KVKK ve ISO 27001 Denetimlerinden 100 Tam Puan Alma: Bilgi İşlem Altyapı Denetim Listesi (Checklist) ve Kanıt Dosyaları

Birçok sistem yöneticisi için "Denetim Haftası" uykusuz geceler ve stres demektir. Şirkete gelen bağımsız denetçiler masanıza oturur ve sorar: "Yedeklerinizin çalıştığını nasıl kanıtlıyorsunuz? Eski logların değiştirilmediğini nereden bileceğiz? Sistem odasına kimlerin girdiğinin kayıtları nerede?" Denetçilere sözlü açıklama yapamazsınız; denetçi yalnızca belgelenebilir teknik kanıtlara bakar. İki büyük holding denetiminden sıfır uygunsuzlukla geçtiğim pratik Bilgi İşlem denetim kontrol listesi.

1. Fiziksel ve Çevresel Güvenlik Kanıtları (Madde A.11)

• [ ] Sistem Odası Giriş Kayıtları: Parmak izi veya kartlı geçiş loglarının son 6 aylık dökümü (Kim, hangi saatte girdi?).
• [ ] İklimlendirme ve Yangın Söndürme: FM200 gazlı söndürme tüplerinin yıllık periyodik bakım raporu ve hassas klimanın bakım sözleşmesi.
• [ ] Kamera Kayıtları: Sistem odasını gören kameranın kayıtlarının en az 60 gün geriye dönük saklandığının doğrulanması.

2. Erişim Kontrolü ve Kimlik Güvenliği (Madde A.9)

• [ ] Yetki Matrisi: Hangi personelin hangi sunucuda hangi yetkiye sahip olduğunu gösteren imzalı matris.
• [ ] Etki Alanı Parola Politikası Ekran Görüntüsü:
  • Minimum 10 karakter, karmaşıklık açık, 90 günde bir değişim, 5 hatalı denemede hesap kilitleme.
• [ ] Ayrılan Personel Prosedürü: İK'nın çıkış bildirimiyle Active Directory hesabının aynı gün kapatıldığını kanıtlayan 3 rastgele örnek personel dosyası.

3. İş Sürekliliği ve Yedekleme (Madde A.12 / A.17)

• [ ] 3-2-1 Yedekleme Mimarisi Şeması: Verinin hangi sırayla yerel depoya, buluta ve değiştirilemez ortama aktarıldığını gösteren ağ diyagramı.
• [ ] SureBackup Otomatik Doğrulama Raporu: "Sistemlerimiz her sabah sanal lab'da açılarak boot testi yapılmaktadır" diyen son 30 günlük yeşil tikli Veeam raporu.
• [ ] DRP Tatbikat Tutanağı: Son 12 ay içinde yapılan ve CEO/Genel Müdür tarafından imzalanmış "Felaket Kurtarma Tatbikat Raporu".

4. Log Yönetimi ve Zaman Senkronizasyonu (Madde A.12.4)

• [ ] NTP Zaman Senkronizasyonu: Tüm Domain Controller, Firewall ve Switchlerin ortak bir zaman sunucusuna bağlı olduğunu gösteren konfigürasyon çıktısı.
• [ ] 5651 Sayılı Kanun ve Güvenlik Duvarı Logları: Logların zaman damgalı (TÜBİTAK KamuSM zaman damgası) ve SHA-256 hash'li olarak saklandığının kanıtı.

Karşılaşılan Kritik Hatalar ve Çözüm İpuçları

• "Yedek Alıyoruz Ama Test Etmedik" İtirafı: Denetçinin en sevdiği soru: "En son ne zaman yedeği geri yükleyip denediniz?" Eğer "Hiç denemedik" derseniz doğrudan Majör Uygunsuzluk yersiniz. Denetimden 2 hafta önce test ortamında örnek bir restore yapıp ekran görüntüleriyle "Yıllık Yedek Doğrulama Tutanağı" hazırlayın.
• Paylaşılan Ortak Şifreler: Muhasebenin ortak bir kullanıcıyla (muhasebe_ortak) dosya sunucusuna erişmesi kesinlikle yasaktır. Her kullanıcının kendi şahsi kimliği olmalıdır (Kişisel Sorumluluk İlkesi).

Mühendis Notu

Denetim günü masanıza oturan denetçiye 10 ayrı klasör dolusu kağıt yerine; önceden hazırladığınız düzenli bir dijital arşiv sunun. Sorulan her sorunun cevabını 10 saniye içinde ekrana yansıtan bir mühendise denetçi saygı duyar ve denetim 2 saat içinde başarıyla tamamlanır.