Politikanın içermesi gereken bölümler
- Amaç ve kapsam: politika kimleri ve hangi araçları bağlar?
- Veri sınıfları: hangi bilgi türü hangi araca girilebilir, hangisi asla girilemez?
- Kullanım kovaları: serbest, onaylı ve kısıtlı kullanım örnekleriyle birlikte.
- Onay ve sorumluluk: kim onaylar, çıktının sorumluluğu kimde?
- Doğrulama kuralı: hangi çıktı türü kaynağından kontrol edilmek zorunda?
- Yeni araç talebi: bir çalışan yeni bir araç kullanmak isterse süreç nedir?
- Olay bildirimi: yanlış paylaşım veya hatalı çıktı fark edildiğinde ne yapılır?
- Gözden geçirme: politika hangi sıklıkla ve kim tarafından güncellenir?
Uygulanabilirliğin üç kuralı
Birincisi uzunluk: iki sayfayı aşan politika okunmaz. Ayrıntı ekler dosyasına konur, ana metin karar için yeterli olmalıdır.
İkincisi örnek: soyut ifade yerine kurumun kendi işinden gerçek örnekler kullanılır. 'Hassas veri girilmez' cümlesi, 'müşteri sözleşmesinin tam metni yapıştırılmaz' cümlesi kadar açık değildir.
Üçüncüsü alternatif: yasaklanan her davranışın yanında izinli bir yol gösterilmelidir. Alternatifsiz yasak, kullanımı görünmez kılar.
Veri sınıflandırması için basit üç seviye
- Açık: kamuya açık ve zaten yayımlanmış bilgi — serbest kullanılabilir.
- İç: kuruma özel ama kritik olmayan bilgi — yalnız kurumun onayladığı araçlarda.
- Kritik: kişisel veri, müşteri verisi, sözleşme ve finansal detay — yalnız açıkça izin verilmiş, sözleşmeli ortamlarda ve gerekiyorsa maskelenerek.
Politikayı yaşatmak
Yayımlanan politika, uygulanan politika değildir. Kurumda karşılığı olması için üç şey gerekir: kısa bir eğitim, izinli araçların gerçekten erişilebilir olması ve ihlalin cezadan önce konuşulabildiği bir kanal.
Politikayı en çok zayıflatan durum, kurumun izinli bir alternatif sunmadan yasak koymasıdır.