BGYS Politikaları

P00 BİLGİ GÜVENLİĞİ POLİTİKAMIZ

AMAÇ VE KAPSAM

Bu politikanın amacı, hukuka, yasal, düzenleyici ya da sözleşmeye tabi yükümlülüklere ve her türlü güvenlik gereksinimlerine ilişkin ihlalleri önlemek için, üst yönetiminin yaklaşımını ve hedeflerini tanımlamak, tüm çalışanlara ve ilgili taraflara bu hedefleri bildirmektir.

Uluslararası, ulusal, bölgesel veya yerel olmak üzere, sosyal ve kültürel, politik, yasal, mevzuata ilişkin, finansal, teknolojik, ekonomik, doğal ve rekabetçi ortam,

Kuruluşun hedefleri üzerinde etkisi bulunan kilit sürücüler ve eğilimler ve

Dış paydaşlarla ilişkiler ve onların algılamaları ve değerleri.

SORUMLULUK:
Bilgi Güvenliği Politikasının hazırlanması, gözden geçirilmesi ve güncellenmesinden BGYS Yönetim Temsilcisi ve BGYS Ekibi sorumludur. Medivia Hastane/Tıp Merkezi yönetimi Bilgi Güvenliği Politikasını onaylar ve duyurulmasını sağlar.

BİLGİ VARLIĞI:

Medivia Hospital Hastane’nin sahip olduğu, işlerini aksatmadan yürütebilmesi için gerekli olan varlıklardır.

Bu politikaya konu olan bilgi varlıkları şunlardır:

Kağıt, elektronik, görsel veya işitsel ortamda sunulan her türlü bilgi ve veri

Bilgiye erişmek ve bilgiyi değiştirmek için kullanılan her türlü yazılım ve donanım

Bilginin transfer edilmesini sağlayan ağlar

Bölümler, birimler, ekipler ve çalışanlar

Tesisler ve Özel alanlar

Çözüm ortakları

Üçüncü taraflardan sağlanan servis, hizmet veya ürün

POLİTİKA:

Bilgi kaynakları, tesisler ve cihazlar gibi Medivia Hospital Hastane/Tıp Merkezi açısından büyük önem taşıyan varlıklardır. Bilgi varlıklarını ve kaynaklarını kullanan veya bilgi sağlayan herhangi bir kişi, bilgi varlıklarını korumakla yükümlüdür.

Ortak bilgi varlıklarını kullanan tüm çalışanların, gereken duyarlılığı göstermesi ve diğer meslektaşlarını, kurum çalışanlarını ve kurumsal değerleri gözeterek hareket etmesi beklenir.

Kurumsal değerlerin gereği olarak gizliliğe önem verilir, her türlü kişisel bilgi en yüksek güvenlik standartlarına sahip sistemlerle korunur. Bilginin sahibi istemedikçe, yetki verilmedikçe veya yasal gereklilikler oluşmadıkça bilgi paylaşılmaz.

Medivia Hastane/Tıp Merkezi için tüm bu bilgi varlıkları ve kaynakları içerisinde en kritik olanı, özenle korunması, gizliliğinin sağlanması, ihtiyaç duyulduğu anda erişilmesi gereken; bilgi varlıkları, BT sistemleri, BT Ekipmanları ve bu ekipmanları barındıran sistem odası veya veri merkezleridir.

Bilgi varlıkları ve kaynakları farklı konumlarda veya ortamlarda bulunabilir. Hangi konumda veya ortamda olursa olsun müşteri iletişim gereksinimleri ve kurumsal değerler bu varlıkların ve kaynakların kullanımını belirler.

Bilgi güvenliği, sadece bilginin gizliliğinin değil, bütünlüğünün ve erişilebilirliğinin de sağlanması ile mümkündür. Bilginin gizlilik gerekliliği; sadece yetkilendirme dahilinde gereken bilgi varlıklarına erişim verilmesi anlamına gelir. Bilginin bütünlüğü; tüm bilgi varlıklarının tamlığını ve doğruluğunu sağlamayı gerektirir. Bilginin erişilebilirliği; bilgi varlıklarının ihtiyaç duyulduğu anda ulaşılabilir ve kullanılabilir olması anlamına gelir.

Bilginin kullanımı, yerleşimi ve korunması ile ilgili ihtiyaçların karmaşıklığı ve çokluğu, kapsamlı ve geniş bilgi güvenliği süreçlerinin ve politikalarının tanımlanmasını zorunlu kılmaktadır. Bu nedenle belirlenen süreçler doğrultusunda bilgi güvenliği riskleri, bilgi varlığından sorumlu olan kişiler tarafından değerlendirilir, risklerin önceliği belirlenir ve gereken önlemler alınır.

Sistem odası ve veri merkezleri güvenliğinin sağlanması öncelikli olarak ele alınır. Varlık envanterinin ve bu envanterin olası risklerinin önceden belirlenerek iç ve dış müşterilerin güven içinde ve kesintisiz hizmet almaları için çalışılır.

Karar ve eylemlerde, güvenilir nesnel bilgiler ile teknolojinin tüm olanaklarının kullanılmasına önem ve öncelik verilir. Hareketler sezgilere, duygulara ya da doğru görünene göre değil; bilimsel ve teknolojik gerçeklerin ortaya koyduğu objektif esaslara göre düzenlenir. Bunu sağlamak için bilgi dünyadaki en ileri kaynaklardan transfer edilir, benimsenir ve mesleki uygulamalar bu doğrultuda yapılır. Kaynaklar verimli kullanılarak teknolojiye yatırım yapılır, gelişim bu doğrultuda sürdürülür.

Bu nedenle bilgi güvenliği yönetim sisteminin planlama, uygulama, izleme ve iyileştirme adımlarının TS ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi standardına ve bu standardı destekleyen standartlara uygun olarak yürütülmesi önerilir.

