ISO 27001 belgesi almak isteyen işletmelerin belgelendirme sürecinde dikkat etmesi gereken konulardan biri, belge kapsamının doğru belirlenmesidir.

Özellikle birden fazla faaliyet alanı bulunan şirketler, yalnızca belirli hizmetleri veya departmanları için ISO 27001 belgesi alıp alamayacaklarını merak etmektedir.

ISO 27001 belgelendirme kapsamı, işletmenin bilgi güvenliği yönetim sistemine dahil ettiği faaliyetleri, organizasyonel birimleri, lokasyonları ve ilgili süreçleri tanımlar. İşletmenin bütün faaliyetlerinin mutlaka belgelendirme kapsamına alınması gerekmez. Ancak kapsamın gerçek faaliyetleri yansıtması ve ilgili bilgi güvenliği risklerini karşılayacak şekilde belirlenmesi gerekir.

Yanlış veya eksik belirlenen kapsamlar, belgelendirme denetiminde sorunlara neden olabileceği gibi belgenin müşteri taleplerini karşılamamasına da yol açabilir.

ISO 27001 Belgelendirme Kapsamı Nedir?

ISO 27001 belgelendirme kapsamı, işletmenin bilgi güvenliği yönetim sisteminin hangi faaliyetler ve organizasyonel sınırlar içerisinde uygulandığını gösteren tanımdır.

ISO/IEC 27001:2022 standardının 4.3 maddesi, bilgi güvenliği yönetim sisteminin kapsamının belirlenmesini gerektirir.

Kapsam belirlenirken işletmenin iç ve dış koşulları, ilgili tarafların gereksinimleri ve kuruluşun diğer kuruluşlarla yürüttüğü faaliyetler arasındaki ilişkiler dikkate alınmalıdır.

Ayrıca belirlenen kapsamın dokümante edilmiş bilgi olarak bulunması gerekir.

Standardın güncel sürümü hakkında ISO/IEC 27001:2022 resmî standart sayfasından bilgi alınabilir. 

ISO 27001 Belgesi Şirketin Tamamını Kapsamak Zorunda mı?

Hayır. ISO 27001 belgelendirme kapsamının işletmenin bütün faaliyetlerini içermesi her durumda zorunlu değildir.

Örneğin bir şirket hem yazılım geliştirme hem de donanım satışı yapıyor olabilir.

İşletme, uygun koşulların sağlanması halinde yalnızca yazılım geliştirme faaliyetlerini ISO 27001 belgelendirme kapsamına almak isteyebilir.

Ancak yazılım geliştirme faaliyetlerinin kullandığı bilgi sistemleri, çalışanlar, dış kaynak hizmetleri ve diğer destek süreçleri de değerlendirilmelidir.

Burada önemli olan, kapsam dışında bırakılan faaliyetlerin belgelendirilecek hizmetle olan ilişkilerinin doğru belirlenmesidir.

ISO 27001 kapsamının dar tutulması, bilgi güvenliği açısından önemli süreçlerin değerlendirme dışında bırakılabileceği anlamına gelmez.

ISO 27001 Belgesi Sadece Bir Departman İçin Alınabilir mi?

ISO 27001 belgelendirmesinde yalnızca belirli bir organizasyonel birimin faaliyetlerinin kapsama alınması mümkün olabilir.

Örneğin büyük bir işletmenin bilgi teknolojileri departmanı tarafından yürütülen belirli hizmetler için bilgi güvenliği yönetim sistemi oluşturulabilir.

Ancak bu durumda departmanın diğer birimlerle olan ilişkileri incelenmelidir.

Bilgi teknolojileri departmanının kullandığı personel yönetimi, satın alma, fiziksel güvenlik veya dış kaynak hizmetleri gibi süreçler bilgi güvenliği açısından önemli olabilir.

Bu süreçlerin tamamının doğrudan aynı organizasyonel birim içerisinde bulunması gerekmez. Ancak belgelendirme kapsamındaki faaliyetlere etkileri değerlendirilmelidir.

Dolayısıyla yalnızca departman isminin kapsam olarak yazılması her zaman yeterli değildir.

