ISO 27001 belgelendirme sürecine hazırlanan işletmelerin gerçekleştirmesi gereken önemli faaliyetlerden biri Yönetimin Gözden Geçirmesi (YGG) toplantısıdır.

Özellikle ilk kez ISO 27001 belgesi alacak firmalar, YGG toplantısının nasıl yapılacağını, toplantıya kimlerin katılması gerektiğini ve denetimde hangi kayıtların inceleneceğini merak etmektedir.

ISO 27001 YGG toplantısı, üst yönetimin bilgi güvenliği yönetim sisteminin uygunluğunu, yeterliliğini ve etkinliğini değerlendirdiği yönetim faaliyetidir. Toplantıda bilgi güvenliği hedefleri, risk değerlendirme sonuçları, iç tetkik bulguları, uygunsuzluklar, performans sonuçları ve iyileştirme ihtiyaçları ele alınır.

YGG toplantısının amacı yalnızca belgelendirme denetimi için bir tutanak hazırlamak değildir. İşletmenin bilgi güvenliği yönetim sisteminin mevcut durumunu değerlendirmek ve gerekli yönetim kararlarını almaktır.

ISO 27001 YGG Nedir?

YGG, Yönetimin Gözden Geçirmesi ifadesinin kısaltmasıdır.

ISO/IEC 27001:2022 standardının 9.3 maddesi, üst yönetimin bilgi güvenliği yönetim sistemini planlanan aralıklarla gözden geçirmesini gerektirir.

Bu değerlendirmede bilgi güvenliği yönetim sisteminin işletmenin faaliyetlerine uygun olup olmadığı, gerekli kaynaklara sahip bulunup bulunmadığı ve hedeflenen sonuçları sağlayıp sağlamadığı incelenir.

Örneğin bir yazılım firmasında bilgi güvenliği riskleri belirlenmiş, güvenlik kontrolleri uygulanmış ve çalışanlara farkındalık eğitimleri verilmiş olabilir.

Ancak üst yönetimin bu faaliyetlerin sonuçlarını değerlendirmesi ve gerekli iyileştirme kararlarını alması da önemlidir.

YGG toplantısı, bilgi güvenliği çalışmalarının yalnızca bilgi işlem veya kalite yönetimi personelinin sorumluluğunda olmadığını gösteren önemli yönetim faaliyetlerinden biridir.

ISO/IEC 27001 standardı, bilgi güvenliği yönetim sisteminin oluşturulması ve sürekli iyileştirilmesine ilişkin gereklilikleri düzenlemektedir. (ISO)

ISO 27001 YGG Toplantısı Zorunlu mu?

Evet. ISO 27001 standardına uygun bir bilgi güvenliği yönetim sistemi oluşturmak ve sürdürmek isteyen işletmelerin yönetimin gözden geçirmesi faaliyetini gerçekleştirmesi gerekir.

Standardın 9.3 maddesi kapsamında üst yönetimin bilgi güvenliği yönetim sistemini planlanan aralıklarla değerlendirmesi beklenir.

Ancak standart, bütün işletmelerin aynı toplantı formatını kullanmasını veya toplantıyı belirli bir süre içerisinde tamamlamasını zorunlu tutmaz.

İşletmeler kendi organizasyon yapılarına uygun bir değerlendirme yöntemi belirleyebilir.

Önemli olan gerekli konuların üst yönetim tarafından değerlendirilmesi, kararların alınması ve sonuçların dokümante edilmiş bilgi olarak muhafaza edilmesidir.

YGG toplantısının gerçekleştirilmiş olması kadar, toplantıda bilgi güvenliği yönetim sistemine ilişkin gerçek değerlendirmelerin yapılması da önemlidir.

ISO 27001 YGG Toplantısına Kimler Katılmalı?

ISO 27001 yönetimin gözden geçirmesi faaliyetinde üst yönetimin katılımı esastır.

İşletmenin organizasyon yapısına göre genel müdür, şirket sahibi veya ilgili üst yönetim temsilcileri değerlendirme sürecinde görev alabilir.

Ayrıca bilgi güvenliği yönetim sistemi sorumlusu, bilgi işlem yöneticisi, insan kaynakları sorumlusu veya ilgili süreç yöneticileri de toplantıya katılabilir.

Örneğin küçük bir yazılım firmasında şirket sahibi, yazılım geliştirme sorumlusu ve bilgi güvenliği koordinatörü toplantıyı birlikte gerçekleştirebilir.

Daha büyük işletmelerde ise farklı departman yöneticilerinin katılımı gerekli olabilir.

