ISO 27001 belgesi almak isteyen işletmelerin en çok merak ettiği konulardan biri, belgelendirme öncesinde hangi dokümanların hazırlanması gerektiğidir. Özellikle ilk kez bilgi güvenliği yönetim sistemi kuran firmalar, kaç prosedür hazırlamaları gerektiğini, risk analizi ve SOA gibi dokümanların zorunlu olup olmadığını öğrenmek istemektedir.

ISO 27001 belgesi almak için bilgi güvenliği yönetim sistemi kapsamı, bilgi güvenliği politikası, risk değerlendirme ve risk işleme süreçleri, Uygulanabilirlik Bildirgesi (SOA), bilgi güvenliği hedefleri ve standartta belirtilen diğer dokümante edilmiş bilgilerin hazırlanması gerekir.

Ancak ISO/IEC 27001 standardı, bütün işletmelerin aynı sayıda prosedür veya talimat hazırlamasını zorunlu tutmaz. Dokümantasyonun kapsamı işletmenin faaliyetlerine, büyüklüğüne, bilgi güvenliği risklerine ve uyguladığı kontrollere göre belirlenmelidir.

ISO 27001 Dokümantasyonu Nedir?

ISO 27001 dokümantasyonu, işletmenin bilgi güvenliği yönetim sistemini nasıl oluşturduğunu, uyguladığını ve kontrol altında tuttuğunu gösteren doküman ve kayıtlardan oluşur.

Bu dokümanlar bilgi güvenliği politikalarını, sorumlulukları, risk değerlendirme yöntemlerini, güvenlik kontrollerini ve yönetim sistemi faaliyetlerini açıklayabilir.

Örneğin bir yazılım firmasında kaynak kodlara erişim yetkilerinin nasıl yönetildiğini açıklayan bir prosedür hazırlanabilir.

Ancak bu prosedürün bulunması tek başına yeterli değildir. Kullanıcı yetkilerinin gerçekten tanımlandığını, gözden geçirildiğini ve gerektiğinde kaldırıldığını gösteren kayıtların da bulunması önemlidir.

Bu nedenle ISO 27001 dokümantasyonu iki temel açıdan değerlendirilmelidir.

Dokümanlar, işletmenin faaliyetleri nasıl gerçekleştireceğini tanımlar.

Kayıtlar ise gerçekleştirilen faaliyetlerin ve elde edilen sonuçların kanıtlarını oluşturur.

ISO 27001 belgelendirme denetimlerinde her iki tür dokümante edilmiş bilgi de değerlendirilebilir.

ISO 27001 İçin Zorunlu Dokümanlar Nelerdir?

ISO/IEC 27001:2022 standardında belirli dokümante edilmiş bilgilerin oluşturulması ve muhafaza edilmesi gerekmektedir.

Bu gereklilikler yalnızca prosedürlerden oluşmaz. Politikalar, yöntemler, planlar ve uygulama kayıtları da dokümantasyon kapsamındadır.

ISO 27001 kapsamında temel dokümante edilmiş bilgiler şunlardır:

Bu tablo, standardın temel dokümantasyon gerekliliklerini özetlemektedir.

Bunların dışında kuruluşun bilgi güvenliği yönetim sisteminin etkinliği için gerekli gördüğü dokümanlar ve seçilen güvenlik kontrollerinin gerektirdiği kayıtlar da hazırlanmalıdır.

Örneğin erişim kontrolü, varlık yönetimi, yedekleme ve bilgi güvenliği olaylarının yönetimi gibi konularda ilave dokümantasyon ihtiyacı bulunabilir.

ISO 27001 Bilgi Güvenliği Politikası Nasıl Hazırlanır?

Bilgi güvenliği politikası, işletmenin bilgi güvenliğine ilişkin temel yaklaşımını ve taahhütlerini ortaya koyar.

Politika hazırlanırken işletmenin faaliyetleri, bilgi güvenliği hedefleri ve organizasyon yapısı dikkate alınmalıdır.

ISO 27001 kapsamında bilgi güvenliği politikasının kuruluşun amacına uygun olması, bilgi güvenliği hedeflerinin belirlenmesi için çerçeve oluşturması ve uygulanabilir gerekliliklerin karşılanmasına yönelik taahhüt içermesi gerekir.

Ayrıca bilgi güvenliği yönetim sisteminin sürekli iyileştirilmesine yönelik taahhüt de bulunmalıdır.

