ISO 27001 belgesi almak isteyen işletmelerin belgelendirme öncesinde gerçekleştirmesi gereken önemli faaliyetlerden biri iç tetkiktir. Özellikle ilk kez ISO 27001 belgelendirme sürecine hazırlanan firmalar, iç tetkikin nasıl yapılacağını, kimlerin denetçi olabileceğini ve hangi dokümanların hazırlanması gerektiğini merak etmektedir.

ISO 27001 iç tetkik, işletmenin bilgi güvenliği yönetim sisteminin standart şartlarına ve kendi belirlediği gerekliliklere uygunluğunu değerlendirmek amacıyla gerçekleştirilen sistematik ve tarafsız bir denetim faaliyetidir. İç tetkik sırasında bilgi güvenliği uygulamaları, risk yönetimi, dokümantasyon ve ilgili kayıtlar incelenir.

İç tetkikin amacı yalnızca belgelendirme denetimi öncesinde eksiklikleri belirlemek değildir. İşletmenin bilgi güvenliği yönetim sisteminin etkinliğini değerlendirmek ve iyileştirme fırsatlarını ortaya çıkarmaktır.

ISO 27001 İç Tetkik Nedir?

ISO/IEC 27001:2022 standardının 9.2 maddesi, bilgi güvenliği yönetim sisteminin planlanan aralıklarla iç tetkike tabi tutulmasını gerektirir.

İç tetkik sonucunda işletmenin bilgi güvenliği yönetim sisteminin hem kendi belirlediği şartlara hem de ISO 27001 gerekliliklerine uygun olup olmadığı değerlendirilir.

Ayrıca oluşturulan yönetim sisteminin etkin biçimde uygulanıp uygulanmadığı ve sürdürülebilirliği incelenir.

Örneğin bir yazılım firmasında kullanıcı erişim yetkilerinin düzenli olarak kontrol edildiği belirtiliyorsa iç tetkik sırasında bu uygulamaya ilişkin kayıtlar incelenebilir.

Benzer şekilde bilgi güvenliği risklerinin değerlendirildiği belirtilmişse risk değerlendirme kayıtlarının güncelliği ve risk işleme faaliyetlerinin uygulanma durumu kontrol edilebilir.

İç tetkik, yalnızca dokümanların mevcut olup olmadığını kontrol etmekten ibaret değildir. Dokümanlarda tanımlanan faaliyetlerin işletmede gerçekten uygulanıp uygulanmadığı da değerlendirilir.

ISO 27001 İç Tetkik Yapmak Zorunlu mu?

Evet. ISO 27001 standardına uygun bir bilgi güvenliği yönetim sistemi oluşturmak ve sürdürmek isteyen işletmelerin iç tetkik faaliyetlerini gerçekleştirmesi gerekir.

Standardın 9.2 maddesi kapsamında iç tetkik programının oluşturulması, denetimlerin planlanması, gerçekleştirilmesi ve sonuçlarının kayıt altına alınması gerekmektedir.

İç tetkik programı hazırlanırken denetim sıklığı, yöntemleri, sorumlulukları, planlama şartları ve raporlama süreçleri belirlenmelidir.

Ayrıca denetlenecek süreçlerin önemi ve önceki denetim sonuçları dikkate alınmalıdır.

İç tetkik sonuçlarının ilgili yönetime raporlanması ve gerçekleştirilen faaliyetlere ilişkin dokümante edilmiş bilgilerin muhafaza edilmesi gerekir.

Bu nedenle yalnızca bir iç tetkik planı hazırlanması, standardın gerekliliklerinin tamamlandığı anlamına gelmez. (IT ISO)

ISO 27001 İç Tetkik Nasıl Planlanır?

İç tetkik çalışmalarına başlamadan önce işletmenin bilgi güvenliği yönetim sistemi kapsamı değerlendirilmelidir.

