Bir web sitesi güvenlik politikası örneği

MegaComm Güvenlik Politikası

PERSONEL

Erişim Seviyeleri
Web sitesine 5 seviyede erişim mümkündür.
1. Public-Herkese açık. /private (özel) dizini hariç tüm URL`lere salt-okunur erişim.
2. MegaComm şirketi çalışanları. /private dizini dahil tüm URL`lere salt-okunur erişim.
3. HTML yazarları. Doküman ağacında HTML dosyaları yaratma, değiştirme ve silme hakları olan kişiler.
4. Site yöneticileri. Web sunucusunun konfigürasyon dosyalarını değiştirme, CGI script`leri kurma ve Web sunucusunun kapatılıp açılması hakkına sahip olanlar.
5. Sistem yöneticileri. Web sunucusu makinasının konfigürasyonunu değiştirme ve makineyi kapatıp açma hakkına sahip olan kişiler.

Yetkilendirme Prosedürü
3, 4 ve 5 erişim seviyeleri için personelin IT Direktörü yada Direktör yardımcısından yazılı izin alması gerekmektedir. Yazılı izin, gerekli kullanıcı hesaplarını ve haklarını tanımlayacak olan bir sistem yöneticisine sunulmalıdır.
2. erişim seviyesi tüm yeni çalışanlara, e-posta hesaplarını ve LAN şifrelerini aldıklarında otomatik olarak verilmektedir.

Yetkilerin İptali
2`den 5`e kadar olan erişim seviyeleri için yetkiler, Direktör yada yardımcısı uygun gördüğünde herhangi bir uyarı yapılmadan kaldırılabilir. Ayrıca acil bir durum söz konusu olduğunda sistem yöneticisi de kaldırabilir. Bu işlem 24 saat içerisinde IT direktörü tarafından gözden geçirilmeli ve onaylanmalıdır.

ERİŞİM HAKLARI

Yerel Login olma (sisteme giriş)
Web sunucusu makinesine yerel (konsoldan) login sadece sistem ve site yöneticileri için sağlanmalıdır. Login`lerin amacı sadece site bakımı için olmalıdır.

Ağdan Login olma
Dosya paylaşımı dahil olmak üzere ağ login'lerinin her şekli yasaktır.

Yazar Erişimi
HTML yazarları ve site yöneticilerinin doküman ağacında değişiklikler yapmaya hakları vardır. Tüm yetkili erişimler megacomm.com alan adı içerisinde yer alan makinelerden FTP ile yapılmalıdır. Acil durumlar hariç, yerel login ile doküman ağacında değişiklikler yapmak yasaktır.

Uzaktan Sunucu Yönetimi
İzin yok. Tüm sunucu yönetimi yerel olarak yapılmalıdır.

Bakma Erişimi
/private URL`si haricinde tüm siteye web`den anonim olarak bakmak mümkündür. /private dizinine sadece megacomm.com alan adı içerisindeki makinelerden erişilebilir.

CGI Script kurulumu
CGI script`leri, site yöneticilerinden en az ikisi tarafından gözden geçirilip onaylandıktan sonra site yöneticileri tarafından kurulabilir. Kaynak kodu mevcut olmayan CGI script`leri IT Direktörü veya yardımsıcının izni olmadan kurulamaz.

/private dizinine erişim
/private dizini MegaComm firması ile ilgili önemli bilgileri içermektedir. Erişim .megacomm.com alanına kısıtlanmıştır.

AĞ SERVİSLERİ

Web
Web sitesi statik HTML dokümanları ve CGI script`leri çıktıları sunacaktır. İçeri gelen web bilgisi, veritabanları ayrı yerde tutulan, müşteri yorumları ve tartışma grupları ile sınırlıdır. Ne CGI script`leri nede sunucunun kendisi LAN`daki diğer veritabanları, dosya sistemleri veya servisler ile, IT direktörünün yazılı izni olmadan bağlantı kuramaz.

FTP
Gelen ve giden FTP bağlantıları sadece web sayfalarını güncelleme amaçlıdır. FTP erişimi, web yazarlarına, site ve sistem yöneticilerine ve sadece megacomm.com alanı içerisindekilere olacak şekilde sınırlandırılmıştır. Anonim FTP ve megacomm.com alanı dışarısından her türlü FTP erişimi yasaktır.

Diğer servisler
Web makinesi tarafından başka hiçbir ağ servisi sağlanamaz.

BAKIM

24x7 çalışma
Site, pazar günü sabah 7 ile 9 arası bakım süresi dışında, günde 24 saat, haftada 7 gün erişilebilir olmalıdır. Sistem yöneticileri ana sunucuda problem olduğunda yedek bir sunucuya geçebilecek şekilde hazırlıklı olmalıdırlar.

Yedekler
Web sunucusu makinasının tüm yedeği haftada bir kere alınmalı ve günlük olarak sadece incremental (artan) yedekleme yapılmalıdır.

İzleme
Bir sistem yöneticisi web sunucusu makinesinin sistem log dosyalarını hatalar ve diğer beklenmeyen aktiviteler için izlemekle yükümlüdür. Site adminide benzer olarak web sunucusu log dosyalarını izlemekle yükümlüdür. Sıradışı bir aktivite gözlemlendiğinde hemen IT direktörüne bildirilmelidir. Bir sistem yada site yöneticisi, sistemin yada MegaComm gizli bilgilerinin bütünlüğünün tehdit altında olduğuna emin olduğunda web sunucuyu kapatabilme hakkına sahiptir.