Toplantıda Kaybedilen Bilgi: Kurumsal Hafıza ve Bilgi Güvenliği Kesişimi

Kurumsal hayatın görünmez kaybı toplantılarda yaşanır: alınan kararlar, paylaşılan teknik detaylar ve müşteriyle konuşulan hassas bilgiler; not tutulmadığında, yanlış kişilerle paylaşıldığında veya güvensiz kanallarda dolaştığında hem operasyonel verimliliği hem de bilgi güvenliğini tehdit eder. Bu yazıda, toplantı yönetimini bir verimlilik meselesi olmaktan çıkarıp bilgi güvenliği disiplininin bir parçası olarak ele alıyor; ISO/IEC 27001 kontrol mantığı ve TISAX gereksinimleri ışığında pratik bir çerçeve öneriyoruz.

Giriş: Görünmez Sızıntı

Bir otomotiv yan sanayi firmasında proje toplantısı yapılıyor. Gündemde yeni bir ürünün prototip detayları, tedarikçi fiyatları ve müşteriyle paylaşılmaması gereken teknik parametreler var. Toplantıda sekiz kişi var: üçü şirketten, ikisi dış danışman, ikisi yazılım tedarikçisi, biri de stajyer. Toplantı bitiyor ve herkes dağılıyor.

Ne kaldı geriye?

Birinin not defterinde dağınık satırlar. Birinin telefonunda çekilmiş beyaz tahta fotoğrafı. Dış danışmanın kişisel e-posta adresine gönderilen özet. Stajyerin henüz erişim yetkisi olmayan bir klasöre yüklediği "toplantı notları.docx". Ve müşterinin TISAX denetiminde sorduğu soru: "Bu bilgilere kim erişebildi, nasıl kayıt altına alındı, nasıl imha edildi?"

Cevap verilemiyor.

Bu senaryo kurgu değil; Türkiye'de pek çok KOBİ'nin ve hatta büyük ölçekli firmaların günlük rutini. Bilgi güvenliği denince akla ilk gelen şeyler siber saldırılar, fidye yazılımları veya veri ihlalleri. Oysa kurumsal bilginin en büyük kayıp noktalarından biri, en sıradan görünen faaliyetlerden biri: toplantılar.

Toplantı Bilgisi Neden Kritik?

ISO/IEC 27001'in bilgi sınıflandırma mantığına göre, bilginin değeri; gizliliği, bütünlüğü ve erişilebilirliği üzerinden tanımlanır. Toplantılarda üretilen ve paylaşılan bilgi ise çoğu zaman bu üç boyutun hepsini aynı anda içerir:

Gizlilik: Müşteri projeksiyonları, fiyat stratejileri, tedarikçi koşulları, ürün yol haritaları.

Bütünlük: Alınan kararların doğru kayıt altına alınması; yanlış not, eksik özet veya çarpıtılmış aktarım operasyonel hatalara yol açar.

Erişilebilirlik: Doğru kişinin, doğru zamanda, doğru bilgiye ulaşması; toplantı notlarının kaybolması veya yetkisiz kişilerce erişilememesi operasyonel kesintiye neden olur.

TISAX bağlamında ise durum daha da netleşir. Prototip koruma gereksinimleri, bilgi paylaşımının hangi koşullarda, hangi taraflarla ve nasıl yapılabileceğini açıkça tanımlar. Bir toplantıda paylaşılan prototip fotoğrafı, yanlış kanaldan dışarı sızdığında; ya da toplantıya katılan bir tedarikçinin yetkinliği doğrulanmadığında, denetimde karşılaşılan bulgu teknik değil, prosedüreldir: "Bilgi paylaşım süreçleri tanımlı ve kontrol altında değil."

Kayıp Zinciri: Toplantıdan İmhasına

Bilgi güvenliği perspektifinden toplantı yönetimi, beş aşamalık bir yaşam döngüsü olarak ele alınmalı:

1. Öncesi: Kimler Masada?

