Satın alma uzmanı taşeron firmaya teklif isterken üç dosya ekliyor. İkisi doğru, üçüncüsü müşterinin montaj çizimi. Dosyanın üzerinde hiçbir ibare yok — ne "gizli", ne müşteri adı, ne de bir uyarı satırı. Olay iki hafta sonra fark ediliyor ve incelemede çizimin ortak klasörde herkese açık durduğu ortaya çıkıyor. Kimse kural çiğnememiş, çünkü ortada kural yok. Doküman gizlilik sınıflandırması olmayan bir sistemde bu tür bir olay disiplin meselesi değil, tasarım eksikliğidir.
Sınıflandırma neden dosya adıyla olmaz
Çoğu firmada gizlilik, dosya adına eklenen bir kelimeyle yönetilmeye çalışılır: "MusteriCizimi_GIZLI.pdf". Bu yöntem üç yerde kırılır. Dosya kopyalandığında ad değişir, PDF açıldığında sayfada hiçbir ibare görünmez, çıktı alındığında kâğıtta iz kalmaz. Etiketin dosya adında değil dokümanın içinde ve kaydın alanında durması gerekir.
ISO/IEC 27001'in ekinde bu iş iki ayrı kontrole bölünmüştür. A.5.12 bilginin sınıflandırılmasını ister: bilgiyi değerine, kritikliğine ve açığa çıkması hâlindeki etkisine göre sınıflara ayırırsınız. A.5.13 ise etiketlemeyi ister: sınıflandırdığınız bilgiye, sınıfına uygun bir etiketin fiilen konulmasını bekler. İkisi ayrı kontroldür, çünkü uygulamada da ayrı ayrı aksarlar; sınıflandırma politikası yazılır ama etiket hiç basılmaz.
Üçüncü halka erişimdir. A.8.3 kontrolü, bilgiye erişimin erişim kontrol politikasına göre kısıtlanmasını ister. Etiket kâğıda basılır ama klasör herkese açıksa etiket sadece bir uyarıdır, kontrol değil. Üç halkayı birlikte kurmazsanız sistem yarım kalır ve denetimde bu yarımlık hemen görünür.
Kaç sınıf yeter
Üç ya da dört sınıf çoğu imalat firması için yeterli. Beş ve üzerine çıkanlarda tek bir sonuç gördüm: kullanıcı hangi sınıfı seçeceğini bilemiyor ve her şey ortadaki sınıfa yığılıyor. Sınıf sayısını artırmak korumayı artırmaz; kuralların netliği artırır. Bir sınıfın kurallarını üç cümlede anlatamıyorsanız o sınıf gereksizdir.
Sınıf tanımını yazarken soyut kelimelerden kaçının. "Önemli bilgi" tanım değildir. Doğru tanım örnekle ve sonuçla yazılır: hangi doküman türleri bu sınıfa girer, kim erişebilir, dışarı nasıl çıkar, nasıl imha edilir. Bilgi sınıflandırma politikası bu dört soruya her sınıf için cevap veriyorsa iş görür.
Sınıf adlarını da fazla ağırlaştırmayın. "Çok gizli", "hizmete özel" gibi kamu kökenli ifadeler imalat firmasında yerine oturmuyor; kimse hangisinin daha üstte olduğunu hatırlamıyor. Dört düz kelime yeter: genel, iç kullanım, kısıtlı, gizli. Bu adları Türkçe kullanın, İngilizce karşılıklarını politikanın tanımlar bölümünde parantez içinde verin — confidential, restricted, internal, public. Böylece uluslararası müşteri denetiminde de karşılığı anlaşılır.
| Sınıf | Tipik içerik | Erişim | Dışarı aktarım | İmha |
|---|---|---|---|---|
| Genel | Katalog, politika özeti, sertifikalar | Herkes | Serbest | Kural yok |
| İç kullanım | Prosedür, talimat, form, eğitim notu | Tüm personel | Yönetici onayı | Normal atık |
| Kısıtlı | Kontrol planı, FMEA, denetim raporu | İlgili bölümler | Bölüm müdürü onayı + NDA | Evrak imha |
| Gizli | Müşteri çizimi, maliyet, formülasyon, özlük | İsim bazlı liste | Üst yönetim onayı + NDA | Tutanaklı imha |
Tablodaki "kısıtlı" satırına dikkat edin. Otomotiv yan sanayinde kontrol planı ve FMEA çoğu zaman iç kullanım sanılır; oysa bunlar müşteri özel şartlarını ve proses bilginizi taşır. Bir rakibin eline geçen kontrol planı, ürün maliyetinizin haritasıdır. Bu iki dokümanı kısıtlı sınıfına almak, doküman gizlilik sınıflandırması çalışmasının en somut kazancıdır.