Politikanın üst yönetim tarafından oluşturulması, kuruluş içerisinde duyurulması ve uygun olduğu durumlarda ilgili tarafların erişimine sunulması önemlidir.

Örneğin yazılım geliştirme hizmeti sunan bir işletmenin bilgi güvenliği politikasında müşteri bilgilerinin korunması, yazılım kaynak kodlarının güvenliği ve hizmet sürekliliği gibi konulara yer verilebilir.

Ancak bilgi güvenliği politikasının yalnızca genel ifadelerden oluşması yerine işletmenin faaliyetleriyle uyumlu olması gerekir.

ISO 27001 Risk Analizi Dokümanı Zorunlu mu?

Evet. ISO 27001 standardı, bilgi güvenliği risk değerlendirme sürecinin tanımlanmasını ve uygulanmasını gerektirir.

İşletmenin riskleri hangi yöntemle belirlediği, analiz ettiği ve değerlendirdiği açıklanmalıdır.

Risk değerlendirme yöntemi oluşturulurken risk kabul kriterleri ve değerlendirmelerin tutarlı sonuçlar üretmesini sağlayacak esaslar belirlenmelidir.

Ayrıca risk sahiplerinin belirlenmesi ve risk değerlendirme sonuçlarının kayıt altına alınması gerekir.

Örneğin bir yazılım firmasında müşteri verilerine yetkisiz erişim, kaynak kodların kaybolması veya kritik sistemlerin hizmet verememesi gibi riskler değerlendirilebilir.

Ancak ISO 27001 standardı, bütün işletmelerin aynı risk analizi tablosunu kullanmasını zorunlu tutmaz.

İşletmenin faaliyetlerine uygun, tutarlı ve uygulanabilir bir risk değerlendirme yöntemi oluşturulması önemlidir.

ISO 27001 SOA Dokümanı Neden Gerekli?

SOA, Uygulanabilirlik Bildirgesi anlamına gelir.

ISO 27001 kapsamında risk işleme sürecinde belirlenen bilgi güvenliği kontrollerinin gerekçelerini ve uygulanma durumlarını gösterir.

ISO/IEC 27001:2022 standardının Ek-A bölümünde 93 bilgi güvenliği kontrolü bulunmaktadır.

Ancak bütün işletmelerin bu kontrollerin tamamını aynı şekilde uygulaması zorunlu değildir.

İşletme, bilgi güvenliği risklerini ve ilgili gereklilikleri değerlendirerek gerekli kontrolleri belirlemelidir.

SOA içerisinde gerekli kontrollerin seçilme gerekçeleri, uygulanma durumları ve hariç tutulan Ek-A kontrollerinin gerekçeleri bulunmalıdır.

Örneğin işletmenin bilgi güvenliği açısından gerekli olan bir kontrolü henüz uygulamamış olması, o kontrolün uygulanabilir olmadığı anlamına gelmez.

Bu nedenle SOA hazırlanırken gerçek uygulamalarla doküman içeriği arasında tutarlılık sağlanmalıdır.

ISO 27001 İçin Kaç Prosedür Hazırlanmalı?

ISO 27001 belgelendirme sürecinde sıkça karşılaşılan sorulardan biri, kaç prosedür hazırlanması gerektiğidir.

ISO/IEC 27001 standardı, bütün işletmeler için geçerli sabit bir prosedür sayısı belirlemez.

Örneğin on çalışanı bulunan bir yazılım firmasıyla farklı lokasyonlarda faaliyet gösteren büyük bir teknoloji şirketinin dokümantasyon ihtiyaçları aynı olmayabilir.

İşletmenin faaliyetlerine göre erişim kontrolü, varlık yönetimi, yedekleme, bilgi güvenliği olaylarının yönetimi, tedarikçi güvenliği ve değişiklik yönetimi gibi konularda prosedürler hazırlanabilir.

Ancak her güvenlik kontrolü için mutlaka ayrı bir prosedür oluşturulması gerektiği söylenemez.

Bazı konular tek bir doküman içerisinde birlikte ele alınabilir.

Önemli olan standart gerekliliklerinin karşılanması, gerekli faaliyetlerin açık biçimde tanımlanması ve uygulama kayıtlarının oluşturulmasıdır.

ISO 27001 İçin Varlık Envanteri Hazırlanmalı mı?