Belgelendirme kapsamındaki faaliyetler, organizasyonel birimler, bilgi güvenliği süreçleri ve ilgili kontroller belirlenerek bir iç tetkik programı oluşturulur.

İç tetkik programında hangi faaliyetlerin ne zaman, kim tarafından ve hangi yöntemle değerlendirileceği açıklanmalıdır.

Örneğin yazılım geliştirme hizmeti sunan bir işletmede aşağıdaki konular iç tetkik kapsamına alınabilir:

• Bilgi güvenliği yönetim sistemi ve organizasyonel sorumluluklar

• Bilgi güvenliği risk değerlendirmesi ve risk işleme faaliyetleri

• Uygulanabilirlik Bildirgesi (SOA)

• Yazılım geliştirme ve test süreçleri

• Kullanıcı erişim yetkileri

• Bilgi varlıklarının yönetimi

• Yedekleme ve geri yükleme faaliyetleri

• Tedarikçi ve dış kaynak hizmetlerinin yönetimi

• Bilgi güvenliği olaylarının yönetimi

• Çalışanların bilgi güvenliği farkındalığı

Bu başlıklar örnek niteliğindedir.

İşletmenin faaliyetlerine ve bilgi güvenliği yönetim sistemi kapsamına göre farklı konuların değerlendirilmesi gerekebilir.

ISO 27001 İç Tetkik Planında Hangi Bilgiler Bulunmalı?

İç tetkik programı ve her bir denetime ait tetkik planı, denetim faaliyetlerinin düzenli yürütülmesini sağlayacak bilgileri içermelidir.

Örneğin bir iç tetkik planında denetimin amacı, kapsamı, kriterleri, tarihi, denetlenecek birimler, denetçiler ve ilgili sorumlular belirtilebilir.

Ayrıca denetimin hangi yöntemlerle gerçekleştirileceği ve hangi faaliyetlerin inceleneceği açıklanabilir.

İşletmenin yapısına bağlı olarak bütün süreçler tek bir iç tetkik organizasyonu içerisinde değerlendirilebileceği gibi farklı zamanlarda gerçekleştirilen denetimlerle de kontrol edilebilir.

Önemli olan iç tetkik programının, bilgi güvenliği yönetim sisteminin uygunluğunu ve etkinliğini değerlendirecek şekilde planlanmasıdır.

ISO 27001 İç Tetkiki Kim Yapabilir?

ISO 27001 iç tetkik faaliyetlerinin gerekli yeterliliğe sahip kişiler tarafından gerçekleştirilmesi gerekir.

İç tetkikçi işletmenin kendi çalışanı olabileceği gibi uygun koşullarda dışarıdan görevlendirilen bir uzman da olabilir.

Ancak denetçinin yalnızca standardı bilmesi yeterli değildir.

Denetim yöntemleri, bilgi güvenliği yönetim sistemi gereklilikleri, objektif kanıtların değerlendirilmesi ve raporlama konularında da yeterliliğe sahip olması önemlidir.

ISO/IEC 27007, bilgi güvenliği yönetim sistemi denetim programlarının yönetilmesi, denetimlerin gerçekleştirilmesi ve denetçi yeterliliği konularında rehberlik sağlamaktadır. (ISO)

ISO 27001 İç Tetkikçisi Sertifikalı Olmak Zorunda mı?

ISO 27001 standardı, iç tetkik gerçekleştiren herkesin belirli bir eğitim kuruluşundan sertifika almasını genel bir şart olarak belirlemez.

Ancak iç tetkikçinin görevin gerektirdiği yeterliliğe sahip olması ve bu yeterliliğin uygun şekilde gösterilebilmesi gerekir.

İç tetkik eğitimi alınması, denetim yöntemlerinin öğrenilmesi ve denetçi yeterliliğinin geliştirilmesi açısından faydalıdır.

Özellikle ilk kez iç tetkik gerçekleştirecek çalışanların ISO 27001 gereklilikleri ve denetim teknikleri konusunda eğitim alması önerilir.

