ISO 27001 belgelendirme denetimine hazırlanan işletmelerin en çok merak ettiği konulardan biri, denetçilerin hangi soruları soracağı ve hangi kayıtları inceleyeceğidir.

Özellikle ilk kez ISO 27001 belgesi alacak firmalar, denetim sırasında teknik sorularla karşılaşıp karşılaşmayacaklarını ve çalışanların hangi konularda bilgi sahibi olması gerektiğini öğrenmek ister.

ISO 27001 denetiminde denetçiler; bilgi güvenliği politikası, risk değerlendirmesi, uygulanabilirlik bildirgesi (SOA), erişim yetkileri, yedekleme, bilgi güvenliği olayları, iç tetkik ve yönetimin gözden geçirmesi gibi konuları inceler. Ancak denetimde sorulan sorular, işletmenin faaliyet alanına ve bilgi güvenliği yönetim sisteminin kapsamına göre değişir.

ISO 27001 denetiminin amacı çalışanların ezber bilgisini ölçmek değil, işletmenin bilgi güvenliği yönetim sistemini gerçekten uygulayıp uygulamadığını değerlendirmektir.

ISO 27001 Denetiminde İlk Olarak Neye Bakılır?

ISO/IEC 27001:2022 standardı, kuruluşların bilgi güvenliği yönetim sistemlerini kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereklilikler belirler.

Belgelendirme denetimlerinde bu gerekliliklerin karşılanıp karşılanmadığı değerlendirilir.

Denetçiler öncelikle işletmenin faaliyetlerini, bilgi güvenliği yönetim sistemi kapsamını ve organizasyon yapısını anlamaya çalışır.

Bu aşamada işletmenin hangi hizmetleri sunduğu, hangi bilgi varlıklarını kullandığı ve bilgi güvenliği sorumluluklarının nasıl dağıtıldığı incelenebilir.

ISO 27001, yalnızca bilgi teknolojileri altyapısına yönelik bir standart değildir. İnsan kaynakları, satın alma, müşteri ilişkileri ve yönetim faaliyetleri de bilgi güvenliği açısından değerlendirmeye dahil olabilir.

Standardın kapsamı hakkında ISO/IEC 27001 resmî standart sayfasından bilgi alınabilir. 

ISO 27001 Denetçileri Hangi Soruları Sorar?

ISO 27001 denetimlerinde bütün işletmelere uygulanan tek bir soru listesi bulunmaz.

Bununla birlikte aşağıdaki sorular, denetimlerde değerlendirilebilecek temel konuları anlamak açısından örnek oluşturur.

1. Bilgi Güvenliği Politikası Hakkında Sorular

Denetçi, işletmenin bilgi güvenliği politikasının hazırlanıp hazırlanmadığını ve çalışanlara nasıl duyurulduğunu değerlendirebilir.

Örnek sorular:

• Firmanızın bilgi güvenliği politikası var mı?

• Bilgi güvenliği politikasını çalışanlara nasıl duyuruyorsunuz?

• Bilgi güvenliği hedefleriniz nelerdir?

• Bilgi güvenliği yönetim sisteminden kim sorumludur?

• Politikanın güncelliği nasıl değerlendiriliyor?

Bu soruların amacı yalnızca politika dokümanının varlığını kontrol etmek değildir.

İşletmenin bilgi güvenliği yaklaşımının çalışanlar tarafından bilinmesi ve yönetim sistemi içerisinde uygulanması da önemlidir.

2. Risk Analizi ve Risk Yönetimi Soruları

ISO 27001 denetimlerinde bilgi güvenliği risklerinin nasıl yönetildiği önemli bir değerlendirme konusudur.

Denetçi aşağıdaki soruları yöneltebilir:

• Bilgi güvenliği risklerini nasıl belirliyorsunuz?

• Risk değerlendirmesini kim gerçekleştiriyor?

• Risklerin kabul edilebilir seviyede olup olmadığına nasıl karar veriyorsunuz?

• Yüksek riskler için hangi önlemleri aldınız?

• Risk değerlendirmesi hangi durumlarda güncelleniyor?

• Risk işleme planında belirlenen faaliyetlerin tamamlandığını nasıl takip ediyorsunuz?

Örneğin bir yazılım firmasının kaynak kodlarına yetkisiz erişim riski belirlenmiş olabilir.

Denetçi bu risk için hangi önlemlerin alındığını ve önlemlerin uygulanıp uygulanmadığını inceleyebilir.

