ISO 27001 belgesi almak isteyen işletmelerin en çok merak ettiği konulardan biri, belgelendirme denetiminde hangi sorularla karşılaşacaklarıdır. Özellikle ilk kez ISO 27001 denetimine girecek yazılım firmaları, bilişim şirketleri ve hizmet kuruluşları, denetçilerin hangi dokümanları inceleyeceğini ve çalışanlara neler soracağını öğrenmek istemektedir.

ISO 27001 denetiminde işletmenin bilgi güvenliği yönetim sistemini nasıl oluşturduğu, bilgi güvenliği risklerini nasıl yönettiği, güvenlik kontrollerini nasıl uyguladığı ve yönetim sisteminin etkinliğini nasıl değerlendirdiği sorgulanır.

Denetçiler yalnızca hazırlanan prosedürleri incelemez. Dokümanlarda tanımlanan faaliyetlerin gerçekten uygulanıp uygulanmadığını ve uygulama kayıtlarını da değerlendirir.

ISO 27001 Denetimi Nasıl Yapılır?

ISO/IEC 27001 belgelendirme denetimi, kuruluşun bilgi güvenliği yönetim sisteminin standart gerekliliklerine uygunluğunu ve uygulama etkinliğini değerlendirmek amacıyla gerçekleştirilir.

İlk belgelendirme süreci genel olarak Aşama 1 ve Aşama 2 olmak üzere iki denetim aşamasından oluşur.

Aşama 1 denetiminde kuruluşun belgelendirme kapsamı, yönetim sistemi dokümantasyonu ve Aşama 2 denetimine hazırlık durumu değerlendirilir.

Aşama 2 denetiminde ise bilgi güvenliği yönetim sisteminin uygulanması, kontrollerin etkinliği ve gerekli kayıtlar daha ayrıntılı biçimde incelenir.

Denetim sırasında üst yönetim, bilgi güvenliği sorumluları, bilgi işlem personeli ve diğer ilgili çalışanlarla görüşmeler yapılabilir.

Soruların kapsamı işletmenin faaliyetlerine, risklerine, kullandığı teknolojilere ve belgelendirme kapsamına göre değişir.

ISO 27001 Aşama 1 Denetiminde Neler Sorulur?

Aşama 1 denetiminde öncelikle işletmenin bilgi güvenliği yönetim sistemi hazırlığı değerlendirilir.

Denetçi, kuruluşun faaliyetlerini ve ISO 27001 belgelendirme kapsamını anlamaya yönelik sorular sorabilir.

Örneğin:

• ISO 27001 belgelendirme kapsamınız hangi faaliyetleri içeriyor?
• Bilgi güvenliği yönetim sisteminden sorumlu kişiler kimlerdir?
• Bilgi güvenliği politikanız nasıl oluşturuldu?
• Bilgi güvenliği risklerini hangi yöntemle değerlendiriyorsunuz?
• Risk işleme planınız ve SOA dokümanınız hazır mı?
• İç tetkik ve yönetimin gözden geçirmesi faaliyetleri gerçekleştirildi mi?

Bu sorular örnek niteliğindedir. Her denetimde aynı soruların sorulması zorunlu değildir.

Aşama 1 denetiminde belirlenen hazırlık eksiklikleri, Aşama 2 denetiminin planlanmasını etkileyebilir.

ISO 27001 Aşama 2 Denetiminde Neler Kontrol Edilir?

Aşama 2 denetimi, bilgi güvenliği yönetim sisteminin uygulanmasına ve etkinliğine odaklanır.

Örneğin işletmenin erişim kontrol prosedüründe kullanıcı yetkilerinin belirli kurallara göre verildiği açıklanmış olabilir.

Denetçi, bu kuralların uygulandığını görmek amacıyla kullanıcı yetki kayıtlarını inceleyebilir.

Benzer şekilde yedekleme faaliyetlerinin gerçekleştirildiği belirtiliyorsa yedekleme kayıtları ve geri yükleme testleri değerlendirilebilir.

Aşama 2 denetiminde risk değerlendirmesi, SOA, bilgi güvenliği hedefleri, çalışan farkındalığı, iç tetkik ve yönetimin gözden geçirmesi sonuçları da incelenebilir.

