Veri merkezinde güvenlik hizmeti alırken ilk soru kaç personel bulunacağı değil, hangi erişimin kim tarafından onaylanacağıdır. Sunucu odası işleten bir kuruluş ile çok kiracılı teknokent binasının ihtiyaçları aynı değildir. Ankara'daki tesisiniz için teklif hazırlarken ortak alan, kiracı ofisi ve teknik alan sorumluluklarını ayrı ayrı tanımlamak gerekir.
Teknik yeterliliği doğru görevle eşleştirin
NIST SP 800-53 Rev. 5, bilgi sistemleri için fiziksel ve çevresel korumayı da içeren bir kontrol kataloğudur. Bir tesiste bu çerçeveden yararlanılması, güvenlik görevlisinin sistem yöneticisi veya teknik bakım uzmanı olduğu anlamına gelmez. NIST'e atıf yapılması da sağlayıcının sertifikalı olduğunu kendiliğinden göstermez.
Güvenlik ekibinin işi, onaylı görev talimatına göre kabul ve bildirim düzenine katkı sunmaktır. Sunucunun kapatılması, soğutma sistemine müdahale edilmesi veya elektriksel çalışma izninin verilmesi, ilgili teknik sorumluların işidir. Teklifte bu ayrım görünmüyorsa beklenen hizmeti yeniden netleştirin.
Bakım ziyaretini bir isim listesinden ibaret görmeyin
Aşağıdaki kontrol soruları, bu bültenin satın alma görüşmesi için önerileridir. Bir tesisin gizli erişim düzenini yayımlamaya veya teknik sistem tasarlamaya yönelik değildir.
- Ziyareti hangi kurum veya kiracı onaylıyor?
- Onay hangi çalışma, alan ve zaman aralığı için geçerli?
- Program değişirse güvenlik noktasına kim güncel bilgi veriyor?
- Refakat gerekiyorsa ilgili kurum sorumlusu nasıl haberdar ediliyor?
Örneğin bakım şirketinin binaya kabul edilmesi, her kiracının teknik alanına giriş yetkisi vermez. Girişte anlaşılmayan bir durumda görevliden teknik işi yorumlaması beklenmemeli; onayı netleştirecek muhatap belirlenmelidir.
Cihaz ve malzeme tesliminde iz bırakın
Tamir için çıkarılan bir cihaz, teslim edilen yedek parça ve ziyaretçinin kişisel bilgisayarı farklı işlemlerdir. Kurumun malzeme hareketi kuralları, güvenlik görevinin kayıt ve bildirim adımlarıyla uyumlu olmalıdır. Teslim kaydı, cihazın içindeki veriye erişim yetkisi sağlamaz. Görev kaydına şifre veya gereksiz teknik sistem bilgisi eklenmemelidir.
Hizmet devrinde geçerli ziyaret onayları, açık kalan teslim işlemleri ve irtibat değişiklikleri anlaşılır biçimde aktarılabilir. Eski bir ziyaret kaydının yeni ziyaret için otomatik onay sayılmaması, özellikle düzenli gelen dış firmalar bakımından görüşülmeye değer bir konudur.
Sağlayıcıyı gösterişli teknoloji adlarıyla karşılaştırmayın
Örnek bir görev talimatı, kişisel bilgileri çıkarılmış rapor ve yetki çelişkisinde izlenecek iletişim yolu isteyin. Her tesise aynı biyometrik sistemi öneren veya bütün kesintileri önleyeceğini söyleyen bir teklif yerine, mevcut kurum düzenine nasıl uyum sağlanacağını değerlendirin. Teknik ürün seçimi ve veri işleme şartları ayrıca ele alınmalıdır.
Titan Savunma ile görüşürken tesisin çalışma saatlerini, kiracı yapısını ve beklenen fiziksel güvenlik kapsamını paylaşabilirsiniz. Ağ şifreleri, ayrıntılı sistem şemaları veya hassas erişim bilgileri ilk iletişim formunun konusu değildir.