Belgelendirilecek hizmetlerin ve faaliyetlerin açık biçimde tanımlanması gerekir.

Yazılım Firmaları İçin ISO 27001 Kapsamı Nasıl Yazılmalı?

Yazılım geliştirme firmalarında ISO 27001 kapsamı belirlenirken sunulan hizmetlerin niteliği dikkate alınmalıdır.

Örneğin yalnızca yazılım geliştiren bir işletmeyle yazılım geliştirme, entegrasyon, bakım ve teknik destek hizmetlerini birlikte sunan işletmenin faaliyet kapsamı farklı olabilir.

Bir yazılım firması için örnek kapsam ifadesi şu şekilde hazırlanabilir:

Örnek 1 – Yazılım Geliştirme Firması

“Yazılım geliştirme, yazılım test ve yazılım bakım hizmetleri kapsamında yürütülen bilgi güvenliği yönetimi faaliyetleri.”

Örnek 2 – Yazılım ve Entegrasyon Firması

“Yazılım geliştirme, yazılım entegrasyon, yazılım bakım ve teknik destek hizmetleri kapsamında yürütülen bilgi güvenliği yönetimi faaliyetleri.”

Örnek 3 – Bilişim Hizmetleri Firması

“Bilgi teknolojileri altyapı yönetimi, sistem ve ağ yönetimi, teknik destek ve bilişim hizmetlerinin sunulması kapsamında yürütülen bilgi güvenliği yönetimi faaliyetleri.”

Bu ifadeler yalnızca örnektir.

Kesin belgelendirme kapsamı, işletmenin gerçek faaliyetleri, bilgi güvenliği yönetim sistemi sınırları ve belgelendirme kuruluşunun değerlendirmesi doğrultusunda belirlenmelidir.

Kamu Bilişim Yetki Belgesi İçin ISO 27001 Kapsamı Neden Önemli?

Kamu bilişim projelerinde faaliyet göstermek isteyen yazılım firmaları açısından ISO 27001 belgelendirme kapsamı ayrıca önem taşımaktadır.

Kamu Bilişim Yetki Belgesi veya Yazılım Yetki Belgesi başvurularında yalnızca ISO 27001 belgesinin bulunması değil, ilgili faaliyetlerin belge kapsamında yer alması da önemlidir.

Örneğin işletmenin ISO 27001 belgesinde yalnızca donanım satış faaliyetleri bulunuyorsa bu kapsam, yazılım geliştirme hizmetleri için aranan şartları karşılamayabilir.

Bu nedenle kamu bilişim projelerinde görev almayı planlayan firmaların belgelendirme kapsamını başvuru öncesinde değerlendirmesi gerekir.

İlgili yetkilendirme şartları ve kabul edilen faaliyet tanımları, yürürlükteki mevzuat ve yetkili kurumun güncel uygulamaları üzerinden kontrol edilmelidir.

Özellikle Yazılım Yetki Belgesi hedefleyen işletmelerin ISO 27001 belgelendirme kapsamını, gerçekleştirdikleri yazılım geliştirme, entegrasyon ve bakım faaliyetleriyle uyumlu hazırlaması önemlidir.

Birden Fazla Şubesi Olan Firmalarda ISO 27001 Kapsamı Nasıl Belirlenir?

Birden fazla lokasyonda faaliyet gösteren işletmelerde ISO 27001 belgelendirme kapsamı hazırlanırken ilgili lokasyonların bilgi güvenliği yönetim sistemiyle ilişkisi değerlendirilir.

Örneğin merkezi İstanbul'da bulunan bir yazılım firmasının Ankara'da yazılım geliştirme ekibi, İzmir'de ise teknik destek birimi bulunabilir.

Bu durumda hangi faaliyetlerin hangi lokasyonlarda yürütüldüğü ve bilgi güvenliği yönetim sisteminin bu faaliyetleri nasıl kapsadığı belirlenmelidir.

Belgelendirme kuruluşu, çok lokasyonlu yapıyı ve ilgili denetim kurallarını dikkate alarak denetim planlamasını gerçekleştirir.

