ISO 27001 belgelendirme yolculuğu genellikle bir müşteri sorusuyla başlar: ihaleye girilecek, tedarikçi değerlendirme formunda belge isteniyor ve şirket üç ay içinde sertifikayı almak zorunda olduğunu düşünüyor. Oysa standardın mantığı belge almak değil, işleyen bir bilgi güvenliği yönetim sistemi (BGYS) kurmaktır. Denetçi ilk gün politikaya değil, o politikanın ürettiği kayıtlara bakar; risk değerlendirmesinin ne zaman yapıldığına, iç denetim bulgularının kapanıp kapanmadığına, erişim yetkilerinin gözden geçirildiğine dair kanıt ister.

Kayıt üretmek zaman ister ve bu, sürecin en sık hafife alınan yönüdür. Aşağıda kapsam kararından gözetim denetimlerine kadar tüm aşamalar, her aşamada üretilmesi gereken çıktılar ve şirketlerin en çok takıldığı noktalar sırayla ele alınıyor. Standardın güncel sürümü ISO/IEC 27001:2022’dir ve Ek A kontrolleri bu sürümde dört tema altında toplanmıştır.

Kapsam kararı: en kritik ve en çok hata yapılan aşama

Kapsam, belgenin hangi hizmet, lokasyon ve varlıkları kapsadığını tanımlar. Dar tutulursa müşteri ihtiyacını karşılamaz; belge alınır ama tedarikçi değerlendirmesinde “sizin kapsamınız bizim aldığımız hizmeti içermiyor” yanıtıyla karşılaşılır. Geniş tutulursa ilk denetim öncesi tamamlanamayacak bir yük doğar.

Sağlıklı kapsam cümlesi üç unsuru içerir: hangi iş süreçleri veya hizmetler, hangi lokasyonlar, hangi teknoloji varlıkları. Bulut hizmetlerinden yararlanılıyorsa sorumluluk paylaşımı da netleştirilmelidir; sağlayıcının belgesi kurumun kapsamını kapsamaz, yalnızca bir tedarikçi güvencesidir. Kapsam yazarken sık düşülen hatalar şunlardır:

• Belgeyi talep eden müşterinin aldığı hizmetin kapsam dışında bırakılması.
• Uzaktan çalışan personelin ve ev ağından erişimin kapsamda tanımlanmaması.
• Üretim verisiyle çalışmasına rağmen geliştirme ortamlarının dışarıda tutulması.
• Kapsam cümlesinde lokasyonun belirtilmemesi ve denetimde belirsizlik doğması.

Kapsamın iş hedefleriyle örtüşmesini sağlamak için kurumsal siber güvenlik danışmanlığı desteğinden yararlanan şirketler, ilerleyen aşamalarda kapsam değişikliği nedeniyle yeniden çalışma yapma riskini azaltır.

Boşluk analizi: nereden başlanacağını sayıya dökmek

Kapsam belirlendikten sonra mevcut durumun standardın maddeleriyle karşılaştırılması gerekir. Boşluk analizi, hem ana maddeleri (bağlamdan iyileştirmeye kadar) hem de Ek A kontrollerini tek tek ele alır ve her biri için üç şeyi yazar: durum, kanıt, eksik.

• “Var” demek yetmez; kontrolün kanıtı hangi kayıtla gösterilecek, o kayıt üretiliyor mu?
• Kısmen uygulanan kontroller ayrı işaretlenir, çünkü denetimde en çok bulgu buradan çıkar.
• Her eksik için sorumlu ve hedef tarih atanır; sahibi olmayan eksik kapanmaz.
• Analiz sonucu, belgelendirme takviminin gerçekçi kurulmasını sağlayan tek veridir.

Risk değerlendirme ve risk işleme planı

Standardın kalbi risk yönetimidir. Kurum kendi metodolojisini belirlemekte serbesttir, ancak metodoloji tekrarlanabilir ve tutarlı olmalıdır: aynı riski iki farklı kişi değerlendirdiğinde benzer sonuca ulaşabilmelidir.

Uygulamada işleyen bir akış şudur: varlık ve süreç envanteri çıkarılır, her varlık için tehdit ve zafiyet eşleştirmesi yapılır, olasılık ve etki ölçeğiyle risk seviyesi hesaplanır, kabul edilebilir risk eşiği yönetim tarafından onaylanır. Eşiğin üzerindeki her risk için işleme kararı verilir: azalt, aktar, kaçın veya kabul et. Kabul edilen risklerin yazılı onayı, denetimde sıkça sorulan belgelerden biridir.

