ISO 27001 Boşluk Analizi: Adımlar ve Çıktılar

ISO 27001 boşluk analizi, mevcut kontrollerinizi ve dokümanlarınızı standardın maddeleri ve Ek A kontrol setiyle karşılaştırır ve önceliklendirilmiş bir iyileştirme planı teslim eder. Bir şirketi sertifika denetimine hazırlar; kendisi sertifika değildir ve hiçbir analiz bir sonucun geleceğini garanti edemez.

ISO 27001 boşluk analizi nedir?

ISO/IE 27001, bilgi güvenliği yönetim sistemi (BGYS) için uluslararası standarttır: belgelenmiş, risk temelli bir politikalar, süreçler ve kontroller seti; bir kez kurulan değil, sürdürülen ve geliştirilen bir yapı. Sertifikasyon, akredite bir sertifikasyon kuruluşunun kendi denetimlerinden sonra verilir; standartın kendisi ISO'dan satın alınır ve gereklilikleri her analizin ölçtüğü şeydir. Müşteri ya da ihale artık bilgi güvenliği soruyorsa mevcut politikalarınızı gönderin; teklif isteyin, standarda göre boşluk analizinin kapsamını çıkaralım.

Boşluk analizi tek bir soruya dürüstçe cevap verir: kuruluş bugün bu gereklilikleri karşılamaktan ne kadar uzakta? Mevcut olanı inceler — dokümanlar, fiili uygulama, teknik yapılandırma — ve farkları standardın maddelerine (yönetim sistemi gereklilikleri 4 ile 10 arasında yer alır) ve Ek A kontrol setine karşı bulgu olarak kaydeder; 2022 sürümündeki Ek A tema bazında gruplanmış 93 referans kontrolü içerir.

Sonraki karışıklığı önleyen üç netleştirme:

• Bu bir hazırlık çalışmasıdır, denetim değildir. Akreditasyon yok, sertifika kararı yok, sertifikasyon kuruluşunun numaralandırmasıyla resmî uygunsuzluk kaydı yok. Üretilen şey çalışan bir plandır.


• Kapsam dayatılmaz, seçilir. ISO 27001 tüm kuruluşun sertifikalanmasını gerektirmez: kapsam bir iş birimi, bir lokasyon, bir ürün hattı ya da bir sistem seti olabilir; yeter ki sınır tanımlanmış ve gerekçelendirilmiş olsun. Çoğu şirket önce dar kapsam alır — analizin ve sertifikasyonun maliyetini yarıya indiren, tek bir doküman incelenmeden önce kararlaştırılmaya değer bir karardır.


• Kanıt konusunda dürüsttür. Bir dokümanın söylediği ile uygulamanın yaptığı birbirine uymuyorsa olduğu gibi kaydedilir; çünkü sertifikasyon denetçisi aynı farkı daha kötü bir anda, daha sonra bulacaktır.

Analiz süreci

Aşağıdaki altı adım çalışan bir analizin görünümüdür. Çıktı sütunu tablonun noktasıdır: her adım saklanması gereken bir belge üretmeli, bir izlenim değil:

Tablo A: adım | ne olur | çıktı

Yöntem notu: standart bir boşluk analizinin nasıl yapıldığını tarif etmez; bu yüzden sağlayıcılar farklıdır. Kullanışlı olanı pahalı olan ayıran şey kanıt disiplinidir — bulgular, sertifikasyon denetçisinin yeniden kontrol edeceği bir şeye bağlanmış olsun — ve sonrasında çalışan boşluk kaydı. Güvenlik işinin denetim ve yönetişim soruları BT denetimi ve danışmanlık sayfasında; BGYS'nin arkasındaki altyapıyı koruma konusunun daha geniş bağlamı dijital altyapı sayfasında ele alınır.

Çıktılar

Ciddi bir analizi dört belge tanımlar. Bir teklif bu dördünü de adlandırmıyorsa nedenini sorun:

1. Boşluk analizi raporu. Anlatı: incelenen kapsam, yöntem, madde ve kontrol alanına göre bulgular ve bir genel müdürün on dakikada okuyabileceği yönetici özeti. Rapor farkları listelemekle kalmaz, açıklar.


2. Boşluk kaydı. Çalışan veritabanı: her bulgu, madde ya da Ek A referansı, mevcut durum, şiddet ve öncelikle birlikte. Projeyi sonrasında bu kaydın üzerinde yürür — raporu bir tavsiyeye değil, sahipli bir iş listesine çevirir.


3. İyileştirme yol haritası. Bulguların bir plana dönüşmüş hâli: 1. denetimden önce var olması gerekenler, BGYS'nin ilk aylarına ait olanlar ve ertelenebilenler. Sıra bağımlılıklara uyar — erişim listeleri yokken erişimi üç ayda bir gözden geçiremezsiniz.


