İŞKUR Bilgi Güvenliği Yönetim Sistemi politikasını yeniledi

Türkiye İş Kurumu Genel Müdürlüğü, kurumsal internet sitesindeki Bilgi Güvenliği Yönetim Sistemi politikasını 24.02.2026 tarihli REV:06 kaydıyla yayımladı. Bilgi İşlem Dairesi Başkanlığının faaliyetlerini kapsayan politika, İŞKUR’un bilgi varlıklarını içeriden veya dışarıdan gelebilecek tehditlere karşı nasıl korumayı amaçladığını ortaya koyuyor. TS EN ISO 27001:2023 çerçevesine dayandırılan yaklaşım; KAMUNET ulusal bilişim ağı sistemiyle uyumlu altyapı kurulması ve işletilmesi, güvenlik önlemlerinin uygulanması, risklerin izlenmesi, personelin eğitilmesi ve iş sürekliliğinin korunması üzerinden şekilleniyor. Metin, İŞKUR hizmetlerinden yararlanan iş arayanlar ve işverenler açısından doğrudan yeni bir başvuru yükümlülüğü getirmese de kurum içindeki bilgi yönetiminin hangi esaslara bağlandığını göstermesi bakımından önem taşıyor.

Bilgi Güvenliği Yönetim Sistemi neyi kapsıyor?

Politikanın merkezinde, Türkiye İş Kurumu Genel Müdürlüğü Bilgi İşlem Dairesi Başkanlığının sahip olduğu ve faaliyetleri sırasında kullandığı bilgi varlıklarının korunması bulunuyor. Bu koruma yaklaşımı yalnızca kötü niyetli dış müdahaleleri hedeflemiyor. Kurum, içeriden veya dışarıdan, kasıtlı ya da kasıtsız biçimde ortaya çıkabilecek tehditleri aynı güvenlik çerçevesi içinde ele alıyor.

Bu vurgu, bilgi güvenliğinin yalnızca teknik ekiplerin yönettiği bir yazılım veya ağ güvenliği konusu olarak görülmediğini ortaya koyuyor. Hatalı işlem, yetkisiz erişim, kurumsal süreçlerdeki açıklık veya şüpheli bir durum da politikanın ilgi alanına giriyor. Gerçek olduğu belirlenen ya da yalnızca kuşku doğuran açıklıkların BGYS Ekibine bildirilmesi ve ekip tarafından incelenmesi öngörülüyor.

Politikada güvenliğin temel çerçevesi gizlilik, bütünlük ve kullanılabilirlik kavramlarıyla açıklanıyor. Gizlilik, önem taşıyan bilgilere yetkisiz erişimin önlenmesini; bütünlük, bilginin doğruluğunun ve eksiksizliğinin korunmasını; kullanılabilirlik ise yetkili kişilerin ihtiyaç duyduklarında bilgiye ulaşabilmesini ifade ediyor. Dolayısıyla amaç yalnızca bilgiyi erişime kapatmak değil, yetki ve iş gereksinimleri doğrultusunda güvenli biçimde erişilebilir tutmak.

Koruma elektronik kayıtlarla sınırlı değil

İŞKUR’un açıkladığı politikanın dikkat çeken yönlerinden biri, bilgi kavramını dijital kayıtlarla sınırlandırmaması. Elektronik ortamda tutulan verilerin yanı sıra yazılı, basılı, sözlü ve benzeri ortamlardaki bilgilerin de güvenlik yaklaşımının parçası olduğu açıkça belirtiliyor.

Bu kapsam, kurumsal güvenlik sorumluluğunun bilgisayar sistemlerinden ibaret olmadığını gösteriyor. Bir belgenin basılı nüshası, çalışma sırasında sözlü olarak paylaşılan kurumsal bilgi veya elektronik sistem dışında kullanılan başka bir kayıt ortamı da korunması gereken varlık olarak değerlendiriliyor. Böylece güvenlik politikası, teknik önlemler ile çalışanların günlük davranışları arasında bağ kuruyor.

İŞKUR’un aynı bilgi sayfaları alanında temiz masa ve temiz ekran politikası ile bilgi güvenliği farkındalık dokümanlarına da yer vermesi, bu yaklaşımın kurumsal çalışma düzenine yayıldığını gösteren bir unsur. Ancak açıklanan metin, personele uygulanacak belirli bir işlem veya vatandaşlara yönelik yeni bir prosedür ilan etmiyor. Belge daha çok kurumun bilgi güvenliği hedeflerini ve yönetim ilkelerini tanımlıyor.

Personel eğitimi, risk takibi ve iş sürekliliği öne çıkıyor

Politika, güvenlik tedbirlerinin yalnızca kurulmasını yeterli görmüyor; bunların geliştirilmesini, uygulanmasını ve sürekli iyileştirilmesini de amaçlıyor. İŞKUR, bilgi güvenliğiyle ilgili yasal, düzenleyici, şartnameye bağlı ve sözleşmeden doğan uygulanabilir gerekliliklerin karşılanmasını kurumsal hedefler arasında sayıyor.

