Helpdesk Sisteminde ISO 27001 ve TISAX Kanıtları

ISO 27001 ve TISAX denetimlerinde BT destek süreçleri doğrudan incelenir: bir güvenlik olayı nasıl kaydedildi, bir kullanıcıya yetki kim tarafından onaylandı, sunucudaki değişiklik test edildi mi, ayrılan çalışanın hesabı ne zaman kapatıldı? Bu soruların cevabı dağınık e-postalardaysa kanıt göstermek zordur. İyi tasarlanmış bir helpdesk bu kanıtları günlük işin doğal sonucu olarak üretir. Bu rehber hangi kontrollerin helpdesk ile desteklenebileceğini ve tasarımda nelere dikkat edilmesi gerektiğini anlatır.

Önemli not: Bir helpdesk sistemi tek başına ISO 27001 uygunluğu veya TISAX etiketi sağlamaz. Kontrollerin uygulanmasını ve kanıtlanmasını kolaylaştırır; uygunluk kapsam, risk değerlendirmesi, politikalar ve bağımsız değerlendirmeyle birlikte ele alınır.

Hangi kontrol alanları desteklenir?

TISAX değerlendirmelerinde kullanılan VDA ISA kataloğu da olay yönetimi, kimlik ve erişim yönetimi ve değişiklik yönetimi konularında benzer kanıtlar bekler; olgunluk değerlendirmesinde sürecin tanımlı, uygulanan ve ölçülen olması önemlidir.

Tasarımda dikkat edilecek 8 nokta

1. Rol bazlı yetkilendirme: Kullanıcı, agent, ekip lideri, yönetici ve denetçi rolleri Entra ID güvenlik gruplarıyla yönetilmeli; kişiye özel izin verilmemelidir.
2. En az yetki: Agent’lar yalnızca kendi ekiplerinin kuyruklarını görmeli; güvenlik olayları yalnızca olay müdahale ekibine açık olmalıdır.
3. Denetim izi: Durum, öncelik, atama ve çözüm değişiklikleri ayrı hareket kaydı olarak tutulmalı; sürüm geçmişi kapatılmamalıdır.
4. Zaman damgaları: Oluşturma, ilk yanıt, çözüm, kapanış ve yeniden açma ayrı alanlarda saklanmalıdır.
5. Kişisel veri: Talep açıklamalarında gereksiz kişisel veri toplanmamalı; hassas ekler ayrı izinli kütüphanede tutulmalı, dışa aktarma yetkisi sınırlandırılmalıdır.
6. Saklama ve imha: Kapalı kayıtlar için saklama süresi tanımlanmalı; Microsoft Purview saklama etiketleri veya planlı arşiv akışıyla uygulanmalı, imha onaylanıp kaydedilmelidir.
7. Onaylar: Yetki ve değişiklik taleplerinde onaylayanın kimliği ve kararı talebe yazılmalıdır; onay e-postası tek başına kanıt değildir.
8. Periyodik yetki gözden geçirme: Agent ve yönetici grupları çeyreklik gözden geçirilmeli; sonuç kayıt altına alınmalıdır.

Microsoft 365 denetim günlüğü yeterli mi?

Microsoft Purview denetimi SharePoint ve diğer hizmetlerdeki kullanıcı etkinliklerini kaydeder; ancak saklama süresi lisans planına bağlıdır (standart denetimde varsayılan 180 gün, Audit Premium’da daha uzun). Denetim döngüsü bir yıl veya daha uzunsa, uygulamanın kendi hareket geçmişi ve dönemsel dışa aktarılan raporlar asıl kanıt kaynağı olmalıdır.

Kanıt paketi nasıl hazırlanır?

Denetim öncesinde dönem için şu raporlar hazırlanır: güvenlik olayları listesi ve kapanış özetleri, örneklem için seçilen erişim taleplerinin onay geçmişi, değişiklik kayıtları ve onayları, SLA uyum raporu, agent yetki gözden geçirme tutanağı. Raporların kontrollü bir doküman kütüphanesinde sürümlü saklanması, kanıt bütünlüğünü güçlendirir. Kontrol–kanıt eşlemesinin BGYS içinde nasıl yönetileceği için Eretek Uyum’un kanıt yönetimi hizmetine bakabilirsiniz.

Sık sorulan sorular

Helpdesk kayıtlarını ne kadar süre saklamalıyız?

Standartlar belirli bir süre vermez; süreyi kuruluşun saklama politikası, sözleşmeler ve mevzuat belirler. Önemli olan sürenin tanımlı olması, uygulanması ve imhanın kayıt altına alınmasıdır.

Denetçi helpdesk sistemine doğrudan erişmek isterse?

Süreli, salt okuma yetkisine sahip bir denetçi rolü tanımlanabilir. Alternatif olarak örneklem için talep geçmişi raporları dışa aktarılır; her iki durumda da erişim kayıt altında olmalıdır.

Helpdesk ile ISO 27001 sertifikası almak mümkün mü?

Hayır. Helpdesk, olay, değişiklik ve erişim yönetimi gibi kontrollerin kanıtını üretir. Sertifika; kapsam, risk değerlendirmesi, politikalar, iç denetim ve bağımsız belgelendirme denetimiyle mümkündür.

Kurulum adımları için Microsoft 365 helpdesk kurulumu rehberini, uygulama için Microsoft 365 entegre helpdesk ve SLA sistemi hizmetimizi inceleyin.