ISO 27001 İç Tetkikini Bilgi Güvenliği Sorumlusu Yapabilir mi?

Bilgi güvenliği yönetim sisteminden sorumlu personelin iç tetkik faaliyetlerinde görev alması mümkündür.

Ancak burada dikkat edilmesi gereken konu, denetimin tarafsızlığı ve objektifliğidir.

Örneğin bilgi güvenliği sorumlusunun kendi hazırladığı ve doğrudan sorumluluğunu taşıdığı faaliyetleri tek başına denetlemesi, tarafsızlık açısından sorun oluşturabilir.

ISO 27001 standardı, denetçilerin seçilmesinde ve denetimlerin gerçekleştirilmesinde objektifliğin ve tarafsızlığın sağlanmasını gerektirir.

Bu nedenle küçük işletmelerde görev dağılımı yapılırken denetlenen faaliyetle denetçinin sorumlulukları arasındaki ilişki değerlendirilmelidir.

Gerekli durumlarda işletme dışından iç tetkik hizmeti alınabilir.

İç tetkikte önemli olan denetçinin işletme personeli olup olmaması değil, denetimin yeterli yetkinlikle ve tarafsız biçimde gerçekleştirilmesidir.

ISO 27001 İç Tetkik Kontrol Listesi Nasıl Hazırlanır?

İç tetkik kontrol listesi, denetim sırasında incelenecek konuların sistematik biçimde değerlendirilmesine yardımcı olur.

Kontrol listesi hazırlanırken ISO/IEC 27001 standardının ilgili maddeleri, işletmenin kendi prosedürleri ve bilgi güvenliği yönetim sistemi kapsamında belirlediği kontroller dikkate alınmalıdır.

Örneğin aşağıdaki sorular kontrol listesinde kullanılabilir:

Bilgi Güvenliği Yönetim Sistemi

İşletmenin bilgi güvenliği yönetim sistemi kapsamı belirlenmiş mi? Bilgi güvenliği politikası hazırlanmış ve ilgili çalışanlara duyurulmuş mu?

Risk Yönetimi

Bilgi güvenliği risk değerlendirme yöntemi tanımlanmış mı? Riskler değerlendirilmiş ve gerekli risk işleme faaliyetleri planlanmış mı?

SOA

Uygulanabilirlik Bildirgesi hazırlanmış mı? Belirlenen kontrollerin uygulanma durumu ve hariç tutma gerekçeleri açıklanmış mı?

Erişim Kontrolleri

Kullanıcı erişim yetkileri tanımlanmış mı? İşten ayrılan çalışanların erişim yetkileri uygun şekilde kaldırılıyor mu?

Yedekleme

Yedekleme faaliyetleri planlanmış mı? İşlemlerin gerçekleştirildiğine ve gerektiğinde geri yükleme yapılabildiğine ilişkin kanıtlar mevcut mu?

Tedarikçi Yönetimi

Bilgi güvenliği açısından önemli tedarikçiler belirlenmiş mi? Dış hizmet sağlayıcıların güvenlik yükümlülükleri tanımlanmış mı?

Eğitim ve Farkındalık

Çalışanların bilgi güvenliği sorumluluklarına ilişkin farkındalıkları değerlendirilmiş mi? Gerekli eğitim ve yeterlilik kayıtları bulunuyor mu?

Düzeltici Faaliyetler

Önceki denetimlerde belirlenen uygunsuzluklar için gerekli faaliyetler gerçekleştirilmiş mi? Alınan önlemlerin etkinliği değerlendirilmiş mi?

Kontrol listesi, denetçinin incelemesini kolaylaştıran bir araçtır.

Ancak ISO 27001 iç tetkikinin yalnızca kontrol listesindeki sorulara evet veya hayır cevabı verilerek tamamlanması yeterli değildir.

