TISAX / ISO 27001 İçin Kamera Kontrolleri

ISO/IEC 27001 belgelendirmesine veya otomotiv sektörüne özgü TISAX değerlendirmesine hazırlanan kuruluşlar, fiziksel güvenlik kontrolleri kapsamında video gözetim sistemleriyle ilgili sorularla karşılaşır. Bu rehber, kameranın bu çerçevelerde neyi destekleyebileceğini, neyi tek başına karşılayamayacağını ve denetime hazırlık için hangi kanıtların hazırlanabileceğini anlatır. Sertifikasyon veya denetim sonucu garantisi değildir.

İki çerçeve kısaca

ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) için gereklilikleri tanımlayan uluslararası standarttır; Ek A’daki kontroller arasında fiziksel güvenlik çevresi, fiziksel giriş, güvenli alanlar ve fiziksel güvenlik izleme gibi başlıklar yer alır. TISAX, otomotiv endüstrisinde VDA ISA (Information Security Assessment) kataloğuna dayalı, ENX Association tarafından yönetilen bir değerlendirme ve değişim mekanizmasıdır; prototip koruması gibi sektöre özgü gereklilikler içerir.

Kontrol numaraları ve ifadeleri standart sürümüne ve VDA ISA katalog sürümüne göre değişir; eşleştirme BGYS ekibinizle güncel sürüme göre yapılmalıdır.

Kamera neyi destekler?

Kayıtların kendisi de korunmalı

Kamera kayıtları hem kişisel veri hem de (prototip alanlarında) gizli bilgi içerebilir. Bu nedenle denetimlerde video sisteminin kendisi de bir bilgi varlığı olarak değerlendirilir:

• Erişim kontrolü: Kişisel kullanıcılar, rol bazlı yetki, dışa aktarma onayı (erişim ve denetim izi)
• Loglama: İzleme, dışa aktarma ve yapılandırma değişikliklerinin logları
• Saklama ve imha: Belirlenmiş süre, otomatik silme, olay kayıtlarının kontrollü saklanması (saklama ve imha)
• Ağ güvenliği: Segmentasyon, güvenli uzaktan erişim, firmware yönetimi (kamera VLAN’ı)
• Fiziksel koruma: NVR ve kayıt sunucularının kilitli ortamda bulunması
• Bakım: Kayıt sürekliliği ve arıza yönetiminin kanıtı

Kamera neyi karşılamaz?

• Fiziksel engellerin (duvar, kapı, kilit, bariyer) yerini tutmaz.
• Geçiş kontrol sisteminin ve ziyaretçi prosedürünün yerine geçmez.
• Kayıtları kimse incelemiyor ve olay prosedürü yoksa kontrolün etkinliği zayıftır.
• BGYS süreçleri (risk değerlendirmesi, politika, iç denetim, yönetimin gözden geçirmesi) ayrı çalışmalardır.

Denetime hazırlık adımları

1. Kapsam ve alanlar: BGYS kapsamındaki tesisler ve güvenlik/koruma alanlarının listesi.
2. Gap analizi: Her alan için mevcut kamera kapsaması, kayıt ve erişim durumu.
3. İyileştirme: Eksik noktalar, entegrasyon (geçiş kontrol entegrasyonu), yetki ve saklama düzenlemeleri.
4. Prosedürler: Olay inceleme, dışa aktarma, yetki gözden geçirme, bakım.
5. Kanıt dosyası: Kapsama planı, yetki matrisi, log örnekleri, ekran görüntüleri, bakım raporları.

KVKK ile denge

Güvenlik kontrolleri için kamera kapsamını genişletmek, ölçülülük ilkesiyle çatışmamalıdır. Prototip ve güvenli alanların girişleri ile özel alanlar arasındaki ayrım net olmalı, çalışanlar aydınlatılmalı ve kayıtlar gerekli süre ile sınırlı tutulmalıdır (KVKK ve kamera kaydı).

Sık sorulan sorular

Kamera sistemi kurarsak TISAX’ı geçer miyiz?

Hayır. Kamera, fiziksel güvenlik kontrollerinin yalnızca bir parçasıdır. TISAX değerlendirmesi bilgi güvenliği yönetim sisteminin bütününü ve korunan alanların tüm fiziksel önlemlerini ele alır; sonuç akredite denetim sağlayıcısına aittir.

Prototip alanında kamera olmalı mı?

Prototip koruma gereksinimleri ve müşteri şartlarına göre değerlendirilir. Kamera kullanılıyorsa kayıtların kendisi de gizli bilgi içerebileceğinden erişimi sıkı yönetilmelidir.

Denetçi hangi kanıtları ister?

Genellikle kapsama planı, erişim yetki matrisi, örnek erişim ve dışa aktarma logları, saklama ve imha kuralları, olay prosedürü ve bakım kayıtları gibi belgeler. Kesin liste denetim kapsamına göre değişir.

Video gözetim tarafını denetime hazırlamak için TISAX ve ISO 27001 video gözetim kontrolleri hizmetimizi; BGYS ve standart danışmanlığı için Eretek Uyum’un TISAX ve ISO 27001 hizmetlerini inceleyebilirsiniz.