-02)
  Adım 1  Default Domain Policy nesnesini Group Policy Management ile aç.
  Adım 2  Hesap ilkelerindeki değerleri PS-02 maddelerine göre gir.
  Adım 3  Değişikliği değişiklik kaydına işle ve ikinci kişiye onaylat.

PS C:\> Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled           : True
DistinguishedName           : DC=altaykargo,DC=example
LockoutDuration             : 00:30:00
LockoutObservationWindow    : 00:30:00
LockoutThreshold            : 0
MaxPasswordAge              : 60.00:00:00
MinPasswordAge              : 1.00:00:00
MinPasswordLength           : 12
objectClass                 : {domainDNS}
objectGuid                  : 5f1c2a7e-8d3b-4e61-9a20-3c7b6d4e9f18
PasswordHistoryCount        : 24
ReversibleEncryptionEnabled : False

Çıktıyı standardın maddeleriyle yan yana oku. MinPasswordLength 12 değeri birinci maddeyi karşılar. ComplexityEnabled True değeri ikinci maddeyi karşılar; Windows'ta bu ayar açıkken parola beş karakter grubundan en az üçünü içermek zorundadır. MaxPasswordAge 60.00:00:00 değeri altmış günü gösterir ve üçüncü maddeye uyar.

PasswordHistoryCount 24 beşinci maddeyle örtüşür. LockoutThreshold satırı ise 0 gösterir. Bu değer hesabın kaç hatalı denemede kilitleneceğini belirler. Sıfır, kilidin hiç devrede olmadığı anlamına gelir.

LockoutDuration satırındaki otuz dakika yanıltıcıdır; eşik sıfırken süre hiç uygulanmaz. Standardın dördüncü maddesi kâğıt üstünde kalmıştır. Denetçi bunu uygunsuzluk olarak yazar ve çıktının tarihli kopyasını kanıt kaydına ekler. Belge ile sistemin ayrıştığı yer, denetimin asıl aradığı yerdir.

Altay Kargo'nun on iki karakter, üç karakter sınıfı ve altmış gün kuralı kurum içi bir seçimdir. Güncel öneri başka bir yöne gider. NIST, SP 800-63B-4'ü Temmuz 2025'te son haliyle yayımladı. Belgeye göre tek başına kullanılan parola en az on beş karakter olur.

Çok faktörlü doğrulamanın parçası olan parolada alt sınır sekiz karakterdir. En az altmış dört karakterlik parolaya izin verilmesi önerilir. Karakter sınıfı karışımı gibi kompozisyon kuralları konmaz.

Periyodik değişim de istenmez; parola yalnız ele geçirildiğine dair kanıt varsa değiştirilir. Bunun yerine yeni parola, sızmış ve sık kullanılan parolalardan oluşan bir engel listesiyle karşılaştırılır. Standart da bir kez yazılıp unutulmaz. Ekip PS-02'nin bir sonraki sürümünde altmış günlük değişimi kaldırmayı ve engel listesini eklemeyi tartışıyor.

Politika bir kez yazılıp rafa kaldırılmaz; bir yaşam döngüsü izler. Döngü kapsamın ve amacın belirlenmesiyle başlar. Ardından araştırma gelir: mevzuat, sözleşme yükümlülükleri, risk değerlendirmesi ve bugünkü uygulama okunur. Taslak bu bilgiyle yazılır.

Taslak ilgili birimlerin görüşüne açılır ve gözden geçirilir. Onay, belgenin katmanına uygun makamdan alınır; politika için bu makam üst yönetimdir. Onaylanan belge yayımlanır ve çalışanlara duyurulur. Yayından sonra uyum izlenir: istisna sayısı, ihlal kayıtları ve denetim bulguları takip edilir.

Döngü periyodik gözden geçirmeyle kapanır ve yeniden başlar. Altay Kargo her politikayı yılda bir kez sahibiyle gözden geçirir. Değişiklik yoksa bile bu kararı yazılı olarak kaydeder. Büyük bir olay, yeni bir yasa ya da yeni bir hizmet de gözden geçirmeyi takvimden önce tetikler.

Yayımlanan belge kontrol altında tutulur. ISO/IEC 27001:2022'nin 7.5.3 maddesi dokümante bilginin dağıtımını, erişimini, korunmasını, sürüm kontrolünü ve saklanmasını ister. Altay Kargo'da her belgenin üst bilgisinde sürüm numarası, onay tarihi, onaylayan, bağlı olduğu politika ve dağıtım listesi yazar.

Eski sürüm silinmez, arşive alınır ve geçersiz işareti taşır. Böylece bir olay incelemesinde o tarihte hangi kuralın geçerli olduğu gösterilebilir. Okundu onayı da kanıt zincirinin parçasıdır.

Çalışan yeni politikayı açar ve "okudum, anladım" kutusunu işaretler; sistem tarihi ve kullanıcı adını kaydeder. Kamu tarafında da aynı yöntem görülür. Siber Güvenlik Başkanlığı'nın CVE başvuru sayfası, forma geçmeden önce "Zafiyet Bildirim Politikalarını okudum ve anladım" kutusunu işaretletir.

Standarttan sapmak bazen kaçınılmazdır. Altay Kargo'nun eski depo yönetim sistemi en çok sekiz karakterlik parola kabul ediyor ve yazılım bir yıl içinde değişecek. Ekip bu durumu sessizce kabul etmez, bir istisna kaydı açar.

Kayıt altı alan taşır: istisna numarası, ilgili standart maddesi, gerekçe, telafi edici kontrol, bitiş tarihi ve onaylayan. Telafi edici kontrol, sapmanın yarattığı riski başka bir yoldan azaltır. Bu örnekte sisteme yalnız VPN üzerinden ve çok faktörlü doğrulamayla erişilir.

Bitiş tarihi istisnayı kalıcı olmaktan korur. Süresi dolan istisna ya yeniden onaylanır ya da kapanır. Denetçi istisna listesini ister ve süresi geçmiş kayıtları ayrıca sayar. Onaysız sapma ise istisna değil, uygunsuzluktur.

İSTİSNA KAYDI     IST-2026-014
İlgili madde      PS-02 madde 1 (en az 12 karakter)
Sistem            Depo yönetim sistemi, sürüm 4.8
Gerekçe           Uygulama en çok 8 karakterlik parola kabul ediyor.
                  Yeni sistem 2027'nin ilk çeyreğinde devreye girecek.
Telafi kontrolü   Erişim yalnız VPN üzerinden ve çok faktörlü doğrulamayla.
                  Başarısız girişler her gün SOC ekibine raporlanır.
Bitiş tarihi      31.03.2027
Onaylayan         Bilgi Güvenliği Yöneticisi, 12.09.2026