POLİTİKA LİSTESİ

P01 BİLGİ SİSTEMLERİ GENEL KULLANIM POLİTİKASI

P02 İNTERNET ERİŞİM POLİTİKASI

P03 E-POSTA POLİTİKASI

P04 ANTİ-VİRÜS POLİTİKASI

P05 ŞİFRE POLİTİKASI

P06 FİZİKSEL GÜVENLİK POLİTİKASI

P07 SUNUCU GÜVENLİK POLİTİKASI

P08 AĞ YÖNETİMİ POLİTİKASI

P09 VERİTABANI GÜVENLİK POLİTİKASI

P10 DEĞİŞİM YÖNETİMİ POLİTİKASI

P11 SANAL ÖZEL AĞ (VPN) POLİTİKASI

P12 KİMLİK DOĞRULAMA VE YETKİLENDİRME POLİTİKASI

P13 KABUL EDİLEBİLİR KULLANIM POLİTİKASI

P14 TEMİZ MASA TEMİZ EKRAN POLİTİKASI

P15 KRİPTOGRAFİK KONTROLLER POLİTİKASI

P16 ZİYARETÇİ KABUL POLİTİKASI

P17 MOBİL CİHAZ POLİTİKASI

P18 ÜÇÜNCÜ TARAF GÜVENLİK POLİTİKASI

P19 OLAY İHLAL BİLDİRİM VE YÖNETİM POLİTİKASI

P20 GÜVENLİ YAZILIM GELİŞTİRME POLİTİKASI

P21 BİLGİ TEKNOLOJİLERİ İLETİŞİM ve ÖZEL İLGİ GRUPLARI POLİTİKASI

P01 BİLGİ SİSTEMLERİ GENEL KULLANIM POLİTİKASI

1. Genel Bakış

Kurumun amacı herhangi kimse üzerinde kısıtlayıcı politikalar üretmek değil aksine açıklık, güven ve bütünlüğe yönelik kültürü yerleştirmektir. Kurum bilerek veya bilmeyerek yapılan yasadışı veya zararlı eylemlerine karşı çalışanların ve kurumun haklarını korumaya adamıştır. Bilişim ile ilgili sistemler kurumun sahip olduğu değerlerdir. Güçlü bir güvenlik bütün çalışanların içerisine dahil olduğu takım çalışmasıyla oluşturulabilir. Bütün bilgisayar kullanıcıları günlük aktivitelerini yerine getirebilmesi için bu kuralları iyi bilmeli ve uygulamanın sorumluluğunu taşımalıdır.

2. Amaç

Bu politikanın amacı kurum bünyesindeki bilişim cihazlarının uygun kullanımı hakkında taslak oluşturmaktır. Uygunsuz kullanım kurumu virüs saldırılarına, ağ sistemlerinin çalışmamasına, hizmetlerin aksamasına sebep olabilir ve bunlar yaptırımlara dönüşebilir.

3. Kapsam

Bu politika kurumun bütün çalışanları, sözleşmelileri ve kurum adı altında çalışan bütün kişiler için geçerlidir. Aynı zamanda kurumun sahip olduğu ve kiraladığı bütün cihazlar için geçerlidir.

4. Politika

Genel Kullanım ve Sahip Olma

    a) Kullanıcılar şunun farkında olmalıdırlar; kurumun güvenlik sistemleri kişilere makul seviyede mahremiyet sağlasa da kurumun bünyesinde oluşturulan tüm veriler kurumun mülkiyetindedir.

    b) Bilgisayarlara hiçbir surette lisanssız program yüklenmemelidir.

    c) Kullanıcı herhangi bir bilginin çok kritik olduğunu düşünüyorsa o bilgi şifrelenmeli veya yetkili kişiler dışında erişilemeyecek alanlarda saklanmalıdır.

    d) Birimlerde sorumlu bilgi işlem personeli ve ilgili teknik personel dışında bilgisayarlar üzerindeki ağ ayarları, kullanıcı tanımları, kaynak profilleri vb. üzerinde mevcut yapılan düzenlemeler hiçbir surette değiştirilmemelidir.

    e) Bilgisayarlar üzerinden işin gerektirdiği dosyalar dışında dosya alışverişinde bulunulmamalıdır.

    f)  Bilgisayarlarda oyun ve eğlence amaçlı programlar çalıştırılmamalı, kopyalanmamalıdır.

g) Kritik bilgisayar raporlarının, bilginin hassasiyet seviyesine göre bir gizlilik sınıfı değeri (Çok Gizli, Gizli, Şirkete Açık, Halka Açık) olacaktır. Sınıflandırmayı bilgi sahibi kendisi yapacaktır.

Kritik raporların dökümünü alan kullanıcı, rapor içeriğindeki bilginin uygun bir şekilde korunmasından sorumludur.

Herhangi bir kişi kendine ait olmayan kritik bir rapor bulur ise bu durumu Medivia/Kurum/Tıp Merkezi/ Hastane Bilgi Güvenliği Ekibine bildirecektir.

“Gizli” kâğıt belgeleri kilitli dolap ve kasalarda muhafaza edilecektir.

Güvenlik Ve Kişiye Ait Bilgiler

    a) Bilgi sistemlerinde bulunan kritik bilgilere yetkisiz kişilerin erişimini engellemek için gerekli erişim hakları tanımlanmalıdır.

    b) Şifrelerinizi güvenli bir şekilde tutun ve hesabınızı başka kimselerle paylaşmayın. Şifreler 90 günde bir değiştirilmelidir.

    c) Bütün PC ve Laptoplar otomatik olarak 5 dakika içerisinde şifreli ekran korumasına geçebilmelidir.

    d) Laptop bilgisayarlar güvenlik açıklarına karşı daha dikkatle korunmalıdır. Sadece gerekli olan bilgiler bu cihazlar üzerinde saklanmalıdır.

    e) Laptop bilgisayarın çalınması / kaybolması durumunda, durum fark edildiğinde en kısa zamanda yetkili kişiye haber verilmelidir.

    f)   Kurum maili tanımlı akıllı telefonlarda şifre kullanım zorunluluğu vardır.

5. Uygunsuz Kullanım

    Genel olarak aşağıdaki eylemler yasaklanmıştır. Herhangi bir kullanıcı kurumun kaynaklarını kullanarak hiçbir şart altında herhangi bir yasadışı işlemde bulunamaz.

Sistem Ve Ağ Aktiviteleri

Aşağıdaki aktiviteler hiçbir istisna olmadan kesinlikle yasaklanmıştır.

Herhangi bir kişi veya kurumun izinsiz kopyalama, ticari sır, patent veya diğer şirket bilgileri, yazılım lisansları vs. haklarını çiğnemek.

Kitapların izinsiz kopyalanması, magazinlerdeki fotoğrafların dijital formata dönüştürülmesi, lisans gerektiren yazılımların kopyalanması.

Zararlı programların ağa veya sunuculara bulaştırılması.

Kendi hesabınızın şifresini başkalarına vermek veya kendi hesabınızı kullandırmak. Bu evden çalışırken aile bireylerini de kapsar.

Kurumun bilgisayarlarını kullanarak taciz veya yasadışı olaylara karışmak.

Ağ güvenliğini etkilemek, ağ haberleşmesini bozmak.

Program/script/komut kullanarak kullanıcının bağlantısını etkilemek.

Kurum bilgilerini kurum dışından üçüncü şahıslara iletmek.

Kullanıcıların kişisel bilgisayarları üzerine bilgi işlem bölümünün onayı alınmaksızın herhangi bir çevre birimi bağlantısı yapması.

Cihaz, yazılım ve verinin izinsiz olarak kurum dışına çıkarılması.

Kurumun politikaları olarak belirlediği programlar dışında kaynağı belirsiz olan programları kurmak ve kullanmak yasaktır.