Bu çerçevede personele bilgi güvenliği yönetimi eğitimleri verilmesi ve farkındalık oluşturulması öngörülüyor. Çalışanların sisteme yalnızca kullanıcı olarak değil, muhtemel açıkları fark edip bildirebilecek katılımcılar olarak dahil edilmesi hedefleniyor. Şüpheli durumların raporlanması yönündeki yaklaşım, olay ortaya çıktıktan sonra müdahale etmenin yanında önleyici denetimi de öne çıkarıyor.

Risk yönetimi ise periyodik değerlendirmelere bağlanıyor. Mevcut risklerin belirlenmesi, değerlendirme sonuçlarına göre aksiyon planlarının gözden geçirilmesi ve uygulamanın takip edilmesi politikanın unsurları arasında. Metin belirli bir güvenlik olayı, veri kaybı veya sistem kesintisi bildirmiyor. Bu nedenle belgeyi yaşanmış bir ihlalin duyurusu olarak değil, risklere karşı uygulanacak kurumsal yönetim çerçevesi olarak okumak gerekiyor.

İş sürekliliği de bu yapının önemli parçalarından biri. İŞKUR; iş süreklilik planlarının hazırlanmasını, sürdürülmesini ve test edilmesini hedefliyor. Bu ifade, güvenliğin yalnızca yetkisiz erişimi engellemekten oluşmadığını, hizmetlerin ve bilgiye erişimin iş gereksinimleri doğrultusunda sürdürülebilmesini de kapsadığını gösteriyor.

İş arayanlar ve işverenler açısından anlamı ne?

İŞKUR’un internet sitesi; kayıt, iş arama, işveren danışmanlığı, eleman arama, işsizlik sigortası, mesleki eğitim ve çeşitli istihdam programlarına ilişkin hizmet başlıkları barındırıyor. Açıklanan politika, bu hizmetlerden yararlanan kişiler için yeni bir başvuru takvimi, belge listesi veya kullanıcı işlemi tanımlamıyor. Dolayısıyla vatandaşların bu metin nedeniyle ayrıca başvuru yapması ya da mevcut kayıtlarını yenilemesi gerektiğine ilişkin bir duyuru bulunmuyor.

Bununla birlikte kurumsal bilgi varlıklarının gizlilik, bütünlük ve kullanılabilirlik ilkeleriyle yönetilmesi, dijital ve fiziksel kanallarda hizmet alan kesimler bakımından güven ilişkisini ilgilendiriyor. İş arayanlar açısından kayıt ve hizmet süreçlerinin güvenli biçimde yürütülmesi; işverenler açısından ise kurumsal işlemlerde kullanılan bilginin yetki esasına göre korunması önem taşıyor. Politika bu sonuçların gerçekleştiğine ilişkin ölçüm sunmuyor, fakat kurumun ulaşmayı amaçladığı güvenlik standardını tarif ediyor.

Sözleşmelerden kaynaklanabilecek anlaşmazlıkların ve çıkar çatışmalarının engellenmesine yer verilmesi de bilgi güvenliğinin idari süreçlerle birlikte ele alındığını gösteriyor. Böylece teknik altyapı, personel davranışı, sözleşmesel gereklilikler ve iş sürekliliği aynı yönetim sistemi içinde buluşturuluyor.

Kaynak sayfada genel yayın tarihi 02.01.2017 olarak görünürken politika metninin sonunda 24.02.2026 ve REV:06 bilgisi bulunuyor. Bu ayrım, bilgi sayfasının daha önce oluşturulduğunu, sayfadaki politika belgesinin ise daha sonraki bir revizyon kaydı taşıdığını gösteriyor. Okurlar açısından esas güncel kayıt, metnin sonunda yer alan revizyon bilgisidir.

Sık Sorulan Sorular

İŞKUR bir bilgi güvenliği ihlali mi açıkladı?

Hayır. Yayımlanan içerikte gerçekleşmiş bir saldırı, veri kaybı veya güvenlik ihlali duyurulmuyor. Metin, tehditlerin önlenmesi, şüpheli açıkların bildirilmesi, risklerin değerlendirilmesi ve iş sürekliliğinin sağlanması için izlenecek kurumsal politikayı açıklıyor.

Vatandaşların yeni bir işlem yapması gerekiyor mu?

Kaynak metinde iş arayanlar, işverenler veya diğer kullanıcılar için yeni bir başvuru zorunluluğu bulunmuyor. Duyuru, Bilgi İşlem Dairesi Başkanlığı faaliyetleri kapsamında uygulanacak bilgi güvenliği yaklaşımına odaklanıyor.

Politika yalnızca internet sistemlerini mi kapsıyor?

Hayır. Elektronik verilerin yanında yazılı, basılı, sözlü ve benzeri ortamlarda bulunan bilgiler de güvenlik kapsamına alınıyor. Bu nedenle politika hem teknik altyapıyı hem de kurum içindeki bilgi kullanım biçimlerini ilgilendiriyor.