Uygulanabilirlik Bildirgesi ve Ek A kontrolleri

Uygulanabilirlik Bildirgesi (SoA, Statement of Applicability), Ek A’daki kontrollerin her biri için uygulanıyor mu, uygulanmıyorsa neden sorusunu yanıtlayan zorunlu belgedir. Denetçinin ilk istediği dokümanlardandır ve gerekçesiz “uygulanabilir değil” işaretleri doğrudan bulguya dönüşür.

Belgelendirmeye giden adımlar

1. Yönetim taahhüdü ve kaynak tahsisi. BGYS sorumlusu atanır, bütçe ve zaman ayrılır. Taahhüt yazılı değilse süreç ilk yoğun dönemde durur.
2. Kapsam ve bağlam analizi. İlgili taraflar, yasal ve sözleşmesel şartlar belirlenir.
3. Boşluk analizi ve yol haritası. Eksikler sahiplendirilir, takvim çıkarılır.
4. Risk değerlendirmesi ve işleme planı. Riskler puanlanır, kontroller seçilir, SoA hazırlanır.
5. Dokümantasyon ve uygulama. Politika ve prosedürler yazılır, süreçler devreye alınır.
6. Farkındalık eğitimi. Kapsamdaki tüm personel eğitilir ve katılım kayıt altına alınır.
7. Kayıt biriktirme dönemi. Sistemin işlediğini gösteren kayıtlar üretilir; bu dönem için genellikle birkaç aylık bir işletim süresi gerekir.
8. İç denetim. Bağımsızlık ilkesine uygun biçimde, kendi işini denetlemeyen bir denetçiyle yürütülür.
9. Yönetimin gözden geçirmesi. Performans, bulgular, riskler ve iyileştirme kararları toplantı tutanağıyla kayda geçer.
10. Belgelendirme başvurusu ve denetimler. Akredite bir belgelendirme kuruluşuyla Aşama 1 ve Aşama 2 denetimleri planlanır.

Aşama 1 ve Aşama 2 denetimlerinde neye bakılır

Aşama 1 esas olarak bir hazırlık denetimidir. Denetçi dokümantasyonu, kapsamı, SoA’yı, risk metodolojisini ve iç denetim ile yönetim gözden geçirmesinin yapılıp yapılmadığını inceler. Buradan çıkan gözlemler, ikinci aşamaya girmeden düzeltme fırsatı sağlar.

Aşama 2 uygulama denetimidir. Denetçi artık kâğıda değil kanıta bakar: erişim yetkileri gerçekten gözden geçirilmiş mi, olay kayıtları tutulmuş mu, tedarikçi değerlendirmeleri yapılmış mı, yedekler test edilmiş mi? Görüşmeler çoğu zaman süreç sahipleriyle yapılır ve çalışanın “böyle bir prosedür olduğunu bilmiyorum” demesi tek başına bulgu üretir. İkinci aşamada en sık istenen kayıtlar şunlardır:

• Ayrıcalıklı hesaplara ait dönemsel yetki gözden geçirme tutanakları.
• Güvenlik olaylarının kayıtları ve kapanış notları.
• Yedeklerin geri dönüş testine ilişkin sonuç raporları.
• Tedarikçi değerlendirme formları ve sözleşmelerdeki güvenlik maddeleri.
• Zafiyet tarama sonuçları ile kapatma ve doğrulama kayıtları.

Uygunsuzluklar nasıl kapatılır

Bulgular genellikle majör ve minör olarak ayrılır. Majör uygunsuzluk, bir şartın tamamen karşılanmaması veya sistemi işlevsiz kılacak bir kopukluk anlamına gelir ve belge verilmeden önce kapatılması gerekir. Minör uygunsuzluk için düzeltici faaliyet planı sunmak çoğu durumda yeterlidir.

Kapatma yazısında üç unsur aranır: düzeltme (anlık giderme), kök neden analizi ve düzeltici faaliyet (tekrarı önleyen değişiklik). Yalnızca düzeltme sunmak, aynı bulgunun bir sonraki denetimde tekrar açılmasına yol açar.

Belge sonrası: gözetim ve yeniden belgelendirme döngüsü

Belge genellikle üç yıl geçerlidir ve bu süre içinde düzenli gözetim denetimleri yapılır; üçüncü yılın sonunda yeniden belgelendirme denetimi gerçekleştirilir. Gözetim denetimleri tüm sistemi değil, seçilmiş alanları ve önceki bulguların durumunu inceler.