Denetçi, gerekli durumlarda çalışanlarla görüşmeli, uygulamaları incelemeli ve objektif kanıtları değerlendirmelidir.

ISO 27001 İç Tetkikinde Uygunsuzluk Nasıl Yazılır?

İç tetkik sırasında standart şartlarına veya işletmenin kendi belirlediği gerekliliklere aykırı bir durum tespit edilirse uygunsuzluk olarak raporlanabilir.

Uygunsuzlukların açık, anlaşılır ve objektif kanıtlara dayalı biçimde yazılması önemlidir.

Örneğin işletmenin erişim kontrol prosedüründe, işten ayrılan personelin kullanıcı hesaplarının belirli bir süre içerisinde kapatılacağı belirtilmiş olsun.

İç tetkik sırasında işten ayrılmış bir çalışanın kullanıcı hesabının hâlâ aktif olduğu tespit edilirse bu durum uygunsuzluk olarak değerlendirilebilir.

Bu durumda raporda ilgili gereklilik, tespit edilen durum ve objektif kanıt açıklanmalıdır.

Örnek uygunsuzluk ifadesi:

“Kuruluşun erişim yetkilerinin yönetimine ilişkin prosedüründe, işten ayrılan çalışanların kullanıcı hesaplarının kapatılması gerektiği belirtilmesine rağmen incelenen personel kayıtlarında işten ayrılmış bir çalışanın sistem erişiminin devam ettiği tespit edilmiştir.”

Bu örnekte uygunsuzluk, yalnızca genel bir değerlendirme olarak değil, doğrulanabilir bir tespit olarak ifade edilmiştir.

Uygunsuzluğun sınıflandırılması ise kuruluşun tanımladığı iç tetkik yöntemine göre yapılmalıdır.

ISO 27001 İç Tetkikinde Uygunsuzluk Çıkarsa Ne Yapılır?

İç tetkik sırasında uygunsuzluk tespit edilmesi, yönetim sisteminin başarısız olduğu anlamına gelmez.

İç tetkikin amaçlarından biri de eksiklikleri belirleyerek gerekli iyileştirmelerin yapılmasını sağlamaktır.

Uygunsuzluk tespit edildiğinde öncelikle mevcut durum değerlendirilir ve gerekli düzeltme faaliyetleri gerçekleştirilir.

Ardından uygunsuzluğun nedenleri analiz edilerek tekrarını önlemeye yönelik düzeltici faaliyet ihtiyacı belirlenir.

Örneğin işten ayrılan çalışanların kullanıcı hesaplarının zamanında kapatılmadığı tespit edilmişse yalnızca ilgili hesabın kapatılması yeterli olmayabilir.

Personel çıkış sürecinde insan kaynakları ile bilgi işlem birimi arasındaki bildirim mekanizmasının da değerlendirilmesi gerekebilir.

Gerekli düzeltici faaliyetler gerçekleştirildikten sonra bunların etkinliği kontrol edilmelidir.

Bu çalışmaların uygun kayıtlarla desteklenmesi önemlidir.

ISO 27001 İç Tetkik Raporunda Neler Bulunmalı?

İç tetkik tamamlandıktan sonra denetim sonuçları raporlanmalıdır.

İç tetkik raporunda denetimin kapsamı, kriterleri, gerçekleştirilen faaliyetler, tespit edilen uygunsuzluklar ve ilgili sonuçlar yer alabilir.

Ayrıca iyileştirme fırsatları ve gerekli takip faaliyetleri de belirtilebilir.

Raporun amacı yalnızca denetim yapıldığını göstermek değildir.

İşletme yönetiminin bilgi güvenliği yönetim sisteminin mevcut durumunu değerlendirmesine yardımcı olacak bilgileri sunmaktır.

Bu nedenle iç tetkik raporunun anlaşılır, objektif ve denetim kanıtlarıyla desteklenmiş olması gerekir.