Risk analizi tablosunun hazırlanmış olması tek başına yeterli değildir. Belirlenen risklerin yönetildiğini gösteren uygulama kayıtları da önemlidir.

3. SOA (Uygulanabilirlik Bildirgesi) Hakkında Sorular

ISO 27001 denetimlerinde incelenen temel dokümanlardan biri Uygulanabilirlik Bildirgesi'dir.

SOA, işletmenin bilgi güvenliği risklerini yönetmek için belirlediği kontrolleri ve bu kontrollerin uygulanma durumunu gösterir.

Denetçi şu soruları sorabilir:

• SOA dokümanınız güncel mi?

• Hangi kontrolleri uyguluyorsunuz?

• Uygulanmayan kontrollerin gerekçeleri nelerdir?

• SOA ile risk değerlendirme sonuçları arasında tutarlılık bulunuyor mu?

• Uygulandığı belirtilen kontrollerin kayıtları mevcut mu?

Örneğin SOA içerisinde yedekleme kontrolünün uygulandığı belirtilmişse denetçi yedekleme kayıtlarını incelemek isteyebilir.

Bu nedenle SOA üzerinde belirtilen uygulamalarla işletmenin gerçek faaliyetleri arasında uyum bulunmalıdır.

ISO 27001 Denetiminde Bilgi İşlem Personeline Neler Sorulur?

Bilgi teknolojileri altyapısı bulunan işletmelerde sistem yöneticileri ve bilgi işlem personeliyle görüşmeler yapılabilir.

Bu görüşmelerde bilgi sistemlerinin güvenliği ve teknik kontrollerin uygulanması değerlendirilir.

Örnek sorular:

• Kullanıcı hesaplarını kim oluşturuyor?

• İşten ayrılan personelin erişim yetkileri nasıl kaldırılıyor?

• Yönetici yetkileri nasıl kontrol ediliyor?

• Sunucu ve bilgisayarların güvenlik güncellemeleri nasıl takip ediliyor?

• Yedekleme işlemleri nasıl gerçekleştiriliyor?

• Yedeklerden geri yükleme işlemleri test ediliyor mu?

• Güvenlik olayları nasıl tespit ediliyor?

• Bilgi sistemlerinde meydana gelen değişiklikler nasıl yönetiliyor?

Denetçi bu soruların ardından uygulama kayıtlarını görmek isteyebilir.

Örneğin çalışanların erişim yetkilerinin kontrol edildiği belirtiliyorsa erişim yetki matrisi, kullanıcı hesapları veya yetki gözden geçirme kayıtları incelenebilir.

ISO 27001 denetimlerinde önemli olan yalnızca bir güvenlik önleminin bulunduğunun söylenmesi değil, bu önlemin uygulandığının gösterilebilmesidir.

ISO 27001 Denetiminde Çalışanlara Hangi Sorular Sorulur?

ISO 27001 denetimlerinde yalnızca yöneticiler ve bilgi işlem personeli değerlendirilmez.

Bilgi güvenliği yönetim sistemi kapsamında görev yapan diğer çalışanlarla da görüşmeler gerçekleştirilebilir.

Örneğin insan kaynakları, muhasebe, satın alma veya müşteri hizmetleri çalışanlarına günlük faaliyetleriyle ilgili sorular yöneltilebilir.

Bu sorular arasında şunlar bulunabilir:

• Şüpheli bir e-posta aldığınızda ne yaparsınız?

• Bilgi güvenliği ihlalini kime bildirirsiniz?

• Şirket dışına dosya gönderirken hangi kurallara dikkat edersiniz?

• Bilgisayarınızı kullanmadığınızda nasıl korursunuz?

• Gizli müşteri bilgilerini nasıl saklarsınız?

• Bilgi güvenliği konusunda eğitim aldınız mı?

Çalışanların ISO 27001 standardının bütün maddelerini ezbere bilmesi beklenmez.

Ancak kendi görevleriyle ilgili bilgi güvenliği kurallarını bilmeleri ve uygulamaları gerekir.

Bu nedenle denetim öncesinde çalışanlara bilgi güvenliği farkındalık eğitimi verilmesi faydalıdır.

ISO 27001 Denetiminde Yedekleme Kayıtları İncelenir mi?

Yedekleme, birçok işletmede bilgi güvenliği açısından önemli kontrollerden biridir.

ISO 27001 denetimlerinde işletmenin risklerine ve uygulanabilir kontrollerine bağlı olarak yedekleme faaliyetleri değerlendirilebilir.

