Verizon'un yıllık veri ihlali raporlarına göre ihlallerin büyük bölümünde insan faktörü rol oynar; fiziksel erişimde ise en yaygın açık tek bir kapıdan ardı sıra geçmektir: yetkili kişinin kartını okuttuğu kapıdan, kimse durdurmadığı için, yetkisiz biri arkasından süzülür. Bu davranışın adı tailgating'tir ve hiçbir teknik kontrol onu tek başına engelleyemez.
Merhaba, ben Güvenlik Uzmanı. Bu derste fiziksel güvenliği ve erişim kontrolünü ele alıyoruz: kartlı geçiş sistemleri, tailgating (ardından geçme), ziyaretçi yönetimi ve temiz masa/temiz ekran ilkesi. Bilgi güvenliği yalnız ağda ve parolada değildir; bir kişinin binaya, sunucu odasına veya masanızdaki belgeye fiziksel olarak ulaşması da en az bir siber saldırı kadar ciddi bir ihlaldir. Soldaki interaktif sahnede (secAccessControl3D) kartlı geçiş turnikesini, ziyaretçi kaydını ve tailgating senaryosunu deneyerek hangi davranışın güvenli hangisinin riskli olduğunu incele.
FİZİKSEL GÜVENLİK NEDİR VE NEDEN ÖNEMLİDİR? Fiziksel güvenlik, bilgi varlıklarına (sunucular, çalışan cihazları, evrak, yedek üniteler) yetkisiz fiziksel erişimi engellemeyi amaçlar. ISO/IEC 27001:2022 standardının Annex A bölümünde fiziksel kontroller "Physical controls" başlığı altında toplanmıştır (ör. A.7.1 Fiziksel güvenlik çevresi, A.7.2 Fiziksel giriş kontrolleri, A.7.4 Fiziksel güvenlik izleme, A.7.7 Temiz masa ve temiz ekran). En güçlü güvenlik duvarı bile, saldırgan binaya girip bir cihaza USB takabiliyorsa anlamını yitirir. Fiziksel ihlal aynı zamanda KVKK kapsamında kişisel veriye yetkisiz erişim demektir ve veri sorumlusunun "uygun teknik ve idari tedbirler" (KVKK md.12) yükümlülüğünü ihlal eder. KARTLI GEÇİŞ (ERİŞİM KONTROL) SİSTEMLERİ Kartlı geçiş, "kim, nereye, ne zaman girebilir?" sorusunu yöneten en yaygın kontroldür. Temel ilke en az ayrıcalık (least privilege): herkesin kartı her kapıyı açmamalı; kişi yalnızca görevi için gereken alanlara erişmeli. • Kartını her zaman yanında taşı ve görünür biçimde tak. • Kartı KİMSEYLE paylaşma, ödünç verme veya başkası adına okutma. • Kart kaybolursa derhal bildir; kayıp kart kötü niyetli ele geçirilirse bina kapısı açık bırakılmış demektir. • Sunucu odası, arşiv gibi kritik alanlar için ek doğrulama (PIN, biyometri) beklenir — bu çok faktörlü fiziksel erişimdir. YAPMA: Bir kapıyı "pratik olsun" diye kama/sandalye ile açık bırakmak; bu tek hamle tüm erişim kontrolünü devre dışı bırakır. TAILGATING (ARDINDAN GEÇME / PIGGYBACKING) Tailgating, yetkili kişinin açtığı kapıdan yetkisiz birinin arkasından girmesidir. "Elim dolu, kapıyı tutar mısın?", kuryeyle, kahve taşıyan biriyle ya da takım elbiseli güven veren bir kişiyle gerçekleşebilir — sosyal mühendisliğin fiziksel hâlidir. Doğru davranış: • Her geçişte tek kişi tek kart kuralı. Arkandakinin de kendi kartını okutmasını sağla. • Tanımadığın kişi