Her şubenin otomatik olarak ayrı bir ISO 27001 belgesi alması gerekmez. Ancak bütün şubelerin tek belge kapsamında değerlendirilebilmesi de belirli şartlara bağlıdır.

Bulut Hizmeti Kullanan Firmalar ISO 27001 Kapsamını Nasıl Belirlemeli?

Günümüzde birçok işletme bilgi teknolojileri altyapısının tamamını kendi bünyesinde bulundurmamaktadır.

Yazılım geliştirme, veri saklama, yedekleme ve uygulama barındırma gibi hizmetlerde dış kaynak veya bulut altyapıları kullanılabilir.

Bu durumda ISO 27001 belgelendirme kapsamı hazırlanırken işletmenin dış hizmet sağlayıcılarla olan ilişkileri değerlendirilmelidir.

Örneğin müşteri verilerinin üçüncü taraf bir bulut altyapısında saklanması, işletmenin bu verilerle ilgili bilgi güvenliği sorumluluklarını ortadan kaldırmaz.

Bulut hizmeti sağlayıcısının kendi ISO 27001 belgesinin bulunması da hizmeti kullanan işletmenin bütün bilgi güvenliği yükümlülüklerini karşıladığı anlamına gelmez.

İşletmenin kendi faaliyetleri, bilgi varlıkları, erişim yetkileri ve dış kaynak hizmetlerinden kaynaklanan riskleri yönetmesi gerekir.

ISO 27001 Belgelendirme Kapsamı Sonradan Değiştirilebilir mi?

Evet. İşletmelerin faaliyetlerinde meydana gelen değişiklikler doğrultusunda ISO 27001 belgelendirme kapsamının güncellenmesi mümkündür.

Örneğin başlangıçta yalnızca yazılım geliştirme hizmetleri için belge alan bir firma, ilerleyen dönemde yazılım bakım ve teknik destek hizmetlerini de kapsamına eklemek isteyebilir.

Benzer şekilde yeni bir lokasyonun açılması veya yeni hizmetlerin sunulmaya başlanması da kapsam değişikliği ihtiyacı oluşturabilir.

Bu durumda öncelikle bilgi güvenliği yönetim sistemi içerisinde gerekli değerlendirmeler yapılmalıdır.

Ardından belgelendirme kuruluşuna başvurularak kapsam genişletme veya değiştirme işlemleri planlanabilir.

Belgelendirme kuruluşu, değişikliğin niteliğine göre ilave denetim yapılmasını gerekli görebilir.

Kapsam değişikliğinin işletme tarafından yalnızca belge metni üzerinde düzenleme yapılarak gerçekleştirilmesi mümkün değildir. Belgelendirme kapsamındaki resmî değişiklikler, belgelendirme kuruluşunun değerlendirme ve karar süreçlerine tabidir.

ISO 27001 Kapsamı Belgelendirme Fiyatını Etkiler mi?

ISO 27001 belgelendirme kapsamı, denetim süresinin ve dolayısıyla belgelendirme maliyetinin belirlenmesinde etkili olabilir.

Örneğin yalnızca belirli bir hizmeti kapsayan bilgi güvenliği yönetim sistemiyle çok sayıda faaliyet ve lokasyonu kapsayan bir sistemin denetim ihtiyaçları farklı olabilir.

Ancak kapsamın daraltılması her zaman belgelendirme ücretinin aynı oranda azalacağı anlamına gelmez.

Çalışan sayısı, faaliyetlerin karmaşıklığı, bilgi teknolojileri altyapısı, dış kaynak kullanımı ve denetim gereklilikleri birlikte değerlendirilir.

Bu nedenle ISO 27001 fiyat teklifi alınmadan önce belgelendirme kapsamının doğru belirlenmesi önemlidir.

ISO 27001 Belgelendirme Kapsamı Hakkında Sık Sorulan Sorular

ISO 27001 belgesi sadece yazılım geliştirme faaliyetleri için alınabilir mi?