ISO 27001 Aşama 2 denetiminde önemli olan, hazırlanan dokümanlarla işletmenin gerçek uygulamalarının tutarlı olmasıdır.

ISO 27001 Denetiminde Üst Yönetime Hangi Sorular Sorulur?

ISO 27001 standardının 5. maddesi kapsamında üst yönetimin bilgi güvenliği yönetim sistemine liderlik etmesi ve gerekli desteği sağlaması beklenir.

Denetçi üst yönetimle görüşerek bilgi güvenliği faaliyetlerine katılımını değerlendirebilir.

Örneğin işletmenin bilgi güvenliği hedeflerinin nasıl belirlendiği, önemli risklerin yönetim tarafından nasıl değerlendirildiği ve gerekli kaynakların nasıl sağlandığı sorulabilir.

Ayrıca yönetimin gözden geçirmesi toplantılarında alınan kararlar ve bu kararların uygulanma durumu incelenebilir.

Üst yönetimin standardın bütün teknik kontrol maddelerini ezbere bilmesi beklenmez.

Ancak bilgi güvenliği yönetim sisteminin amaçlarını, önemli risklerini ve yönetim sorumluluklarını bilmesi gerekir.

ISO 27001 Denetiminde Bilgi Güvenliği Sorumlusuna Neler Sorulur?

Bilgi güvenliği yönetim sistemi sorumlusu, denetim sırasında yönetim sisteminin işleyişine ilişkin ayrıntılı sorularla karşılaşabilir.

Örneğin risk değerlendirme yönteminin nasıl belirlendiği, risk sahiplerinin nasıl atandığı ve risk işleme kararlarının nasıl takip edildiği sorgulanabilir.

SOA dokümanında yer alan kontrollerin seçilme gerekçeleri ve uygulanma durumları da değerlendirilebilir.

Ayrıca bilgi güvenliği hedeflerinin takibi, iç tetkik programı, düzeltici faaliyetler ve yönetimin gözden geçirmesi sonuçları hakkında açıklama istenebilir.

Bu nedenle bilgi güvenliği sorumlusunun yalnızca dokümanların nerede bulunduğunu bilmesi yeterli değildir.

Yönetim sistemi süreçlerinin işletmede nasıl uygulandığını da açıklayabilmesi önemlidir.

ISO 27001 Denetiminde Çalışanlara Hangi Sorular Sorulur?

ISO 27001 denetiminde çalışanların bilgi güvenliği farkındalığı değerlendirilebilir.

Denetçi, çalışanların günlük faaliyetlerinde karşılaştıkları bilgi güvenliği risklerini ve sorumluluklarını anlayıp anlamadığını kontrol edebilir.

Örneğin aşağıdaki sorular sorulabilir:

Çalışanların sorulara standart maddelerini ezberleyerek cevap vermesi beklenmez.

Önemli olan kendi görevleriyle ilgili bilgi güvenliği kurallarını bilmeleri ve uygulamalarıdır.

ISO 27001 Denetiminde Bilgi İşlem Personeline Neler Sorulur?

Bilgi işlem personeliyle gerçekleştirilen görüşmelerde teknik güvenlik kontrollerinin nasıl uygulandığı değerlendirilebilir.

Örneğin kullanıcı hesaplarının nasıl oluşturulduğu, ayrıcalıklı erişimlerin nasıl yönetildiği ve sistem güncellemelerinin nasıl takip edildiği sorulabilir.

Ayrıca yedekleme, ağ güvenliği, zararlı yazılımlara karşı koruma, güvenlik kayıtlarının izlenmesi ve güvenlik açıklarının yönetimi gibi konular incelenebilir.

Bir yazılım firmasında kaynak kod depolarına erişim, geliştirme ve canlı ortamların ayrılması, yazılım değişikliklerinin kontrolü gibi konular da önem taşıyabilir.

Denetçi, teknik kontrollerin yalnızca prosedürlerde tanımlanıp tanımlanmadığını değil, uygulama kanıtlarını da değerlendirebilir.

Örneğin çok faktörlü kimlik doğrulamanın kullanıldığı belirtiliyorsa ilgili sistem yapılandırması veya uygun kanıtlar incelenebilir.

ISO 27001 Ek-A Kontrollerinin Tamamı Denetlenir mi?

