Salam! Öncəki dərsimizdə təşkilat üçün yüksək səviyyəli bir "Məlumatlara Giriş Siyasəti" (Data Access Policy) layihəsi hazırladıq. Biz "giriş rola əsaslanmalıdır" və "məlumatlar təsnifləşdirilməlidir" kimi vacib prinsipləri müəyyən etdik. Lakin bu prinsiplər özlüyündə hələ də bir qədər mücərrəddir. Məsələn, "məxfi" məlumat nədir? Giriş hüquqlarına nə qədər tez-tez yenidən baxılmalıdır? Bu kimi suallar siyasətin tətbiqini qeyri-müəyyən edir.
Bugünkü dərsimizdə bu boşluğu aradan qaldıracağıq. Məqsədimiz, hazırladığımız siyasəti dəstəkləmək üçün spesifik, ölçüləbilən və icrası məcburi olan məlumat standartları (data standards) hazırlamaqdır. Standartlar siyasətin "nə" və "niyə"sini, konkret "necə" və "nə qədər" qaydalarına çevirərək, onu real həyatda tətbiq oluna bilən edir.
Standartlar Harada Yerləşir?
Siyasətlər və standartlar arasındakı fərqi və iyerarxiyanı anlamaq çox vacibdir. Standartlar siyasətlərin tətbiqi üçün məcburi təlimatlardır.
Aşağıdakı video bu fərqi çox aydın şəkildə izah edir. Diqqətlə izləyərək siyasət, standart, prosedur və təlimat arasındakı əlaqəni daha yaxşı anlayın.
What Are Policies vs Standards vs Procedures vs Guidelines? // Free CySA+ (CS0-002) Course
Bu video, idarəetmə sənədlərinin dörd növünü təqdim edir. Siyasətlərin yüksək səviyyəli, standartların isə onların həyata keçirilməsi üçün məcburi qaydalar olduğunu vurğulayır.
Videoda aşağıdakı hissələrə diqqət yetirin: Giriş hissəsində dörd sənəd növü təqdim olunur. Standartların tərifi hissəsi bugünkü mövzumuzun əsasını təşkil edir. Standartların necə "mütləq" olduğu və siyasətləri necə həyata keçirdiyi izah edilir. Prosedurlar və təlimatlar haqqında olan hissələrə də qulaq asın ki, standartların onlardan nə ilə fərqləndiyini biləsiniz.
İzlədiyiniz kimi, standartlar siyasətin tətbiqi üçün bir körpü rolunu oynayır. John Ladley öz yanaşmasında bunu "prinsiplərin hərəkətə keçirilməsi" kimi təsvir edir. Robert Seiner isə özünün "Qeyri-invaziv Məlumat İdarəetməsi" çərçivəsində standartları strateji və əməliyyat səviyyələri arasında yerləşən Taktiki səviyyənin bir aləti kimi təqdim edir.
Bu, o deməkdir ki, standartların hazırlanması strateji məqsədləri (siyasətlər) götürüb onları gündəlik əməliyyatlara (prosedurlar) inteqrasiya etmək üçün əsas fəaliyyətlərdən biridir.
Yaxşı Standart Necə Olmalıdır? Siyasətdən Standarta Keçid
Yaxşı bir standart sadəcə bir qayda deyil. O, aşağıdakı xüsusiyyətlərə malik olmalıdır:
- Spesifik və Birmənalı: Heç bir şərhə yer qoymamalıdır.
- Ölçüləbilən (Measurable): Onun yerinə yetirilib-yetirilmədiyini yoxlamaq mümkün olmalıdır.
- Məcburi (Mandatory): Təlimatlardan (guidelines) fərqli olaraq, standartlara əməl etmək məcburidir.
Aşağıdakı vizual resurs, siyasətlər və standartlar arasındakı fərqi müxtəlif məlumat sahələri (domain) üzrə mükəmməl şəkildə nümayiş etdirir.
Bu cədvəli təhlil edək. Məsələn, Data Cataloging sütununa baxaq:
- Siyasət (Yüksək səviyyəli "NƏ"): "Kataloqlaşdırma yükünü minimuma endirmək üçün hər bir məlumat sahəsi üçün həddindən artıq detallı sənədləşmədən çəkinin."
- Standart (Konkret "NECƏ"): "Məlumat stüardları (Data stewards) yaradıldıqdan sonra 7 gün ərzində öz məlumat dəstlərini kataloqa daxil etməkdən məsuldurlar. Məlumat mənşəyi (lineage) və həssaslıq etiketləri daxil olmaqla, standart kataloq şablonlarından istifadə edin."
Gördüyünüz kimi, standart konkret məsul şəxsi (stüard), zaman çərçivəsini (7 gün) və istifadə ediləcək alətləri (standart şablonlar) müəyyən edir.
Praktik Məşğələ: "Məlumatlara Giriş Siyasəti" üçün Standartların Hazırlanması
İndi isə ötən dərsimizdə hazırladığımız siyasət layihəsini əsas götürərək, onun hər bir bəndi üçün konkret standartlar hazırlayaq. Bu, nəzəriyyəni birbaşa təcrübəyə çevirmək üçün ən yaxşı yoldur.
Xatırlatmaq üçün, siyasətimizin əsas bəndləri bunlar idi:
- Minimum Zərurət Prinsipi (Least Privilege)
- Rola Əsaslanan Giriş Nəzarəti (RBAC)
- Məlumat Təsnifatı (Data Classification)
- Girişin Qeydiyyatı (Logging)
- Giriş Hüquqlarına Yenidən Baxış (Access Review)
Gəlin bu bəndlərin hər birini ölçüləbilən və tətbiq edilə bilən standartlara çevirək.