E-mail Ve Haberleşme Aktiviteleri

Kurum dışından web posta sistemini güvenliğinden emin olunmayan bir bilgisayardan kullanmak

İstenilmeyen e-posta mesajlarının iletilmesi. Bunlar karşı tarafın özellikle istemediği reklam mesajlarını içeren epostalar olabilir.

E-posta veya telefon vasıtası ile taciz etmek.

Kurum eposta hesaplarını kişisel olarak kullanmak.

P02 İNTERNET ERİŞİM POLİTİKASI

Amaç

Medivia/Kurum/Tıp Merkezi/ Hastane’nin  güvenli internet erişimi için sahip olması gereken standartları belirlemektir. İnternetin uygun olmayan kullanımı, kurumun yasal yükümlülükleri, kapasite kullanımı ve kurumsal imajı açısından istenmeyen sonuçlara neden olabilir. Bilerek ya da bilmeyerek bu türden olumsuzluklara neden olunmaması ve internetin kurallarına, etiğe ve yasalara uygun kullanımının sağlanmasını amaçlamaktadır.

Kapsam

Bu politika Medivia /Kurum/Tıp Merkezi/ Hastane’nin  bütün kullanıcılarını kapsamaktadır.

Politika

Kurumun bilgisayarları içerik denetimi yapan bir uygulama üzerinden internete çıkacaktır. Kurum kültürüne ve yasalara uygun olmadan siteler yasaklanabilir.

İş gerekliliği açısından yetkilendirilmiş kullanıcılar ilgili kurum yöneticisinden onay alarak internete çıkarken özel servisleri (ftp ,telnet, vb) kullanabilirler.

Bilgisayarlar üzerinden yasalara aykırı internet sitelerine girilmemeli ve dosya indirimi yapılmamalıdır.

Üçüncü şahısların kurum internetini kullanmaları bilgi işlem sorumlularının izni ve bu konudaki kurallar dahilinde gerçekleştirilebilecektir.

5651 yasası gereği kurum içerisinde internet erişim logları en az 6 ay arşivlenmektedir.

Misafirler için özel misafir ağı, kurum ağından bağımsız özel kablosuz internet hattı oluşturulmuştur.

P03 E-POSTA POLİTİKASI

Amaç

Bu politikanın amacı Medivia/Kurum/Tıp Merkezi/ Hastane’nın e-posta altyapısına yönelik kuralları ortaya koymaktır. Kurumda oluşturulan e-postalar resmi bir kimlik taşımaktadırlar. E-posta Medivia/Kurum/Tıp Merkezi/ Hastane’nin en önemli iletişim kanallarından biridir ve bu kanalın kullanılması kaçınılmazdır. Bunun yanı sıra e-posta basitliği ve hızı nedeni ile yanlış kullanıma veya gereğinden fazla kullanıma açık bir kanaldır.

Kapsam

Bu politika kurumda oluşturulan e-postaların doğru kullanımını içermektedir ve bütün çalışanları kapsamaktadır.

Politika

3.1 Yasaklanmış Kullanım

    a) Kurumun e-posta sistemi, taciz, suistimal veya herhangi bir şekilde alıcının haklarına zarar vermeye yönelik öğeleri içeren mesajların gönderilmesi için kesinlikle kullanılamaz.

    b) Mesajların gönderilen kişi dışında başkalarına ulaşmaması için gönderilen adrese ve içerdiği bilgilere azami biçimde özen gösterilmesi gerekmektedir.

    c) Zincir mesajlar ve mesajlara iliştirilmiş her türlü çalıştırılabilir dosya içeren e-postalar alındığında hemen silinmeli ve kesinlikle başkalarına iletilmemelidir.

    d) Kişisel kullanım için internetteki listelere üye olunması durumunda kurum e-posta adresleri kullanılmamalıdır.

    e) Spam, zincir e-posta, sahte e-posta vb. zararlı e-postalara yanıt yazılmamalıdır.

    g) Kullanıcıların kullanıcı kodu / şifresini girmesini isteyen e-postaların sahte e-posta olabileceği dikkate alınarak, herhangi bir işlem yapılmaksızın derhal silinmelidir.

    h) Çalışanlar e-posta ile uygun olmayan içerikler (pornografi, ırkçılık, siyasi propaganda, fikri mülkiyet içeren malzeme vb.) gönderemezler.

3.2 Kişisel Kullanım

    a) Medivia /Kurum/Tıp Merkezi/ Hastane’de kişisel amaçlar için e-posta kullanımı mümkün olduğunca makul seviyede olmalıdır.

    b) Çalışanlar, mesajlarının yetkisiz kişiler tarafından okunmasını engellemelidirler. Bu yüzden şifre kullanılmalı ve e-posta erişimi için donanım /yazılım sistemleri yetkisiz erişimlere karşı korunmalıdır.

    c) Kullanıcıların kullanıcı kodu/şifresini girmesini isteyen e-maillerin sahte e-mail olabileceği dikkate alınarak, herhangi bir işlem yapılmaksızın derhal silinmelidir.

    d) Kurum çalışanları mesajlarını düzenli olarak kontrol etmeli ve kurumsal mesajla, Medivia /Kurum/Tıp Merkezi/ Hastane adıyla gönderilmelidir.

    e) Kurum çalışanları kurumsal e-postaların kurum dışındaki şahıslar ve yetkisiz şahıslar tarafından görülmesi ve okunmasını engellemekten sorumludurlar.

    g) Kaynağı bilinmeyen e-posta ekinde gelen dosyalar kesinlikle açılmamalı ve derhal silinmelidir.

    h) Elektronik postaların sık sık gözden geçirilmesi, gelen mesajların uzun süreli olarak genel elektronik posta sunucusunda bırakılmaması ve bilgisayardaki kişisel klasöre çekilmesi gereklidir.

    J) E-posta adresine sahip kullanıcının herhangi bir sebepten (emekli olma, işten ayrılma gibi nedenlerle) kurumdaki değişikliğinin yetkililer tarafından BT birimine bildirilmesi gereklidir.

3.3 Gözlemleme

Medivia/Kurum/Tıp Merkezi/ Hastane çalışanları gönderdikleri, aldıkları veya sakladıkları epostaların kişisel olmadığını bilmelidir. Bu yüzden yetkili kişiler önceden haber vermeksizin eposta mesajlarını denetleyebilirler.

3.4 E-Posta Yönetimi

Medivia /Kurum/Tıp Merkezi/ Hastane e-postaların kurum bünyesinde güvenli ve başarılı bir şekilde iletilmesi için gerekli yönetim ve altyapıyı sağlamakla sorumludur.

3.5 E- Posta Virüs Koruma 

Virüs, solucan , Truva atı veya diğer zararlı kodlar bulaşmış olan bir e-posta kullanıcıya zarar verebilir. Bu tür virüslerle bulaşmış e-postalar anti-virüs sistemleri tarafından analiz edilip temizlenmelidir. BT bu sistemden sorumludur.