ISO/IEC 27001:2022 standardının Ek-A bölümünde 93 bilgi güvenliği kontrolü bulunmaktadır.

Ancak bu kontrollerin tamamının her işletmede aynı şekilde uygulanması zorunlu değildir.

Kuruluş, risk işleme süreci ve ilgili gereklilikler doğrultusunda gerekli kontrolleri belirler.

Uygulanabilirlik Bildirgesi'nde gerekli kontrollerin gerekçeleri, uygulanma durumları ve hariç tutulan Ek-A kontrollerinin gerekçeleri gösterilir.

Denetçi, SOA'nın uygunluğunu ve ilgili kontrollerin uygulanmasını değerlendirir.

Denetim örnekleme yöntemiyle yürütülebilir. Bu nedenle bütün kontrollerin her denetimde aynı ayrıntıda inceleneceği söylenemez.

Ancak örnekleme yapılması, kuruluşun gerekli kontrolleri uygulama sorumluluğunu ortadan kaldırmaz.

ISO 27001 Denetiminde Hangi Kayıtlar İstenebilir?

Belgelendirme denetiminde kuruluşun faaliyetlerine göre farklı kayıtlar incelenebilir.

Örneğin risk değerlendirme sonuçları, risk işleme planı, SOA, bilgi güvenliği hedefleri, iç tetkik raporları ve yönetimin gözden geçirmesi kayıtları değerlendirilebilir.

Teknik kontroller kapsamında ise erişim yetki kayıtları, yedekleme sonuçları, güvenlik olayları, sistem değişiklikleri ve ilgili kontrol kanıtları incelenebilir.

Çalışan yeterliliği ve farkındalığı açısından eğitim kayıtları ve uygun değerlendirme sonuçları da talep edilebilir.

Burada önemli olan bütün işletmelerin aynı kayıtları tutması değildir.

Kuruluşun faaliyetlerine ve uyguladığı kontrollere göre gerekli kanıtların bulunmasıdır.

ISO 27001 Denetiminde Uygunsuzluk Çıkarsa Ne Olur?

ISO 27001 belgelendirme denetiminde standart gerekliliklerinin karşılanmadığı tespit edilirse uygunsuzluk kaydı oluşturulabilir.

Uygunsuzluklar, önem ve etkilerine göre sınıflandırılır.

Örneğin gerekli risk değerlendirmesinin hiç gerçekleştirilmemiş olması ile belirli bir kayıtta sınırlı bir eksiklik bulunması aynı düzeyde değerlendirilmeyebilir.

Uygunsuzluk tespit edildiğinde kuruluşun ilgili düzeltme ve düzeltici faaliyetleri gerçekleştirmesi gerekir.

Belgelendirme kuruluşu, uygunsuzluğun niteliğine göre gerekli kanıtları ve faaliyetlerin etkinliğini değerlendirir.

Belgelendirme kararı, ilgili denetim ve karar süreçleri tamamlandıktan sonra verilir.

Denetimde uygunsuzluk tespit edilmesi her durumda belgelendirme sürecinin tamamen sona erdiği anlamına gelmez. Ancak uygunsuzlukların ilgili kurallara uygun şekilde ele alınması gerekir.

ISO 27001 Denetimine Nasıl Hazırlanılmalı?

ISO 27001 denetimine hazırlık sırasında öncelikle bilgi güvenliği yönetim sisteminin gerçek uygulamalarla uyumu değerlendirilmelidir.

Risk değerlendirmesi ve SOA dokümanlarının güncel olması, gerekli güvenlik kontrollerinin uygulanması ve ilgili kayıtların bulunması önemlidir.

Ayrıca iç tetkik ve yönetimin gözden geçirmesi faaliyetleri tamamlanmalı, tespit edilen eksiklikler için gerekli çalışmalar gerçekleştirilmelidir.

Çalışanların kendi görevleriyle ilgili bilgi güvenliği sorumluluklarını bilmesi sağlanmalıdır.

Denetim öncesinde örnek sorular üzerinden görüşmeler yapılması faydalı olabilir. Ancak çalışanlara ezber cevaplar öğretilmesi yerine gerçek süreçlerin anlaşılması hedeflenmelidir.

Örneğin bir çalışanın bilgi güvenliği olayını hangi yöntemle bildireceğini bilmesi, bu konudaki prosedürün adını ezberlemesinden daha önemlidir.

