Yeni BT çalışanına sunucuya tam yetki verilecek — güvenlik soruşturması şart mı?

Almanya Federal Veri Koruma Kanunu uyarınca çalışan verilerinin toplanması gereklilik ve ölçülülük ilkelerine bağlıdır. Adli sicil kaydı talebi yalnızca görevin gerektirdiği ölçüde geçerlidir; geçmişteki alakasız ihlaller işe alımı engelleme gerekçesi yapılamaz. Sürecin bir iş hukuku uzmanıyla yazılı hale getirilmesi olası tazminat risklerini önler.

Kök erişimini kişiye özel tanımlamayın. Sisteme girişte donanım anahtarlı iki faktörlü kimlik doğrulama zorunlu olmalı ve tüm 'sudo' komutları merkezi, değiştirilemez bir log sunucusuna anlık akmalıdır. Çalışan bilmeli ki yaptığı her komut bağımsız bir denetim izi bırakıyor. Bu caydırıcılık her türlü soruşturmadan daha etkilidir.

Hemen yarın adaya tam yetki vermeyin. Almanya'da kanuni deneme süresi (Probezeit) bu tür güven testleri icin en iyi araçtır. İlk altı ay boyunca erişim yetkilerini kademeli olarak açın; önce test ve geliştirme ortamlarını verin üretim sistemlerine erişimi ise ekip lideriyle eşli çalışma şartına bağlayın.

Müşterilerinizle imzaladığınız hizmet seviyesi sözleşmelerinde (SLA) veya veri işleme sözleşmelerinde (AVV) personel denetimine dair özel bi taahhüdünüz var mı? ya bazen kurumsal müşteriler çalışanların belirli güvenlik sertifikalarına sahip olmasını veya yıllık güvenlik eğitimlerinden geçmesini şart koşabiliyor.

On yıl önce benzer bir endişeyle yeni aldığımız sistem yöneticisine o kadar katı kısıtlamalar getirdik ki adam ikinci ayında işi bıraktı; 'bana güvenmiyorsanız neden aldınız' dedi. Haklıydı da. Güvenlik soruşturması aramak yerine, işe alım referans görüşmelerini çok derinlemesine yapıyoruz artık. Önceki yöneticileriyle bizzat konuşup kriz anındaki dürüstlüğünü sorgulamak bize kağıt üzerindeki kontrollerden çok daha fazla fikir veriyor.

resmi soruşturma devlet işi zaten bize yaptırmazlar. biz temiz kağıdı istiyoruz bi de sunucularda root girişini tamamen kapattık herkez kendi hesabıyyla girip sudo yapıyor loglar doğrudan harici buluta gidiyor.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

Altyapıyı sağlama almak için şu üç adımı uygulayın: 1) Üretim ortamı veri tabanlarına doğrudan erişimi VPN ve IP kısıtlamasıyla sınırlayın. 2) Kritik yapılandırma değişikliklerinde dört göz prensibini zorunlu kılın. 3) Çalışana ayrılış anında tüm yetkilerin tek tıkla iptal edileceği merkezi bir kimlik sağlayıcı kurun.

Bu başlığı açtığınız iyi olmuş.

Benim başımdan geçeni yazayım, belki işinize yarar. Güvenli olmak mutlak deil; saldırıyı uğraşmaya değmez hâle getirmek demek.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Bunu yazdığınız için teşekkürler, doğrusu bu. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Asıl mesele rakam değil, o rakamın neye göre çıktığı. Sonucu buraya yazarsanız başkalarına da faydası olur.

karşı taraftan konuşayım ben tedarikçi tarafındayım. bizde en çok zaman kaybettiren şey kmin karar vereceğinin belli olmamasıydı.

bu kadar, uzattıysam kusurra bakmayın.

Bunu yazdığınız için teşekkürler, doğrusu bu. Test edilmemiş bir yedek, yedek değildir.

Ben olsam bu yoldan giderdim.

Aynen öyle, üstelik bu kadar bilinmiyor. Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek.

bizde şöyle oldu. bu arada karar verirken en kötü senaryoyu da yazın sadece iysiini dgl

bi konuda uc faarkli cevap aliyorsaniz soru yanlis sorulmustur. yanlisim varsa duzeltin.

Sonucu yazarsanız sevinirim.

Bunu duyalı çok oldu ama bizde hiç böyle olmadı. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Konuyu toparlayayım çünkü birkaç farklı cevap verildi. Olayların çoğu zafiyetten deil sızmış bi paroladan başlıyor.

İlk kez yapıyorsanız küçük başlayın ölçek snra gelir. Kendi durumunuz farklıysa tabii değişir.

Sonuna kadar katılıyorum. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.