Bu döngüde en sık görülen sorun, belge alındıktan sonra kayıt üretiminin durmasıdır. İç denetim yapılmaz, yönetim gözden geçirmesi ertelenir, risk değerlendirmesi güncellenmez ve bir sonraki denetimde sistem baştan kurulmaya çalışılır. Belge sonrası dönemde takvime bağlanması gereken asgari faaliyetler şunlardır:

• İç denetimin ve yönetimin gözden geçirmesinin yılda en az bir kez yapılması.
• Risk değerlendirmesinin ve Uygulanabilirlik Bildirgesi’nin güncellenmesi.
• Farkındalık eğitiminin tekrarlanması ve katılımın kayıt altına alınması.
• Düzeltici faaliyetlerin takibi ve kapanışlarının doğrulanması.

Yıllık takvimi belge tarihine göre değil, süreçlerin doğal ritmine göre kurmak bu riski azaltır.

Teknik testlerin belgelendirmedeki yeri

Standart, teknik açıklıkların yönetilmesini ve sistemlerin güvenlik açısından test edilmesini bekler; ancak testin türünü ve derinliğini kurumun risk değerlendirmesi belirler. İnternete açık uygulamaları olan bir kurum için düzenli zafiyet taraması ve sızma testi doğal bir kanıt kaynağıdır; genellikle bir-iki hafta süren bu testler belirli sistemlerdeki teknik zafiyetleri ortaya koyar.

Tespit ve yanıt kabiliyetini de kanıtlamak isteyen kurumlar bir adım öteye geçer. İki ila altı haftaya yayılan bir red team hizmeti; keşif, ilk erişim, yanal hareket (lateral movement) ve yetki yükseltme, hedef tamamlama ve raporlama aşamalarıyla kontrollerin gerçek bir saldırı karşısındaki davranışını ölçer. Çıktısındaki yönetici özeti ile teknik detay ayrımı, yönetimin gözden geçirmesi girdisi olarak da kullanılabilir ve olay müdahale sürecinin MTTD ile MTTR değerlerini somut biçimde belgeler.

Sık sorulan sorular

ISO 27001 belgelendirme süreci ne kadar sürer?

Kurumun büyüklüğüne, kapsamın genişliğine ve mevcut olgunluğa göre değişir. Belirleyici olan doküman yazma hızı değil, sistemin işlediğini gösteren kayıtların birikmesi için gereken süredir. Hiçbir altyapısı olmayan bir kurumda süreç birkaç ay yerine daha uzun sürebilir; hazır bir yönetim sistemi bulunan kurumlarda ise takvim belirgin biçimde kısalır.

Danışman kullanmak zorunlu mu?

Zorunlu değildir. Ancak standardın dilini iş süreçlerine çevirmek ve gereksiz doküman üretiminden kaçınmak deneyim ister. Önemli kural şudur: BGYS’yi kuran danışman ile belgelendirme denetimini yapan kuruluş aynı olamaz; tarafsızlık gereği bu ayrım korunmalıdır.

KVKK uyumu ile ISO 27001 aynı şey mi?

Değildir. KVKK bir yasal yükümlülük, ISO 27001 gönüllü bir yönetim sistemi standardıdır. Ancak önemli ölçüde örtüşürler: erişim kontrolü, olay yönetimi, tedarikçi güvenliği ve kayıt tutma gibi alanlarda ISO 27001 kapsamında kurulan kontroller, KVKK’daki veri güvenliğine ilişkin yükümlülüklerin karşılanmasını kolaylaştırır.

Belgeyi kaybetme riski hangi durumlarda doğar?

Majör uygunsuzlukların süresinde kapatılmaması, gözetim denetimlerinin yaptırılmaması veya kapsam dışına çıkan köklü organizasyon değişikliklerinin bildirilmemesi başlıca nedenlerdir. Ciddi bir güvenlik olayı tek başına belgeyi geçersiz kılmaz; belirleyici olan olayın sistem tarafından yönetilip yönetilmediğidir.

Küçük şirketler için standart fazla ağır değil mi?

Standart ölçeğe göre uyarlanabilir. Yirmi kişilik bir şirkette politika seti daha kısa, roller daha az sayıda kişide toplanmış olabilir. Beklenen şey doküman hacmi değil, risklerin tanımlanmış, kontrollerin seçilmiş ve kararların kayıtla gösterilebilir olmasıdır.

Sonuç

ISO 27001 belgelendirme, bir doküman projesi değil bir işletim disiplinidir; belgeyi getiren şey yazılan politika sayısı değil, o politikaların ürettiği kayıtların denetim gününde bir yıllık tutarlı bir izlek oluşturmasıdır. Kapsamı iş hedefine göre çizen, risk değerlendirmesini gerçek varlıklar üzerinden yapan ve teknik testleri kanıt zincirinin parçası haline getiren kurumlar için belge bir sonuç olur; bunları atlayanlar içinse her yıl tekrarlanan bir hazırlık telaşına dönüşür.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.