ISO 27001 ve İnsan Kaynakları: Bilgi Güvenliğinde İK'nın Rolü Nedir?

ISO 27001 Neden Sadece BT'nin Konusu Değildir?

ISO 27001 bilgi güvenliği yönetim sistemi standardı, teknik kontroller kadar insan kaynaklı riskleri de kapsar. Denetçiler, işe alımdan işten çıkışa kadar İK süreçlerinde bilgi güvenliğinin nasıl yönetildiğini doğrudan sorgular.

İK'nın Sorumlu Olduğu Temel Kontrol Alanları

• İşe alım öncesi geçmiş/güvenlik kontrolü (Ek A.6.1)

• İstihdam sözleşmelerinde gizlilik ve bilgi güvenliği yükümlülükleri

• Bilgi güvenliği farkındalık eğitimi ve düzenli tekrarı

• Görev değişikliği ve terfi durumunda erişim yetkilerinin gözden geçirilmesi

• İşten ayrılışta erişim iptali ve varlık iadesi

Denetimde İK'dan Ne İstenir?

Bir ISO 27001 denetiminde İK'dan tipik olarak şu kanıtlar istenir: imzalı gizlilik sözleşmeleri, farkındalık eğitimi katılım kayıtları, disiplin prosedürü dokümanı ve işten çıkışlarda erişim iptalinin zamanında yapıldığını gösteren kayıtlar.

İK ve BT Arasındaki Koordinasyonun Önemi

Bilgi güvenliği riskinin en yüksek olduğu anlar genellikle işe giriş ve işten çıkış anlarıdır. Bu iki sürecin İK ve BT arasında net bir prosedürle senkronize edilmesi, denetimde en çok sorgulanan noktadır.

MentorAly HR'da personelin organizasyon atamaları, işe giriş/çıkış tarihleri ve onay geçmişi tek yerde tutulur; bu kayıtlar ISO 27001 denetimlerinde İK tarafına düşen kanıtların büyük kısmını (kim, ne zaman, hangi yetkiyle) hazır hale getirir.

ISO 27001 uyumu, İK için ek bir yük değil, zaten var olan personel ve organizasyon süreçlerinin belgelenmiş ve denetlenebilir hale getirilmesidir.