ISO 27001 belgesi almak isteyen işletmelerin en çok merak ettiği konulardan biri, belgelendirme için hangi evrakların hazırlanması gerektiğidir.

Özellikle ilk kez ISO 27001 belgesi alacak firmalar, sürecin çok sayıda doküman gerektirdiğini düşünerek başvuru öncesinde tereddüt yaşayabilir.

Oysa ISO 27001 belgelendirmesinde önemli olan yalnızca evrak hazırlamak değildir. İşletmenin bilgi güvenliği risklerini nasıl yönettiğini ve oluşturduğu sistemin gerçekten uygulandığını gösterebilmesidir.

ISO 27001 belgesi almak için bilgi güvenliği politikası, risk değerlendirme kayıtları, uygulanabilirlik bildirgesi (SOA), bilgi güvenliği hedefleri, iç tetkik ve yönetimin gözden geçirmesi kayıtları gibi dokümante edilmiş bilgiler gereklidir. Bunlara işletmenin faaliyetlerine ve seçilen güvenlik kontrollerine göre başka kayıtlar da eklenebilir.

ISO 27001 Başvurusu İçin Hangi Bilgiler İstenir?

ISO 27001 belgelendirme başvurusunda öncelikle işletmenin faaliyetleri ve belgelendirme kapsamı değerlendirilir.

Belgelendirme kuruluşları, denetim süresini ve kapsamını belirleyebilmek amacıyla işletmenin ticari unvanı, adresi, çalışan sayısı, faaliyet alanı, lokasyonları ve bilgi teknolojileri altyapısı hakkında bilgi talep edebilir.

Birden fazla şubesi bulunan veya bilgi teknolojileri hizmetlerini dışarıdan alan işletmelerin bu durumu başvuru sırasında açıklaması gerekebilir.

Başvuru aşamasında talep edilen ticari belgeler ve formlar, belgelendirme kuruluşuna göre farklılık gösterebilir.

Burada dikkat edilmesi gereken nokta, belgelendirme başvurusunda istenen evraklarla ISO 27001 standardının gerektirdiği yönetim sistemi dokümanlarının birbirinden farklı olmasıdır.

ISO 27001 İçin Hazırlanması Gereken Temel Dokümanlar

ISO/IEC 27001:2022 standardı, bilgi güvenliği yönetim sisteminin oluşturulması, uygulanması, sürdürülmesi ve iyileştirilmesine ilişkin şartları belirler.

Bu kapsamda işletmenin faaliyetlerine uygun bir dokümantasyon yapısı oluşturulması gerekir.

Belgelendirme hazırlığında öne çıkan temel doküman ve kayıtlar şunlardır:

1. Bilgi Güvenliği Yönetim Sistemi Kapsamı: ISO 27001 belgelendirmesine dahil edilen faaliyetlerin, birimlerin ve lokasyonların tanımlanması.

2. Bilgi Güvenliği Politikası: İşletmenin bilgi güvenliğine ilişkin temel yaklaşımını ve taahhütlerini ortaya koyan doküman.

3. Risk Değerlendirme ve Risk İşleme Dokümanları: Bilgi güvenliği risklerinin belirlenmesi, değerlendirilmesi ve yönetilmesine ilişkin yöntemler, planlar ve kayıtlar.

4. Uygulanabilirlik Bildirgesi (SOA): Bilgi güvenliği kontrollerinin uygulanma durumunu ve seçilme veya hariç tutulma gerekçelerini gösteren doküman.

5. Bilgi Güvenliği Hedefleri: İşletmenin bilgi güvenliği kapsamında belirlediği hedefler ve bunlara ulaşmak için yaptığı planlama.

6. Yetkinlik ve Eğitim Kayıtları: İlgili çalışanların görevlerini yerine getirmek için gerekli yeterliliğe sahip olduğunu gösteren kayıtlar.

7. İzleme ve Ölçme Kayıtları: Bilgi güvenliği yönetim sisteminin performansının değerlendirildiğini gösteren bilgiler.

