Yama Yönetimi - Nass oluyor da oluyor? Örnek Yama Yönetimi Politikası Dökümanı

Bilgi güvenliği yönetim sisteminde (BGYS) politikalar, üst yönetimin rızasını, desteğini ve onayını gösteren ve nasıl yapılacağından ziyade (nasıl yapılacağını gösteren dökümanlar standartlar ve prosedürlerdir) ne yapılması gerektiğini anlatan dökümanlardır. BGYS hakkında da fırsat bulabilirsem yazılar yazarım, o zaman politika nasıl hazırlanır,prosedür talimat nasıl olmalıdır ayrıntılı bilgi veririm.
Bu yazının konusu yama yönetimi için kullanılabilecek örnek "Yama Yönetimi Politikası" hazırlamak. Her süreç dokümanında olması gerekiği gibi Yama Yönetimi Politikası dokümanın da versiyon bilgisi,hazırlayanı, ilk yayın tarihi,varsa gözden geçireni ama olmazsa olmazı "onaylayanı" -burası önemli,onay makamı ne kadar yüksek olursa politka da o derece ciddiye alınır- mutlaka olmalı,doküman tüm personelin kolaylıkla erişebileceği bir yerde kopyası bulunmalıdır. Dediğim gibi, işin nasıl yapılması gerektiği ayrıntılarıyla standartlar ve prosedürlerde anlatılmalı o yüzden politkada çok fazla ayrıntıya girmeyin ve uzatmayın,kullanıcıyı bunaltmayın ki bir solukta okunabilsin ve politikayı okuduktan sonra kullanıcının kafasındaki "neden böyle bir politika var?beni ilgilendiriyor mu? uymazsam ne olur? yaptırımı ne?" gibi sorular cevapsız kalmasın, politikanın -denetimlerde veya ters birşeyler olması durumunda işverenin elini güçlendirmesi dışında -tüm amacı bu. Siz de aşağıdakine benzer bir politikayı mutlaka hazırlayın,bunu standartlarla,prosedürlerle,talimatlarla destekleyin. Halihazırda yürürlükte olan politikalar varsa şablon olarak kullanabilirsiniz

ÖRNEK A.Ş.
YAMA YÖNETİMİ POLİTİKASI




Bilgi Güvenliği Bölümü

Versiyon	Tarih	Hazırlayan	Açıklama
1.0	01.01.2012	Hazırlayanın Adı-Soyadı	İlk Yayın

Hazırlayan	Gözden Geçiren	Onaylayan
Hazırlayanın Adı-Soyadı	Gözden Geçirenin Adı-Soyadı	Onaylayanın Adı-Soyadı

1.AMAÇ
Bilgisayar ve buna bağlı sistemlerde ortaya çıkabilecek zaafiyetler Örnek A.Ş. bilgisayar ve ağ altyapısını,bilgi teknolojileri kaynaklarının kullanımını olumsuz etkileyebilecek sonuçlara neden olabilir.
Bu politika, Örnek A.Ş. ağ altyapısına bağlı,kalıcı ya da geçici tüm bilgisayar ve bunlara bağlı sistemlerde kullanılan işletim sistemi ve yazılım ürünlerinin güncel tutulması için uygulanacak esasları belirler.

2.KAPSAM
Bu politika tüm Örnek A.Ş. çalışanlarını kapsar.

3.TANIM VE KISALTMALAR
Yama: İşletim sistemi veya uygulamadan kaynaklanan zaafiyeti ortadan kaldırıcı paket
Kullanıcı: Örnek A.Ş. personeli

4.SORUMLU
Bu politikanın güncel tutulması ve uygulanması Bilgi Güvenliği Bölümü sorumluluğundadır ve senede bir kere gözden geçirilir.

5.UYGULAMA ve GENEL HÜKÜMLER

• Örnek A.Ş. bilgisayar ve ağ altyapısında bulunan ve kullanılan tüm donanım ve yazılım ürünleri,versiyon bilgileriyle birlikte varlık envanterinde kayıt altında tutulmalıdır.
• Kullanıcılar bilgisayarlarında kurulu uygulamaların ve versiyonlarının tespit ve takibi ve Bilgi Güvenliği Politikası gereği bilgisayarların yetkili BT personeli tarafından düzenli olarak tarandığını bilir ve kabul eder.
• Sunucu ve kullanıcı bilgisayar sistemlerine yama ve güncel uygulama dağıtımı merkezi olarak ve Yama Uygulama Talimatı'nda belirtilen şekilde ve zaman aralıklarında yapılmalıdır.
• Yama ve güncelleme dağıtımının merkezi olarak yapılamadığı hallerde, yama ve/veya güncelleme mümkün olan en kısa zamanda yetkili BT personelince uygulanmalıdır.
• Yayınlayan ve uygulanmasına karar verilen tüm yama ve güncellemeler üretim ortamına dağıtılmadan önce test ortamlarında test edilmelidir.
• Yama ve güncelleme paketleri üretici web siteleri veya kaynaklarından temin edilmelidir.

6.YÜRÜTME ve YAPTIRIMLAR
Tüm Örnek A.Ş. çalışanları bu politikanın uygulanmasından sorumludur.Uygulamayı engelleyici ve/veya önleyici faaliyetler disiplin suçu kapsamına girer ve cezalandırılır.

7.REFERANS
Bilgi Güvenliği Politikası
Yama Uygulama Talimatı
Kabul Edilebilir Kullanım Politikası

Tekrar hatırlatmak istiyorum yukarıdaki politika dökümanını sadece size fikir vermezi ve örnek olması amacıyla hazırladım,görünüm ve içerik olarak kendi çalıştığınız kurumun politikalarına uygun hale getirmelisiniz.


İlgili Yazılarım
Yama Yönetimi - Nass oluyor da oluyor? Microsoft Güvenlik Bültenleri
Yama Yönetimi - Nass oluyor da oluyor? İdeal Yama Yönetim Süreci
Yama Yönetimi - Nass oluyor da oluyor? Yama dağıtım merkezini korumak
Yama Yönetimi - Nass oluyor da oluyor? Masal