ISO 27001 belgesi almak isteyen işletmelerin hazırlaması gereken önemli dokümanlardan biri SOA, yani Uygulanabilirlik Bildirgesi'dir. Özellikle ilk kez bilgi güvenliği yönetim sistemi kuran firmalar, SOA'nın ne işe yaradığını, nasıl hazırlanacağını ve bütün güvenlik kontrollerinin uygulanmasının zorunlu olup olmadığını merak etmektedir.

ISO 27001 SOA (Statement of Applicability), işletmenin bilgi güvenliği risklerini yönetmek amacıyla belirlediği kontrolleri, bu kontrollerin seçilme gerekçelerini, uygulanma durumlarını ve hariç tutulan Ek-A kontrollerinin gerekçelerini gösteren dokümandır.

SOA, bilgi güvenliği yönetim sisteminin temel kayıtlarından biridir. Ancak yalnızca standarttaki kontrol maddelerinin karşısına “uygulanıyor” veya “uygulanmıyor” yazılması, uygun bir SOA hazırlandığı anlamına gelmez.

ISO 27001 SOA Ne İşe Yarar?

ISO/IEC 27001:2022 standardı, kuruluşların bilgi güvenliği risklerini değerlendirmesini ve bu riskleri yönetmek için uygun kontrolleri belirlemesini gerektirir.

SOA, risk işleme sürecinde belirlenen güvenlik kontrollerinin neden gerekli olduğunu ve işletmede nasıl uygulandığını ortaya koyar.

Örneğin müşteri bilgilerini bulut ortamında saklayan bir yazılım firmasında erişim kontrolü, kimlik doğrulama, yedekleme ve tedarikçi güvenliği gibi konular önem taşıyabilir.

İşletmenin bu alanlarda hangi kontrolleri uygulayacağı, risk değerlendirmesi ve diğer ilgili gereklilikler dikkate alınarak belirlenir.

SOA dokümanı, belirlenen kontrollerin yönetilmesini ve belgelendirme denetimlerinde değerlendirilmesini kolaylaştırır.

SOA'nın amacı, işletmenin bilgi güvenliği kontrollerini standart maddeleriyle ilişkilendirerek hangi önlemleri neden uyguladığını açıklamaktır.

ISO 27001 SOA Hazırlamak Zorunlu mu?

Evet. ISO/IEC 27001 standardının 6.1.3 maddesi kapsamında Uygulanabilirlik Bildirgesi hazırlanması gerekir.

SOA içerisinde gerekli kontroller, bu kontrollerin dahil edilme gerekçeleri, uygulanıp uygulanmadıkları ve Ek-A kontrollerinden hariç tutulanların gerekçeleri bulunmalıdır.

Bu gereklilik, ISO 27001 belgelendirmesine hazırlanan işletmeler açısından önemlidir.

Ancak standart, SOA'nın mutlaka belirli bir Excel tablosunda veya özel bir yazılım kullanılarak hazırlanmasını zorunlu tutmaz.

İşletme, gerekli bilgileri içeren ve güncelliği kontrol edilebilen uygun bir doküman yapısı kullanabilir.

ISO 27001 SOA Kaç Kontrolden Oluşur?

ISO/IEC 27001:2022 standardının Ek-A bölümünde toplam 93 bilgi güvenliği kontrolü bulunmaktadır.

Bu kontroller dört ana başlık altında gruplandırılmıştır.

Bu kontroller bilgi güvenliği risklerinin yönetilmesi amacıyla kullanılabilecek güvenlik önlemlerini kapsamaktadır.

Ancak ISO 27001 belgelendirmesinde bütün işletmelerin 93 kontrolün tamamını aynı şekilde uygulaması gerektiği düşünülmemelidir.

İşletmenin faaliyetleri, bilgi güvenliği riskleri ve ilgili gereklilikleri dikkate alınarak gerekli kontroller belirlenmelidir.

Ayrıca risk işleme sürecinde belirlenen kontroller yalnızca Ek-A ile sınırlı olmak zorunda değildir. İşletme ihtiyaç duyduğu farklı kontrolleri de belirleyebilir.

ISO 27001 SOA Nasıl Hazırlanır?

SOA hazırlanırken öncelikle işletmenin bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları dikkate alınmalıdır.

Örneğin işletme, çalışanların kullanıcı hesaplarına yetkisiz erişim riskini belirlemiş olabilir.