8. İç Tetkik Kayıtları: Yönetim sisteminin uygunluğunu ve etkinliğini değerlendirmek amacıyla gerçekleştirilen iç tetkiklere ilişkin program ve sonuçlar.

9. Yönetimin Gözden Geçirmesi Kayıtları: Üst yönetimin bilgi güvenliği yönetim sistemini değerlendirdiğini gösteren toplantı sonuçları ve kararlar.

10. Düzeltici Faaliyet Kayıtları: Tespit edilen uygunsuzlukların ele alınmasına ve gerekli düzeltici faaliyetlerin sonuçlarına ilişkin kayıtlar.

Bu liste, temel gereklilikleri anlaşılır biçimde özetlemektedir. İşletmenin uyguladığı güvenlik kontrollerine bağlı olarak ilave politika, prosedür ve kayıtlar gerekebilir. 

ISO 27001 SOA Dokümanı Nedir? Zorunlu mu?

ISO 27001 belgelendirme sürecinde karşılaşılan önemli dokümanlardan biri SOA (Statement of Applicability), yani Uygulanabilirlik Bildirgesi'dir.

SOA, işletmenin bilgi güvenliği risklerini yönetmek amacıyla belirlediği kontrollerin değerlendirildiği dokümandır.

Bu dokümanda kontrollerin neden seçildiği, uygulanıp uygulanmadığı ve Ek-A'daki kontrollerden herhangi biri hariç tutulmuşsa bunun gerekçesi açıklanır.

ISO/IEC 27001:2022 standardının 6.1.3 maddesi kapsamında uygulanabilirlik bildirgesinin hazırlanması gereklidir.

Ancak her işletmenin aynı kontrolleri aynı yöntemlerle uygulaması beklenmez. İşletmenin faaliyet alanı, bilgi varlıkları, riskleri ve ilgili yükümlülükleri dikkate alınır.

Bu nedenle başka bir firmaya ait SOA dokümanının değiştirilmeden kullanılması uygun bir yaklaşım değildir.

ISO 27001 İçin Hazır Doküman Satın Almak Yeterli mi?

İnternette ISO 27001 doküman setleri, prosedür örnekleri ve hazır formlar bulunmaktadır.

Bu tür dokümanlar, yönetim sistemi hazırlıklarında başlangıç noktası olarak değerlendirilebilir.

Ancak hazır dokümanlara sahip olmak, işletmenin ISO 27001 şartlarını karşıladığı anlamına gelmez.

Örneğin bir işletmenin yedekleme prosedürü bulunabilir. Fakat denetimde yedekleme işlemlerinin gerçekten yapıldığına, takip edildiğine ve gerektiğinde geri yükleme kabiliyetinin doğrulandığına ilişkin kanıtlar da incelenebilir.

Benzer şekilde risk değerlendirme tablosunun hazırlanmış olması tek başına yeterli değildir. Risklerin güncel tutulması ve belirlenen önlemlerin uygulanması da önemlidir.

ISO 27001 belgelendirme denetimlerinde dokümanlarla birlikte uygulama kayıtları da değerlendirilir.

Küçük Firmalar İçin ISO 27001 Dokümantasyonu Daha mı Kolay?

ISO 27001, farklı büyüklüklerdeki işletmeler tarafından uygulanabilecek şekilde hazırlanmıştır.

Beş çalışanı bulunan bir yazılım firmasıyla yüzlerce çalışanı bulunan bir kurumun bilgi güvenliği ihtiyaçları aynı olmayabilir.

Bu nedenle dokümantasyonun kapsamı ve ayrıntı düzeyi işletmenin yapısına göre değişebilir.

Küçük işletmelerde daha sade bir yönetim sistemi oluşturulması mümkündür. Ancak bu durum, standardın temel şartlarının uygulanmayabileceği anlamına gelmez.

Önemli olan gereksiz doküman üretmek yerine, işletmenin gerçek faaliyetlerini ve bilgi güvenliği uygulamalarını yansıtan bir sistem oluşturmaktır.

ISO 27001 Denetiminden Önce Dokümanlar Tamamlanmalı mı?