Bilgi varlıklarının belirlenmesi ve yönetilmesi, bilgi güvenliği açısından önemli konulardan biridir.

ISO/IEC 27001:2022 standardının Ek-A bölümünde yer alan A.5.9 kontrolü, bilgi ve diğer ilişkili varlıkların envanterinin oluşturulması ve sürdürülmesine yöneliktir.

Bu kontrolün gerekli olduğu işletmelerde bilgi varlıklarının belirlenmesi, sorumluluklarının tanımlanması ve uygun şekilde yönetilmesi gerekir.

Örneğin bir yazılım firmasında aşağıdaki varlıklar değerlendirilebilir:

• Yazılım kaynak kodları
• Müşteri veritabanları
• Sunucular ve bilgisayarlar
• Bulut hizmetleri
• Yazılım geliştirme ortamları
• Lisanslı uygulamalar
• Teknik dokümanlar
• Kritik bilgi sistemleri

Ancak varlık envanteri yalnızca bilgisayar ve donanım listesinden oluşmamalıdır.

Bilgi güvenliği açısından önemli olan bilgi varlıkları ve bunlarla ilişkili diğer varlıklar da değerlendirilmelidir.

ISO 27001 Erişim Kontrol Prosedürü Gerekli mi?

Erişim kontrolü, işletmenin bilgi varlıklarına kimlerin hangi yetkilerle erişebileceğini belirleyen önemli güvenlik konularından biridir.

Özellikle müşteri bilgileri, finansal kayıtlar, yazılım kaynak kodları ve kritik sistemler için erişim yetkilerinin kontrol altında tutulması gerekir.

İşletmenin faaliyetlerine göre erişim kontrolüne ilişkin kuralların dokümante edilmesi uygun olabilir.

Bu kapsamda kullanıcı hesaplarının oluşturulması, erişim yetkilerinin verilmesi, değiştirilmesi ve kaldırılması gibi faaliyetler açıklanabilir.

Örneğin işten ayrılan çalışanların sistem erişimlerinin kaldırılması için insan kaynakları ve bilgi işlem birimleri arasında bir bildirim mekanizması oluşturulabilir.

Ancak yalnızca prosedür hazırlanması yeterli değildir.

Belgelendirme denetiminde kullanıcı yetki kayıtları ve erişim kontrol faaliyetlerinin uygulandığını gösteren kanıtlar incelenebilir.

ISO 27001 Yedekleme Prosedürü Hazırlanmalı mı?

Yedekleme, bilgi güvenliği açısından önemli teknik kontrollerden biridir.

ISO/IEC 27001:2022 standardının Ek-A bölümünde A.8.13 kontrolü bilgi yedekleme konusunu ele alır.

İşletmenin bilgi güvenliği risklerine göre yedekleme faaliyetlerinin planlanması ve uygulanması gerekebilir.

Örneğin müşteri verilerini saklayan bir yazılım firmasında hangi sistemlerin yedekleneceği, yedekleme sıklığı ve yedeklerin nasıl korunacağı belirlenmelidir.

Ayrıca geri yükleme kabiliyetinin uygun yöntemlerle doğrulanması önemlidir.

Yedekleme faaliyetlerine ilişkin dokümanlarda sorumluluklar, uygulama yöntemleri ve kontrol faaliyetleri açıklanabilir.

Belgelendirme denetiminde ise yedekleme kayıtları ve ilgili test sonuçları değerlendirilebilir.

ISO 27001 İç Tetkik Raporu Gerekli mi?

ISO 27001 standardının 9.2 maddesi, bilgi güvenliği yönetim sisteminin planlanan aralıklarla iç tetkike tabi tutulmasını gerektirir.

İç tetkik programının uygulanmasına ve denetim sonuçlarına ilişkin kayıtların muhafaza edilmesi gerekir.

İç tetkik raporu, bu sonuçların kayıt altına alınması için kullanılan temel dokümanlardan biridir.

Raporda denetimin kapsamı, kriterleri, incelenen faaliyetler, tespit edilen uygunsuzluklar ve ilgili sonuçlar bulunabilir.

Ayrıca uygunsuzluklar için gerçekleştirilecek düzeltici faaliyetler de takip edilmelidir.

Önemli olan yalnızca iç tetkik raporunun hazırlanması değildir.