Ancak burada dikkat edilmesi gereken konu, YGG toplantısının yalnızca bilgi güvenliği sorumlusu tarafından gerçekleştirilen bir değerlendirme olarak görülmemesidir.

ISO 27001 kapsamında yönetimin gözden geçirmesi, üst yönetimin sorumluluğundadır. Diğer çalışanlar toplantıya bilgi sunabilir ve alınan kararların uygulanmasında görev alabilir.

ISO 27001 YGG Toplantısında Hangi Konular Görüşülür?

ISO/IEC 27001:2022 standardının 9.3.2 maddesi, yönetimin gözden geçirmesi sırasında değerlendirilmesi gereken temel girdileri belirler.

Bu konular işletmenin faaliyetlerine uygun şekilde ele alınmalıdır.

Önceki YGG Toplantısında Alınan Kararlar

Daha önce gerçekleştirilen yönetimin gözden geçirmesi faaliyetlerinde alınan kararların durumu değerlendirilir.

Örneğin önceki toplantıda çalışanların bilgi güvenliği farkındalığını artırmak amacıyla eğitim düzenlenmesine karar verilmiş olabilir.

Yeni değerlendirmede eğitimin gerçekleştirilip gerçekleştirilmediği ve gerekli takip faaliyetleri incelenebilir.

İlk kez YGG gerçekleştiren işletmelerde ise önceki toplantı kararı bulunmadığı kayıt altına alınabilir.

İşletmenin İç ve Dış Koşullarındaki Değişiklikler

İşletmenin bilgi güvenliği yönetim sistemini etkileyebilecek değişiklikler değerlendirilir.

Örneğin yeni bir lokasyon açılması, farklı bir bulut altyapısına geçilmesi, çalışan sayısının artması veya yeni hizmetlerin sunulmaya başlanması bilgi güvenliği açısından önemli olabilir.

Benzer şekilde mevzuat, teknoloji ve müşteri beklentilerindeki değişiklikler de değerlendirmeye dahil edilebilir.

İlgili Tarafların İhtiyaç ve Beklentileri

Müşterilerin, çalışanların, tedarikçilerin ve diğer ilgili tarafların bilgi güvenliğiyle bağlantılı ihtiyaç ve beklentilerindeki değişiklikler gözden geçirilir.

Örneğin önemli bir müşterinin yeni sözleşmesinde ek bilgi güvenliği kontrolleri talep etmesi, yönetim tarafından değerlendirilmesi gereken bir konu olabilir.

Bilgi Güvenliği Performansı

İşletmenin bilgi güvenliği yönetim sistemi kapsamında belirlediği performans göstergeleri incelenir.

Bu değerlendirmede bilgi güvenliği hedeflerine ulaşma durumu, izleme ve ölçme sonuçları, denetim bulguları ve uygunsuzluklarla ilgili eğilimler ele alınır.

Örneğin çalışanların bilgi güvenliği eğitimlerine katılım oranları veya planlanan erişim yetkisi kontrollerinin tamamlanma durumu değerlendirilebilir.

İç Tetkik Sonuçları

Gerçekleştirilen iç tetkik faaliyetlerinin sonuçları yönetimin gözden geçirmesine önemli girdiler sağlar.

İç tetkik sırasında tespit edilen uygunsuzluklar, düzeltici faaliyetler ve iyileştirme ihtiyaçları değerlendirilir.

Örneğin iç tetkikte kullanıcı erişim yetkilerinin zamanında güncellenmediği tespit edilmişse bu konuyla ilgili alınan önlemler üst yönetim tarafından incelenebilir.

Risk Değerlendirmesi ve Risk İşleme Planı

Bilgi güvenliği risk değerlendirme sonuçları ve risk işleme planının uygulanma durumu ele alınır.

Yüksek seviyeli riskler, planlanan güvenlik kontrolleri ve tamamlanmamış faaliyetler yönetim tarafından değerlendirilebilir.

Örneğin kritik sistemlerde çok faktörlü kimlik doğrulama uygulanmasına karar verilmiş ancak çalışma tamamlanmamışsa gerekli kaynaklar ve tamamlanma takvimi görüşülebilir.

İyileştirme Fırsatları

Bilgi güvenliği yönetim sisteminin geliştirilmesine yönelik fırsatlar değerlendirilir.

Bu çalışmalar teknik güvenlik önlemleriyle sınırlı değildir.

Çalışan farkındalığının artırılması, tedarikçi değerlendirme yöntemlerinin geliştirilmesi veya bilgi güvenliği olaylarının daha etkin takip edilmesi de iyileştirme konusu olabilir.