Sınıflandırmaya bütün doküman listesinden başlamayın; ilk haftada tıkanırsınız. Tersinden gidin ve önce gerçekten gizli olanları bulun. Bir tedarikçide bu liste 640 dokümanın 58'i çıktı — yani onda biri. O 58 dokümanı iki günde etiketleyip erişimini kısıtladık, geri kalanı varsayılan olarak iç kullanım kabul ettik. Riskin büyük bölümü iki haftada kapandı. Mükemmel sınıflandırmayı beklemek, hiç sınıflandırmamaktan daha çok zaman kaybettiriyor.
Etiketleme: ekranda, çıktıda, dosyada
Etiketin üç yerde görünmesi gerekir. Birincisi sistemde: doküman kaydının üzerinde sınıf bir alan olarak dursun, listede kolon olarak görünsün, filtrelenebilsin. İkincisi dokümanın kendisinde: şablonun alt bilgisine sınıf yazısı gelsin ve revizyon bilgisiyle birlikte bassın. Üçüncüsü çıktıda: kâğıda basıldığında da aynı ibare görünsün, mümkünse filigran olarak.
Gizli doküman etiketleme işinin en kolay yolu şablonu değiştirmektir. Prosedür ve talimat şablonlarınızın alt bilgisine sınıf alanı ekleyin; yeni revizyonlarda kendiliğinden gelsin. Eski dokümanları toplu olarak yeniden basmaya çalışmayın, ilk revizyonda düzelirler. Yalnızca gizli sınıfındakileri hemen elden geçirin; zaten sayıları azdır.
Rol bazlı erişim ve yazdırma kısıtı
Erişimi kişi bazında vermek, bu işin klasik tuzağı. Kişi bazlı liste ilk gün doğrudur, altı ay sonra yanlıştır; işe giren, ayrılan, bölüm değiştiren herkeste liste bozulur. Rol bazlı doküman erişimi ise pozisyona bağlıdır: "kalite mühendisi rolündeki herkes kontrol planlarına erişir". Rol değiştiğinde erişim de kendiliğinden değişir.
Yazdırma kısıtı ayrı bir başlık. Ekranda okunabilen bir dokümanın çıktısı alınabiliyorsa koruma kâğıtta biter. Gizli sınıfındaki dokümanlarda iki kural işe yarar: yazdırma yetkisini ayrıca vermek ve basılan her çıktıya kim, ne zaman bastı bilgisini filigran olarak koymak. İkinci kural teknik olarak basit ama davranış üzerindeki etkisi büyük; adının basılacağını bilen kişi gereksiz çıktı almıyor.
Kontrollü kopya mantığı burada da işler. Kâğıda basılan gizli dokümanın nerede olduğunu bilmiyorsanız geri toplayamazsınız. Doküman yönetiminin bu tarafını doküman yönetimi sayfamızda ve Excel ile doküman takibi yazımızda ayrıntılı ele aldık.
Sınıfı kim atar ve ne zaman değişir
Sınıfı bilgi güvenliği sorumlusu atamaz; dokümanın sahibi atar. Bir kontrol planının sınıfını kalite mühendisi, bir maliyet tablosunun sınıfını mali işler belirler. Bilgi güvenliği sorumlusunun işi kuralı yazmak ve tutarlılığı denetlemektir. Bu ayrımı kurmazsanız sınıflandırma tek kişinin sırtında kalır ve dokümanların yarısı sınıfsız bekler.
Atama anını da doğru seçin: sınıf, doküman oluşturulurken atanır. Yeni doküman kaydı açılırken sınıf alanı zorunlu olsun; boş bırakılamasın. Varsayılan değeri "iç kullanım" koyun ki kimse en açık sınıfa düşmesin. Sonradan toplu sınıflandırma yapmak, ilk günde alanı zorunlu yapmanın on katı emek ister.
Sınıflar zamanla değişir. Geliştirme aşamasındaki bir ürünün çizimi gizlidir; seri üretime geçip katalogda yayımlandıktan sonra kısıtlı hâle gelebilir. Tersi de olur: rutin bir denetim raporu, içine müşteri şikâyeti girdiği anda sınıf atlar. Sınıf değişikliğini revizyonla birlikte gözden geçirin ve değiştiren kişiyle tarihi kayıtta tutun. Doküman gizlilik sınıflandırması yaşayan bir alandır, bir kez doldurulup unutulan bir hücre değil.
Müşteri çizimleri ve üçüncü taraf verisi
Baştaki olayın kaynağı burada. Müşteri çizimi size ait değildir; sınıfını çoğu zaman imzaladığınız gizlilik sözleşmesi belirler. Sözleşmede özel bir hüküm yoksa en kısıtlayıcı sınıfı uygulayın. Bu dokümanların taşerona aktarımı iki aşamalı bir izin ister: önce müşteriden yazılı onay, sonra taşeronla imzalı gizlilik sözleşmesi.
