1.   AMAÇ

Erişim Kontrol Politikası, bilgi ve bilgi işlem kaynaklarına erişimi denetimli olarak sağlamak amacı ile hazırlanmıştır.

2.  KAPSAM

Bu politika, bilgi işlem kaynaklarına erişim yetkilerini kapsar.

3.  POLİTİKA

      3.1 Fiziksel Erişim

• Fiziksel erişim teknolojik geçiş kontrol sistemleri (kart okuyucu, parmak okuyucu, şifreleme sistemi vb.) kullanılarak sağlanır.

     3.2 Sunucu Sistemleri Erişim Kontrolü

• Sunucu erişim yetkileri Bilgi İşlem Müdürlüğü tarafından sağlanır.
• Ayrıcalıklı erişim yetkileri, yanlızca Bilgi İşlem Müdürlüğü ve talep üzerine geçici olarak  yetkilendirilen kullanıcılarda bulunur.
• Sunuculara parolasız erişim engellenmiştir.
• Sistemlere erişimde ortak hesap kullanılmaz.
• Sistemlere yapılan tüm erişimlerin log kayıtları tutulur
• Sistem Yöneticisi, sunucular üzerindeki her türlü işlem için tam yetkilidir.
• Sistem Yöneticisi domain yönetici hesabı ile değil, domain yönetici yetkilerine sahip başka bir hesap ile sunuculara erişim sağlar.

   

       3.3 Kullanıcı Erişim Kontrolü

   

• Bilgi İşlem Müdürlüğü tarafından, her bir kullanıcı için etki alanında e-posta hesabı ve eBA profili oluşturulur.
• Erişim Hakları personelin işten ayrılması durumunda kaldırılır.
• Kullanıcılara verilen yetkilerde görevlerin ayrılığı ilkesi göz önünde bulundurulur.
• Personel Müdürlüğü tarafından yeni girişler, ayrılanlar ve birim değişiklikleri Bilgi İşlem Müdürlüğü’ne iletilir. Ardından söz konusu personellerin erişim yetkileri oluşturulur,  silinir veya düzeltilir.

     3.4 Ağ Erişimi Kontrolü

• Kullanıcıların GÜRİŞ tarafından sağlanan internet erişimi dışında, başka bir yolla internete erişimleri yasaktır.
• Bilgi güvenliği kapsamında ağ erişim kontrolü; kimlik doğrulama, yetkilendirme ve izlenebilirlik sağlanarak yürütülür.

     3.8 Üçüncü Taraf Erişim Kontrolü

GÜRİŞ dışından, şirket ağına erişmesi gereken 3. Taraflara (tedarikçiler, çözüm ortakları vb.) gerçekleştireceği faaliyet göz önünde bulundurularak, Bilgi İşlem Müdürlüğü tarafından  geçici erişim izni verilir. Üçüncü taraf erişimleri kayıt altına alınır ve herhangi bir yetkisiz erişim girişimi olup olmadığı kontrol edilir. Üçüncü şahıslar tarafından erişilecek kaynakların sahipleri, söz konusu erişimlerin güvenliğinin sağlanması adına gerekli tedbirleri alır.

  4.  YAPTIRIM VE CEZA

GÜRİŞbünyesinde tesis edilen Bilgi Güvenliği Yönetim Sistemi politika, prosedür ve süreçlerine    uyulmaması halinde tanımlanmış disiplin süreçleri kapsamında yaptırım uygulanır.

Tüm kullanıcılar Erişim Kontrol Politikası ile birlikte; tüm ilgili politika ve prosedürlerdeki kuralları bilmek ve bu kurallara uymaktan, bilgi varlıklarına erişim hakkı istemek için şirket tarafından onaylanmış süreç ve prosedürleri kullanmaktan, şirket tarafından verilmiş olan kimlik doğrulama bilgilerini korumaktan, bilgi kendi kullanımındayken bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini varlık sahibi tarafından belirlenen önlemlere uygun olarak korumaktan sorumludur.

Erişim Kontrol Politikası tarafından düzenlenen kurallara uymayanlara uygulanacak yaptırım ve cezalar BGYS Disiplin Yönetimi Prosedürü kapsamında değerlendirilir.

5.  POLİTİKANIN GÖZDEN GEÇİRİLMESİ VE ONAY

BGYS’nin başarılı bir şekilde uygulanmasından öncelikle tüm GÜRİŞ personeli sorumludur. Bilgi sistemlerini kullanan ve kurumsal bilgiye erişebilen tüm personel, misafir kullanıcılar ve hizmet alınan firmaların (tedarikçiler) personeli BGYS kapsamında tanımlanmış tüm sorumlulukları peşinen kabul eder.

Üst Yönetim, Erişim Kontrol Politikasını’nın gözden geçirilmesi ile bilgi güvenliği tehdit unsurlarını önleyici ve düzeltici tedbirleri almakla yükümlüdür.

Bu politika, yılda en az bir (1) kez BGYS Gözden Geçirme Toplantılarında, toplantıya katılan ekip tarafından gözden geçirilip onaylanır.

Gözden geçirme; politikalar yeni gereksinimler ve şirket bilgi teknolojisini etkileyebilecek altyapı değişiklikleri ile iş süreçlerindeki önemli değişiklikler ortaya çıktığında, sürekli uygunluk ve etkinliği sağlamak amacıyla gözden geçirilir.

Gözden geçirme süreci; kurumsal çevre değişikliklerinde, iş koşullarında, yasal şartlarda veya teknik ortamdaki değişimler nedeniyle şirketimizin politikasını ve bilgi güvenliği yönetimi yaklaşımını iyileştirmesi için fırsatlar içermektedir.