ISO 27001 YGG değerlendirmesinde bu başlıkların yanı sıra ilgili taraflardan gelen geri bildirimler de dikkate alınmalıdır. (IT ISO)

ISO 27001 YGG Toplantı Tutanağı Nasıl Hazırlanır?

YGG toplantısının sonuçlarının kayıt altına alınması gerekir.

Toplantı tutanağında yalnızca görüşülen başlıkların bulunması yerine, yapılan değerlendirmelerin ve alınan kararların da açıklanması önemlidir.

Örneğin bir YGG toplantı tutanağında aşağıdaki bilgiler bulunabilir:

• Toplantının tarihi, katılımcıları ve değerlendirilen dönem

• Bilgi güvenliği yönetim sistemi performansının değerlendirilmesi

• İç tetkik sonuçları ve uygunsuzlukların durumu

• Risk değerlendirme ve risk işleme faaliyetlerinin sonuçları

• Bilgi güvenliği hedeflerinin gerçekleşme durumu

• İlgili tarafların geri bildirimleri ve değişen ihtiyaçları

• Alınan kararlar, sorumlular ve tamamlanma hedefleri

Bu bilgiler örnek bir toplantı kayıt yapısını göstermektedir.

İşletmenin faaliyetlerine göre ilave başlıklar kullanılabilir.

Önemli olan ISO 27001 standardında belirtilen yönetimin gözden geçirmesi girdilerinin değerlendirilmesi ve sonuçların kayıt altına alınmasıdır.

ISO 27001 YGG Toplantısında Hangi Kararlar Alınabilir?

YGG toplantısında alınan kararlar, işletmenin bilgi güvenliği ihtiyaçlarına göre değişebilir.

Örneğin bir yazılım firmasında aşağıdaki kararlar alınabilir:

Erişim güvenliği: Kritik sistemlerde çok faktörlü kimlik doğrulama uygulamasının genişletilmesi.

Eğitim: Yeni başlayan çalışanlar için bilgi güvenliği farkındalık eğitimlerinin geliştirilmesi.

Risk yönetimi: Yeni yazılım hizmetlerinden kaynaklanan bilgi güvenliği risklerinin yeniden değerlendirilmesi.

Tedarikçi yönetimi: Kritik dış hizmet sağlayıcıların bilgi güvenliği açısından yeniden değerlendirilmesi.

İç tetkik: Tespit edilen uygunsuzlukların kapatılması için gerekli faaliyetlerin planlanması.

Kaynak ihtiyacı: Bilgi güvenliği kontrollerinin uygulanabilmesi için gerekli personel, eğitim veya teknik kaynakların sağlanması.

Bu kararların tamamının her işletmede alınması gerekmez.

Kararlar, gerçekleştirilen değerlendirmelerin sonuçlarına dayanmalıdır.

YGG toplantısının en önemli çıktısı, bilgi güvenliği yönetim sisteminin iyileştirilmesine veya değiştirilmesine ilişkin gerekli yönetim kararlarının belirlenmesidir.

ISO 27001 YGG Toplantı Tutanağı Örneği

Bir yazılım firmasının yönetimin gözden geçirmesi toplantısında aşağıdaki değerlendirmelerin yapıldığını düşünelim.

Gündem: Bilgi güvenliği risk değerlendirme sonuçları.

Değerlendirme: İşletmenin bulut ortamında kullandığı bazı kullanıcı hesaplarında çok faktörlü kimlik doğrulamanın etkin olmadığı belirlenmiştir.

Alınan karar: Kritik kullanıcı hesaplarında çok faktörlü kimlik doğrulamanın etkinleştirilmesine ve erişim yetkilerinin yeniden gözden geçirilmesine karar verilmiştir.

Sorumlu: Bilgi işlem sorumlusu.

Tamamlanma hedefi: Yönetim tarafından belirlenen uygulama takvimi.

Takip yöntemi: Yapılan çalışmaların erişim kontrol kayıtları üzerinden doğrulanması ve sonuçların ilgili yönetime raporlanması.

Bu örnekte yalnızca riskin görüşüldüğü belirtilmemiş, riskin yönetilmesine ilişkin karar da kayıt altına alınmıştır.

Belgelendirme denetimlerinde bu tür kayıtlar, üst yönetimin bilgi güvenliği yönetim sistemine katılımının değerlendirilmesine yardımcı olabilir.

ISO 27001 YGG Toplantısı Yılda Kaç Kez Yapılmalı?

