Savunma sanayisi tesislerinde güvenlik, yalnız çevre bariyerlerinin niteliğiyle değerlendirilemez. Bir proje değiştiğinde eski erişimin açık kalması, geçici teknik ekibin yetkisinin süresizleşmesi veya ayrılan çalışanın kartının kapanmaması da yönetilmesi gereken sorunlardır. Bu yazının odağı, çalışanlara sürekli şüpheyle yaklaşmak yerine erişim haklarını işin yaşam döngüsüyle uyumlu tutmaktır.
Belgelendirme ve gizlilik şartları ilgili proje kapsamında ayrıca değerlendirilmelidir. Tesis Güvenlik Belgesi, Kişi Güvenlik Belgesi ve 5188 izinleri farklı işlevlere sahiptir. Hiçbiri tek başına bütün alanlara sınırsız erişim veya sınırsız özel güvenlik yetkisi oluşturmaz.
İşe girişte erişim kararının sahibini belirleyin
İnsan kaynaklarının işe başlama bildirmesi ile kişinin belirli bir proje alanına girebilmesi aynı onay değildir. Görev sahibi yönetici, güvenlik sorumlusu ve gerektiğinde bilgi güvenliği ekibi hangi erişimin iş için gerekli olduğunu belirlemelidir. Kartı teknik olarak tanımlayan kişi, bu ihtiyacı tek başına kararlaştırmamalıdır.
Yetki kaydında kişinin görevi, onaylayan kişi, izin verilen kapsam ve gözden geçirme koşulu bulunabilir. Kayıt alanları gerekli bilgilerle sınırlı tutulmalıdır. NPSA'nın role dayalı personel güvenliği yaklaşımı, kişinin özel hayatından çok görevin kritik varlıklara erişimine bakmak için yararlı bir yabancı uygulama kaynağıdır.
Görev ve proje değişikliklerini erişim değişikliği sayın
Çalışanın kurumda kalması, önceki bölümdeki yetkilerini korumasını gerektirmez. Yeni proje veya göreve geçişte eski erişimlerin kapanıp kapanmadığı kontrol edilmelidir. Aynı yaklaşım hizmet sağlayıcılar, bakım ekipleri ve geçici görevliler için de uygulanabilir.
Değişiklik bildirimi yalnız e-postayla gönderilmiş olmakla tamamlanmış sayılmamalıdır. Yetkili onayı, teknik uygulama ve sonuç kontrolü ayrı adımlar olarak görünür olsun. Güvenlik noktası, geçerli listenin hangi sürüm olduğunu bilmeli; eski basılı listelerle yeni dijital kayıtlar arasında çelişki kalmamalıdır.
Cihaz ve malzeme kurallarını iş ihtiyacıyla eşleştirin
Telefon, dizüstü bilgisayar veya taşınabilir belleklere ilişkin kurallar, ilgili alanın bilgi güvenliği gerekliliğine göre oluşturulmalıdır. Her cihazın her tesiste aynı yöntemle yasaklanacağı varsayılmamalıdır. Teknik bakım için gerekli bir cihazın kabulü, projenin yetkili kişilerince önceden değerlendirilmelidir.
Özel güvenlik görevlisi, onaylı fiziksel giriş sürecini uygular; cihazdaki verilerin teknik güvenliğine kendiliğinden karar vermez. Kontrol veya emanete alma düzeninde hukuki yetki, teslim kaydı, eşyanın korunması ve iade süreci açıklanmalıdır. X-ray görüntüsü, cihazın yazılımının güvenli olduğunu göstermez.
Ayrılış ve olay bildirimini ortak süreç haline getirin
İşten veya projeden ayrılışta kart, anahtar, geçici izin ve dijital hesapların sahipleri farklı olabilir. Bunlar için ortak bir kapatma listesi ve teyit sorumlusu belirleyin. Gizlilik yükümlülüklerinin hatırlatılması, gereksiz kişisel veri toplamayı veya özel şirketin resmi güvenlik soruşturması yapmasını haklı kılmaz.
Şüpheli bir olay bildirildiğinde gözlem ile yorum ayrılmalıdır. Bir cihazın izinsiz alanda görülmesi kayda geçirilebilir; bunun tek başına casusluk olarak ilan edilmesi doğru değildir. Kayıt ve deliller yalnız yetkili kişilerle, gerekli ölçüde paylaşılmalıdır.
Denetimde hangi sorular işe yarar?
Son görev değişikliğinde eski izinler gerçekten kapandı mı? Süresi dolmuş teknik ziyaretçi kartı var mı? Acil verilen yetki sonradan gözden geçirildi mi? Bu sorulara örnek kayıtlarla cevap verilebilmelidir. Uygun testler, kurumun hassas yerleşim veya güvenlik ayrıntılarını kamuya açıklamadan yapılabilir. Amaç, bütün riski ortadan kaldırdığını söylemek değil, erişim kararının gerekçesini ve uygulamasını izlenebilir tutmaktır.