Bu riskin yönetilmesi amacıyla erişim yetkilerinin sınırlandırılması, kimlik doğrulama önlemlerinin uygulanması ve kullanıcı hesaplarının düzenli olarak gözden geçirilmesi gibi kontroller gerekli görülebilir.

SOA hazırlanırken bu kontrollerin neden seçildiği ve uygulanma durumları açıklanmalıdır.

İşletmenin gerekli gördüğü kontroller Ek-A kontrolleriyle karşılaştırılarak herhangi bir gerekli kontrolün gözden kaçırılmadığı doğrulanmalıdır.

Ardından Ek-A kontrollerinden uygulanabilir olmayanların hariç tutulma gerekçeleri belirlenmelidir.

Bu çalışmalar sonucunda işletmenin bilgi güvenliği yönetim sistemi kapsamına uygun bir SOA oluşturulur.

ISO 27001 SOA Tablosunda Hangi Bilgiler Bulunmalı?

SOA dokümanı farklı biçimlerde hazırlanabilir.

Uygulamada kontrol numarası, kontrol adı, uygulanabilirlik durumu, gerekçe, uygulama durumu ve ilgili doküman veya kayıt bilgilerini içeren tablolar kullanılmaktadır.

Örneğin aşağıdaki yapı tercih edilebilir:

Bu tablo yalnızca örnektir.

Gerçek SOA hazırlanırken işletmenin risk değerlendirmesi, bilgi güvenliği ihtiyaçları ve uygulama kayıtları dikkate alınmalıdır.

Özellikle bir kontrolün uygulanabilir olduğu halde henüz tamamen uygulanmadığı durumlarda mevcut durumun doğru gösterilmesi önemlidir.

SOA üzerinde uygulanıyor olarak belirtilen bir kontrolün işletmede gerçekten uygulanıyor olması gerekir.

ISO 27001 SOA'da Kontrol Hariç Tutulabilir mi?

Evet. ISO 27001 kapsamında Ek-A kontrollerinin tamamının her işletme için gerekli olması beklenmez.

İşletmenin faaliyetlerine ve bilgi güvenliği risklerine göre bazı kontroller gerekli olmayabilir.

Ancak kontrolün hariç tutulması için uygun bir gerekçe bulunmalıdır.

Örneğin işletmenin belirli bir teknolojiyi kullanmaması, ilgili kontrolün gerekli olup olmadığının değerlendirilmesinde dikkate alınabilir.

Bununla birlikte bir kontrolün yalnızca işletmede henüz uygulanmıyor olması, hariç tutulması için yeterli gerekçe değildir.

Örneğin işletmenin yedekleme ihtiyacı bulunmasına rağmen yedekleme sistemi kurmamış olması, yedekleme kontrolünün uygulanabilir olmadığı anlamına gelmez.

Bu durumda gerekli kontrolün uygulanması için çalışma planlanması gerekebilir.

ISO 27001 SOA'da kontrol hariç tutma kararları, uygulama eksikliğini gizlemek amacıyla değil, risk değerlendirmesi ve ilgili gereklilikler doğrultusunda verilmelidir.

ISO 27001 SOA ile Risk Analizi Aynı Şey mi?

Hayır. SOA ve risk analizi birbiriyle ilişkili ancak farklı amaçlara hizmet eden çalışmalardır.

Risk analizi, işletmenin bilgi güvenliğini etkileyebilecek risklerin belirlenmesi, analiz edilmesi ve değerlendirilmesi amacıyla gerçekleştirilir.

Risk işleme sürecinde ise bu risklerin nasıl yönetileceği ve hangi kontrollerin gerekli olduğu belirlenir.

SOA, belirlenen kontrollerin seçilme gerekçelerini, uygulanma durumlarını ve Ek-A kontrollerinden hariç tutulanların gerekçelerini ortaya koyar.

Örneğin risk analizinde müşteri verilerine yetkisiz erişim riski belirlenmiş olabilir.

Risk işleme sürecinde bu riski azaltmak amacıyla erişim kontrolü ve kimlik doğrulama önlemleri seçilebilir.

SOA içerisinde ise ilgili kontrollerin neden gerekli olduğu ve uygulanma durumları gösterilir.

Dolayısıyla risk analizi ile SOA'nın birbirini desteklemesi gerekir.