Katılımcı listesi, bilgi sınıflandırması kadar önemlidir. "Herkes gelsin" yaklaşımı, bilgi güvenliği dilinde "en az yetki ilkesinin ihlali" demektir. Dış danışmanların, tedarikçilerin veya stajyerlerin katılımı gerekiyorsa; hangi bilginin paylaşılacağı önceden netleştirilmeli ve gerekiyorsa gizlilik taahhüdü (NDA) süreci tamamlanmalıdır.

2. Sırasında: Kanal Güvenliği

Hibrit ve çevrim içi toplantılarda platform seçimi bir güvenlik kararıdır. Şifreli bağlantı, katılımcı doğrulama, ekran paylaşımı kontrolü ve kayıt alma izinleri; toplantı başlamadan önce yapılandırılmalıdır. "Kayıt alıyorum" demek yetmez; kaydın nerede saklanacağı, kimlerin erişebileceği ve ne zaman imha edileceği tanımlı olmalıdır.

3. Sonrasında: Not ve Dağıtım

Toplantı notu, resmi bir kurumsal kayıttır. Kişisel not defterleri, kişisel e-posta adresleri ve kişisel bulut hesapları üzerinden dolaşan bilgi; kurumsal hafızadan değil, kurumsal risk envanterinden bahsediyoruz demektir. Notların standart bir şablonla tutulması, onay sürecinden geçmesi ve yetkili paydaşlarla paylaşılması; hem bütünlüğü hem de izlenebilirliği sağlar.

4. Saklama: Erişim ve Süre

Toplantı notları, karar kayıtları ve ekleri; bilgi sınıflandırmasına göre belirlenen süre boyunca, yetkili erişimle saklanmalıdır. "Sonsuza dek tutarız" yaklaşımı hem depolama maliyeti hem de gereksiz maruziyet demektir. Saklama süresi dolan kayıtların imhası ise, saklanması kadar önemli bir süreçtir ve kayıt altına alınmalıdır.

5. İmha: Güvenli Sonlandırma

Kağıt notların karıştırılması, dijital dosyaların silinmesi veya formatlanması; "imha" değil "görünmezlik" demektir. ISO/IEC 27001'in A.8.10 ve A.8.12 kontrolleri, bilgi silme ve veri sızıntısı önleme gereksinimlerini tanımlar. Güvenli imha yöntemleri; fiziksel dokümanlar için çapraz kesim imha, dijital veriler için ise yetkili yazılımlarla kalıcı silme yöntemlerini içerir.

Danışmanlık Perspektifi: Süreç Tasarımı

Pek çok firmada toplantı yönetimi, "herkesin kendi bildiği gibi yaptığı" bir alan olarak kalır. Oysa bu alan, danışmanlık müdahalesi için son derece verimli bir zemin sunar. Çünkü iyileştirme; yüksek teknoloji yatırımları değil, net prosedürler ve farkındalık eğitimi ile mümkündür.

Önerilen çerçeve üç katmanlıdır:

Politika katmanı: Bilgi sınıflandırma politikası ile toplantı yönetimi prosedürünün entegre edilmesi. Hangi sınıftaki bilgi, hangi tür toplantılarda, hangi güvenlik önlemleriyle paylaşılabilir?

Prosedür katmanı: Standart toplantı şablonları, katılımcı doğrulama kontrol listeleri, not onay akışları ve imha talimatları.

Kültür katmanı: Çalışanların "bu bilgi masada kalır" refleksini içselleştirmesi; dış paydaşların ise firmayla çalışırken bilgi güvenliği beklentilerini açıkça anlaması.

Sonuç: Küçük Adımlar, Büyük Kazanım

Bilgi güvenliği, her zaman karmaşık teknik altyapılar ve pahalı çözümler demek değildir. Bazen en etkili müdahale, en sıradan görünen süreçlerin farkına varmaktır. Toplantılar; kararların alındığı, bilginin paylaşıldığı ve kurumsal hafızanın şekillendiği yerlerdir. Bu alanı güvenli hale getirmek; hem TISAX ve ISO/IEC 27001 uyum süreçlerinde somut katkı sağlar, hem de operasyonel verimliliği artırır.

Unutmayın: Denetçinin sorduğu soru "Hangi yazılımı kullanıyorsunuz?" değil, "Bu bilgiyi nasıl yönetiyorsunuz?" sorusudur. Cevabınız toplantı odasından başlar.