ISO 27001 Denetim Soruları Hakkında Sık Sorulan Sorular

ISO 27001 denetiminde en çok ne sorulur?

Denetimde bilgi güvenliği yönetim sistemi kapsamı, risk değerlendirmesi, SOA, güvenlik kontrolleri, çalışan farkındalığı, iç tetkik ve yönetimin gözden geçirmesi gibi konular değerlendirilebilir. Sorular işletmenin faaliyetlerine göre değişir.

ISO 27001 denetiminde çalışanlara soru sorulur mu?

Evet. Denetçiler çalışanlarla görüşerek bilgi güvenliği kurallarını ve görevlerine ilişkin sorumlulukları bilip bilmediklerini değerlendirebilir.

ISO 27001 denetiminde bütün prosedürler incelenir mi?

Denetim örnekleme yöntemiyle gerçekleştirilebilir. Ancak kuruluşun gerekli dokümanları ve uygulama kayıtlarını denetime hazır bulundurması gerekir.

ISO 27001 denetiminde teknik bilgi sorulur mu?

Teknik kontrollerden sorumlu çalışanlara görevleriyle ilgili teknik sorular sorulabilir. Ancak bütün çalışanların aynı düzeyde teknik bilgiye sahip olması beklenmez.

ISO 27001 denetiminde risk analizi kontrol edilir mi?

Evet. Risk değerlendirme yöntemi, sonuçları, risk işleme kararları ve SOA ile ilişkisi denetimde değerlendirilen temel konular arasındadır.

ISO 27001 denetiminde uygunsuzluk çıkarsa belge alınamaz mı?

Uygunsuzluğun niteliğine göre gerekli düzeltme ve düzeltici faaliyetler gerçekleştirilir. Belgelendirme kararı, ilgili gereklilikler karşılandıktan sonra verilir.

ISO 27001 denetiminde şirket sahibi bulunmalı mı?

Üst yönetimin bilgi güvenliği yönetim sistemiyle ilgili sorumluluklarının değerlendirilmesi gerekir. Bu nedenle ilgili üst yönetim temsilcilerinin denetim planına uygun şekilde görüşmelere katılması önemlidir.

ISO 27001 denetiminde sorular önceden verilir mi?

Belgelendirme kuruluşu denetim planını ve denetim kriterlerini paylaşabilir. Ancak denetimde sorulacak bütün soruların önceden verilmesi gerektiğine ilişkin genel bir şart bulunmamaktadır.

ISO 27001 Denetim Hazırlığı ve Danışmanlık Hizmetleri – YYS Danışmanlık

ISO 27001 belgelendirme denetimine hazırlanan işletmelerin yalnızca dokümantasyonunu değil, bilgi güvenliği yönetim sisteminin gerçek uygulamalarını da değerlendirmesi önemlidir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, dokümantasyon kontrolü, risk değerlendirmesi, SOA hazırlanması, eğitim, iç tetkik, yönetimin gözden geçirmesi ve belgelendirme denetimine hazırlık hizmetleri sunuyoruz.

İlk kez ISO 27001 belgesi alacak veya gözetim ve yeniden belgelendirme denetimine hazırlanacak işletmelerin eksikliklerinin belirlenmesine ve gerekli çalışmaların planlanmasına destek sağlıyoruz.

ISO 27001 denetim hazırlığı ve danışmanlık hizmetlerimiz hakkında bilgi almak için YYS Danışmanlık üzerinden bizimle iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgelendirme denetiminde işletmenin bilgi güvenliği yönetim sistemi dokümanları, risk değerlendirme faaliyetleri, güvenlik kontrolleri ve uygulama kayıtları değerlendirilir.

Denetim sırasında üst yönetim, bilgi güvenliği sorumluları, teknik personel ve diğer çalışanlarla görüşmeler gerçekleştirilebilir.

Sorular işletmenin faaliyetlerine ve bilgi güvenliği yönetim sistemi kapsamına göre değişir.

ISO 27001 denetimine hazırlanırken en doğru yaklaşım, soruların cevaplarını ezberlemek değil, standart gerekliliklerini karşılayan ve gerçek faaliyetlerle uyumlu bir bilgi güvenliği yönetim sistemi oluşturmaktır.