Hassas bir toplantının gizliliği, yalnızca odanın kapısında görevli bulunmasına bağlı değildir. Katılımcı listesinin güncelliği, servis ve bakım zamanları, kullanılan ekranlar ve çevrimiçi bağlantılar aynı bilgi akışını etkiler. Yönetim kurulu veya satın alma görüşmesi için güvenlik hizmeti planlanırken, kurumun bilgi sahibi birimi ile toplantı organizasyonu ve teknik destek birlikte çalışmalıdır.
Hangi bilginin kimlerle paylaşılacağını baştan belirleyin
Toplantının her bölümü aynı katılımcıları gerektirmeyebilir. Davetli listesi, geçici katılım ve son dakika değişikliği için bir onay sorumlusu belirlenebilir. Güvenlik görevlisi, toplantının ticari içeriğini öğrenmeden güncel katılım yetkisini kontrol edebilmelidir. Davetli adlarının veya toplantı konusunun gereksiz biçimde açık ekranlarda görünmesi de değerlendirilmelidir.
NPSA'nın hassas bilgi rehberinden alınabilecek temel ilke, bilginin nerede bulunduğunu ve kimlerle paylaşıldığını bilmektir. Bu yaklaşım, her hizmet personelini şüpheli saymayı veya bütün toplantıları aynı gizlilik seviyesinde yönetmeyi gerektirmez. Koruma düzeyini kurumun gerçek ihtiyacı belirlemelidir.
Odayı ve servis düzenini birlikte hazırlayın
Toplantı sahibi, salon sorumlusu ve teknik ekip; sunum hazırlığı, ikram, temizlik ve bakımın ne zaman yapılacağını görüşebilir. Toplantı sürerken zorunlu bir giriş gerektiğinde onayı kimin vereceği açık olmalıdır. Görevli, eksik bir servis planının yarattığı her sorunu kapıda kişisel kararla çözmek zorunda bırakılmamalıdır.
Konuşmaların dışarıdan duyulması veya ekranın uygun olmayan açıdan görülmesi gibi kaygılar varsa bunlar yetkin teknik incelemeye aktarılmalıdır. Koridorda personel bulundurmak, odanın akustik veya elektronik güvenliğinin test edildiğini göstermez. Geçişleri kısıtlama düşüncesi de binanın acil çıkış ve ortak kullanım düzeniyle uyumlu olmalıdır.
Cihaz politikasını katılımcıya önceden açıklayın
Kişisel cihazlar konusunda kural gerekiyorsa amacı, kapsamı ve istisnaları önceden belirlenmelidir. Cihaz teslimi öngörülüyorsa kimin teslim alacağı, nasıl muhafaza edileceği ve sahibine nasıl geri verileceği düzenlenmelidir. Katılımcının erişilebilirlik veya acil iletişim ihtiyacı göz ardı edilmemelidir.
Özel bir kutu veya çanta kullanılması, odanın bütün kayıt ve bilgi sızıntısı ihtimallerinden arındırıldığını kanıtlamaz. Teknik ürün iddiaları uygun uzmanlıkla değerlendirilmelidir. Güvenlik görevlisinin cihaz içeriğini incelemesi veya veriyi silmesi, bir toplantı kuralından otomatik olarak doğan yetki değildir.
Çevrimiçi katılımcıyı da toplantının parçası sayın
Hibrit toplantıda fiziksel kapı kontrolü ile çevrimiçi katılımın sahibi farklı olabilir. NCSC'nin çevrimiçi toplantı rehberi, katılım kontrolü ile kayıt, döküm ve paylaşılan dosyaların nerede tutulduğunun bilinmesine dikkat çeker. Özellikle otomatik not alan araçların toplantıya katılması, kurumun onayına ve veri kurallarına göre değerlendirilmelidir.
Bu teknik ayarların sorumluluğu BT ve toplantı sahibinde açıkça tanımlanmalıdır. Güvenlik ekibinin kapıda bulunması, kullanılan uygulamanın güvenli yapılandırıldığı anlamına gelmez. Bir bağlantı sorunu nedeniyle toplantının onaysız başka bir platforma taşınması da önceden düşünülmesi gereken bir değişikliktir.
Kapanışı ve hizmet sınırını kayıt altına alın
Toplantı bitiminde basılı evrak, yazı tahtası, unutulan cihaz ve sunum ekranıyla ilgili işlemleri kimin tamamlayacağı belirlenebilir. Yasal saklama yükümlülüğü bulunan belgeler, sırf oda boşaltılıyor diye imha edilmemelidir. Kişisel veri ve ticari kayıt işlemlerini kurumun yetkili birimleri yönetmelidir.
Sağlayıcı teklifinde erişim kontrolü, resepsiyon desteği ve teknik güvenlik incelemesi birbirinden ayrılmalıdır. Son dakika katılımcı değişikliği ve toplantı sırasında bakım talebi üzerinden yapılan bir prova, görev paylaşımını görünür kılar. Hiçbir olağan güvenlik hizmeti, sıfır bilgi sızıntısını garanti eden bir mühendislik testi gibi sunulmamalıdır.
