1. AMAÇ   

Veri Sınıflandırma Prosedürü’nün amacı, verinin gerektirdiği güvenlik düzeyine uygun olarak sınıflandırılmasına ilişkin kuralları belirlemektir.  

2. KAPSAM  

Bingöl Üniversitesi Bilgi Teknolojileri ve Sistemleri başta olmak üzere Üniversite’nin elektronik ortamlarda olan tüm bilgi varlıklarının üzerinde bulunan verileri ve Bilgi Teknolojileri’ne ait fiziksel ortamlarda yer alan tüm varlıkların üzerinde bulunan verileri kapsamaktadır.  

3. REFERANSLAR  

3.1 Fiziksel ve Çevresel Güvenlik Prosedürü (Hazırlanacaktır) 

3.2 YÖK Öğrenci Disiplin Yönetmeliği  

3.3 Bingöl Üniversitesi Yönetmenlikleri  

3.4 COBIT.2019 kapsamında “Süreç, Organizasyonel Yapılar, Bilgi Akışları ve Varlıkları, İnsanlar, Beceriler ve Etkinlikler, Politikalar ve Prosedürler, Kültür, Etik ve Davranış, Hizmetler, Altyapı ve Uygulamalar” yönetişim bileşenlerinin ilgili yönetişim ve yönetim hedefine uygulanabilecek her biri.   

3.5 Bilgi ve İletişim Güvenliği Rehberi 

3.6 SANS-CIS kontrolleri (En yaygın ve tehlikeli saldırıları durdurmak için belirli ve uygulanabilir yollar sağlayan, siber güvenlik eylemler dizisidir.)   

3.7 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun  

3.8 6698 sayılı Kişisel Verilerin Korunması Kanunu  

3.9 4857 sayılı İş Kanunu   

3.10 2547 sayılı Yükseköğretim Kanunu  

3.11 657 sayılı Devlet Memurları Kanunu 

4. SORUMLULUKLAR  

4.1 Bu prosedürün uygulatılmasından Rektör sorumludur.  

4.2 Prosedürün yayına hazırlanmasından, onaylanmasından, yayımlanıp devreye alınmasından, iyileştirme takibinin yapılmasından ve veri sınıflandırma ve işleme standartlarının uygulandığının kontrol edilmesinden Bilgi İşlem Daire Başkanlığı sorumludur.  

4.3 Verilerin sınıflandırması ile ilgili farkındalığın artırılması için eğitimlerin ve bilgilendirici bültenlerin hazırlanmasından Bilgi İşlem Daire Başkanlığı bünyesindeki Bilgi Güvenliği Ekibi sorumludur.  

4.4 Sistem tarafından otomatik olarak etiketlenmemiş bir verinin doğru sınıflandırmayla etiketlenmesinden son kullanıcı sorumludur.  

4.5 Bu prosedürün Bingöl Üniversitesi’ne bağlı Bingöl Üniversitesi Diş Hastanesi için işletilmesinden Bingöl Üniversitesi Diş Hastanesi bizzat sorumludur. Buna ek olarak hastanelere özel olarak işletilmesi gereken bu Prosedür konusuna ilişkin kurallar ayrıca Bingöl Üniversitesi Diş Hastanesi [Başhekimliği] tarafından yayımlanır ve uygulanır.  

5. TANIMLAR  

5.1 KU Mensupları: İdari çalışanlar, akademik çalışanlar, öğrenciler.  

5.2 Veri Sahibi: Verilere erişme, düzenleme hakkına sahip olan ve verilerin nasıl kullanıldığına dair kararları veren kişiler veya ekiplerdir. Veri Sahibi, verileriyle her gün çalışmayabilir, ancak bir veri alanını denetlemek ve korumaktan sorumludur.  

5.3 Bilgi Varlıkları: Dijital veya basılı ortamlarda veri barındıran her türlü BT sistemi, bilgisayarlar, veri depolama sistemleri, öğrenci bilgileri, proje tasarımları ve süreçler vb. varlıklardır.  

5.4 Varlık: Üniversite için değeri olan ve bu nedenle uygun olarak korunması gereken tüm unsurlardır. Bilgisayarlar, mobil cihazlar, monitörler, ağ cihaz/yazılımları, printerlar, projektörler, sunucular varlık olarak değerlendirilir.  

5.5 Veri: Üniversitenin tüm sistemlerinde, çalışanlarında, kütüphanelerinde tutulan ve kurumun iş süreçlerinde değişik formlarda işlenen bilgidir.  

5.6 Bilgi Sistemleri: Bilgi sistemleri, Üniversite’nin sahip olduğu, kiraladığı, uyarladığı, muhafaza altına aldığı veya kontrolü altında olan kaynakları; bu kapsamda kişisel veya kurum tarafından sağlanan bilgisayarları, ağları, bulut ve internet temelli hizmetleri, taşınabilir cihaz/depolama aygıtlarını, yazılımları ve bunlar ile ilgili her türlü donanım, teçhizat ve fikri mülkiyeti ifade eder.  