Denetçi aşağıdaki konuları inceleyebilir:

Yedekleme planı: Hangi sistemlerin, hangi sıklıkta yedeklendiği.

Yedekleme kayıtları: Planlanan işlemlerin gerçekleştirilip gerçekleştirilmediği.

Yedeklerin korunması: Yedekleme verilerine erişim ve saklama güvenliği.

Geri yükleme testleri: Gerektiğinde verilerin geri yüklenebildiğinin nasıl doğrulandığı.

Örneğin işletme her gün otomatik yedekleme yaptığını belirtiyorsa denetçi bu işlemlere ait kayıtları görmek isteyebilir.

Yedekleme işleminin başarılı görünmesi, geri yükleme kabiliyetinin doğrulandığı anlamına gelmez.

Bu nedenle işletmenin riskleri ve iş ihtiyaçları doğrultusunda geri yükleme kontrollerinin de planlanması önemlidir.

ISO 27001 Denetiminde Tedarikçi Firmalar Kontrol Edilir mi?

Bilgi teknolojileri hizmetlerini dışarıdan alan işletmelerde tedarikçi yönetimi önemli bir konudur.

Örneğin bir işletme sunucu yönetimi, yazılım geliştirme, teknik destek veya bulut hizmetlerini başka firmalardan alabilir.

Bu durumda denetçi, dış hizmet sağlayıcıların bilgi güvenliği açısından nasıl değerlendirildiğini inceleyebilir.

Sorulabilecek sorular arasında şunlar bulunabilir:

• Hangi firmalardan bilgi teknolojileri hizmeti alıyorsunuz?

• Tedarikçileri hangi kriterlere göre değerlendiriyorsunuz?

• Tedarikçilerle gizlilik veya bilgi güvenliği şartlarını içeren sözleşmeler bulunuyor mu?

• Dış hizmet sağlayıcıların erişim yetkileri nasıl yönetiliyor?

• Tedarikçi performansını ve bilgi güvenliği yükümlülüklerini nasıl takip ediyorsunuz?

Tedarikçi listesinin hazırlanması, tedarikçi yönetiminin tamamlandığı anlamına gelmez.

İşletmenin risklerine göre tedarikçi değerlendirme, izleme ve gözden geçirme kayıtlarının da bulunması gerekebilir.

ISO 27001 İç Tetkik ve Yönetimin Gözden Geçirmesi Soruları

ISO 27001 belgelendirme denetimi öncesinde işletmenin kendi bilgi güvenliği yönetim sistemini değerlendirmiş olması gerekir.

Bu kapsamda iç tetkik ve yönetimin gözden geçirmesi faaliyetleri önemlidir.

ISO/IEC 27001:2022 standardının 9.2 maddesi iç tetkik, 9.3 maddesi ise yönetimin gözden geçirmesi gerekliliklerini düzenler.

Denetçi aşağıdaki soruları yöneltebilir:

• İç tetkik programınız hazırlandı mı?

• İç tetkiki kim gerçekleştirdi?

• İç tetkikte hangi uygunsuzluklar tespit edildi?

• Uygunsuzluklar için düzeltici faaliyet başlatıldı mı?

• Yönetimin gözden geçirmesi toplantısı gerçekleştirildi mi?

• Toplantıda hangi kararlar alındı?

• Alınan kararların uygulanması nasıl takip ediliyor?

Özellikle iç tetkikte tespit edilen uygunsuzlukların ele alınması ve gerekli düzeltici faaliyetlerin yürütülmesi önemlidir.

Yönetimin gözden geçirmesi toplantısında alınan kararların da takip edilmesi gerekir.

ISO 27001 Denetiminde Eksiklik Çıkarsa Belge Alınamaz mı?

ISO 27001 denetimlerinde eksiklik veya uygunsuzluk tespit edilmesi, her durumda belgelendirme sürecinin tamamen sona erdiği anlamına gelmez.

Denetim sırasında belirlenen uygunsuzluklar, ilgili belgelendirme kuruluşunun kurallarına göre değerlendirilir.

Uygunsuzluğun niteliğine bağlı olarak işletmeden düzeltme, kök neden analizi veya düzeltici faaliyet gerçekleştirmesi istenebilir.

Özellikle majör uygunsuzluklarda belgelendirme kararının verilebilmesi için gerekli işlemlerin tamamlanması gerekir.

Bu nedenle denetim öncesinde eksikliklerin belirlenmesi ve giderilmesi, belgelendirme sürecinin daha sağlıklı yürütülmesine yardımcı olur.