P04 ANTİ-VİRÜS POLİTİKASI

Amaç

Medivia /Kurum/Tıp Merkezi/ Hastane’daki bütün bilgisayarların efektif virüs algılama ve engelleme standardına sahip olması için gereklilikleri belirlemektir.

Kapsam

Bu politika Medivia /Kurum/Tıp Merkezi/ Hastane’daki bütün bilgisayarları ve sunucuları kapsamaktadır.

Politika

3.1 Kurumun bütün bilgisayarları ve sunucuları anti-virüs yazılımına sahip olmalıdır ve yazılım güncel tutulmalıdır. Virüs bulaşan makineler tam olarak temizleninceye kadar ağdan çıkarılmalıdır. Zararlı programları (solucan,truva atı vs) kurum bünyesinde oluşturmak ve dağıtmak yasaktır. Hiçbir kullanıcı herhangi bir sebepten dolayı anti-virüs programını sistemden kaldıramaz.

3.2 Virüs problemlerine karşı tavsiye edilen adımlar:

Anti-virüs güncellemeleri; her bilgisayarda otomatik güncelleme şeklinde gerçekleşmektedir.

Bilinmeyen kişilerden e-posta ile birlikte gelen dosya ve makrolar silinmelidir. Silinen bu epostalar ayrıca geri dönüşüm kutusundan da silinmelidir.

Spam epostalar silinmelidir.

Bilinmeyen ve şüpheli kaynaklardan asla dosya indirilmemelidir.

Bilgisayarlarda kullanılan CD, USB gibi depolama aygıtları virüs tarama yapılmadan kullanılmamalıdır.

P05 ŞİFRE POLİTİKASI

Genel Bakış

Şifreleme bilgisayar güvenliği için önemli bir özelliktir. Kullanıcı hesapları için ilk güvenlik katmanıdır. Zayıf seçilmiş bir şifre ağ güvenliğini tümüyle riske atabilir. Medivia/Kurum/Tıp Merkezi/ Hastane çalışanları ve uzak noktalardan erişenler aşağıda belirtilen kurallar dahilinde şifreleme yapmakla sorumludurlar.

Amaç

Bu politikanın amacı güçlü bir şifreleme oluşturulması, oluşturulan şifrenin korunması ve bu şifrenin değiştirilme sıklığı hakkında standart oluşturmaktır.

Kapsam

Bu politika kullanıcı hesabı olan (Bilgisayar ağına erişen ve şifre gerektiren kişiler) bütün kullanıcıları kapsamaktadır.

Politika

4.1 Genel

    a) Kurum içerisinde kullanılan bütün bilgisayarlar ve sunucuların şifreleri 90 günde bir değiştirilmelidir.

    b) Kullanıcı ilk aldığı şifreyi değiştirmesi için zorlanmalıdır.

    c) Sistem yöneticisi her sistem için farklı şifreler kullanmalıdır.

    ç) Şifreler e-posta iletilerine veya herhangi bir elektronik forma eklenmemelidir.

    d) Kullanıcı, şifresini başkası ile paylaşmaması, kâğıtlara ya da elektronik ortamlara yazmaması konusunda eğitilmelidir.

    e) Kurum çalışanları veya harici kişiler için açılan kullanıcı hesaplarının şifreleri Medivia/Kurum/Tıp Merkezi/ Hastane güvenlik politikalarına uygun olmalıdır.

    f) Bir kullanıcı hesabı birden çok kişi tarafından kullanılmamalıdır.

P06 FİZİKSEL GÜVENLİK POLİTİKASI

Amaç

Bu politika kurum personeli ve kritik kurumsal bilgilerin korunması amacıyla sistem odasına, kurumsal bilgilerin bulundurulduğu sistemlerin yer aldığı tüm çalışma alanlarına ve kurum binalarına yetkisiz girişlerin yapılmasını önlemek amacını taşımaktadır.

Kapsam

Kurum binalarında yer alan bilgi varlıklarına erişim sağlayan tüm fiziksel güvenlik konularını kapsamaktadır.

Politika

a)  Kurumun fiziksel olarak korunması, farklı koruma mekanizmaları ile donatılması temin edilmelidir.

b)  Kurumsal bilgi varlıklarının dağılımı ve bulundurulan bilgilerin kritiklik seviyelerine göre binada ve çalışma alanlarında farklı güvenlik bölgeleri tanımlanmalı ve erişim izinleri bu doğrultuda belirlenerek gerekli kontrol altyapıları teşkil edilmelidir.

c)   Kurum dışı ziyaretçilerin ve yetkisiz personelin güvenli alanlara girişi yetkili görevliler gözetiminde gerçekleştirilmelidir.

d)   Tanımlanan farklı güvenlik bölgelerine erişim yetkilerinin güncelliği sağlanmalıdır.

e)   Kritik sistemler özel sistem odalarında tutulmalıdır.

f)   Sistem odaları elektrik kesintilerine ve voltaj değişkenliklerine karşı korunmalı, yangın ve benzer felaketlere karşı koruma altına alınmalıdır.

g)  Dolaplar ve çekmeceler kilitli ve kontrol altında tutulmalıdır.

h)  Kuruma giriş yapacak ziyaretçi veya kurye teslimatları yetkili görevliler gözetiminde gerçekleştirilmelidir.

P07 SUNUCU GÜVENLİK POLİTİKASI

1. Amaç

Bu politikanın amacı kurumun sahip olduğu sunucularının temel güvenlik yapılandırmaları için standartları belirlemektir. Bu politikanın etkili kullanılması ile Medivia /Kurum/Tıp Merkezi/ Hastane bünyesindeki bilgilere ve teknolojiye yetkisiz erişimler en aza indirilecektir.

2. Kapsam

Bu politika kurumun sahip olduğu bütün sunucular için geçerlidir.

3. Politika

3.1 Sahip Olma ve Sorumluluklar

Kurum bünyesindeki bütün dahili sunucuların yönetiminden sadece yetkilendirilmiş sistem yöneticileri sorumludur. Sunucu kurulum ve yapılandırmaları yalnızca bu gruptaki kişiler tarafından yapılacaktır.

Bütün sunucular (kurumun sahip olduğu) ilgili kurumun yönetim sistemine kayıtlı olmalıdır.

En az aşağıdaki bilgileri içermelidir.

Sunucu Adı

Sunucu Görevi

Sunucuların yeri

Donanım

Marka, model ve seri numarası

İşletim Sistemi

Yüklü uygulama yazılımı

Bütün bilgiler tek bir merkezde güncel olarak tutulmalıdır.

Genel Yapılandırma Kuralları

Kullanılmayan servisler ve uygulamalar kapatılmalıdır.

