Sistem odası ve arşiv için erişim güvenliği

Neden ayrı bir erişim katmanı?

Bir binanın ana girişindeki geçiş kontrol, binaya kimin girdiğini yönetir. Sistem odası ise binanın içinde ayrı bir korunma alanıdır. Sunucular, ağ anahtarları, kayıt cihazları ve yedekler burada durur. Bu odaya fiziksel olarak erişen biri, yazılım tarafındaki pek çok güvenlik önlemini atlatabilir: bir kabloyu çekerek hizmeti durdurabilir, bir diski alıp götürebilir ya da ağa izinsiz bir cihaz bağlayabilir.

Arşiv odası için de durum benzerdir. Personel dosyaları, hasta kayıtları, sözleşmeler ve muhasebe belgeleri kâğıt üzerinde olsa da kişisel veri içerir. 6698 sayılı Kanun, kişisel verileri işleyenlerin uygun teknik ve idari tedbirleri almasını ister; fiziksel erişim kontrolü bu tedbirlerin parçasıdır. Hangi tedbirlerin sizin için yeterli sayılacağı konusunda bir hukuk danışmanından görüş almanızı öneririz.

Kim girmeli, kim girmemeli?

Teknik çözüme geçmeden önce erişim listesi çıkarılmalıdır. Sistem odasına bilgi işlem ekibi girer. Temizlik görevlisi, bina bakım teknisyeni, klima servisi ve dış firma çalışanları ise ancak refakatle ya da geçici yetkiyle girmelidir. Arşive yalnızca ilgili birim sorumluları erişmelidir.

Liste ne kadar kısa olursa kontrol o kadar kolaydır. Sık yapılan hata, kolaylık olsun diye herkesin kartına sistem odası yetkisi tanımlamaktır. Bu durumda geçiş kayıtları tutulsa bile bir olay olduğunda kimin girdiğini anlamak için onlarca kişiyi sorgulamak gerekir.

Dış firma girişleri için yazılı bir kural koyun. Servis teknisyeni geldiğinde kim refakat edecek, geçici kart kim tarafından ve ne kadar süreyle verilecek, iş bitince kart nasıl geri alınacak? Geçici kartların süreli tanımlanması, yani belirli bir saatten sonra kendiliğinden geçersiz olması, geri alınmayı unutan kartların yarattığı açığı kapatır. Yöneticinin izinli olduğu günlerde bu işi kimin yapacağı da belirlenmelidir.

Uzman notu: Erişim listesini her işe giriş, işten çıkış ve görev değişikliğinde gözden geçirin. Görev yeri değişen bir çalışanın eski yetkisi çoğu zaman unutulur ve yıllarca açık kalır. İnsan kaynaklarının bu değişiklikleri bilgi işleme aynı gün bildirmesini bir kural haline getirin.

Kapıda hangi önlemler olmalı?

Sistem odası kapısının kendisi de önemlidir. Ahşap ya da camlı bir ofis kapısına en iyi okuyucu takılsa bile kapı zorlanarak açılabilir. Mümkünse çelik ya da yangına dayanıklı bir kapı, sağlam bir kasa ve kapının kendiliğinden kapanmasını sağlayan kapı kapatıcı kullanılmalıdır.

• Kartlı ya da biyometrik okuyucu, mümkünse kart ve şifre birlikte
• Elektrikli kilit ve elektrik kesintisinde de çalışan akülü besleme
• Kapı açık kalınca alarm veren manyetik kontak
• Zorla açma algılaması ve bilgi işleme bildirim
• Kapıyı ve giriş yapanın yüzünü gören kamera
• İçeriden çıkış için buton ya da kol, acil durumda açılabilen kilit
• Dış firma girişleri için ziyaretçi defteri ya da geçici kart

İki faktörlü erişim ve anti-passback

İki faktörlü erişim, kapının açılması için iki farklı doğrulama ister: sahip olunan bir şey (kart) ve bilinen bir şey (şifre) ya da kişinin kendisi (parmak izi). Kart kaybolsa ya da çalınsa bile şifre bilinmeden kapı açılmaz. Sistem odası gibi alanlarda bu yöntem, tek başına karttan çok daha güçlü bir koruma sağlar.

Anti-passback, girişte okutma yapmadan içeri girmiş birinin çıkışta okutmasını reddeden ya da tersini engelleyen bir özelliktir. Bu sayede bir kişinin kartı başkasına verip içeriye iki kişi girmesi ya da kapıyı açık tutup arkadan birinin geçmesi kayıtlarda görünür hale gelir. Sistem odasında hem giriş hem çıkışta okuyucu olması, kimin ne kadar süre içeride kaldığını da gösterir.

Biyometrik yöntem kullanılacaksa, parmak izi ve yüz verisinin KVKK'da özel nitelikli kişisel veri olduğunu unutmayın. Az sayıda kişinin eriştiği bir alanda bile biyometrik veri işlenmeden önce hukuki değerlendirme yapılmalıdır.

Kayıtlar ve izleme

Geçiş kontrol yazılımı her okutmayı, reddedilen denemeleri, kapının açık kaldığı süreleri ve zorla açma olaylarını kaydeder. Bu kayıtlar ancak biri baktığında işe yarar. Mesai dışı girişler, reddedilen denemeler ve açık kalan kapılar için bilgi işlem sorumlusuna e-posta ya da mesajla bildirim gelmesi ayarlanmalıdır.

Kamera kaydı ile geçiş kaydının saatleri aynı olmalıdır. Tüm cihazların ağ üzerindeki bir saat sunucusundan zaman alması, bir olay incelenirken kartın okutulduğu an ile kamera görüntüsünü eşleştirmeyi kolaylaştırır. Bilgi güvenliği yönetim sistemi (ISO/IEC 27001 gibi) kuran kurumlarda fiziksel erişim kayıtları denetimde sıkça istenen belgeler arasındadır.

Oda içindeki önlemler

Erişim güvenliği kapıda bitmez. Sistem odasının içinde rack kabinlerin kilitli olması, anahtarların kimde olduğunun bilinmesi ve kabin kapılarının açıldığında bildirim veren sensörler kullanılması ek bir katman sağlar. Odada sıcaklık, nem ve su baskını sensörleri de bulunmalı; bu sensörler doğrudan erişimle ilgili olmasa da aynı izleme sistemine bağlanabilir.

Şanlıurfa'da yaz aylarında klima arızası sistem odası için ciddi bir risktir. Klima servisinin odaya girmesi gerektiğinde geçici kart verilmesi ve girişin kayda geçmesi, hem güvenliği hem de servis kaydını sağlar. Sistem odası altyapısıyla ilgili diğer hatalar için ağ altyapısı rehberimize de bakabilirsiniz.

Desa Bilişim, kurumlarda sistem odası kurulumu ve geçiş kontrolünü birlikte yapıyor. Sistem odanızın ve arşivinizin erişim durumunu yerinde inceleyip eksikleri yazılı olarak bildirebiliriz.

Sık sorulanlar