İç tetkikin tarafsız biçimde gerçekleştirilmesi, gerekli kanıtların değerlendirilmesi ve sonuçların ilgili yönetime raporlanması gerekir.

ISO 27001 YGG Toplantı Tutanağı Gerekli mi?

ISO 27001 standardının 9.3 maddesi kapsamında üst yönetimin bilgi güvenliği yönetim sistemini planlanan aralıklarla gözden geçirmesi gerekir.

Bu değerlendirmede bilgi güvenliği hedefleri, risk değerlendirme sonuçları, iç tetkik bulguları, performans sonuçları ve iyileştirme ihtiyaçları ele alınır.

Yönetimin gözden geçirmesi sonuçlarına ilişkin dokümante edilmiş bilginin muhafaza edilmesi gerekir.

Bu amaçla YGG toplantı tutanağı veya yönetim gözden geçirme raporu hazırlanabilir.

Örneğin toplantıda kritik sistemlerde erişim güvenliğinin geliştirilmesine karar verilmişse alınan karar, sorumlu kişi ve takip yöntemi kayıt altına alınabilir.

YGG dokümanının yalnızca toplantı yapıldığını göstermek amacıyla hazırlanması yerine gerçek yönetim değerlendirmelerini ve kararlarını içermesi önemlidir.

ISO 27001 Dokümanları Excel ve Word ile Hazırlanabilir mi?

Evet. ISO 27001 standardı, bütün dokümanların belirli bir yazılım üzerinden hazırlanmasını zorunlu tutmaz.

İşletmeler Word, Excel veya uygun doküman yönetim sistemlerini kullanabilir.

Örneğin risk değerlendirmesi ve varlık envanteri Excel üzerinden hazırlanabilir.

Politikalar, prosedürler ve talimatlar ise Word veya benzeri uygulamalarla oluşturulabilir.

Ancak dokümanların hangi yazılımla hazırlandığından daha önemli olan konu, dokümante edilmiş bilgilerin kontrol altında tutulmasıdır.

Bu kapsamda dokümanların uygun şekilde tanımlanması, gözden geçirilmesi, onaylanması, erişilebilir olması ve gerektiğinde değişikliklerinin takip edilmesi gerekir.

Ayrıca yetkisiz değişikliklerin önlenmesi ve gerekli kayıtların korunması önemlidir.

ISO 27001 Dokümanlarında İmza Zorunlu mu?

ISO 27001 standardı, bütün dokümanların mutlaka ıslak imzalı olması gerektiğine ilişkin genel bir şart belirlemez.

Ancak dokümante edilmiş bilgilerin uygunluğunun ve yeterliliğinin gözden geçirilmesi ve onaylanması gerekir.

İşletmenin kullandığı doküman yönetim yöntemine göre elektronik onay mekanizmaları uygulanabilir.

Örneğin bilgi güvenliği politikasının üst yönetim tarafından elektronik ortamda onaylanması ve çalışanların erişimine sunulması mümkün olabilir.

Bununla birlikte belirli sözleşmeler, yasal yükümlülükler veya müşteri şartları kapsamında ayrıca imza gereklilikleri bulunabilir.

Bu nedenle ISO 27001 dokümantasyon şartlarıyla diğer hukuki veya sözleşmesel gereklilikler birbirinden ayrı değerlendirilmelidir.

ISO 27001 Dokümanları Belgelendirme Denetiminde Nasıl Kontrol Edilir?

ISO 27001 belgelendirme denetimlerinde denetçiler, işletmenin bilgi güvenliği yönetim sistemi dokümanlarını ve uygulama kayıtlarını inceler.

Örneğin risk değerlendirme yöntemi hazırlanmışsa bu yöntemin gerçekten kullanılıp kullanılmadığı değerlendirilebilir.

SOA içerisinde erişim kontrolünün uygulandığı belirtilmişse kullanıcı erişim yetkilerine ilişkin kayıtlar incelenebilir.

Benzer şekilde yedekleme prosedürü bulunuyorsa yedekleme faaliyetlerinin gerçekleştirildiğini gösteren kanıtlar talep edilebilir.

Bu nedenle ISO 27001 dokümanlarının işletmenin gerçek uygulamalarını yansıtması önemlidir.

Başka işletmelerden alınan hazır dokümanların faaliyetlere uyarlanmadan kullanılması, yönetim sistemi ile gerçek uygulamalar arasında tutarsızlık oluşturabilir.