Sunuculara işletim sistemi yönünden güçlendirme (hardening) uygulanmalıdır.

Şirket dışı yapılan bağlantılar Medivia /Kurum/Tıp Merkezi/ Hastane’nin belirlediği kurallara göre yapılmalıdır.

Sunucular fiziksel olarak korunmuş sistem odalarında bulunmalıdırlar.

3.2 İşletim

Sunucular elektrik ve ağ altyapısı ile sıcaklık ve nem değerleri düzenlenmiş ortamlarda işletilmelidir.

Sistem odalarına yetkisiz girişler engellenmelidir. Sistem odalarına giriş ve çıkışlar erişim kontrollü olmalı ve kayıt altına alınmalıdır.

P08 AĞ YÖNETİMİ POLİTİKASI

Amaç

Kurumun bilgisayar ağında yer alan bilgilerin ve ağ alt yapısının güvenliği , gizlilik , bütünlük ve erişilebilirlik kavramları göz önüne alınarak sağlanmalıdır. Uzaktan erişim hususunda özel önem gösterilmelidir. Yetkisiz erişimle ilgili tedbirler alınmalıdır. Ağın güvenliği ve sürekliliğini sağlamak amacıyla birtakım kontroller gerçekleştirilmelidir. Ağ Yönetimi politikası bu gereksinimleri karşılayan kuralları belirlemek amacıyla geliştirilmiştir.

Kapsam

Medivia/Kurum/Tıp Merkezi/ Hastane bilgisayar ağının sistem ve ağ yöneticileri, teknik sorumluları faaliyetlerini Ağ Yönetimi Politikasına uygun şekilde yürütmekle yükümlüdür.

Politika

Bilgisayar ağlarının ve bağlı sistemlerin iş sürekliliğini sağlamak için özel kontroller uygulanmalıdır.

Ağ servisleriyle ilgili standartlarda, erişimine izin verilen ağlar ve ağ servisleri ve ilgili yetkilendirme yöntemleri belirtilmelidir.

Ağ üzerinde kullanıcının erişeceği servisler kısıtlanmalıdır.

Sınırsız ağ dolaşımı engellenmelidir.

İzin verilen kaynak ve hedef ağlar arası iletişimi aktif olarak kontrol eden teknik önlemler alınmalıdır.

Ağ erişimi gerek duyulduğunda VLAN gibi ayrı mantıksal alanlar oluşturularak sınırlandırılmalıdır.

Uzaktan teşhis ve müdahale için kullanılacak portların güvenliği sağlanmalıdır.

Ağ üzerindeki yönlendirme kontrol edilmelidir.

Bilgisayar ağına bağlı bütün bilgisayarlarda kurulum ve yapılandırma özellikleri, kurumun güvenlik politika ve standartlarıyla uyumlu olmalıdır.

Sistem tasarım ve geliştirmesi yapılırken kurum tarafından onaylanmış olan ağ ara yüzü ve protokolleri kullanmalıdır.

Bilgisayar ağındaki adresler, ağa ait konfigürasyon ve diğer tasarım bilgileri 3.şahıs ve sistemlerin ulaşamayacağı bir şekilde saklanmalıdır.

P09 VERİTABANI GÜVENLİK POLİTİKASI

Amaç

Kurumun veri tabanı sistemlerinin, kesintisiz ve güvenli şekilde işletilmesine yönelik standartları tanımlar.

Kapsam

Tüm veri tabanı sistemleri, bu politikaların kapsamı altında yer alır.

Politika

Kritik verilere erişim işlemleri loglanır. Log kayıtlarına, yetkilinin izni olmadan kesinlikle hiçbir şekilde erişim yapılamaz.

Veri tabanı sistemlerinde tutulan bilgiler sınıflandırılır ve uygun yedekleme politikaları oluşturulur. Yedeklemeden sorumlu sistem yöneticileri belirlenir ve yedeklerin düzenli alınması sağlanır.

Yedekleme talimatına uyulur.

Bilgilerin saklandığı sistemler, fiziksel güvenliği sağlanmış sistem odalarında tutulur.

Veri tabanı sistemlerinde yapılacak bakım onarım, yama ve güncelleme çalışmalarından önce, ilgili yetkililer bilgilendirilir.

Bilgi saklama medyaları, Bilgi Güvenliği Ekip Lideri’nin yazılı onayı olmadan, kurum dışına çıkarılamaz.

Veri tabanı sunucusuna, sadece admin hakkına sahip olanlar doğrudan bağlanır. (Erişim ve Kullanım Matrisi)

Bağlanacak kişilerin kendi adına kullanıcı adı verilir ve yetkilendirme yapılır.

P10 DEĞİŞİM YÖNETİMİ POLİTİKASI

Amaç

Kurumun bilgi sistemlerinde yapılması gereken değişikliklerin güvenlik ve sistem sürekliliğini aksatmayacak şekilde yürütülmesine yönelik politikaları belirler.

Kapsam

Tüm bilgi sistemleri ve bu sistemlerinden işletilmesinden sorumlu personel bu politikanın kapsamında yer almaktadır.

Politika

Bilgi sistemlerinde değişiklik yetkilendirilmiş kişiler tarafından yapılır.

Herhangi bir sistemde değişiklik yapmadan önce, bu değişiklikten etkilenecek tüm sistem ve uygulamalar belirlenmeli ve ilgili kişilere bilgi verilmelidir.

Değişiklikler gerçekleştirilmeden önce kurumun ilgili biriminden onay alınmalıdır.

Planlanan değişiklikler yapılmadan önce yaşanabilecek sorunlar ve geri dönüş planlarına yönelik kapsamlı bir çalışma hazırlanmalı ve ilgili yöneticiler tarafından onaylanması sağlanmalıdır.

Değişiklik öncesi test süreci tanımlanmalıdır.

Değişikliğin varlık kritikliğine göre yapılacağı zaman ve yöntemler tanımlanmalıdır.

P11 UZAK BAĞLANTI POLİTİKASI

Amaç

Bu politikanın amacı VPN protokolünün kullanımı hakkında standartlarını belirlemektir.

Kapsam

Bu politika VPN ile Medivia /Kurum/Tıp Merkezi/ Hastane ağına bağlanacak kurumları, çalışanları, sözleşmelileri, danışmanları, geçici çalışanları ve diğer bütün personeli kapsamaktadır. Bu politika VPN bağlantılarının sonlandırıldığı ürünlere uygulanacaktır.

Politika

Medivia /Kurum/Tıp Merkezi/ Hastane yetkili çalışanları ve üçüncü şahıslar VPN’in faydalarından yararlanabilirler.

Buna ek olarak,

Uzaktan bağlantıda mutlaka VPN kullanılmalıdır.

Uzaktan erişim için yetkilendirilmiş kurum çalışanları veya kurumun bilgisayar ağına bağlanan diğer kullanıcılar yerel ağdan bağlanan kullanıcılar ile eşit sorumluluğa sahiptir.