6. TEMEL PRENSİPLER  

6.1 Bu Prosedür ve bağlantılı diğer yönerge ve prosedürlerin ihlal edilmesi veya ihlal edilmesine sebep olunması halinde Üniversite idari çalışanları için 657 Sayılı Devlet Memurları Kanunu ve Üniversite akademik personel çalışanları için 2547 sayılı Yükseköğretim Kanunu, öğrenciler için Yükseköğretim Öğrenci Disiplin Yönetmeliği kuralları uygulanır.  

6.2 Veri Standartları  

6.2.1 Bilginin elektronik olarak işlenmesi amacıyla kullanılacak bilişim ve bilgi işlem sistemlerinin, Üniversite bilgi güvenliği yönerge ve prosedürlerine uygun olarak temin edilmiş, korunmuş ve kullanılmakta olduğundan emin olunmalıdır.   

6.2.2 Bilginin, yazılı, sözlü, görsel ortamlarda işlenmesi söz konusu olduğunda, bilginin kullanıldığı ortamın ve altyapının, Üniversite bilgi güvenliği yönerge ve prosedürlerine uygunluğu sağlanmalı; bilgiyi kullanan tüm tarafların da bu yönerge ve prosedürlerin gereklerinden haberdar olduğundan ve bunlara uyduğundan emin olunmalıdır.  

6.3 Tanım dışı durumlar Bilgi Güvenliği Komitesi tarafından değerlendirilmektedir.  

7. YÖNTEM  

7.1 Verinin Sınıflandırılması  

Verilerin kullanılış biçimlerinin farklı olması nedeniyle beş hassasiyet grubuna ayrılmaları benimsenmiştir. Bu sınıflamalar aşağıdaki şekilde tanımlanmıştır:  

7.2 Verinin Sınıflandırılmasına İlişkin Genel Kurallar  

7.2.1 Kapsam dahilindeki tüm birimler verilerini bu prosedürdeki kriterlere göre sınıflandırırlar, verilerini sınıfına uygun şekilde işaretlerler. ÇOK GİZLİ belgelerin etiketlenmesi gereklidir.   

7.2.2 Verinin işlenmesi, aktarımı, depolanması ve imhası esnasında veri sınıflandırması dikkate alınır.   

7.2.3 Sınıflandırmada bir değişim ihtiyacı doğduğunda, veri sahibi yeni sınıflandırmasını belirler ve bu değişimden etkilenecek birimleri / kişileri bilgilendirir. Veri kataloğunun güncellenmesi için de Bilgi İşlem Daire Başkanlığı ’ne talepte bulunur.   

7.2.4 Verilerin saklandığı ortamda birden fazla gizlilik sınıfında veri bulunması durumunda en kritik seviyedeki gizlilik sınıfı için geçerli olan kurallar uygulanır.   

7.2.5 Birim yöneticileri, çalışanlarının, çalışmaya konu olan verilerin nasıl sınıflandırılacağı konusunda yol gösterici olur, birimi tarafından oluşturulan verilerin sınıflandırıldığından emin olur.  

7.3 Verinin Etiketlenmesine ve İşlenmesine İlişkin Genel Kurallar  

7.3.1 Üniversite tarafından kullanılan verilerin etiketlenmesi bu verilerin gizliliğini ve korumasını  

sağlamak açısından çok önemlidir. “Çok Gizli” olarak sınıflandırılan bilgi varlıkları her zaman için etiketlenir.   

7.3.2 Etiketlendirme işlemine hassasiyet gösterilmesi ve tüm ilgili personel tarafından benimsenmesi için Bilgi Güvenliği Ekibi çalışanları farkındalık çalışmaları ile bilgilendirir.  

7.3.3 Etiketlendirme işleminin veri kaynağında nasıl yer alacağı genel olarak Veri Sahibinin kararı ile belirlenir.  

7.3.4 Belgeler, E-posta veya elektronik bilgi notlarında (memorandum) etiketler “Konu” veya “Altbilgi” bölümünde bulunmalıdır.   

7.3.5 Basılı doküman, Manyetik teyp, disket, CD-ROM, ses kaseti ve diğer depolama medyalarında ise etiketler açıkça görülecek şekilde konur.   

7.3.6 Veri merkezinde bulunan tüm donanımlar gizli olarak kabul edilir ayrıca bir etiketlemeye gerek duyulmaz.  

7.3.7 Sistem tarafından otomatik olarak etiketlenmemiş bir bilgi varlığının doğru sınıflandırmayla etiketlenmesinden son kullanıcı sorumludur.   

7.3.8 GİZLİ - ÇOK GİZLİ bilgilerin istemci bilgisayarlar arasında dosya alışverişi (e-posta vb.) söz konusu olduğunda dosyalar şifrelenir, şifreli iletilen dosyaların açılması için alıcıya iletilecek bilgiler (şifre vb.) iletiye kesinlikle dahil edilmez, ikinci bir kanaldan (sms vb. ile) doğrudan alıcısına iletilir.  

