Yeni şubenin mobilyaları yerleştirilmiş, çalışanlar için açılış tarihi duyurulmuştur. Tadilat ekibi anahtarları teslim eder; bina yönetimi giriş kartlarını verir. Buna rağmen yeni kartı kimin açacağı, geçici yetkileri kimin gözden geçireceği veya erişim sistemindeki arızayı kimin yöneteceği bilinmiyorsa operasyonel devir tamamlanmış değildir.
Şube açılışı için “Anahtar teslim alındı” cümlesini üç soruya ayırmak yararlıdır: Ne teslim edildi? Kullanım kararını artık kim veriyor? Tamamlanmamış işlerin takibini kim sürdürüyor? Böylece fiziksel eşyanın teslimi ile sistemin günlük yönetimi ayrı değerlendirilir.
Araştırma proje ve işletme süreçlerini birlikte ele alıyor
Davies, Gann ve Douglas’ın 2009 Heathrow Terminal 5 araştırması, büyük proje tesliminde proje ve işletme süreçlerini sistem entegrasyonu çerçevesinde inceler. Bir küçük ofis açılışını sınamaz; teknik parçaların teslimi yanında işletme ilişkilerini de düşünmek için bir örnek sağlar. [1]
Bu yazının özgün uygulama önerisi, yeni işletme sorumlusunun devralacağı kararları erişim araçlarının teslimiyle aynı toplantıda ele almaktır. Kimin elinde anahtar bulunduğu ile kimin yeni erişim verebildiği farklı sorulardır.
Üç ayrı envanter oluşturun
İlk envanter fiziksel teslimleri kapsar: Anahtar, kart ve ilgili teslim kayıtları. İkinci envanter yetkileri kapsar: Geçici erişimler, işletme dönemi için tanımlanacak roller ve sistem yönetim sorumluları. Üçüncüsü açık işlerdir: Eksik kayıt, doğrulanmamış teslim veya giderilmemiş teknik konu.
NIST SP 800-53’ün fiziksel erişim kontrolleri, anahtar ve diğer erişim araçlarının yönetimini de ele alır. [2] Katalog burada teknik kontrol kaynağıdır; Türkiye’deki ofise kendiliğinden bir sertifika veya mevzuat uygunluğu kazandırmaz.
Envanterde gizli kodların açık metinle dolaştırılması gerekmez. Hangi varlığın ve yetkinin kimde olduğu sorumlu kişilerce doğrulanmalıdır. Gerçek erişim bilgileri uygun güvenli kanallarda yönetilmelidir.
Tadilat erişimini işletme erişiminden ayırın
Bazı yükleniciler açılıştan sonra eksik iş tamamlamak için tekrar gelecek olabilir. Bu durumda gerekli devam işleri ilgili yetkililerce değerlendirilmelidir. Kimlerin hangi görev nedeniyle yeniden geleceği açık bir iş listesine bağlanabilir.
NPSA’nın otomatik erişim sistemleri açıklaması, kişi, alan ve zaman ilişkisini vurgular. [3] Bizim önerimiz, açılış gününü bu ilişkilerin yeni işletme düzeniyle eşleştirileceği bir kontrol noktası olarak kullanmaktır.
Devir toplantısında altı soruyu cevaplayın
- Teslim edilen fiziksel erişim araçlarını kim saydı ve kim kabul etti?
- Erişim kararı verecek işletme sorumlusu kim?
- Sistemde işlem yapacak teknik yönetici kim ve yetkisi nasıl doğrulandı?
- Devam edecek yüklenici işleri hangi onaylı erişime ihtiyaç duyuyor?
- Açık kalan her konu için sorumlu ve takip tarihi nedir?
- Bina yönetimiyle kiracı sistemleri arasındaki görev sınırı nasıl açıklanacak?
Güvenlik görevlisinin rolü kendisine verilen görev kapsamında teslim kaydına, yönlendirmeye veya bildirim takibine destek olabilir. Sistemin teknik kabulünü ya da şubenin bütünüyle faaliyete hazır olduğunu tek başına onaylaması beklenmemelidir.
İlk gün için masa başı denemesi yapın
Yeni çalışan kartını alamadığında, yüklenici geri geldiğinde veya erişim sistemiyle ilgili arıza bildirildiğinde ilk muhatabı birlikte bulun. Bu örnekler gerçek kapılar üzerinde güvenliği bozan denemeler gerektirmez; sorumluluk zincirini konuşarak sınamak yeterli bir başlangıçtır.
Açılış hazırlığının somut çıktısı; teslim kayıtları, erişim karar sahipleri ve açık işlerin izlenebilir biçimde bir araya gelmesidir. Böylece yeni şube ilk sorunu yaşadığında kiminle iletişim kuracağını bilir.