VPN kullanım hakkı verilen kişiler yetkisiz kişilere bu hakkı kullandırmaması için gerekli tedbirleri almakla sorumludur.

Kurum ağına bağlanıldığında, PC’den çıkan ve giren trafik sadece VPN kanalından iletilecektir ve Medivia /Kurum/Tıp Merkezi/ Hastane güvenlik politikaları uygulanacaktır.

Kurumun VPN ağ geçitlerinin kurulması ve yönetimi Medivia /Kurum/Tıp Merkezi/ Hastane’a ait yetkili personel tarafından yapılacaktır.

Kuruma ait bilgisayarlara sahip olmayan kişiler Medivia /Kurum/Tıp Merkezi/ Hastane’nin VPN ve ağ politikalarına uygun bir şekilde bilgisayarlarında antivirüs yazılımları kurulu ve güncel olmalıdır.

Sadece kurumun onay verdiği kullanıcılar VPN’ i kullanabilir.

Şirket personeli dışında üçüncü şahıslara verilecek VPN erişimleri için gizlilik anlaşması yapılmalıdır.

P12 KİMLİK DOĞRULAMA VE YETKİLENDİRME POLİTİKASI

Amaç

Kurumun bilgi sistemlerine erişimde kimlik doğrulaması ve yetkilendirme politikalarını tanımlamaktır.

Kapsam

Medivia/Kurum/Tıp Merkezi/ Hastane bilgi sistemlerine erişen kurum personeli ile kurum dışı kullanıcılar bu politika kapsamı alanındadır.

Politika

a) Kurum sistemlerine erişecek tüm kullanıcıların kurumsal kimlikleri doğrultusunda hangi sistemlere, hangi kimlik doğrulama yöntemi ile erişeceği belirlenecektir.

b) Kurum sistemlerine erişmesi gereken firma kullanıcılarına yönelik ilgili profiller ve kimlik doğrulama yöntemleri tanımlanacaktır.

c) Kurum bünyesinde kullanılan ve merkezi olarak erişilen tüm uygulama yazılımları, paket programlar, veri tabanları, işletim sistemleri ve erişilen tüm sistemler üzerindeki kullanıcı rolleri ve yetkiler belirlenmeli, denetim altında tutulmalıdır.

e) Erişim ve yetki seviyelerinin sürekli olarak güncelliği temin edilmelidir.

f) Kullanıcılar da kurum tarafından kullanımlarına tahsis edilen sistemlerin güvenliğinden sorumludur.

g) Sistemler üzerindeki erişim logları düzenli olarak tutulmalıdır.

h) Kullanıcılar kendilerine verilen erişim şifrelerini gizlemeli ve kimseyle paylaşmamalıdır.

I) Sistemlere erişen kullanıcıların yetki aşımına yönelik hareketleri izlenmeli ve kayıt alınmalıdır.

k) Ortak hesap kullanılmamalı, her kullanıcıya kendisine ait bir kullanıcı hesabı açılmalıdır.

P13 KABUL EDİLEBİLİR KULLANIM POLİTİKASI

Amaç:

Kabul Edilebilir Kullanım Politikasının amacı, Medivia /Kurum/Tıp Merkezi/ Hastane şirket personelinin Sistem, Bilgi ve Varlıkların Gizlilik, Bütünlük ve Erişebilirlik özelliğini garantilemek için yapması ve uyması gereken iş kurallarını kendilerine iletmektir. 

Kapsam

Bu politika; Medivia/Kurum/Tıp Merkezi/ Hastane personeli ile şirket için çalışan Yüklenici Firmalar için olup tüm Medivia/Kurum/Tıp Merkezi/ Hastane bilişim etkileşimli kritik bilgi varlıklarını kapsar.             

Politika Metni

Tüm personel, kendi alanlarına ait Güvenlik Politikalarına uymak zorundadır.

Kurum polikita ve prosedürleri, İnsan Kaynakları ve ilgili yöneticiler tarafından Medivia /Kurum/Tıp Merkezi/ Hastane çalışanlarına,  yeni işe başlayanlara ve müşterilere duyurulacaktır. İlgili Güvenlik Politikalarına uyulacağı personel iş sözleşmesinde yer almalı ve personele imzalatılmalıdır.

Medivia/Kurum/Tıp Merkezi/ Hastane şirket ortamında tutulan ve iletilen tüm bilgiler; şirketin malıdır ve Medivia/Kurum/Tıp Merkezi/ Hastane bu bilgileri izleme ve denetleme hakkına sahiptir.

Medivia/Kurum/Tıp Merkezi/ Hastane’nin Gizli olarak belirlediği tüm bilgilerin gizliliğine sıkı bir şekilde uyulacaktır. Şirketin iş gereksinimi dışında bu bilgilerin kopya edilmesi ve iletilmesi yasaktır.

Medivia/Kurum/Tıp Merkezi/ Hastane personeli, kendilerine tahsis edilmiş tüm bilgisayar erişim bilgilerini ve kendisine verilmiş cihazların güvenliğini korumakla sorumludur. Erişim bilgileri herhangi birine söylenemez ve bu bilgiler başkaları ile paylaşılamaz.

Hiçbir personel, bilgisayarlarından anti virüs koruma yazılımını devre dışı bırakamaz.

Kaynağı belli olmayan ve üretici firması tarafından kopya edilmesi yasaklanmış bir bilgisayar yazılımını kopyalamak yasaktır.

Hiç bir personel izin almadan kendi PC’ sinden veya başka bir kaynak kullanarak, Medivia/Kurum/Tıp Merkezi/ Hastane’nin Bilişim Ağını tarayamaz, izleyemez veya dinleyemez.

Hiçbir personel, şirket içinde kendilerine tahsis edilen bilgisayar yetkilerinin dışına çıkamaz ve bu konuda yetki aşma işlemine girişemez.

4.0 Yaptırım 

Kurumsal Bilgi Güvenlik Politikalarının ihlali durumunda, Disiplin prosedürü esas alınarak işlem yapılır.

P14 TEMİZ MASA TEMİZ EKRAN POLİTİKASI

Amaç:

Çalışanların mesai saatleri içi veya dışında kendilerine görevleri gereği paylaşılmış olan bilgilerin yetkisiz erişimler veya uygunsuz kullanımı sonucunda başına gelebilecek riskleri ortadan kaldırmak.

Kapsam:

Çalışma masaları, ekranlar, basılı dokümanlar, belgeler, kayıtlar.

Sorumlular:

Tüm çalışanların bu politikaya uygun hareket etmekten sorumludur.

Uygulama:

Çalışma sonunda kâğıt ortamında ya da elektronik cihazlar üzerinde tutulan “gizli ya da çok gizli” bilgiler güvenlikli ortamlarda (çelik kasa, kilitli dolap ve çekmeceler vb) saklanacaktır.