arkandan girmeye çalışırsa kibarca "Lütfen siz de kartınızı okutur musunuz?" veya "Size yardımcı olabilir miyim, kimi ziyaret ediyorsunuz?" de. • Rahatsız olursan zorla durdurmaya çalışma; güvenliği/resepsiyonu bilgilendir. YAPMA: Nezaket adına tanımadığın birine kapı tutmak. Nezaket ile güvenlik çatışırsa güvenlik önceliklidir; bu kişisel bir reddetme değil, kurumsal bir kuraldır. ZİYARETÇİ YÖNETİMİ Misafir, tedarikçi, kurye ve aday gibi dışarıdan gelen herkes ziyaretçidir ve kayıt altına alınmalıdır. • Ziyaretçi resepsiyonda kayıt olur (ad, kurum, ziyaret nedeni, ziyaret edilen kişi, giriş-çıkış saati). • Ziyaretçi GÖRÜNÜR ziyaretçi yaka kartı takar; çalışan kartından ayırt edilebilir olmalı. • Ziyaretçiye bir çalışan EŞLİK EDER; ziyaretçi güvenli alanlarda yalnız dolaşamaz. • Çıkışta kart iade edilir ve çıkış kaydı yapılır. YAPMA: Tanımadığın bir ziyaretçiyi "birini arıyor herhâlde" diye serbest bırakmak; kartsız/kimliksiz birini içeri almak. TEMİZ MASA / TEMİZ EKRAN (Clean Desk / Clear Screen) Fiziksel erişim engellense bile masada açık bırakılan belge veya kilitlenmemiş ekran iç tehdit ve ziyaretçi için açık kapıdır (ISO 27001 A.7.7). • Masandan ayrılırken hassas evrakı kilitli çekmeceye/dolaba koy. • Bilgisayarını KİLİTLE (Windows: Win+L). Kısa bir çay molasında bile. • Yazıcıdan çıktıları hemen al; ortak yazıcıda gizli belge bırakma. • Beyaz tahta/yapışkan notlardaki parola veya müşteri bilgisini sil. KVKK BAĞLANTISI Fiziksel güvenlik, kişisel verilerin korunmasının ayrılmaz parçasıdır. KVK Kurumu'nun yayımladığı idari tedbirler arasında "fiziksel güvenliğin sağlanması", "kişisel veri içeren ortamların güvenliği" ve "erişim yetkilerinin kontrolü" doğrudan sayılır. Bir ziyaretçinin masandaki müşteri listesini görmesi de, sunucu odasına izinsiz girilmesi de KVKK kapsamında veri ihlalidir ve gerektiğinde Kurul'a ve ilgili kişiye bildirim yükümlülüğü doğurabilir. ÖZETLE: Fiziksel güvenlik bir teknoloji değil, bir davranış kültürüdür. Kart oku, kapı tutma, ziyaretçiyi kaydet ve eşlik et, masanı ve ekranını temiz tut. Tek bir gevşek davranış, milyonlarca liralık teknik yatırımı boşa çıkarabilir.
• Fiziksel güvenlik bir teknoloji değil davranış kültürüdür; tek gevşek hareket tüm kontrolleri boşa çıkarır (ISO 27001 Annex A.7). • Kartlı geçişte en az ayrıcalık geçerlidir: kartını paylaşma, kaybını derhal bildir, kapıyı kama ile açık bırakma. • Tailgating'i durdur: tek kişi tek kart; tanımadığın kişiye nezaket için kapı tutma, kibarca kart okutmasını iste. • Ziyaretçiyi kaydet, görünür yaka kartı ver ve mutlaka eşlik et; güvenli alanlarda yalnız bırakma. • Temiz masa/temiz ekran: ayrılırken ekranı kilitle (Win+L), hassas evrakı kilitle, çıktıları yazıcıda bırakma. • Fiziksel ihlal aynı zamanda bir KVKK veri ihlalidir (md.12 teknik/idari tedbirler); şüpheli durumu güvenliğe bildir.