Pratik bir kural koyun: müşteri verisi hiçbir zaman e-posta ekiyle üçüncü tarafa gitmez. Aktarım yapılacaksa sistem üzerinden, süreli ve izlenebilir bir bağlantıyla yapılır. Kimin ne zaman indirdiği kayıtta kalsın. Bu, A.5.14 kontrolünün istediği bilgi transferi kurallarının da karşılığıdır. Tedarikçi tarafındaki sözleşme ve değerlendirme disiplinini tedarikçi yönetimi sayfamızda anlattık.
Sınıflandırmayı denetlerken politikayı okumam, üç şey yaparım. Sistemde gizli sınıfındaki dokümanların listesini isterim ve sayısına bakarım; sıfırsa sınıflandırma yapılmamış demektir. Sonra o listeden birini açar, erişim yetkisi olanların listesini isterim. Son olarak sahada rastgele bir çıktı alır, üzerinde sınıf ibaresi var mı bakarım. Üçüncüsü en çok bulgu çıkan adımdır; politika vardır, kâğıtta iz yoktur.
En sık görülen dört zayıf halka
Listenin başında ortak klasörler geliyor. Sistemde doğru kurulmuş bir yapı olsa bile, aynı dosyaların kopyaları paylaşımlı sürücüde herkese açık duruyorsa koruma yoktur; sınıflandırma çalışmasının ilk çıktısı bu klasörlerin taranması ve gizli içeriklerin oradan kaldırılması olmalıdır. Hemen arkasından e-posta ekleri geliyor: en çok veri bu yolla dışarı çıkar ve arkasında hiçbir iz kalmaz.
Taşınabilir bellekler ve kişisel bulut hesapları da aynı kümede. Evde çalışacağı için dosyayı kendi hesabına yükleyen mühendis kötü niyetli değildir, ama o dosya artık sizin kontrolünüzde değildir; kural yazmak yetmez, çalışan bir alternatif sunun. Listeyi kapatan halka ise arşiv. Yürürlükten kalkmış bir müşteri çizimi hâlâ gizlidir, eskimekle sınıf düşmez; arşiv erişimini de canlı dokümanlar kadar ciddiye alın.
Bu dört halkanın hiçbiri yazılımla tek başına kapanmaz; hepsinin arkasında bir davranış değişikliği var. Ama yazılım işi kolaylaştırır: dosyanın tek nüshası sistemde duruyorsa ortak klasöre kopya atmaya gerek kalmaz, süreli bağlantı verilebiliyorsa e-posta eki alışkanlığı kırılır. Kuralı yazarken şunu sorun: bu kurala uymak, uymamaktan daha mı kolay? Cevap hayırsa kural tutmaz. Gördüğüm en kalıcı gizlilik düzenleri en katı olanlar değil, en pratik olanlardı.
Denetimde istenen kanıtlar
Bilgi güvenliği denetiminde bu başlıkta dört kanıt istenir. Onaylı sınıflandırma politikası, sınıf atanmış doküman listesi, erişim yetkilerinin gözden geçirilme kaydı ve etiketin fiilen uygulandığını gösteren örnek. Dördüncüsü sahada toplanır; masadaki klasörden bir çıktı çekilir ve üzerine bakılır.
Kanıtların hepsinin doküman kaydından üretilebilmesi işi çok kolaylaştırır. Sınıf bir alan olarak tutuluyorsa "gizli sınıfındaki dokümanlar" listesi tek tıkla çıkar. Erişim rol bazlıysa yetki listesi de rapor olarak alınır. Bu bağların nasıl kurulduğunu Ek A kontrolleri yazımızda anlattık; onay izinin gösterilebilir olması içinse doküman onay iş akışı yazımıza bakın.
Otuz günde kurulabilir mi
Kurulabilir. Birinci hafta: sınıf tanımlarını yazın, dört sınıfı da örnekleyin, politikayı onaylatın. İkinci hafta: gerçekten gizli olanları listeleyin ve etiketleyin. Üçüncü hafta: şablonlara sınıf alanını ekleyin, rolleri tanımlayın, erişimleri rol bazına çevirin. Dördüncü hafta: kullanıcıları bilgilendirin ve bir örneklem kontrolü yapın. Bu takvim yüz elli kişilik bir firmada rahatlıkla tutar.
Yazılım tarafında beklentiyi doğru kurun. Doküman gizlilik sınıflandırması için pahalı bir veri sızıntısı önleme sistemine gerek yok; doküman kaydında sınıf alanı, rol bazlı erişim ve çıktıda filigran üç temel ihtiyacı karşılar. PaKalite'de dokümanlara gizlilik sınıfı atanabilir, erişim rol bazında verilir ve çıktılara kullanıcı bilgisi basılır; veri de şirket içi sunucunuzda kalır. Sistem seçim kriterlerini karşılaştırırken kalite yönetim sistemi yazılımı sayfamızdaki listeye bu üç maddeyi de ekleyin.