QueryProxy kullanmak bize ISO 27001 belgesi kazandırır mı?

Hayır. Belgelendirme bilgi güvenliği yönetim sisteminiz için geçerlidir ve bir belgelendirme kuruluşunun denetiminden sonra verilir. QueryProxy, veritabanı erişimiyle ilgili bazı Annex A kontrolleri için kanıt üretmeye yardım eder. Sistemin, risk değerlendirmesinin ya da denetimin yerini tutmaz.

QueryProxy hangi Annex A kontrolleriyle ilgilidir?

Hepsi 2022 sürümünde olmak üzere 8.2 privileged access rights, 8.3 information access restriction, 8.11 data masking ve 8.15 logging kontrolleri. Hangi kontrollerin sizin için geçerli olduğunu risk değerlendirmeniz ve Uygulanabilirlik Bildirgeniz belirler.

Annex A bir referans kontrol kümesidir. Hangilerini uygulayacağınıza risk değerlendirmesiyle siz karar verir ve bunu Uygulanabilirlik Bildirgenize, dışarıda bıraktıklarınızın gerekçesiyle birlikte kaydedersiniz. Tam gereksinim için standardı okuyun.

QueryProxy 8.11 data masking kontrolünü uygular mı?

Bir kısmına yardım eder. Tanımladığınız maskeleme kuralları, sonuç değerlerine ve hata mesajlarına yazılmadan önce uygulanır. Yalnızca kurallarınızın eşleştiğini maskeler; bu yüzden kuralları kendi verinize göre seçin ve test edin.

QueryProxy loglama için hangi kanıtı verir?

Bir talebin her adımı bir denetim girdisi alır; gönderim, karar, süre ve etkilenen satırlarla yürütme, sonuç indirmeleri, girişler, yetkilendirmeler ve yapılandırma değişiklikleri. Denetçi rolü bunu süzebilir ve CSV olarak dışa aktarabilir. Saat senkronizasyonu ve saklamayı siz ayarlarsınız.

ISO 27001 ve veritabanı erişim denetimi

ISO/IEC 27001, bir bilgi güvenliği yönetim sistemi (ISMS) standardıdır. Belgeleri, bir denetimin ardından belgelendirme kuruluşu kuruluşlara verir; ürünler belge almaz. QueryProxy, veritabanı erişimiyle ilgili birkaç Annex A kontrolü için, kendi sisteminizin parçası olarak bir denetçiye gösterebileceğiniz kanıt üretmeye yardım edebilir.

Bu sayfa hukuki ya da denetim tavsiyesi değildir. Bir kontrolü ISMS’inizde neyin karşıladığına belgelendirme kuruluşunuz karar verir.

Hangi Annex A kontrolleri veritabanı erişimiyle ilgilidir?

ISO/IEC 27001’in 2022 sürümü kontrollerini Annex A’da listeler (başlıklar 2026-10-13 tarihinde ikincil kaynaklara göre kontrol edildi; standart metni okunmadı). Kontrolleri bir risk değerlendirmesiyle seçer ve kararı Uygulanabilirlik Bildirgesi’ne (Statement of Applicability) kaydedersiniz. Veritabanlarıyla ilgili teknolojik kontroller:

A.8.2 Privileged access rights
A.8.3 Information access restriction
A.8.11 Data masking
A.8.15 Logging

Başlıklar 2022 sürümünden alınmıştır. Standart ISO ve ulusal standart kuruluşları tarafından satılır; sürüm ISO’nun kataloğunda listelenir. Kontrol ifadesini bu özetten değil, lisanslı kopyanızdan alın.

QueryProxy hangi kanıtı üretebilir?

QueryProxy bu kontroller için kanıt üretmeye yardım eder. Hiçbirini tek başına karşılamaz.

Annex A kontrolü	QueryProxy’nin ürettiği	Kapsamadığı
A.8.2 Privileged access rights	Geliştiriciler üretim kimlik bilgisi tutmaz; bilgi şifreli saklanır (AES-256; bkz. onay akışı referansı). Her talep, talep sahibi olamayacak, adı belli bir onaylayandan geçer. Yöneticinin bu kuralı aşması denetim kaydında işaretlenir. Yöneticiler, DBA’ler ya da tüm kullanıcılar için TOTP ile iki aşamalı doğrulama zorunlu tutulabilir (yapılandırma).	Ayrıcalıklı hakların sistemlerinizin geri kalanında dağıtımı ve düzenli gözden geçirilmesi.
A.8.3 Information access restriction	Geliştirici yalnızca bir DBA’nın yetkilendirdiği bağlantılara ulaşır. Roller göndermeyi, onaylamayı ve denetlemeyi ayırır. Bağlantılar, talepler, maskeleme kuralları ve denetim kayıtları bir ekibin içinde kalır. Okumalar varsayılan `LIMIT` 1000 ve sert üst sınır 10000 alır (SQL korumaları).	Erişim denetimi politikanız ve veritabanının içindeki yetkiler.
A.8.11 Data masking	`full`, `partial` ve `hash` stratejili sütun ve içerik kuralları; her değere yazılmadan önce uygulanır, ayrıca hata mesajları da maskelenir (maskeleme referansı).	Neyin hassas olduğunu bulmak. Kurallar yalnızca eşleştiğini maskeler.
A.8.15 Logging	Bir talebin her adımı için talep sahibi, onaylayan, kanal, süre ve etkilenen satırlarla bir denetim girdisi; ayrıca girişler ve yetkilendirmeler. Girdiler uygulama üzerinden düzenlenemez ya da silinemez. Denetçi rolü için CSV dışa aktarımı.	Logları uygulamanın ötesinde korumak ve saklamak, saat senkronizasyonu ve logların gösterdiğini incelemek.