ISO 27001 standardı, yönetimin gözden geçirmesi faaliyetinin planlanan aralıklarla gerçekleştirilmesini gerektirir.

Ancak bütün işletmeler için geçerli, toplantının mutlaka yılda bir kez yapılmasını zorunlu tutan sabit bir sıklık bulunmamaktadır.

İşletmeler faaliyetlerinin büyüklüğüne, bilgi güvenliği risklerine ve yönetim sistemi ihtiyaçlarına göre uygun aralıklar belirleyebilir.

Örneğin bazı işletmeler yıllık YGG toplantısı planlayabilirken bilgi güvenliği faaliyetlerinde önemli değişiklikler yaşayan kuruluşlar daha sık değerlendirme yapmayı tercih edebilir.

Önemli olan belirlenen sıklığın işletmenin ihtiyaçlarına uygun olması ve planlanan değerlendirmelerin gerçekleştirilmesidir.

Ayrıca önemli bir bilgi güvenliği olayı veya organizasyonel değişiklik meydana geldiğinde planlanan toplantı dönemi beklenmeden yönetim değerlendirmesi yapılması faydalı olabilir.

ISO 27001 YGG Toplantısı İç Tetkikten Önce mi Yapılır?

ISO 27001 belgelendirme hazırlıklarında iç tetkik sonuçları, yönetimin gözden geçirmesi için önemli girdilerden biridir.

Bu nedenle ilk belgelendirme hazırlığında iç tetkik faaliyetlerinin tamamlanmasının ardından YGG toplantısının gerçekleştirilmesi uygun bir planlama yaklaşımıdır.

Böylece üst yönetim, iç tetkikte belirlenen uygunsuzlukları ve iyileştirme ihtiyaçlarını değerlendirebilir.

Ancak yönetimin gözden geçirmesi yalnızca iç tetkik sonuçlarından oluşmaz.

Bilgi güvenliği hedefleri, risk değerlendirmeleri, performans sonuçları ve ilgili tarafların geri bildirimleri gibi diğer konular da değerlendirilmelidir.

İşletmenin yönetim sistemi olgunluğuna göre farklı dönemlerde gerçekleştirilen değerlendirmeler bulunabilir.

Önemli olan YGG faaliyetinin standardın gerekliliklerini karşılamasıdır.

ISO 27001 Denetiminde YGG Nasıl Kontrol Edilir?

ISO 27001 belgelendirme denetimlerinde yönetimin gözden geçirmesi kayıtları incelenebilir.

Denetçi, YGG faaliyetinin planlanan aralıklarla gerçekleştirilip gerçekleştirilmediğini ve üst yönetimin değerlendirme sürecine katılımını kontrol edebilir.

Ayrıca toplantıda standardın gerektirdiği konuların değerlendirilip değerlendirilmediği incelenebilir.

Örneğin toplantı tutanağında bilgi güvenliği risklerinin görüşüldüğü belirtilmişse risk değerlendirme sonuçlarının nasıl ele alındığı sorulabilir.

Benzer şekilde önceki toplantıda alınan kararların uygulanma durumu da değerlendirilebilir.

YGG tutanağında yalnızca “Bilgi güvenliği yönetim sistemi uygun bulunmuştur.” ifadesinin yer alması, gerekli değerlendirmelerin yapıldığını göstermek açısından yeterli olmayabilir.

Belgelendirme denetiminde önemli olan yalnızca YGG tutanağının bulunması değil, üst yönetimin bilgi güvenliği yönetim sistemini değerlendirdiğinin ve gerekli kararları aldığının gösterilebilmesidir.

ISO 27001 YGG Toplantısında En Sık Yapılan Hatalar

Yönetimin gözden geçirmesi faaliyetlerinde karşılaşılan eksiklikler genellikle toplantının yalnızca belgelendirme denetimi için hazırlanacak bir kayıt olarak görülmesinden kaynaklanabilir.

Örneğin toplantı gündeminde standardın gerektirdiği konuların tamamının değerlendirilmemesi, önemli bilgi güvenliği risklerinin ele alınmaması veya önceki kararların takip edilmemesi yönetim sisteminin etkinliğini olumsuz etkileyebilir.

Bir diğer önemli konu, toplantı sonucunda alınan kararların belirsiz bırakılmasıdır.

Örneğin “Bilgi güvenliği iyileştirilecektir.” şeklinde genel bir karar alınması, hangi faaliyetin gerçekleştirileceğini ve sorumluluğun kimde olduğunu açıklamayabilir.