7.3.9 GİZLİ - ÇOK GİZLİ bilgilerin taşınabilir depolama ortamları ile (örneğin; şifreli USB vb.) aktarımı söz konusu ise bu ortamların şifrelenmesi gerekmektedir. Aktarım işlemi tamamlandıktan sonra gizli bilgiler uygun şekilde bu taşınabilir ortamdan silinir.   

7.3.10 GİZLİ - ÇOK GİZLİ bilginin (kağıt, CD/DVD, bilgisayar vb. gibi) fiziksel ortamda aktarımı ile ilgili kurallar aşağıda belirtilmiştir:  

7.3.11 Aktarımı gerçekleştirecek olan yetkili personel Üniversite dışında bir üçüncü taraf ise, bağlayıcı sözleşme maddeleri arasında, taşıyıcının sorumlulukları ve taşıyıcıdan gizlilik konusunda beklentiler yer alır.   

7.3.12 Gönderen taraf, aktarılan bilgi varlığının alıcının eline geçip geçmediğini kontrol eder (örneğin; telefon ile teyit alınır), teyit edilememesi durumunda olayın takibi için yöneticine haber verir.  

7.3.13 Aktarılan bilgi varlığının gerçek alıcısından önce açılmadığının bilinmesi amacıyla kapak kısmı imzalanarak kuryeye teslim edilir. Aktarımların dolaylı yollarla, elden ele teslimat şeklinde değil, bir seferde gönderenden alıcıya ulaşacak şekilde gerçekleşmesi esastır.  

7.3.14 Bilgi varlıklarının imha edilmesi veya saklanmasına devam edilmesi kararı arşiv prosedürüne ve BT Donanım Hurda Hibe Sürecine göre yapılmaktadır.  

7.3.15 Çalınma ve bilgisayara fiziksel olarak yetkisiz kişilerin erişebilmesi riskine karşı taşınabilir bilgisayarların diskleri şifrelenmelidir. ÇOK GİZLİ bilgiler, taşınabilir bilgisayarlarda tutulmamalı, Üniversite tarafından sağlanacak olan merkezi sunucularda tutulmalıdır.  

7.3.16 ÇOK GİZLİ bilgi içeren fiziksel bir bilgi varlığının (örneğin; kâğıt, CD/DVD, bilgisayar vb.) depolanması ile ilgili kurallar aşağıda belirtilmiştir:  

7.3.17 Basılı belgelerin depolanması ilgili birimin ihtiyaçlarına göre yapılır. Arşiv prosedürü kapsamına girenler bu prosedür doğrultusunda depolanacaktır.  

7.3.18 Arşivlenmemiş fiziksel bilgi varlıkları ilgili birim tarafından kilitli ortamlarda saklanır.  

7.3.19 Depolanan fiziksel bilgi varlıkları Fiziksel ve Çevresel Güvenlik Prosedürü’ne göre uygun fiziksel önlemler ile korunur.  

7.3.20 Saklama gerektiren bilgi varlıklarının saklandığı ortamların kullanım ömrü dikkate alınarak önlem alınır.  

7.3.21 Varlık sınıflandırmaları ve alınacak aksiyonları içeren kuralların açıklamaları aşağıdaki tabloda belirlenmiştir:  

7.4 Bakım, Onarım ve Devre Dışı Bırakma Kuralları  

7.4.1 Bilgi içeren sistemlerin ve depolama ortamlarının bakımı, onarımı ve devre dışı bırakılması sırasında uyulması gereken kurallar aşağıdaki gibidir:  

7.4.2 3. taraflarca yapılacak olan bakım ve onarım işlemlerinde bakım veya onarımı yapılacak sistemden ÇOK GİZLİ bilgi varlıkları ayrılarak saklanır.  

7.4.3 Bunun mümkün olmadığı durumlarda bakım işlemi ÇOK GİZLİ bilgi varlıklarına erişim yetkisine sahip bir çalışanın gözetiminde yapılmalı ve sistemden bilgilerin alınmasına engel olacak önlemler alınmalıdır.  

7.4.4 Depolama ortamının kendisi (örneğin; sabit disk) bakım, onarım gibi amaçlarla kurum dışına çıkarıldığı durumlarda bakım, onarım çalışması yapacak firma ile gizlilik sözleşmesi düzenlenmelidir.  

7.4.5 Çalışanların kendi kullandıkları cihazları satın alması da devre dışı bırakma olarak değerlendirilip, bu durumda cihazın diskinin teslim edilmemesi veya önce cihazın iade edilerek sıfırlanması (minimum 7 defa, disk üzerine random şekilde 0 ve 1ler yazılarak wipe işlemi uygulanması) sonrasında çalışana teslim edilmesi gerekmektedir.

8. GÖZDEN GEÇİRME  

Bu dokümanı gözden geçirme ve güncelleştirme sorumluluğu Bilgi İşlem Daire Başkanlığına aittir. Gözden geçirme en az yılda 1 defa yapılır. Gerekli görüldüğü zaman ve durumlarda doküman revize edilir.