DOK-004 BGYS Politikası 1/7
Hazırlayanlar İsim Şule KÖKSAL Ebru ÖZTÜRK Döndü Çelik KOCA Unvan Defterdarlık Uzmanı Defterdarlık Uzmanı Çözümleyici Onaylayan İsim Mustafa AŞÇIOĞLU Unvan Genel Müdür Yardımcısı 2/7
Değişiklik Çizelgesi Yayın No Değişiklik Açıklaması 1.0 İlk Yayın 3/7
1. Amaç, kapsam ve kullanıcılar Bu politika, Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri Bilgi Güvenliği Yönetim Sistemi (BGYS) nin amacını, hedeflerini ve ilkelerini tanımlar. Dokümanın kullanıcıları, kapsam dâhilindeki tüm Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri çalışanları ve gerek duyulması halinde politikanın paylaşılacağı, BGYS de rolü olan dış taraflardır. 2. Referans dokümanlar ISO/IEC 27001 standardı BGYS kapsam dokümanı Risk değerlendirme ve risk işleme metodolojisi ISO 27001 SOA Uygulanabilirlik Bildirgesi Uyulması gereken yasa, mevzuat ve sözleşmeler listesi 3. Bilgi güvenliği tanımları Varlık: Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri iş süreçleri için değeri olan, kaybı halinde işlerin aksayacağı, insan, yazılım, donanım, itibar, bilgi gibi unsurların tümüdür. Gizlilik: Bilginin sadece yetki verilen taraflarca, sadece yetkileri dâhilinde ulaşılabilmesi, yetkisiz taraflarca elde edilememesi, ulaşılamaması durumudur. Bütünlük: Bilginin içeriğinin yetkisiz taraflarca değiştirilmemiş, güvenilir olması durumudur. Erişilebilirlik: Bilginin yetki verilen taraflarca zamanında erişilebilir, hazır durumda olmasıdır. Bilgi Güvenliği: Bilginin gizlilik, bütünlük ve erişilebilirliğinin korunmasıdır. Bilgi Güvenliği Yönetim Sistemi: Bilgi güvenliğini sağlamak amacıyla kurulan, işletilen ve sürekli iyileştirilen risk tabanlı yönetim sistemidir. 4. Bilgi güvenliği yönetimi 4.1. Amaç Maliye Bakanlığı Milli Emlak Genel Müdürlüğü nün misyonu; Devlet malları ile Devlete intikali gereken malları, milli çıkarlara en uygun, etkin ve verimli biçimde, diğer kuruluşlar ile işbirliği halinde, bilimsel ve toplumsal gelişmeler de dikkate alınarak yönetmektir. Bu misyon doğrultusunda gerek kamu hizmetlerinin yürütülmesi gerekse kamu ve özel yatırımlar için gerekli olan taşınmaz desteğinin 4/7
bedelli/bedelsiz olarak karşılanması, Hazine taşınmazlarının idaresinde etkinliği artırmak suretiyle bütçeye gelir desteği ile kırsal ve kentsel yaşam kalitesinin artırılmasına katkı sağlamaktır. Bakanlığımız İç Kontrol Standartlarına Uyum Eylem Planının KFS 12.1 no.lu ISO'nun Bilgi Güvenliğine Yönelik Kalite Yönetim Sistemleri Belgesi Alınması maddesi uyarınca Genel Müdürlüğümüz Bilgi İşlem ve Araştırma ve geliştirme Dairelerince 2014 yılı sonuna kadar ISO 27001 belgesi alınması öngörülmektedir. Bilgi güvenliği yönetim sisteminin amacı, yukarıda belirtilen misyon doğrultusunda: Elektronik ortamda sunduğumuz hizmetlerin güvenliğini sağlamak Temel ve destekleyici iş faaliyetlerimizin en az kesinti ile devamını sağlamak Mevzuattan ve imzalanan sözleşmelerden doğan bilgi güvenliği uyum şartlarını sağlamak Başkanlık olarak BGYS faaliyetleri konusunda diğer birimlere ve kamu kurumlarına örnek olmak Bilgi güvenliği farkındalığını oluşturmak/arttırmak BGYS hedeflerinin gözden geçirilmesinden ve yeni hedeflerin belirlenmesinden üst yönetim sorumludur. 4.2. Bilgi güvenliği gereksinimleri Bu politika ve tüm bilgi güvenliği yönetim sistemi, Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri nin uymak zorunda olduğu kanun, yönetmelik ve sözleşmelerle uyum içinde olmalıdır. Bu kanun ve yönetmelikler, Uyulması Gereken Yasa Mevzuat ve Sözleşmeler dokümanında belirtilmiştir. 4.3. Bilgi Güvenliği Esasları Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri için, merkez ve taşradan gelen ve derlenen veriler ile elde edilen tüm bilgiler kritik öneme sahiptir. Bilgiler, kâğıt ortamında, bilgi sistemlerinde işlenirken, iletilirken ve saklanırken özenle korunmalıdır. Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri bilgi işlem altyapısını kullanan ve bilgi kaynaklarına erişen herkes: Sadece kendine erişim yetkisi verilmiş bilgilere, yetkisi dâhilinde erişmeli, Kişisel ve elektronik iletişimde ve dış taraflarla yapılan bilgi alışverişlerinde kuruma ait bilginin güvenliğini sağlamalı, Kritiklik düzeylerine göre işlediği bilgiyi yedeklemeli, Risk düzeylerine göre belirlenen güvenlik önlemlerini almalı, Bilgi güvenliği ihlal olaylarını raporlamalı ve BGYS sorumlusuna bildirmeli, bu ihlalleri engelleyecek önlemleri almalıdır. Bilginin yetkili kullanıcılar tarafından gerek duyulduğu an kullanılabilir olması, Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri ndeki bilgi kaynakları (doküman, bilgisayar, ofis araçları vb.) yetkisiz olarak 3. kişilere iletilemez, kullandırılamaz. 5/7
Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri ndeki bilgi kaynakları (doküman, bilgisayar, ofis araçları vb.) yetkisiz olarak kurum dışına çıkarılamaz. Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri bilişim kaynakları, T.C. yasalarına ve bunlara bağlı yönetmeliklere aykırı faaliyetler doğrultusunda kullanılamaz. 4.4. Risk yönetimi ve risk değerlendirme kriterleri BGYS risk yönetimi, Risk Değerlendirme ve Risk İşleme Metodolojisi nde detaylı olarak tanımlanmıştır. 4.5. İş sürekliliği İş sürekliliği yönetimi, İş süreklilik Politikası nda detaylı olarak tanımlanmıştır. 4.6. Sorumluluklar BGYS nin bu politikaya göre işletilip işletilmediğinin takibinden ve gerekli kaynakların sağlanmasından üst yönetim sorumludur. BGYS nin yılda 1 kez ya da önemli bir değişiklik olduğunda gözden geçirilmesinden BGYS danışma kurulu sorumludur. Yönetim gözden geçirmesinin amacı, BGYS nin etkinliği ve iyileştirilerek sürdürülmesidir. BGYS nin işletilmesi, koordinasyonu ve bakımı BGYS sorumlusunun görevidir. Bilgi güvenliği eğitim ve farkındalık çalışmalarının yürütülmesi BGYS sorumlusunun görevidir. BGYS nin denetim prosedürüne uygun olarak belli aralıklarla denetlenmesinden ve denetim sonuçlarının raporlanmasından BGYS Denetçisi sorumludur. Tespit edilen tüm bilgi güvenlik olayları ve zayıflıkları BGYS sorumlusuna raporlanmalıdır. Kapsam dâhilindeki tüm kurum çalışanları, bilgi güvenliği politikasına uymakla sorumludur. Varlıkların gizlilik, bütünlük ve erişilebilirliğinin kontrol edilmesinden varlıkların sahipleri sorumludur. BGYS ile ilgili rol ve sorumluluklar, Bilgi Güvenliği Rol ve Sorumluluklar dokümanında tanımlanmıştır. 4.7. Politikanın ihlali ve yaptırımlar Politikanın ihlali durumunda ilgili personel 657 sayılı Devlet Memurları Kanununun 125. Maddesi gereğince değerlendirilmeye alınır. 4.8. Politikanın duyurulması Bilgi güvenliği yönetim sistemi politikası tüm çalışanlara, kapsam dâhilindeki yeni işe giren personele ve ilgili dış taraflara okutulup BGYS Doküman Kabul Beyanı imzalatılır. İmzalanmış belgeler personelin özlük dosyalarında ve ilgili dosyalarda saklanır. Ayrıca, gerekli kişilerin her zaman ulaşabilmesi için politika, Milli Emlak İntranette yayınlanır. 6/7
5. BGYS uygulaması için destek Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri üst yönetimi, bilgi güvenliği yönetim sisteminin bu politikada belirtilen hedeflere uygun olarak kurulması ve işletilmesi için tüm aşamalarda destek ve kaynak sağlayacağını beyan eder. 6. Dokümanın geçerliliği ve yönetimi Doküman 16.06.2014 tarihinden itibaren geçerlidir. Dokümanın sahibi BGYS Sorumlusu dur. Dokümanın sahibi yılda 1 kez dokümanı gözden geçirir ve gerek duyulması halinde dokümanı günceller. Dokümanın yeterliliği ve etkinliği gözden geçirilirken aşağıdaki kıstaslar göz önünde bulundurulur: BGYS kapsamı dâhilinde olup bu politikadan haberdar olmayan yönetici, personel ve ilgili dış taraf sayısı; BGYS nin Maliye Bakanlığı Milli Emlak Genel Müdürlüğü Bilgi İşlem ve Araştırma ve Geliştirme Daireleri nin uymak zorunda olduğu kanunlar, yönetmelikler, sözleşmeler ve kurumun iç dokümanlarıyla uyumsuz olması. 7/7