İç tetkik sonuçlarının ilgili yönetime raporlanması ve kayıtların muhafaza edilmesi ISO 27001 gereklilikleri arasındadır.

ISO 27001 İç Tetkik Yılda Kaç Kez Yapılır?

ISO 27001 standardı, iç tetkiklerin planlanan aralıklarla gerçekleştirilmesini gerektirir.

Ancak bütün işletmeler için geçerli, iç tetkikin mutlaka yılda yalnızca bir kez yapılmasını zorunlu tutan sabit bir uygulama bulunmamaktadır.

İç tetkik sıklığı belirlenirken işletmenin faaliyetleri, bilgi güvenliği riskleri, süreçlerin önemi ve önceki denetim sonuçları dikkate alınmalıdır.

Örneğin bilgi güvenliği yönetim sistemi kapsamındaki bütün faaliyetlerini yıllık bir program içerisinde değerlendiren bir işletme bulunabilir.

Buna karşılık kritik bilgi sistemlerini yöneten veya faaliyetlerinde önemli değişiklikler yaşayan bir kuruluş, belirli süreçleri daha sık denetlemeyi tercih edebilir.

Önemli olan iç tetkik programının işletmenin ihtiyaçlarına uygun şekilde planlanması ve uygulanmasıdır.

ISO 27001 Belgelendirme Öncesinde İç Tetkik Yapılmalı mı?

ISO 27001 ilk belgelendirme sürecine hazırlanan işletmelerin, yönetim sistemlerinin uygunluğunu ve etkinliğini değerlendirecek iç tetkik faaliyetlerini tamamlamış olması beklenir.

İç tetkik sonucunda belirlenen uygunsuzlukların ele alınması ve gerekli düzeltici faaliyetlerin yürütülmesi, belgelendirme denetimine hazırlık açısından önemlidir.

İç tetkik sonuçları aynı zamanda yönetimin gözden geçirmesi faaliyetleri için önemli girdilerden biridir.

Bu nedenle iç tetkikin yalnızca belgelendirme denetiminden hemen önce gerçekleştirilen biçimsel bir işlem olarak görülmemesi gerekir.

Belgelendirme öncesinde gerçekleştirilen etkili bir iç tetkik, işletmenin kendi eksikliklerini belirlemesine ve gerekli iyileştirmeleri planlamasına yardımcı olur.

ISO 27001 İç Tetkik ile Belgelendirme Denetimi Arasındaki Fark Nedir?

ISO 27001 iç tetkik ve belgelendirme denetimi farklı amaçlarla gerçekleştirilen faaliyetlerdir.

İç tetkik, işletmenin kendi bilgi güvenliği yönetim sistemini değerlendirmek amacıyla gerçekleştirdiği veya kendi adına gerçekleştirilmesini sağladığı denetimdir.

Belgelendirme denetimi ise bağımsız belgelendirme kuruluşu tarafından yürütülen ve belgelendirme kararına esas oluşturan değerlendirme sürecidir.

İç tetkik sonucunda ISO 27001 belgesi düzenlenmez.

Ayrıca iç tetkik hizmeti alınması, belgelendirme kuruluşunun gerçekleştireceği bağımsız denetimin yerine geçmez.

Yönetim sistemi denetimlerinin planlanması, yürütülmesi ve denetçi yeterliliğinin değerlendirilmesi konularında ISO 19011 standardı rehberlik sağlamaktadır.

ISO 27001 İç Tetkik Hakkında Sık Sorulan Sorular

ISO 27001 iç tetkik zorunlu mu?

Evet. ISO/IEC 27001 standardının 9.2 maddesi kapsamında bilgi güvenliği yönetim sisteminin planlanan aralıklarla iç tetkike tabi tutulması gerekir.

ISO 27001 iç tetkiki kim yapabilir?

Gerekli yeterliliğe sahip ve denetimin tarafsızlığını sağlayabilecek işletme çalışanları veya dışarıdan görevlendirilen uzmanlar iç tetkik gerçekleştirebilir.