ISO 27001 SOA ile ISO 27002 Arasındaki Fark Nedir?

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin kurulması ve belgelendirilmesine yönelik gereklilikleri belirleyen standarttır.

ISO/IEC 27002 ise bilgi güvenliği kontrollerinin uygulanmasına yönelik rehberlik sağlar.

ISO/IEC 27002:2022 standardında yer alan kontrol açıklamaları, işletmelerin bilgi güvenliği kontrollerini planlamasına ve uygulamasına yardımcı olabilir.

SOA ise işletmenin kendi bilgi güvenliği yönetim sistemi kapsamında belirlediği kontrollerin uygulanabilirliğini ve durumunu gösteren dokümandır.

Bu nedenle ISO 27002 standardının tamamının SOA dokümanına kopyalanması gerekli değildir.

Önemli olan işletmenin seçtiği kontrollerin gerekçelerinin ve uygulama durumlarının doğru biçimde açıklanmasıdır.

ISO 27001 SOA Ne Zaman Güncellenmeli?

SOA, yalnızca ilk belgelendirme öncesinde hazırlanıp daha sonra değiştirilmeden kullanılan bir doküman olarak değerlendirilmemelidir.

İşletmenin bilgi güvenliği risklerinde, faaliyetlerinde veya uyguladığı kontrollerde önemli değişiklikler meydana geldiğinde SOA'nın güncelliği gözden geçirilmelidir.

Örneğin yeni bir bulut hizmeti kullanılmaya başlanması, farklı bir yazılım geliştirme altyapısına geçilmesi veya kritik bir dış hizmet sağlayıcısının değiştirilmesi kontrol ihtiyaçlarını etkileyebilir.

Benzer şekilde risk değerlendirmesi sonucunda yeni güvenlik kontrollerinin gerekli olduğunun belirlenmesi de SOA'nın güncellenmesini gerektirebilir.

SOA'nın güncel tutulması, bilgi güvenliği yönetim sisteminin gerçek uygulamalarla uyumlu olmasına yardımcı olur.

ISO 27001 Denetiminde SOA Nasıl Kontrol Edilir?

ISO 27001 belgelendirme denetimlerinde SOA, denetçilerin değerlendirdiği önemli dokümanlardan biridir.

Denetçi öncelikle SOA'nın bilgi güvenliği yönetim sistemi kapsamına ve risk işleme sonuçlarına uygunluğunu inceleyebilir.

Ardından seçilen kontrollerin neden gerekli olduğu ve uygulanma durumları değerlendirilebilir.

Örneğin SOA'da erişim yetkilerinin düzenli olarak gözden geçirildiği belirtilmişse denetçi ilgili erişim yetkisi kontrol kayıtlarını görmek isteyebilir.

Benzer şekilde tedarikçi güvenliği kontrollerinin uygulandığı belirtiliyorsa tedarikçi değerlendirme kayıtları, sözleşmeler veya ilgili güvenlik şartları incelenebilir.

SOA'da hariç tutulan kontrollerin gerekçeleri de değerlendirilebilir.

Bu nedenle belgelendirme öncesinde SOA ile işletmenin gerçek bilgi güvenliği uygulamaları arasında tutarlılık sağlanması önemlidir.

ISO 27001 SOA Hazırlanırken Yapılan Hatalar

SOA hazırlanırken karşılaşılan sorunlardan biri, standarttaki bütün kontrollerin işletmenin faaliyetleri değerlendirilmeden uygulanabilir olarak işaretlenmesidir.

Bu yaklaşım, işletmenin gerçekte ihtiyaç duymadığı veya uygulamadığı kontrollerin SOA üzerinde yer almasına neden olabilir.

Bir diğer hata ise uygulanması gereken kontrollerin yalnızca mevcut olmadıkları için hariç tutulmasıdır.

Örneğin işletmenin bilgi güvenliği açısından gerekli olan bir kontrolü henüz uygulamamış olması, bu kontrolün gerekli olmadığı anlamına gelmez.

SOA'nın risk değerlendirmesiyle ilişkilendirilmemesi de önemli bir eksikliktir.

Ayrıca kontrol uygulamalarında değişiklik yapılmasına rağmen SOA'nın güncellenmemesi, belgelendirme denetimlerinde tutarsızlıklara neden olabilir.

