Çalışanların Bilmesi Gereken 12 Temel Güvenlik İlkesi

Bilgi güvenliği, günümüzde sadece BT departmanının değil tüm çalışanların sorumluluğudur. ISO/IEC 27001 standardı, kurumların bilgi güvenliğini sistematik ve sürdürülebilir şekilde yönetmesini sağlayan en önemli çerçevedir. Bu makale, çalışanların günlük iş hayatında uygulayabileceği 12 temel bilgi güvenliği ilkesini sade ve anlaşılır bir dille özetlemektedir.

1) Güçlü Parola Kullanımı

• En az 12 karakter
• Büyük/küçük harf, rakam ve özel karakter kombinasyonu
• Kişisel bilgilerden kaçınılmalı
• Aynı parolayı birden fazla sistemde kullanmamak gerekli

Neden kritik?
Zayıf parolalar veri ihlallerinin en yaygın nedenidir.

2) Çok Faktörlü Doğrulama (MFA) Kullanmak

• MFA aktif değilse parola tek başına yeterli olmaz.
• Bir hesap ele geçirildiğinde tüm sistemler risk altına girer.

Çalışan davranışı:
MFA bildirimi geliyorsa hemen onaylama—önce talep ettiğinizden emin olun

3) E-posta Farkındalığı (Phishing / Spear Phishing)

• Çalışanların %90’ı veri ihlallerine “tıklayarak” sebep oluyor.

Nelere dikkat edilmeli?

• Acil işlem isteyen e-postalar
• Fatura, kargo, maaş, banka temalı saldırılar
• Gönderen alan adının benzer taklitleri
• Ek dosyalar (.exe, .xlsm, .zip)

4) Temiz Masa – Temiz Ekran Politikası

• Bilgisayarı kilitle (Windows + L)
• Masada evrak bırakma
• Şifre yazılı post-it kullanma
• USB/harici diskleri masada bırakma

Bu ilke, ofis içi güvenlik ihlallerinin önüne geçer.

5) Kurumsal Bilgiyi Kişisel Cihazda Tutmamak

• Kişisel telefon ve bilgisayarlar kurumsal güvenlik politikalarına uygun değildir.

Yapılması gereken:
Kurumsal e-posta, dosya ve uygulamalar sadece kurumsal cihazda kullanılmalı.

6) Veri Sınıflandırması

Tüm bilgiler aynı değerde değildir. ISO 27001’de tipik sınıflar:

• Genel (Public)
• Dahili (Internal)
• Gizli (Confidential)
• Kısıtlı / Çok Gizli (Restricted)

Çalışan sorumluluğu:
Dokümanın sınıfına göre paylaşım ve saklama kurallarına uymak.

7) Yetkisiz Paylaşım Yapmamak

• Bilgiler sadece yetkisi olan kişilerle paylaşılır
• E-posta ile dosya gönderirken alıcı iki kez kontrol edilir
• USB ile paylaşım yapılacaksa şifrelenir

Yanlış kişiye gönderilen bir e-posta bile veri ihlali sayılır.

8) Yazılım ve Uygulama Kurulum Politikası

Çalışan bilgisayarına rastgele yazılım kuramaz.

Neden?

• Zararlı yazılım riski
• Lisans ihlali
• Uyumsuz yazılım nedeniyle performans sorunları

Kurulumlar her zaman BT tarafından yapılmalıdır.

9) Güncellemeler ve Yama Yönetimi

Güncellenmemiş cihaz = Açık kapı.

• İşletim sistemi
• Uygulamalar
• Güvenlik yazılımları

BT’nin erişim engellememe politikası iş birliğini gerektirir.

10) Fiziksel Güvenlik

Bilgi güvenliği sadece dijital değildir.

• Kartlı geçiş kullanımına dikkat
• Ziyaretçi kontrolü
• Sunucu odasına yetkisiz girişlerin engellenmesi
• Ekipmanların kaybolmaması

11) Bulut ve Dosya Paylaşım Araçları

Kurum politikası dışındaki araçlar yasaktır:
❌ WhatsApp
❌ Dropbox
❌ Google Drive (kurum izin vermediyse)
❌ Telegram

Kullanılması gereken araçlar:
✔️ Kurumsal OneDrive
✔️ SharePoint
✔️ Teams
✔️ Kurumsal e-posta

12) Şüpheli Durumları Bildirme Kültürü

ISO 27001’de en kritik maddelerden biri olay bildirimi kültürüdür.
Şunları mutlaka BT’ye bildir:

• Şüpheli e-posta
• Yanlış kişiye gönderilen doküman
• Kaybolan laptop/telefon
• Firewall tarafından engellenen adresler
• Yetkisiz görünen sistem hareketleri

Erken bildirim, zararı %90 azaltır.

Sonuç

ISO 27001 yalnızca politika değil, bir davranış biçimidir.
Tüm çalışanlar bu 12 ilkeye uyduğunda kurumun bilgi varlıkları korunur, riskler minimize edilir ve olası siber saldırıların etkisi büyük ölçüde azalır.