ISO 27001 denetiminde önemli olan doküman sayısının fazla olması değil, dokümantasyonun standart gerekliliklerini karşılaması ve işletmede uygulanmasıdır.

ISO 27001 Dokümantasyonu Hakkında Sık Sorulan Sorular

ISO 27001 belgesi için kaç doküman hazırlanmalı?

ISO 27001 standardı bütün işletmeler için geçerli sabit bir doküman sayısı belirlemez. Dokümantasyonun kapsamı işletmenin faaliyetlerine, bilgi güvenliği risklerine ve standart gerekliliklerine göre değişir.

ISO 27001 için prosedür hazırlamak zorunlu mu?

Standart, belirli süreçlerin dokümante edilmesini ve gerekli bilgilerin muhafaza edilmesini gerektirir. Ancak bütün işletmeler için geçerli sabit bir prosedür listesi bulunmamaktadır.

ISO 27001 risk analizi zorunlu mu?

Evet. ISO 27001 kapsamında bilgi güvenliği risk değerlendirme sürecinin oluşturulması, uygulanması ve sonuçlarının kayıt altına alınması gerekir.

ISO 27001 SOA hazırlamak zorunlu mu?

Evet. Uygulanabilirlik Bildirgesi, ISO 27001 standardının 6.1.3 maddesi kapsamında hazırlanması gereken temel dokümanlardan biridir.

ISO 27001 dokümanları hazır şablonlarla hazırlanabilir mi?

Hazır şablonlardan yararlanılabilir. Ancak dokümanların işletmenin gerçek faaliyetlerine, bilgi güvenliği risklerine ve uygulamalarına uygun hale getirilmesi gerekir.

ISO 27001 dokümanları elektronik ortamda tutulabilir mi?

Evet. Dokümante edilmiş bilgilerin uygun şekilde kontrol edilmesi, korunması ve erişilebilir olması koşuluyla elektronik ortamda yönetilmesi mümkündür.

ISO 27001 dokümanlarında revizyon numarası zorunlu mu?

Standart, dokümante edilmiş bilgilerin uygun şekilde tanımlanmasını ve değişikliklerin kontrol edilmesini gerektirir. Revizyon numarası kullanımı yaygın bir yöntemdir ancak bütün dokümanlarda belirli bir numaralandırma biçiminin kullanılması genel bir zorunluluk değildir.

ISO 27001 belgesi için bütün dokümanların imzalı olması gerekir mi?

Hayır. ISO 27001 standardı bütün dokümanlar için genel bir ıslak imza zorunluluğu getirmez. Ancak dokümanların uygunluğunun ve yeterliliğinin gözden geçirilmesi ve onaylanması gerekir.

ISO 27001 Dokümantasyon ve Danışmanlık Hizmetleri – YYS Danışmanlık

ISO 27001 belgelendirme sürecinde dokümantasyonun işletmenin faaliyetlerine uygun hazırlanması, bilgi güvenliği yönetim sisteminin etkin biçimde uygulanması açısından önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, risk değerlendirmesi, SOA hazırlanması, dokümantasyon, eğitim, iç tetkik ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya mevcut dokümantasyonunu güncellemek isteyen işletmelerin faaliyetlerine uygun yönetim sistemi çalışmalarının planlanmasına destek sağlıyoruz.

ISO 27001 dokümantasyon hazırlanması, bilgi güvenliği yönetim sistemi kurulumu veya belgelendirme danışmanlığı hakkında bilgi almak için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi almak isteyen işletmelerin bilgi güvenliği yönetim sistemine ilişkin gerekli dokümanları ve uygulama kayıtlarını oluşturması gerekir.

Bilgi güvenliği politikası, risk değerlendirmesi, risk işleme planı, SOA, bilgi güvenliği hedefleri, iç tetkik ve yönetimin gözden geçirmesi kayıtları temel dokümantasyon gereklilikleri arasındadır.

Ancak bütün işletmelerin aynı sayıda prosedür hazırlaması zorunlu değildir.

ISO 27001 belgelendirmesinde doğru yaklaşım, mümkün olduğunca fazla doküman hazırlamak değil, işletmenin gerçek faaliyetlerine uygun, uygulanabilir ve denetlenebilir bir bilgi güvenliği yönetim sistemi oluşturmaktır.