ISO 27001 iç tetkik kaç gün sürer?

İç tetkik süresi işletmenin çalışan sayısına, faaliyetlerine, lokasyonlarına ve bilgi güvenliği yönetim sistemi kapsamına göre değişir. Her işletme için geçerli sabit bir iç tetkik süresi bulunmamaktadır.

ISO 27001 iç tetkik uzaktan yapılabilir mi?

Uygun koşullarda iç tetkik faaliyetlerinin tamamı veya belirli bölümleri uzaktan gerçekleştirilebilir. Ancak denetimin kapsamı, bilgi güvenliği riskleri, kanıtlara erişim ve kullanılan yöntemlerin yeterliliği değerlendirilmelidir.

ISO 27001 iç tetkik için başdenetçi sertifikası gerekli mi?

ISO 27001 standardı, bütün iç tetkikçilerin başdenetçi sertifikasına sahip olmasını genel bir şart olarak belirlemez. Ancak iç tetkikçinin görevini yerine getirebilecek yeterliliğe sahip olması gerekir.

ISO 27001 iç tetkikte uygunsuzluk bulunmazsa sorun olur mu?

İç tetkikte mutlaka uygunsuzluk bulunması gerektiğine ilişkin bir şart yoktur. Ancak denetimin yeterli kapsamda, tarafsız biçimde ve objektif kanıtlara dayanarak gerçekleştirilmiş olması gerekir.

ISO 27001 iç tetkik ile SOA kontrolü aynı şey mi?

Hayır. SOA, bilgi güvenliği kontrollerinin uygulanabilirliğini ve uygulanma durumunu gösteren dokümandır. İç tetkik ise bilgi güvenliği yönetim sisteminin standart ve kuruluş şartlarına uygunluğunu değerlendiren daha kapsamlı bir faaliyettir.

ISO 27001 iç tetkik raporu belgelendirme denetiminde istenir mi?

Belgelendirme denetiminde iç tetkik programı, iç tetkik sonuçları ve ilgili kayıtlar incelenebilir. Bu kayıtlar, işletmenin iç tetkik gerekliliklerini yerine getirdiğini göstermesi açısından önemlidir.

ISO 27001 İç Tetkik ve Danışmanlık Hizmetleri – YYS Danışmanlık

ISO 27001 belgelendirme sürecine hazırlanan işletmeler için iç tetkik faaliyetlerinin doğru planlanması, yönetim sistemindeki eksikliklerin belirlenmesi ve denetim hazırlıklarının tamamlanması açısından önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında bilgi güvenliği yönetim sistemi kurulumu, dokümantasyon, risk değerlendirmesi, eğitim, iç tetkik, yönetimin gözden geçirmesi ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut belgesinin gözetim ve yeniden belgelendirme denetimine hazırlanacak işletmeler için iç tetkik çalışmalarının planlanmasına ve gerçekleştirilmesine destek sağlıyoruz.

ISO 27001 iç tetkik hizmeti, bilgi güvenliği yönetim sistemi danışmanlığı veya belgelendirme hazırlıkları hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 iç tetkik, bilgi güvenliği yönetim sisteminin uygunluğunu ve etkinliğini değerlendirmek amacıyla gerçekleştirilen temel faaliyetlerden biridir.

İç tetkik programının doğru hazırlanması, denetçilerin yeterliliği, objektif kanıtların incelenmesi ve tespit edilen uygunsuzlukların ele alınması, yönetim sisteminin geliştirilmesine katkı sağlar.

ISO 27001 belgesi almak isteyen işletmeler için iç tetkikin amacı yalnızca belgelendirme öncesinde bir rapor hazırlamak değil, bilgi güvenliği yönetim sisteminin gerçekten uygulandığını değerlendirmek ve iyileştirilmesini sağlamaktır.