// REHBER · ISO 27001

Erişim gözden geçirme nasıl yapılır?

Ayrılışta hesap kapatmak tek başına yetmez: zamanla biriken ve artık gerekmeyen erişimler de düzenli olarak ayıklanmalıdır. ISO 27001:2022 A.5.18 bunu periyodik gözden geçirme olarak ister. Bu rehber, KOBİ'ler için uygulanabilir bir yöntemi özetler.

Kim, ne sıklıkla?

• Karar veren: uygulamanın sorumlusu. BT hangi hesabın var olduğunu bilir, ama kişinin o erişime hâlâ ihtiyacı olup olmadığını uygulamayı kullanan birimin sorumlusu bilir.
• Sıklık: çoğu KOBİ için 6 veya 12 ay; finans ve müşteri verisi gibi hassas uygulamalarda 3 ay. Sıklığı risk değerlendirmeniz belirler.
• Son tarih: her gözden geçirmenin bir bitiş tarihi olmalı; sonsuza kadar açık kalan gözden geçirme kanıt sayılmaz.

Adım adım

1. Kapsamı belirleyin: bütün uygulamalar ya da bu dönem için seçtikleriniz.
2. Listeyi hazırlayın: her uygulama için açık hesaplar; kişinin departmanı, pozisyonu, hesabın ne zamandan beri açık olduğu ve biliniyorsa son girişi.
3. Sorumlulara gönderin: her sorumlu yalnızca kendi uygulamasının listesini görür.
4. Karar: her satır için "Kalsın" ya da "Kaldırılsın". Kaldırma kararının gerekçesi yazılmalı.
5. Uygulayın: "Kaldırılsın" denen hesaplar normal kapatma akışıyla kapatılır ve sonucu kaydedilir.
6. Kapatın: son tarihte karar verilmeyen satırlar gerekçeyle kapatılır; gözden geçirme kilitlenir.

Sık yapılan hatalar

• Kendi erişimini onaylamak: sorumlunun kendi hesabına kendisinin "Kalsın" demesi bağımsız bir kontrol değildir; bu kararı başka biri vermelidir.
• Karar var, uygulama yok: "Kaldırılsın" denen hesabın gerçekten kapatıldığı kanıtlanmazsa gözden geçirme eksik kalır.
• Toplu onay: her şeye tek tıkla "Kalsın" demek denetçinin dikkatini çeker; ayrılmış çalışanların hesapları ve uzun süredir kullanılmayan hesaplar ayrıca incelenmeli.

Kanıt olarak ne saklanır?

Gözden geçirmenin kapsamı ve tarihleri, her satır için karar, gerekçe, kararı veren ve tarih; kaldırılan hesapların kapatma sonucu. Bu kayıt sonradan düzenlenemez olmalıdır.

ersaccounts ile

• Kendiliğinden başlar: 3, 6 veya 12 ayda bir; bütün uygulamalar ya da seçtikleriniz için.
• E-postayla karar: her uygulama sorumlusuna (ayrıldıysa yedek sorumluya) tek kullanımlık bağlantı gider; panel hesabı gerekmez. Liste kişinin departmanını, pozisyonunu ve bağlı sistemlerden okunan son girişi gösterir.
• Kendi hesabına karar yok: sorumlunun kendi hesabı "yönetici kararı gerekir" olarak işaretlenir ve panelden karara bağlanır.
• Karar uygulanır: "Kaldırılsın" denen hesap normal kapatma akışına girer; bu kapatma görev iptaliyle geri alınamaz.
• Takip: karar bekleyen sorumlulara bağlantı tek tıkla yeniden gönderilir; gözden geçirme son tarihte gerekçeyle kapatılır.
• Kanıt: kalem kalem karar, gerekçe, karar veren ve kapatma sonucunu içeren CSV; dönemin denetim paketinde de yer alır.