Bir talebin nasıl ilerlediği ve hangi girdileri yazdığı için onay akışı sayfasına ve maskeleme sayfasına ya da onay akışı ve veri maskeleme referans sayfalarına bakın.

Kuruluşunuza ne kalır?

ISMS’in kendisi: kapsam, risk değerlendirmesi, Uygulanabilirlik Bildirgesi, politikalar, iç denetim ve yönetimin gözden geçirmesi.
Hangi kontrollerin sizin için geçerli olduğuna karar vermek ve geçerli olmayanları gerekçelendirmek.
Ayrıcalıklı rolleri kimin alacağı ve bu listenin düzenli gözden geçirilmesi.
Saklama süreleri. Dokümantasyon denetim kaydı için bir saklama süresi belirtmez; sonuç dosyaları ayarladığınız süreyi izler.
Sunucunun, ters vekil sunucunun ve QueryProxy’nin kendi veritabanının güvenliği. Ters vekil arkasında çalışıyorsa vekili TRUSTED_PROXIES içinde belirtin, yoksa log kullanıcının değil vekilin adresini kaydeder. Bkz. üretim güvenliği.
Belgelendirme denetimi.

Sınırlar neler?

Denetim kaydı QueryProxy üzerinden yapılan talepleri kapsar; veritabanına giden diğer yolları kapsamaz.
“Düzenlenemez” ifadesi uygulama için geçerlidir; kaydı tutan veritabanına doğrudan erişimi olan biri için değil.
Maskeleme ve SQL guard’ın, kendi sayfalarında anlatılan sınırları vardır. Guard bir yasak listesidir; yetkilendirme sınırı DBA’nın onayıdır.
QueryProxy kullanmak size ISO 27001 belgesi kazandırmaz.

Ne zaman ihtiyacınız yok?

ISO 27001 peşinde değilseniz ya da veritabanları ISMS kapsamınızın dışındaysa yukarıdaki kontroller sizi ilgilendirmez. Her şeyi tek kişinin yönettiği küçük bir ekibiniz varsa bir ifadeyi onaylayacak ikinci kişi yoktur. Denetçiniz bir bastion host ve veritabanının kendi denetim özelliğiyle zaten tatmin oluyorsa QueryProxy’nin katacağı az olabilir; bastion host karşılaştırması nelerin farklı olduğunu gösterir.

İlgili okumalar: SOC 2, PCI DSS ve veritabanı erişim denetimi nedir.

Sık sorulanlar

QueryProxy kullanmak bize ISO 27001 belgesi kazandırır mı?: Hayır. Belgelendirme bilgi güvenliği yönetim sisteminiz için geçerlidir ve bir belgelendirme kuruluşunun denetiminden sonra verilir. QueryProxy, veritabanı erişimiyle ilgili bazı Annex A kontrolleri için kanıt üretmeye yardım eder. Sistemin, risk değerlendirmesinin ya da denetimin yerini tutmaz.
QueryProxy hangi Annex A kontrolleriyle ilgilidir?: Hepsi 2022 sürümünde olmak üzere 8.2 privileged access rights, 8.3 information access restriction, 8.11 data masking ve 8.15 logging kontrolleri. Hangi kontrollerin sizin için geçerli olduğunu risk değerlendirmeniz ve Uygulanabilirlik Bildirgeniz belirler.
Annex A zorunlu mu?: Annex A bir referans kontrol kümesidir. Hangilerini uygulayacağınıza risk değerlendirmesiyle siz karar verir ve bunu Uygulanabilirlik Bildirgenize, dışarıda bıraktıklarınızın gerekçesiyle birlikte kaydedersiniz. Tam gereksinim için standardı okuyun.
QueryProxy 8.11 data masking kontrolünü uygular mı?: Bir kısmına yardım eder. Tanımladığınız maskeleme kuralları, sonuç değerlerine ve hata mesajlarına yazılmadan önce uygulanır. Yalnızca kurallarınızın eşleştiğini maskeler; bu yüzden kuralları kendi verinize göre seçin ve test edin.
QueryProxy loglama için hangi kanıtı verir?: Bir talebin her adımı bir denetim girdisi alır; gönderim, karar, süre ve etkilenen satırlarla yürütme, sonuç indirmeleri, girişler, yetkilendirmeler ve yapılandırma değişiklikleri. Denetçi rolü bunu süzebilir ve CSV olarak dışa aktarabilir. Saat senkronizasyonu ve saklamayı siz ayarlarsınız.