Bu nedenle alınan kararların mümkün olduğunca açık olması, sorumluların belirlenmesi ve gerekli takip faaliyetlerinin planlanması önemlidir.

ISO 27001 YGG Hakkında Sık Sorulan Sorular

ISO 27001 YGG toplantısı zorunlu mu?

Evet. ISO/IEC 27001 standardının 9.3 maddesi kapsamında üst yönetimin bilgi güvenliği yönetim sistemini planlanan aralıklarla gözden geçirmesi gerekir.

ISO 27001 YGG toplantısını kim yapar?

Yönetimin gözden geçirmesi üst yönetimin sorumluluğundadır. Bilgi güvenliği sorumlusu ve ilgili departman yöneticileri toplantıya katılarak gerekli bilgileri sunabilir.

ISO 27001 YGG toplantısı yılda bir kez yapılması yeterli mi?

Toplantı sıklığı işletmenin ihtiyaçlarına göre belirlenmelidir. ISO 27001 standardı bütün işletmeler için geçerli sabit bir yıllık toplantı sayısı belirlemez.

ISO 27001 YGG toplantısı uzaktan yapılabilir mi?

Evet. Gerekli katılımın ve değerlendirmelerin sağlanması, sonuçların uygun şekilde kayıt altına alınması koşuluyla YGG toplantısı çevrim içi gerçekleştirilebilir.

ISO 27001 YGG toplantısında iç tetkik sonuçları görüşülmeli mi?

Evet. Denetim sonuçları, yönetimin gözden geçirmesi kapsamında değerlendirilmesi gereken bilgi güvenliği performansı girdileri arasındadır.

ISO 27001 YGG toplantı tutanağı zorunlu mu?

Yönetimin gözden geçirmesi sonuçlarına ilişkin dokümante edilmiş bilginin muhafaza edilmesi gerekir. Toplantı tutanağı veya yönetim gözden geçirme raporu, bu gerekliliği karşılamak için kullanılabilecek kayıt yöntemlerindendir.

ISO 27001 YGG toplantısında mutlaka uygunsuzluk bulunmalı mı?

Hayır. YGG toplantısında mutlaka uygunsuzluk bulunması gerektiğine ilişkin bir şart yoktur. Ancak mevcut uygunsuzluklar, düzeltici faaliyetler ve ilgili performans sonuçları değerlendirilmelidir.

ISO 27001 YGG toplantısı belgelendirme denetiminden önce yapılmalı mı?

İlk belgelendirme sürecinde yönetimin gözden geçirmesi faaliyetinin gerçekleştirilmiş olması beklenir. Bu nedenle denetim öncesinde gerekli değerlendirmelerin tamamlanması ve kayıtların hazırlanması önemlidir.

ISO 27001 YGG ve Belgelendirme Danışmanlığı – YYS Danışmanlık

ISO 27001 belgelendirme sürecinde yönetimin gözden geçirmesi faaliyetlerinin doğru planlanması, işletmenin bilgi güvenliği yönetim sisteminin etkinliğinin değerlendirilmesine yardımcı olur.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, risk değerlendirmesi, dokümantasyon, eğitim, iç tetkik, yönetimin gözden geçirmesi ve belgelendirme sürecine hazırlık konularında danışmanlık hizmetleri sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut belgesinin gözetim ve yeniden belgelendirme denetimine hazırlanacak işletmelerin YGG çalışmalarının planlanmasına ve gerekli kayıtların oluşturulmasına destek sağlıyoruz.

ISO 27001 yönetimin gözden geçirmesi, iç tetkik ve belgelendirme danışmanlığı hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 YGG toplantısı, üst yönetimin bilgi güvenliği yönetim sisteminin mevcut durumunu değerlendirdiği ve gerekli iyileştirme kararlarını aldığı önemli bir yönetim faaliyetidir.

Toplantıda bilgi güvenliği hedefleri, risk değerlendirme sonuçları, iç tetkik bulguları, performans göstergeleri ve iyileştirme fırsatları değerlendirilmelidir.

Alınan kararların kayıt altına alınması ve gerekli faaliyetlerin takip edilmesi, bilgi güvenliği yönetim sisteminin sürdürülebilirliğine katkı sağlar.

ISO 27001 belgesi almak isteyen işletmeler için YGG toplantısının amacı yalnızca belgelendirme denetiminde sunulacak bir tutanak hazırlamak değil, üst yönetimin bilgi güvenliği yönetim sistemini değerlendirmesini ve geliştirilmesine yönelik kararlar almasını sağlamaktır.