Kullanım ömrü sona eren, artık ihtiyaç duyulmadığına karar verilen bilgiler kağıt öğütücü, disk/disket kıyıcı, yakma vb. metotlarla imha edilecektir.

Her türlü haberleşmede kullanılan cihazlar (telefon, faks, fotokopi makineleri) üzerinde belge, doküman bırakılmayacaktır.

Her türlü ekrandan ulaşılabilen bilgiler, şifreler, anahtarlar ve kodlar, bilginin sunulduğu sistemler, ana makineler (sunucu), PC’ler vb. cihazlar şifresiz kullanılmayacaktır.

Ekranlarda çalışılmaması durumunda devreye girecek ekran koruması (parola) tüm PC’lerde, notebooklar da etkinleştirilecektir.

Çalışma saatleri dışında bilgisayarlar kapalı ya da kilitli şekilde bırakılmalıdır.

Çalışma saatleri içerisinde bilgisayardan uzaklaşıldığında mutlaka bilgisayar kilitli bırakılmalıdır.(Ekran koruyucu 5-10 dk arasında devreye girmelidir ve şifre koruması olmalıdır.)

Gelen ve giden mesaj noktaları ve faks veya teleks makineleri başıboş olarak bırakılmamalıdır.

Hassas ve sınıflandırılmış bilgi basıldığında yazıcıda bırakılmamalıdır.

Bilgisayarların masaüstlerindeki klasör ve dosyalar düzenli tutulmalıdır.

Bilgisayarlara ait olan şifreler kesinlikle kâğıt ortamlara yazılı bir şekilde bırakılmamalıdır.

Kurum içerisinde tanımlanan bilgi varlıkları, kriptografik şifreleme yöntemleri ile saklanmalıdır.

Risk değerlendirmelerine göre yüksek düzeyde koruma gerektiren bilgi varlıkarının korunmasında güçlü şifreleme algoritması kullanılmalıdır.

Mobil cihazlardaki verilerin korunmasında güçlü şifre kullanılmalıdır.

Eposta hesabı kurulu akıllı telefonlarda telefon kilidi kullanılması zorunludur.

Tanımlanan şifreler belirli aralıklarla değiştirilmelidir.

P16 ZİYARETÇİ KABUL POLİTİKASI

AMAÇ

Bu politikanın amacı dışarıdan gelen misafirlerin kabulü, kurum içinde dolaşmaları ve kurumdan uğurlanmaları ile ilgili kuralları belirlemektir.

SORUMLULAR:

Bu politikanın uygulanmasından Medivia/Kurum/Tıp Merkezi/ Hastane’daki tüm yönetici ve çalışanlar sorumludur.

UYGULAMA:

Dışarıdan ziyaret amaçlı gelen kişiler resepsiyon tarafından karşılanır ve yönlendirilir.

Gelen ziyaretçi ziyarete geldiği kişi tarafından girişte karşılanır.

Ziyaretçiler toplantı odalarında ağırlanır, çalışma alanlarına erişim bakım onarım ve denetleme firmaları dışında kesinlikte erişim yasaktır.

Kargo elemanları, yemek siparişi için gelen kişiler resepsiyonda bekletilir.

Ziyarete gelen kişiler ile ilgili bilgiler resepsiyon tarafından kayıt edilir.

Ziyaretçiler internet kullanmak istediklerinde kurum ağını kullanamazlar.

YAPTIRIM

Bu politikaya uygun olarak çalışmayan tüm personel hakkında Disiplin Prosedürü hükümleri uygulanır.

P17 MOBİL VE TAŞINABİLİR CİHAZ POLİTİKASI

AMAÇ

Bu politikanın amacı Medivia/Kurum/Tıp Merkezi/ Hastane’a ait bilgi içeren mobil ve taşınabilir cihazların kullanımı ile ilgili kuralları belirlemektir.

SORUMLULAR:

Bu politikanın uygulanmasından Medivia/Kurum/Tıp Merkezi/ Hastane’nin tüm çalışanları sorumludur.

UYGULAMA:

Kuruluşa ait bilgi içeren taşınabilir cihazlar ilgili kişiye zimmetlenerek teslim edilir.

Her çalışan kendisine zimmetlenen cihazın güvenliğinden ve amacına uygun kullanımından sorumludur.

Taşınabilir bilgisayarlar admin yetkisi sınırlandırılarak yalnızca user yetkilendirmesi ile ilgili kişiye teslim edilir.

Taşınabilir veya mobil cihazlara dışarıdan herhangi bir yazılım, siyasi propaganda, ırkçılık, şiddet, pornografi veya erotizm içeren resim, film veya müzik kopyalanamaz ve cihaz içerisinde bulundurulamaz.

Kuruluş telefon hatları ve bilgisayarlar üzerinden üçüncü taraf kişilerle borç alacak ilişkisi, tehdit, küfür, kuruluş itibarını zedeleyecek içerik ve yasa dışı iletişim kurulamaz.

Bilgisayarlar üzerindeki anti virüs programları hiçbir nedenle devre dışı bırakılamaz.

Taşınabilir bilgisayarlar üzerinde yapılan çalışmalar ve oluşturulan dosyalar mutlaka ağ üzerinde ilgili adrese kaydedilmelidir.

Kaybolması ve çalınması kolay olduğundan mobil cihazlar kontrol altında bulundurulmalıdır.

  YAPTIRIM

Bu politikaya uygun olarak çalışmayan tüm personel hakkında Disiplin Prosedürü hükümleri uygulanır.

P18 ÜÇÜNCÜ TARAF GÜVENLİK POLİTİKASI

AMAÇ

Bu politikanın amacı Medivia/Kurum/Tıp Merkezi/ Hastane bilgi sistemlerine üçüncü taraflar tarafından ulaşılması durumunda güvenliğinin sağlanmasıdır.

SORUMLULAR:

Bu politikanın uygulanmasından BT, IK ve İdari İşler sorumludur.

UYGULAMA:

 Kurum dışından gelen bakım ve tamir çalışanları, diğer tedarikçilerde de olduğu gibi, kurum içinde olduğu süre boyunca bir gizlilik anlaşması veya iş sözleşmesi imzalamalıdır.

Müşteri veya bakım firmaları kurumun bilgi sistemlerine kendilerine verilen yetki kapsamında erişim sağlayabilirler.

 Üçüncü taraflara kurumun ağına erişim izni verilecek bilgisayarlar için SANAL ÖZEL AĞ (VPN) POLİTİKASI uygulanacaktır. Medivia/Kurum/Tıp Merkezi/ Hastane, üçüncü taraflara herhangi bir uyarıda bulunmadan ağa olan erişimlerini kesebilir.

Tedarikçiler ile kurum sistemlerine erişmeden önce koşulların tanımlanmakta olduğu bir anlaşma imzalanmalıdır.

