// REHBER · ISO 27001
ISO 27001'de erişim kaldırma: denetçi neyi görmek ister?
Ayrılan çalışanın hesaplarının kapatıldığını söylemek yetmez; ne zaman, kim tarafından ve hangi sistemde kapatıldığının kaydı gerekir. Bu rehber, ISO 27001:2022'nin ilgili kontrollerini ve KOBİ'lerin bunları nasıl kanıtlayabileceğini özetler.
İlgili kontroller
| Kontrol | Konu | Denetimde sık sorulan |
|---|---|---|
| A.5.15 | Erişim kontrolü | Erişim kurallarınız yazılı mı, kim neye neden erişiyor? |
| A.5.16 | Kimlik yönetimi | Her hesap bir kişiye bağlı mı, sahipsiz hesap var mı? |
| A.5.18 | Erişim hakları | Erişim verme, değiştirme ve kaldırma kayıtlı mı; düzenli gözden geçiriliyor mu? |
| A.6.5 | İstihdamın sona ermesi veya değişmesinden sonraki sorumluluklar | Ayrılışta ve görev değişikliğinde erişimler zamanında kaldırıldı mı? |
| A.8.15 | Kayıt tutma | İşlemlerin kaydı tutuluyor ve korunuyor mu? |
Kontrollerin kuruluşunuza nasıl uygulanacağına risk değerlendirmeniz ve denetçiniz karar verir; aşağıdakiler denetimlerde sık istenen kanıt türleridir.
Denetçinin genellikle istediği kanıtlar
- Ayrılan çalışan listesi ve her biri için kapatılan hesaplar. Dönemdeki ayrılışlar, her ayrılışta hangi uygulamadaki hesabın ne zaman kapatıldığı.
- Kapatma süresi. Ayrılış günü ile hesabın kapatıldığı an arasındaki süre ve kendi belirlediğiniz hedefe uyum.
- Görev değişikliğinde eski yetkilerin kaldırılması. Departman veya pozisyon değiştirenlerin eski erişimleri.
- Periyodik erişim gözden geçirmesi. Uygulama sorumlularının "bu kişinin bu hesabı hâlâ gerekli mi?" kararları.
- Örneklem. Denetçi listeden birkaç ayrılış seçer ve her biri için ayrıntılı kanıt ister.
- Değiştirilemeyen kayıt. Kanıtın sonradan düzenlenmediğini gösteren işlem kaydı.
Tablo ve e-postayla neden zor?
Çoğu KOBİ'de ayrılış bilgisi İK'dan BT'ye e-postayla gider, hesaplar bir tabloda işaretlenir. Denetim döneminde bu e-posta zincirleri ve ekran görüntüleri elle birleştirilir. Sorunlar genellikle şuralarda çıkar: tabloda olmayan uygulamalar (muhasebe programı, VPN, SaaS araçları), kimin ne zaman kapattığının belirsizliği ve departman değişikliğinde unutulan eski yetkiler.
ersaccounts bunu nasıl kanıtlar?
- Kural tabanlı ayrılış: ayrılış olayı, çalışanın tüm açık hesapları için kapatma işi veya görevi üretir; listede olmayan hesap kalmaz.
- Otomatik kapatma ve doğrulama: Microsoft 365, Google Workspace, Active Directory, GitHub, GitLab ve SCIM uygulamalarında hesap API ile kapatılır ve ardından dış sistemde yeniden okunarak doğrulanır.
- Görevle kapatma: diğer uygulamalarda sorumlusu e-postadaki tek kullanımlık bağlantıdan zorunlu bir notla tamamlar; kim, ne zaman ve hangi notla kaydedilir.
- Günlük kontrol: bağlı sistemler her sabah envanterle karşılaştırılır; ayrılanın açık kalmış hesabı ve sahipsiz hesaplar bulgu olur.
- Periyodik gözden geçirme: 3, 6 veya 12 ayda bir sorumlulardan "Kalsın / Kaldırılsın" kararı toplanır.
- Denetim paketi: dönem için tek ZIP; kapanış kayıtları, ayrılış raporu, açık kalan hesaplar, envanter, metrikler, gözden geçirme kanıtları ve denetim kaydı. Her dosyanın SHA-256 özeti manifestte, dosyaların kontrollerle eşlemesi BENIOKU'dadır.
Bir sonraki ayrılışa hazır olun
30 dakikalık demoda uygulama listenizi birlikte çıkarır, ilk kurulumu departmanlarınıza göre taslak olarak hazırlarız.
Demo isteyin