Anasayfa›Hizmetler›Bilgi Güvenliği ve Sağlık›ISO 27001 Kriptografik Kontroller (Ek A 8.24): Veriyi Doğru Şifrelemek
ISO 27001’de veri şifreleme nasıl yapılır?
ISO 27001:2022 Ek A 8.24, kuruluşun şifreleme kullanımını bir politikayla yönetmesini ister: hangi verinin, nerede (durağan/aktarımda), hangi algoritmayla şifreleneceği ve anahtarların nasıl yönetileceği. Amaç şifreleme yapmak değil, doğru yerde doğru anahtar yönetimiyle yapmaktır.
Çoğu kuruluş “HTTPS kullanıyoruz” diyerek şifreleme maddesini kapattığını sanır. Oysa asıl soru şudur: Veritabanı yedeğiniz diskte açık mı duruyor, dizüstü çalınırsa içindeki müşteri listesi okunabilir mi, ve şifreleme anahtarını kaybederseniz veriyi geri getirebilir misiniz?
Aktarımdaki veri ağ üzerinde hareket ederken TLS/HTTPS ile korunur. Durağan veri ise disk, veritabanı ve yedeklerde dururken şifrelenir. İkisi farklı tehditlere karşıdır: biri hat dinlemeye, diğeri fiziksel veya erişim ihlaline. Sahadaki açıkların çoğu, unutulan durağan veridedir.
Şifreleme, anahtar kadar güçlüdür. Anahtar, şifrelediği verinin yanında düz metin dosyasında duruyorsa şifreleme anlamsızdır. Anahtarların üretimi, saklanması, rotasyonu, yetkilendirmesi ve imhası tanımlı olmalıdır. Anahtar kaybı ise veri kaybıdır; kurtarma prosedürü olmadan tüm yedeğiniz erişilemez hale gelebilir.
Güncel kabul; simetrik şifrelemede AES-256, aktarımda TLS 1.2 ve üzeri, özet için SHA-256 ailesidir. MD5, SHA-1, DES ve TLS 1.0/1.1 artık kırık veya eski sayılır. Politikanız yalnız izin verilenleri değil, hangi algoritmaların yasak olduğunu da açıkça yazmalıdır.
Denetçi önce yazılı kriptografi politikasını, sonra uygulamasını ister: hangi sistemin nasıl şifrelendiğini gösteren envanter, anahtar yönetim prosedürü ve kanıt (yedek şifreleme kaydı, sertifika geçerlilikleri). Politikayla saha örtüşmüyorsa bulgu kesindir.
Mini karar kuralı: Bir cihaz veya yedek kaybolduğunda “içindeki veri şifreliydi ve anahtar ayrıydı” diyebiliyorsanız kontrol çalışıyor; diyemiyorsanız o veri sızmış kabul edilir.
Durumunuzu birkaç dakikada konuşalım; size özel süre ve yol haritası çıkaralım.
Doğrudan “şu veriyi şifrele” demez; kararı risk değerlendirmesine bağlar. Ancak kişisel veri, kimlik bilgisi ve gizli veri taşıyan hemen her kuruluşta şifreleme, riski kabul edilebilir düzeye indirmenin en pratik yoludur.
KVKK, teknik tedbirler arasında şifrelemeyi sayar. Kişisel veriyi şifrelemek, veri ihlali halinde hem yasal yükümlülüğü hem itibari zararı belirgin biçimde azaltır.
Verinin yalnız gönderen ve alıcıda çözülebildiği, aradaki sunucuların bile içeriği göremediği yöntemdir. Hassas iletişimlerde en güçlü koruma seviyesini sağlar.
Riske göre değişir; kritik anahtarlar için yıllık veya olay sonrası rotasyon yaygındır. Önemli olan tanımlı bir periyodun ve sorumlunun bulunmasıdır.
Modern donanımdaki AES hızlandırması sayesinde etki çoğu uygulamada ihmal edilebilir düzeydedir. Güvenlik kazancı, oluşabilecek küçük gecikmenin çok üzerindedir.