Bu nedenle SOA hazırlanırken işletmenin gerçek faaliyetleri ve bilgi güvenliği riskleri esas alınmalıdır.

ISO 27001 SOA Hakkında Sık Sorulan Sorular

ISO 27001 SOA zorunlu mu?

Evet. ISO/IEC 27001 standardının 6.1.3 maddesi kapsamında Uygulanabilirlik Bildirgesi hazırlanması gerekir.

ISO 27001 SOA kaç maddeden oluşur?

ISO/IEC 27001:2022 standardının Ek-A bölümünde 93 kontrol bulunmaktadır. SOA, gerekli kontrolleri ve Ek-A kontrollerinin uygulanabilirliğine ilişkin değerlendirmeleri içermelidir. Gerekli kontroller Ek-A dışından da seçilebilir.

ISO 27001 SOA Excel ile hazırlanabilir mi?

Evet. Standardın gerektirdiği bilgileri içermesi ve dokümanın güncelliğinin yönetilebilmesi halinde SOA Excel üzerinden hazırlanabilir.

ISO 27001 SOA'da bütün kontroller uygulanmak zorunda mı?

Hayır. Ek-A kontrollerinin tamamının her işletmede uygulanması zorunlu değildir. Ancak gerekli kontroller belirlenmeli ve hariç tutulan Ek-A kontrollerinin gerekçeleri açıklanmalıdır.

ISO 27001 SOA ile risk değerlendirmesi aynı doküman mı?

Hayır. Risk değerlendirmesi bilgi güvenliği risklerinin analiz edilmesi ve değerlendirilmesi amacıyla hazırlanır. SOA ise gerekli kontrolleri, bunların gerekçelerini ve uygulanma durumlarını gösterir.

ISO 27001 SOA kim tarafından hazırlanır?

SOA, işletmenin bilgi güvenliği risklerini ve faaliyetlerini bilen, gerekli yeterliliğe sahip kişiler tarafından hazırlanmalıdır. Danışmanlık desteği alınabilir ancak kontrol seçimlerine ve risk yönetimine ilişkin sorumluluk kuruluşta kalır.

ISO 27001 SOA her yıl güncellenmeli mi?

SOA'nın güncelliği düzenli olarak değerlendirilmelidir. Ancak bütün işletmeler için geçerli, yalnızca yılda bir kez güncelleme yapılmasını zorunlu tutan sabit bir uygulama bulunmamaktadır. Risklerde veya kontrol ihtiyaçlarında değişiklik meydana geldiğinde gerekli güncellemeler yapılmalıdır.

ISO 27001 SOA belgelendirme denetiminde istenir mi?

Evet. SOA, ISO 27001 belgelendirme denetiminde değerlendirilen temel dokümanlardan biridir. Denetçiler kontrollerin uygulanabilirliğini, gerekçelerini ve uygulama kayıtlarını inceleyebilir.

ISO 27001 SOA Hazırlama ve Danışmanlık Hizmetleri – YYS Danışmanlık

ISO 27001 belgelendirme sürecinde Uygulanabilirlik Bildirgesi'nin işletmenin faaliyetlerine ve bilgi güvenliği risklerine uygun hazırlanması önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği risk değerlendirmesi, risk işleme planı, SOA hazırlanması, dokümantasyon, eğitim, iç tetkik ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut bilgi güvenliği yönetim sistemini güncellemek isteyen işletmelerin SOA çalışmalarının planlanmasına destek sağlıyoruz.

ISO 27001 SOA hazırlanması, bilgi güvenliği yönetim sistemi kurulumu veya belgelendirme danışmanlığı hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 SOA, işletmenin bilgi güvenliği risklerini yönetmek için belirlediği kontrollerin uygulanabilirliğini, gerekçelerini ve uygulanma durumlarını gösteren önemli bir dokümandır.

SOA hazırlanırken risk değerlendirme sonuçlarının dikkate alınması, gerekli kontrollerin belirlenmesi ve Ek-A kontrollerinden hariç tutulanların gerekçelendirilmesi gerekir.

ISO 27001 belgesi almak isteyen işletmeler için doğru yaklaşım, yalnızca 93 kontrolün bulunduğu bir tablo hazırlamak değil, bilgi güvenliği risklerine uygun kontrolleri belirlemek ve bunların gerçek uygulamalarla uyumlu olmasını sağlamaktır.