Evet. İşletmenin faaliyetleri ve bilgi güvenliği yönetim sistemi sınırları uygun olduğu takdirde yalnızca yazılım geliştirme hizmetleri için belgelendirme kapsamı oluşturulabilir.

ISO 27001 kapsamına bütün çalışanlar dahil edilmeli mi?

Belgelendirme kapsamındaki faaliyetleri gerçekleştiren veya bu faaliyetlerin bilgi güvenliğini etkileyen çalışanların görev ve sorumlulukları değerlendirilmelidir. Ancak işletmenin bütün çalışanlarının otomatik olarak aynı kapsamda değerlendirilmesi gerektiği söylenemez.

ISO 27001 belgesinde adres bulunması zorunlu mu?

Belgelendirme belgelerinde kuruluşun kimliğini ve belgelendirilen faaliyetlerin ilgili lokasyonlarını belirlemeye yarayan bilgiler bulunmalıdır. Belge üzerindeki adres ve lokasyon gösterimi, ilgili belgelendirme kurallarına göre düzenlenir.

ISO 27001 belgemizde yalnızca bir faaliyet yazıyor. Başka hizmetlerimiz için de kullanabilir miyiz?

ISO 27001 belgesi, belirtilen belgelendirme kapsamı için geçerlidir. Kapsam dışında kalan faaliyetlerin de belgelendirilmiş olduğu yönünde beyanda bulunulmamalıdır.

ISO 27001 kapsamını değiştirmek için yeniden belge almak gerekir mi?

Her kapsam değişikliğinde sıfırdan belgelendirme yapılması gerekmez. Değişikliğin niteliğine göre belgelendirme kuruluşu tarafından kapsam genişletme veya değiştirme işlemi gerçekleştirilebilir.

ISO 27001 kapsamı ile SOA aynı şey mi?

Hayır. ISO 27001 kapsamı, bilgi güvenliği yönetim sisteminin sınırlarını ve kapsadığı faaliyetleri tanımlar.

SOA (Uygulanabilirlik Bildirgesi) ise bilgi güvenliği risklerinin işlenmesi kapsamında belirlenen kontrollerin uygulanabilirliğini, seçilme gerekçelerini ve uygulanma durumlarını gösterir.

Bu iki doküman birbiriyle ilişkili olmakla birlikte farklı amaçlara hizmet eder.

ISO 27001 Belgelendirme Kapsamı Danışmanlığı – YYS Danışmanlık

ISO 27001 belgesi almak isteyen işletmelerin belgelendirme öncesinde faaliyet kapsamlarını doğru belirlemesi, denetim sürecinin sağlıklı yürütülmesine yardımcı olur.

Özellikle yazılım geliştirme, bilişim hizmetleri, kamu bilişim projeleri ve çok lokasyonlu işletmelerde kapsam belirleme çalışmaları önem taşımaktadır.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, belgelendirme kapsamının belirlenmesi, bilgi güvenliği yönetim sistemi kurulumu, dokümantasyon, eğitim, iç tetkik ve belgelendirme sürecinin koordinasyonu konularında hizmet sunuyoruz.

İşletmenizin mevcut faaliyetlerine ve belgelendirme ihtiyaçlarına uygun kapsamın belirlenmesi konusunda profesyonel destek sağlayabiliriz.

ISO 27001 belgelendirme kapsamı, mevcut belgenizin kapsamının genişletilmesi veya yeni belgelendirme başvuruları hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgelendirme kapsamı, işletmenin hangi faaliyetlerinin ve organizasyonel sınırlarının bilgi güvenliği yönetim sistemi içerisinde değerlendirildiğini gösterir.

Belgelendirme kapsamının doğru belirlenmesi, hem denetimlerin sağlıklı yürütülmesi hem de belgenin müşteri ve ihale şartlarını karşılaması açısından önemlidir.

ISO 27001 belgesi almak isteyen işletmeler için doğru yaklaşım, kapsamı yalnızca maliyete göre belirlemek yerine gerçek faaliyetleri, bilgi güvenliği risklerini ve müşteri gerekliliklerini birlikte değerlendirmektir.