Anasayfa›Hizmetler›Bilgi Güvenliği ve Sağlık›ISO 27001 Veri Sınıflandırma ve Etiketleme (Ek A 5.12–5.13): Denetçi Nereye Bakar?
Şirket verileri nasıl sınıflandırılır?
Veriler, açığa çıkması halinde oluşacak zarara göre genellikle dört seviyeye ayrılır: Genel, İç Kullanım, Gizli ve Çok Gizli. Her seviye için erişim, paylaşım, saklama ve imha kuralları tanımlanır; ardından dosya, e-posta ve sistemler bu seviyeye göre etiketlenir. Sınıflama, kuralı olmayan bir etiket değil; kuralın tetikleyicisidir.
Birçok kurumda veri sınıflandırma politikası iki sayfayla başlar, seviyeler tanımlanır ve orada durur. Denetimde de tam bu noktadan yara alınır: seviyeler yazılıdır ama tek bir belgede etiket yoktur, hangi klasörün hangi seviyede olduğu belli değildir ve kimse “Gizli” bir dosyayı dış paylaşıma açarken farklı davranmaz. Ek A 5.12 ve 5.13 tam olarak bu boşluğu hedefler.
5.12 sınıflandırmadır: bilgiyi gizlilik, bütünlük ve erişilebilirlik ihtiyacına göre seviyelere ayırma kararı. 5.13 etiketlemedir: bu kararın varlık üzerinde görünür hale getirilmesi. Sınıflama olmadan etiket anlamsız, etiket olmadan sınıflama uygulanamaz kalır; bu nedenle iki kontrol birlikte kurulur.
Üç ya da dört seviye çoğu kurum için yeterlidir. Beş ve üzeri seviye, kullanıcının karar veremediği için her şeyi orta seviyeye atmasına yol açar ve sınıflama pratikte çöker. Seviye sayısını artırmak yerine her seviyenin “ne yapabilirim, ne yapamam” kurallarını netleştirmek daha etkilidir.
Etiket üç katmanda kurulur: görünen etiket (belge altı/üstü ve slayt dipnotu), meta veri etiketi (dosya özellikleri veya Microsoft/Google duyarlılık etiketleri) ve fiziksel etiket (basılı evrak, taşınabilir medya, arşiv kutusu). Yalnızca görünen etiket kullanılırsa otomatik kontroller devreye giremez.
Sınıflandırma kararı bilgi güvenliği ekibinin değil, verinin sahibi olan iş biriminin sorumluluğundadır. BT yalnızca teknik uygulamayı sağlar. Sahiplik varlık envanterinde isim bazında tanımlanmazsa hiç kimse karar vermez ve sınıflama aşaması başlamadan durur.
Sınıflandırma tek başına değer üretmez; erişim kontrolü, şifreleme, veri sızıntısı önleme, yedekleme ve güvenli imha kontrollerinin girdisidir. Örneğin “Gizli” etiketi taşıyan bir dosyanın dışarıya gönderilmesini engelleyen bir kural yoksa etiket, uyarı levhasından öteye geçemez.
Mini karar kuralı: bir seviyeye bağlı en az bir otomatik veya elle uygulanan somut kural gösteremiyorsanız, o seviye gerçekte mevcut değildir; sınıflamayı sadeleştirin.
Durumunuzu birkaç dakikada konuşalım; size özel süre ve yol haritası çıkaralım.
Zorunlu değil. Küçük ve orta ölçekli kurumlarda şablon üst bilgi/alt bilgi, klasör yapısı ve yetki gruplarıyla yönetilebilir. Yazılım, kullanıcı sayısı ve dış paylaşım hacmi arttığında tutarlılığı korumak için avantaj sağlar.
Ayrı seviye gerekmez; kişisel veriler mevcut seviyelere yerleştirilip ek bir “kişisel veri” niteleyicisiyle işaretlenebilir. Önemli olan özel nitelikli verilerin en yüksek koruma seviyesine bağlanması ve saklama süresinin tanımlı olmasıdır.
Evet. Bilginin değeri zamanla düşer; üç yıl önce gizli olan bir fiyat listesi bugün iç kullanım olabilir. Periyodik gözden geçirme sıklığı politikada belirtilir, kritik varlıklarda genellikle yıllıktır.
Cezalandirma yerine varsayılan etiket ve şablon kullanın. Belge şablonlarına etiket alanını gömün, e-posta için zorunlu seçim kuralı koyun. Davranış eğitimi ancak alt yapı kolaylaştırıldıktan sonra işe yarar.
5.12 ve 5.13 uygulanabilir olarak işaretlenir; gerekçe alanına politika adı ve etiketleme yöntemi yazılır. Uygulanamaz denilmesi neredeyse hiçbir kurumda savunulabilir değildir, çünkü her kurumda gizlilik dereceli bilgi bulunur.