YAPTIRIM

Bu politikaya uygun olarak çalışmayan tüm personel hakkında Disiplin Prosedürü hükümleri uygulanır.

P19 OLAY İHLAL BİLDİRİM VE YÖNETİM POLİTİKASI

AMAÇ

Bu politikanın amacı Medivia/Kurum/Tıp Merkezi/ Hastane bilgi güvenliği olay ihlal süreçlerini belirler.

SORUMLULAR:

Bu politikanın uygulanmasından tüm personel sorumludur.

UYGULAMA:

Bilginin gizlilik, bütünlük ve kullanılabilirlik açısından zarar görmesi, bilginin son kullanıcıya ulaşana kadar bozulması, değişikliğe uğraması ve başkaları tarafından ele geçirilmesi, yetkisiz erişim gibi güvenlik ihlali durumlarında mutlaka kayıt altına alınmalıdır.

Bilgi güvenlik olayı raporlarının bildirilmesini, işlem yapılmasını ve işlemin sonlandırılmasını sağlayan uygun bir geri besleme süreci oluşturulmalıdır.

Bilgi güvenliği ihlâli oluşması durumunda kişilerin tüm gerekli faaliyetleri hatırlamasını sağlamak maksadıyla bilgi güvenliği olayı formunu Bilgi Güvenliği Ekibi ile birlikte doldurmalıdır.

İhlali yapan kullanıcı tespit edilmeli ve ihlalin suç unsuru içerip içermediği belirlenmelidir.

Tüm çalışanlar, üçüncü taraf kullanıcıları ve sözleşme tarafları bilgi güvenliği ihlallerini önlemek maksadıyla güvenlik zayıflıklarını doğrudan kendi yönetimlerine veya Bilgi Güvenliği Ekibine mümkün olan en kısa sürede rapor etmelidir.

Normal olasılık planlarına ek olarak olayın tanımı ve sebebinin analizi, önleme, tekrarı önlemek maksadıyla düzeltici tedbirlerin planlanması ve uygulanması, olaylardan etkilenen veya olaylardan kurtulanlarla iletişim, eylemin ilgili otoritelere raporlanması konuları göz önüne alınmalıdır.

İç problem analizi, adli incelemeler veya üretici firmadan zararın telafi edilmesi için aynı türdeki olayların izleme kayıtları (log) toplanır ve korunur.

Güvenlik ihlallerinden kurtulmak için gereken eylemler, sistem hatalarının düzeltilmesi hususları dikkate alınır.

Bilgi güvenliği olaylarının değerlendirilmesi sonucunda edinilen bilgi ile edinilen tecrübe ve yeni kontrollerin oluşturulması, aynı olayın tekrar etmesini önleyecek veya yüksek etkili olayların oluşmasını engelleyecektir.

Kanıt toplama; kuruluş içerisinde disiplin faaliyeti için delil toplanırken uygulanacak genel kurallar şunlardır;

Kanıtın mahkemede kullanılıp kullanılamayacağı ile ilgili kabul edilebilirlik derecesi,

Kanıtın niteliği ve tamlığını gösteren içerik.

YAPTIRIM

Bu politikaya uygun olarak çalışmayan tüm personel hakkında Disiplin Prosedürü hükümleri uygulanır.

P20 GÜVENLİ YAZILIM GELİŞTİRME POLİTİKASI

Yönetim sadece uygun yazılım projelerinin başlatıldığından ve proje altyapısının uygun olduğundan emin olmalıdır.

Uygulama yazılımlarının kurum içerisinde mi hazırlanacağı yoksa satın mı alınacağının belirlenmesi, uygun bir şekilde tanımlanmalıdır.

Sistem geliştirmede, ihtiyaç analizi, fizibilite çalışması, tasarım, geliştirme, deneme ve onaylama safhalarını içeren sağlıklı bir iş planı kullanılmalıdır.

Kurum içinde geliştirilmiş yazılımlar ve seçilen paket sistemler, ihtiyaçları karşılamalıdır.

Yazılım geliştirme ve temin politikalarına uygun olmayan, ulusal ve uluslararası yazılım geliştirme standartları çerçevesinde geliştirilmemiş ve kurum talebi olmaksızın üretilmiş olan yazılımların kurumsal sistemler üzerine entegre edilmesine izin verilmemelidir.

Hazırlanan sistemler mevcut prosedürler dâhilinde, işin gerekliliklerini yerine getirdiklerinden ve iç kontrol yapıldığından emin olunması açısından test edilmeli, yapılan testler ve test sonuçları belgelenerek onaylanmalıdır.

Yeni alınmış veya revize edilmiş bütün yazılımlar test edilmeli ve onaylanmalıdır.

Yeni yazılımların dağıtımı ve uygulanması kontrol altında tutulmalıdır.

Yazılımlar sınıflandırılmalı/etiketlenmeli ve envanterleri çıkarılarak varlık envanterinde güncellenmelidir.

Kurumsal yazılım geliştirme esasları yayınlanmışsa ona uygun geliştirme talep edilmelidir. Fonksiyon isimlendirme, yorum kullanımı, kullanılan yazılım dili vb.

Kurumda kişisel olarak geliştirilmiş yazılımların kullanılması engellenmelidir.

Eski sistemlerdeki veriler tamamen, doğru olarak ve yetkisiz değişiklikler olmadan yeni sisteme aktarılmalıdır.

P21 BİLGİ TEKNOLOJİLERİ İLETİŞİM ve ÖZEL İLGİ GRUPLARI POLİTİKASI

Bilgi teknolojileri süreçlerinde gerek duyulduğunda aşağıdaki iletişim bilgileri kullanılmalıdır:

Bilgi teknolojileri konusunda ilk iletişime geçilmesi gereken birim ve numaraları aşağıdaki gibidir.

BİLGİ GÜVENLİĞİ POLİTİKASI ONAYI

Amaç

Bu form Medivia/Kurum/Tıp Merkezi/ Hastane’da, Bilgi Güvenliği Politikasının okunduğu, anlaşıldığı ve kabul edildiğinin onaylandığı bir dokümandır.

Bu formu BT çalışanlar ve yöneticiler onaylayacaktır. Kurumun en üst yöneticisi bu politikanın uygulanabilirliğinden sorumludur.

İzlenecek Prosedür

Aşağıdaki adımlar takip edilmelidir.

Bilgi Güvenliği politikasını okuyunuz.

Aşağıda belirtilen bölümlere tarih atınız ve imzalayınız.

Bu sayfayı ilgili birim yöneticisine iletiniz.

Anlaşma

Bu forma imza atarak aşağıda yazılanları kabul etmiş oluyorum.

Medivia/Kurum/Tıp Merkezi/ Hastane bilgi güvenliği politikasının bir kopyasını teslim aldım, okudum ve anladım.