ISMS-P Certification Criteria (Kasım 2023)

Kuruluşun işinin özelliklerine göre bilgi varlıkları için bir sınıflandırma standardı belirlenir; yönetim sistemi kapsamındaki tüm bilgi varlıkları belirlenip sınıflandırılır, kritiklikleri değerlendirilir ve ortaya çıkan envanter güncel tutulur.

Kurulan yönetim sistemi kapsamında sürekli ya da düzenli yürütülmesi gereken işletim faaliyetleri ve yerine getirildiklerinin kaydı, belirlenebilecek ve izlenebilecek şekilde kaydedilip yönetilir; yönetim bu faaliyetlerin etkinliğini düzenli olarak teyit eder ve yönetir.

Bir bilgi varlığının amacına ve kritikliğine uygun işleme prosedürleri ve koruma önlemleri belirlenip uygulanır; her varlığın sorumluluğu açıkça tanımlanır ve yönetilir.

Bir dış tarafın sözleşmede, anlaşmada ya da iç politikada belirtilen bilgi güvenliği ve kişisel bilgilerin korunması gerekliliklerinin istediği koruma önlemlerini uygulayıp uygulamadığı, düzenli denetim, inceleme ve benzeri yollarla yönetilir ve gözetilir.

Kullanıcıların bilgi sistemlerine ve kişisel ve önemli bilgilere erişiminde güvenli bir kimlik doğrulama prosedürü, gerektiğinde güçlendirilmiş bir kimlik doğrulama yöntemi uygulanır. Oturum açma deneme sayısının sınırlanması ve yetkisiz giriş denemelerinde uyarı gibi, yetkisiz kişilerin erişimini kontrol eden önlemler de belirlenip uygulanır.

Bilgi sistemlerinin yönetimi, kişisel ve önemli bilgilerin yönetimi gibi özel amaçlarla kullanılan hesaplar ve yetkiler en az düzeyde verilir, ayrı olarak belirlenir ve kontrol edilir.

Bilgi sistemlerine ve kişisel ve önemli bilgilere erişen kullanıcı hesaplarının oluşturulması, kullanılması ve silinmesi ile erişim haklarının verilmesi, değiştirilmesi ve geri alınmasının kaydı tutulur ve uygunluklarını korudukları düzenli olarak gözden geçirilir.

Bir bilgi sisteminin önceden tanımlanmış güvenlik gerekliliklerine göre devreye alınıp alınmadığını incelemek için, yasal gerekliliklere uygunluk, en güncel güvenlik zafiyetlerinin kontrolü, güvenli kodlamanın uygulanması ve gizlilik etki değerlendirmesi gibi inceleme ölçütleri ve prosedürleri belirlenip uygulanır; bulunan sorunlar için düzeltici işlem yapılır.

Kaynak programlar yalnızca yetkili kullanıcıların erişebileceği şekilde yönetilir ve kural olarak işletim ortamında tutulmaz.

Yeni devreye alınan, geliştirilen ya da değiştirilen bir sistem işletim ortamına taşınırken kontrollü bir prosedür izlenir; çalıştırılabilir kod ancak test ve kullanıcı kabul prosedürlerinden sonra çalıştırılır.

Bilgi sistemiyle ilgili varlıklardaki her değişikliğin yönetilebilmesi için bir prosedür belirlenip uygulanır ve değişiklikten önce sistemin performansına ve güvenliğine etkisi analiz edilir.

Sunucular, uygulamalar, güvenlik sistemleri ve ağ sistemleri gibi bilgi sistemleri için log türleri (kullanıcı erişim kayıtları, sistem log'ları, verilen yetkilerin kayıtları ve benzerleri), saklama süreleri ve saklama yöntemleri belirlenir; log'lar sahtelenmeyecek, değiştirilmeyecek, çalınmayacak ve kaybolmayacak şekilde güvenle saklanır ve yönetilir.

Bir bilgi sisteminin olağan kullanımını güvenceye almak ve kullanıcıların kötüye kullanımını (yetkisiz bağlantı, aşırı sorgulama ve benzerleri) önlemek için erişim ve kullanım log'larının incelenme ölçütleri belirlenir ve log'lar düzenli olarak incelenir; bir sorun çıktığında zamanında takip işlemi yapılır.

Her güvenlik sistemi türü için yönetici atanması, politikanın en güncel hâline getirilmesi, kural setinde değişiklik ve olay izleme gibi işletim prosedürleri belirlenip uygulanır; politika uygulama durumu her güvenlik sistemi için yönetilir.

Bir bulut hizmeti kullanılırken, hizmet türünden (SaaS, PaaS, IaaS ve benzerleri) kaynaklanan yetkisiz erişim ya da hatalı yapılandırma yoluyla önemli ve kişisel bilgilerin sızmaması ve açığa çıkmaması için yönetici erişimine ve güvenlik ayarlarına yönelik koruma önlemleri belirlenip uygulanır.

Dış ağa açık bir sunucu iç ağdan ayrılır ve zafiyet kontrolü, erişim kontrolü, kimlik doğrulama ve bilgi toplama, saklama ve yayımlama prosedürleri gibi güçlendirilmiş koruma önlemleri belirlenip uygulanır.

Yazılım, işletim sistemi, güvenlik sistemi ve benzerlerindeki bir zafiyetten doğacak bir sızma olayını önlemek için en güncel yamalar uygulanır. Hizmete etkisi incelendikten sonra en güncel yamanın uygulanması zorsa ayrı telafi edici önlemler hazırlanıp uygulanır.

Sızma olaylarını ve kişisel bilgi sızıntılarını önlemek ve gerçekleştiklerinde hızlı ve etkili müdahale etmek için iç ve dış sızma girişimlerini tespit etme, müdahale etme, analiz etme ve paylaşma düzeni ve prosedürleri kurulur; ilgili dış kurumlar ve uzmanlarla bir iş birliği düzeni oluşturulur.

Bir bilgi sisteminin zafiyetlerinin açıkta olup olmadığını doğrulamak için düzenli olarak zafiyet kontrolü yapılır ve bulunan zafiyet hızla ele alınır. Yeni güvenlik zafiyetlerinin ortaya çıkıp çıkmadığı da sürekli izlenir; bunların bilgi sistemine etkisi analiz edilip gereği yapılır.

İçeriden ya da dışarıdan sızma girişimleri, kişisel bilgi sızdırma girişimleri ve hileli işlemler hızla tespit edilip ele alınabilsin diye ağ ve veri akışları ve benzerleri toplanıp analiz edilir; izleme ve kontrol sonuçlarına zamanında takip işlemi yapılır.

Bir sızma olayının ya da kişisel bilgi sızıntısının belirtisi ya da gerçekleşmesi fark edildiğinde yasal bildirim ve raporlama yükümlülüklerine uyulur; müdahale ve kurtarma gecikmeden prosedüre göre yapılır ve olay analiz edildikten sonra tekrarını önleyecek önlemler belirlenip müdahale düzenine yansıtılır.