Siyasət Bəndi 3 üçün Standartlar: Məlumat Təsnifatı
Siyasət deyir ki, giriş hüquqları məlumatın təsnifatına əsaslanmalıdır. Bəs bu təsnifatlar hansılardır və nəyə əsasən təyin edilir?
- Standart 3.1 (Təsnifat Səviyyələri): Bütün müəssisə məlumatları aşağıdakı dörd səviyyədən birinə təsnif edilməlidir:
İctimai (Public),Daxili (Internal),Məxfi (Confidential)vəCiddi Məxfi (Restricted). - Standart 3.2 (Təsnifat Kriteriyaları): Məlumat stüardları məlumatları rəsmi "Məlumat Təsnifatı Matrisası"na əsasən etiketləməlidirlər. Bu matrisa hər səviyyə üçün aydın meyarları müəyyən etməlidir. Məsələn:
Məxfiməlumat: icazəsiz açıqlanması təşkilata orta dərəcədə zərər vura biləcək məlumatlardır (məsələn, müştərilərin fərdi identifikasiya məlumatları (PII), qeyri-ictimai maliyyə hesabatları).Ciddi Məxfiməlumat: icazəsiz açıqlanması təşkilata ciddi maliyyə və ya reputasiya zərəri vura biləcək məlumatlardır (məsələn, ticarət sirləri, xüsusi alqoritmlərin mənbə kodu, strateji birləşmə planları).
Siyasət Bəndi 2 üçün Standartlar: Rola Əsaslanan Giriş Nəzarəti (RBAC)
Siyasət deyir ki, giriş rollara əsaslanmalıdır. Bəs rollar necə təyin edilir və idarə olunur?
- Standart 2.1 (Rol Tərifləri): Bütün məlumatlara giriş icazələri fərdi işçi hesablarına deyil, təşkilat daxilində müəyyən edilmiş biznes rollarına (məsələn, 'Maliyyə Analitiki', 'Marketinq Meneceri') təyin edilməlidir. Hər bir yeni vəzifə üçün standart bir biznes rolu müəyyən edilməlidir.
- Standart 2.2 (Rol-İcazə Matrisası): Məlumat Sahibi (Data Owner) və İT Təhlükəsizlik departamenti, hər bir biznes rolunun hansı məlumat aktivlərinə və hansı səviyyədə (Oxumaq, Yazmaq, Silmək) giriş icazəsi olduğunu açıq şəkildə göstərən bir "Rol-İcazə Matrisası" hazırlamalı və onu daima aktual saxlamalıdır. Bu matrisa ildə ən azı iki dəfə yenidən nəzərdən keçirilməlidir.
Siyasət Bəndi 5 üçün Standartlar: Giriş Hüquqlarına Yenidən Baxış
Siyasət deyir ki, giriş hüquqlarına dövri olaraq yenidən baxılmalıdır. Bəs "dövri olaraq" nə deməkdir?
- Standart 5.1 (Yenidən Baxış Tezliyi): Məlumat Sahibləri (Data Owners) öz məlumat domenləri üçün giriş hüquqlarının məcburi yoxlanışını aşağıdakı cədvələ uyğun olaraq həyata keçirməlidirlər:
Ciddi Məxfiməlumatlara giriş: Hər rüb (3 ayda bir).Məxfiməlumatlara giriş: Hər yarımil (6 ayda bir).Daxiliməlumatlara giriş: Hər il.
- Standart 5.2 (Yoxlamanın Təsdiqi): Hər bir giriş hüququ yoxlamasının nəticəsi Məlumat Sahibi tərəfindən rəsmi şəkildə (məsələn, elektron imza ilə) təsdiqlənməli və Məlumat İdarəetməsi alətində və ya mərkəzi reyestrdə qeydə alınmalıdır.
Yekun
Bu gün siyasət və standartlar arasındakı kritik fərqi anladıq və yüksək səviyyəli bir siyasəti konkret, ölçüləbilən və icrası məcburi olan standartlara necə çevirəcəyimizi öyrəndik. Bu, strategiyanı əməliyyata çevirmək yolunda atılmış çox vacib bir addımdır.
Əsas Çıxarışlar:
- Standartlar Körpüdür: Standartlar, siyasətin abstrakt "nə"sini konkret və məcburi "necə"yə çevirən bir körpüdür.
- Standartlar Ölçüləbiləndir: "Tez-tez" və ya "uyğun şəkildə" kimi qeyri-müəyyən ifadələr yerinə, standartlar "hər rüb", "7 gün ərzində", "dörd səviyyə" kimi spesifik və ölçüləbilən meyarlar təyin edir.
- İyerarxiya: İdarəetmə sənədləri
Siyasət -> Standart -> Proseduriyerarxiyasına malikdir. Siyasət niyyəti bildirir, standart qaydanı qoyur, prosedur isə qaydanın addım-addım necə yerinə yetiriləcəyini göstərir.
Növbəti Dərsə Baxış:
Siyasətimizi və standartlarımızı təyin etdik. Məsələn, "giriş hüquqlarına hər rüb yenidən baxılmalıdır" dedik. Bəs bu standart pozularsa nə baş verir? Kim buna nəzarət edir və uyğunsuzluq aşkarlandıqda hansı addımlar atılır? Növbəti dərsimizdə məhz bu suallara cavab verəcəyik və müəyyən bir məlumat standartının tətbiqi və pozuntuların idarə olunması üçün bir prosedur hazırlayacağıq.