Banka genel müdürlüğü ile veri merkezinin bütün güvenlik ihtiyaçları aynı değildir. Birinde ziyaretçi ve çalışan akışı, diğerinde teknik alanlara kontrollü bakım erişimi öne çıkabilir. Ortak nokta, fiziksel erişimin kurumun bilgi güvenliği ve iş sürekliliği düzeninden ayrı düşünülmemesidir.
Özel güvenlik hizmeti bu yapının bir parçasıdır. Bütün siber saldırıları veya altyapı arızalarını önlediğini söylemek doğru olmaz. Tedarikçi seçiminin amacı, erişim kararlarının, teknik alarm bildirimlerinin ve olay kayıtlarının hangi sınırlar içinde yürütüleceğini açıklığa kavuşturmaktır.
İşletmeci ile kullanıcı arasındaki sınırı görün
Paylaşılan bir veri merkezinde bina çevresi, ortak alan, veri salonu ve müşteriye ait bölüm için farklı sorumlular bulunabilir. NPSA rehberleri, bu katmanlarda işletmeci ile müşterinin görev paylaşımının incelenmesini önerir. Kampüse giriş izni, her sunucu kabinine erişim izni değildir.
Banka tarafında da güvenlik sağlayıcısının görevi kurumun kendi yetkilendirme ve mevzuat uyum süreçlerine bağlanmalıdır. Hangi alanın onayını kimin verdiği, geçici yetkinin ne zaman sona ereceği ve güncel listenin kimde olduğu açık olsun. Genel bir güvenlik sözleşmesi bütün bilgi güvenliği sorumluluğunu devretmez.
Bakım ziyaretini kimlik kontrolünden daha geniş ele alın
Teknisyenin kimliğini doğrulamak başlangıçtır. İlgili iş emri, ziyaret zamanı, erişim kapsamı ve gerekliyse refakat sorumlusu da onaylı olmalıdır. Daha önce gelmiş bir kişinin eski izninin bugünkü işlem için yeterli olduğu varsayılmamalıdır.
Güvenlik görevlisi fiziksel kabul sürecini uygular; sunucuya oturum açma, cihaz takma veya sistem değişikliği iznini kendiliğinden vermez. Teknik erişim ve değişiklik yönetimi ilgili bilişim ekibinin sorumluluğunda kalır. Çıkışta geçici kart ve anahtarın iadesi, işin teknik olarak tamamlandığının onayıyla karıştırılmamalıdır.
Teknik alarmı doğru uzmana yönlendirin
Sıcaklık, su, enerji veya yangın sistemi uyarıları güvenlik noktasında görülebilir. Ancak uyarıyı görmek, sistemin teknik durumuna karar verme yeterliliği sağlamaz. Her alarm türü için bildirilecek yetkili, yedek iletişim ve kayıt sorumlusu belirlenmelidir.
Güvenlik personeline kendi kararıyla enerji kesme, soğutma ayarı değiştirme veya söndürme sistemini devre dışı bırakma görevi verilmemelidir. Planlı bakımın oluşturacağı alarmlar önceden bildirilirken, geçici düzenlemenin ne zaman sona ereceği de izlenmelidir.
İnsan ve teknoloji kontrollerini ölçülü değerlendirin
Kartlı geçiş, ziyaretçi yönetimi ve gerektiğinde ek doğrulama kullanılabilir; her tesiste biyometri veya kilitli çift kapı zorunlu değildir. Acil çıkış ve erişilebilirlik gibi ihtiyaçlar, yetkin tasarım sorumlularınca birlikte değerlendirilmelidir. Bir kapı sistemi sıfır izinsiz geçiş garantisi vermez.
Personel seçiminde görev için gerekli hukuka uygun kontroller yapılmalıdır. Sadakat testi veya sınırsız özel hayat araştırması gibi belirsiz vaatler istenmemelidir. Kamera ve erişim kayıtları hassas hareket bilgileri içerebilir; amaç, yetki ve saklama düzeni açık olmalıdır.
Teklif görüşmesinde bir bakım ve bir arıza senaryosu kullanın
Mesai dışında gelen teknisyenin kabulü ve aynı anda oluşan teknik alarm üzerinden iş bölümünü inceleyin. Kimin karar vereceği, neyin kaydedileceği ve işin nasıl kapatılacağı belli mi? Sistem kullanılamıyorsa onay nasıl doğrulanacak? Hassas planları kamuya açıklamadan bu sorulara cevap alınabilir. Yabancı NPSA rehberleri uygulama düşüncesi sağlar; Türk bankacılık yükümlülüklerinin veya kurumun kendi güvenlik değerlendirmesinin yerine geçmez.