ISO 27001 Denetimine Hazırlanırken Nelere Dikkat Edilmeli?

ISO 27001 denetimine hazırlık, yalnızca denetim günü sorulabilecek sorulara cevap hazırlamak değildir.

İşletmenin bilgi güvenliği yönetim sistemini uyguladığını gösterebilmesi gerekir.

Bu nedenle denetim öncesinde risk değerlendirmeleri, SOA, bilgi güvenliği politikaları, erişim yetkileri, tedarikçi kayıtları ve ilgili güvenlik kontrolleri gözden geçirilmelidir.

Ayrıca çalışanların bilgi güvenliği sorumluluklarını bilmesi, iç tetkik faaliyetlerinin tamamlanması ve yönetimin gözden geçirmesi sonuçlarının kayıt altına alınması önemlidir.

Denetim hazırlığı sırasında tespit edilen eksiklikler için gerekli çalışmaların planlanması, son anda karşılaşılabilecek sorunları azaltabilir.

ISO 27001 Denetimi Hakkında Sık Sorulan Sorular

ISO 27001 denetimi zor mu?

ISO 27001 denetiminin zorluk derecesi, işletmenin bilgi güvenliği yönetim sisteminin hazırlık durumuna bağlıdır. Sistemini uygulayan ve gerekli kayıtlarını tutan işletmeler denetime daha hazırlıklı olabilir.

ISO 27001 denetiminde bütün çalışanlara soru sorulur mu?

Hayır. Denetçiler, denetim planına ve örnekleme yöntemine göre farklı görevlerdeki çalışanlarla görüşebilir. Bütün çalışanlarla ayrı ayrı görüşülmesi zorunlu değildir.

ISO 27001 denetiminde teknik bilgi gerekiyor mu?

Denetim kapsamında teknik kontrollerin değerlendirilmesi gerekebilir. Ancak bütün çalışanların ileri düzey teknik bilgiye sahip olması beklenmez. Çalışanların kendi görevleriyle ilgili bilgi güvenliği sorumluluklarını bilmesi önemlidir.

ISO 27001 denetiminde hangi belgeler istenir?

Bilgi güvenliği politikası, risk değerlendirme kayıtları, SOA, bilgi güvenliği hedefleri, iç tetkik sonuçları ve yönetimin gözden geçirmesi kayıtları temel dokümante edilmiş bilgiler arasındadır. İşletmenin faaliyetlerine göre ek kayıtlar incelenebilir.

ISO 27001 denetiminde uygunsuzluk çıkarsa ne olur?

Uygunsuzluğun niteliğine göre düzeltme ve düzeltici faaliyetler istenebilir. Belgelendirme kararı, uygunsuzlukların durumu ve ilgili belgelendirme kuralları dikkate alınarak verilir.

ISO 27001 denetimine danışman katılabilir mi?

Danışmanın denetim sırasında bulunması, belgelendirme kuruluşunun kurallarına ve denetim planına bağlıdır. Danışman, kuruluşun talebiyle süreç hakkında açıklama sağlayabilir; ancak kuruluşun sorumluluğunu üstlenemez veya bağımsız denetim sürecine müdahale edemez.

ISO 27001 Denetim Hazırlığı ve Danışmanlık Hizmetleri

ISO 27001 belgelendirme denetimlerinde başarılı bir hazırlık süreci yürütülebilmesi için işletmenin mevcut bilgi güvenliği uygulamalarının değerlendirilmesi önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, dokümantasyon, risk değerlendirmesi, çalışan farkındalık eğitimleri, iç tetkik ve belgelendirme denetimine hazırlık konularında hizmet sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut belgesinin gözetim ve yenileme denetimine hazırlanacak işletmeler için ihtiyaçlarına uygun çalışma planları oluşturuyoruz.

ISO 27001 denetim hazırlığı, danışmanlık ve belgelendirme sürecinin koordinasyonu hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 denetiminde sorulan sorular, işletmenin bilgi güvenliği yönetim sisteminin gerçekten uygulanıp uygulanmadığını değerlendirmeye yöneliktir.

Denetçiler yalnızca hazırlanan dokümanları değil, çalışanların bilgi güvenliği farkındalığını, risk yönetimini, teknik kontrolleri ve uygulama kayıtlarını da inceleyebilir.

ISO 27001 denetimine hazırlanmanın en etkili yolu, soruları ezberlemek değil; işletmenin bilgi güvenliği yönetim sistemini doğru kurmak, uygulamak ve gerekli kayıtlarla desteklemektir.