ISO 27001 belgelendirme denetimi öncesinde yönetim sisteminin kurulmuş ve uygulanıyor olması gerekir.

Denetimlerde yalnızca dokümanların varlığı değil, bunların güncelliği ve işletme içerisinde nasıl uygulandığı da incelenir.

Bu nedenle iç tetkik ve yönetimin gözden geçirmesi gibi faaliyetlerin son ana bırakılmaması önemlidir.

İşletmenin hazırlık durumuna göre dokümantasyon, uygulama ve denetim hazırlığı için uygun bir çalışma takvimi oluşturulmalıdır.

ISO/IEC 27001:2022 standardının kapsamı ve güncel durumu hakkında ISO'nun resmî standart sayfasından bilgi alınabilir. (ISO)

ISO 27001 Gerekli Evraklar Hakkında Sık Sorulan Sorular

ISO 27001 belgesi almak için kaç doküman hazırlanmalı?

Her işletme için geçerli sabit bir doküman sayısı bulunmaz. Standartta belirtilen dokümante edilmiş bilgiler hazırlanmalı; işletmenin risklerine, faaliyetlerine ve uyguladığı kontrollere göre gerekli ilave dokümanlar belirlenmelidir.

ISO 27001 için risk analizi zorunlu mu?

Evet. Bilgi güvenliği risk değerlendirmesi ve risk işleme faaliyetleri, ISO/IEC 27001 standardının temel gereklilikleri arasındadır.

ISO 27001 belgesi almak için SOA hazırlanması gerekiyor mu?

Evet. Uygulanabilirlik Bildirgesi, ISO/IEC 27001:2022 standardının gerektirdiği temel dokümanlardan biridir.

ISO 27001 için bütün prosedürleri hazırlamak zorunda mıyız?

Hayır. Her işletmenin aynı sayıda veya aynı isimlerle prosedür hazırlaması gerekmez. Ancak standardın zorunlu tuttuğu dokümante edilmiş bilgiler ve işletmenin seçtiği kontrollerin gerektirdiği dokümanlar oluşturulmalıdır.

ISO 27001 dokümantasyonu ne kadar sürede hazırlanır?

Hazırlık süresi işletmenin çalışan sayısına, faaliyet alanına, mevcut bilgi güvenliği uygulamalarına ve yönetim sisteminin kapsamına göre değişir. Dokümanların hazırlanmasının ardından uygulama kayıtlarının oluşması için de zaman gerekebilir.

ISO 27001 danışmanlık hizmeti almak zorunlu mu?

Hayır. ISO 27001 belgelendirmesi için danışmanlık hizmeti alınması zorunlu değildir. Ancak gerekli dokümantasyonun hazırlanması ve yönetim sisteminin uygulanması konusunda deneyimi bulunmayan işletmeler profesyonel destek alabilir.

ISO 27001 Dokümantasyon ve Belgelendirme Danışmanlığı

ISO 27001 belgelendirme sürecinde işletmelerin karşılaştığı güçlüklerden biri, hangi dokümanların gerekli olduğunu ve mevcut uygulamaların standardın şartlarını karşılayıp karşılamadığını belirlemektir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, dokümantasyon, eğitim, risk değerlendirmesi, iç tetkik ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

İşletmenizin faaliyet alanına ve mevcut yapısına uygun bir ISO 27001 çalışma planı oluşturulması için bizimle iletişime geçebilirsiniz.

ISO 27001 belgelendirme ve danışmanlık hizmetleri hakkında bilgi almak için YYS Danışmanlık'a ulaşabilirsiniz.

Sonuç

ISO 27001 belgesi almak için gerekli evraklar, yalnızca birkaç başvuru formundan oluşmaz. İşletmenin bilgi güvenliği yönetim sistemini nasıl oluşturduğunu, uyguladığını ve değerlendirdiğini gösteren dokümanlar ve kayıtlar da gereklidir.

Başarılı bir ISO 27001 belgelendirme sürecinin temelinde çok sayıda doküman hazırlamak değil, işletmenin faaliyetlerine uygun ve uygulanabilir bir bilgi güvenliği yönetim sistemi oluşturmak bulunur.