4. Uygulanabilirlik Beyanı taslağı (SoA). Her Ek A kontrolünü, uygulanabilir olup olmadığını ve nedenini, uygulanma şeklini listeleyen belge. Analiz sırasında hazırlanan bir SoA taslağı, sertifika projesindeki en büyük zaman tasarrufudur; çünkü alternatifi 93 kararı son teslim tarihi altında boş sayfadan yazmaktır.

Analiz ne değildir

Bu konuda kesin olmak sonraki tartışmaları önler:

• Sertifika değildir. Yalnızca akredite bir sertifikasyon kuruluşu, ISO/IEC 17021 ve kendi akreditasyonu dâhilinde bir BGYS'yi sertifikalandırabilir. Analiz danışmanlık işidir; bulgularının sertifikasyon kuruluşu nezdinde bir geçerliliği yoktur ve hiçbir analiz sonucu sertifikasyonu garanti etmez — bir kuruluş analizini geçse bile 2. denetimde denetçinin bağımsız geliştirdiği bulgularda başarısız olabilir.


• İç denetim değildir. Standart, BGYS'nin bir parçası olarak iç denetimleri ve yönetim gözden geçirmesini şart koşar; bunlar sistemin içindeki, sonradan yapılan yükümlülüklerdir; analiz onların yapılabilir hâle gelmesini sağlayan işin kendisidir.


• Güvenlik testi değildir. Yapılandırmayı örneklemek bunun parçasıdır; penetrasyon testi ya da tam teknik denetim, kapsamı ve derinliği farklı ayrı bir iştir.


• Hukuki görüş değildir. ISO 27001 ile veri koruma hukuku örtüşür ama farklı araçlardır — aşağıdaki SSS'e bakın — ve ne bir analiz ne de raporu, yetkili bir hukuk ya da veri koruma danışmanının yerine geçer.


• Sertifika hakkında bir vaat değildir. Sertifikayı garanti ediyor gibi ima eden, başarı oranı söyleyen ya da bağımsız karar veren bir sertifikasyon kuruluşuyla ilişki ima eden sağlayıcı, bir satış noktası değil bir uyarı işareti olarak görülmelidir. Bağımsızlık ürünün kendisidir.

Sertifika denetime hazırlık

Analizin gerçek değeri, ardından gelen sertifika projesinde görünür. İkisi nasıl bağlanır:

• 1. denetim dokümantasyonu ve kapsamı denetler: BGYS kapsam ifadesi, risk değerlendirmesi ve tedavisi, politikalar, Uygulanabilirlik Beyanı, iç denetim kayıtları ve yönetim gözden geçirmesi kayıtları. 1. denetim bulgularının çoğu eksik ya da bayat dokümandır; analizin doküman incelemesinin ve SoA taslağının ürettiği de tam olarak budur.


• 2. denetim uygulamayı ve fiili durumu denetler: kontrollerin dokümlandığı gibi işleyip işlemediğini, kapsam genelinde örnekleyerek. Analizin görüşme ve teknik kontrol çalışması bunun provasıdır — erişim gözden geçirmeleri ve olay yönetimi hakkında şimdiden cevap vermiş bir ekip denette sakin cevap verir.


• İzleme ve tekrar sertifika sonrası gelir; bu yüzden yol haritası bir doküman seti değil bir işletim sistemi kurmalıdır: tekrar eden erişim gözden geçirmeleri, kayda geçen olaylar, kayıtlı eğitimler, geri yüklenip test edilen yedekler. Tek bir denetimi geçmek için kurulan bir BGYS ilk izleme denetiminde çöker.

Sık karşılaşılan boşluklar

Küçük ve orta ölçekli şirketlerde tekrar eden, kabaca sıklık sırasına göre bulgular:

• Varlık envanteri. Sahipleriyle güncel sistem, cihaz ve veri listesi yok. Neredeyse her diğer kontrol var olanı bilmeye dayanır; bu yüzden bu genellikle yol haritasının ilk kalemidir.


• Risk değerlendirmesi yöntemi. Ya yok ya da kuruluş gerekçesi olmadan bir şablondan devralınmış; sertifikasyon denetçisi risklerin nasıl belirlendiğini ve tedavi edildiğini sorar ve "danışman yazdı" bu soruyu atlatan bir cevap değildir.


• Tedarikçi yönetimi. Hangi tedarikçilerin şirket verisine dokunduğuna dair kayıt yok, tedarikçi anlaşmalarında güvenlik gerekliliği yok, gözden geçirme döngüsü yok. Yazılım geliştirme ortaklarıyla çalışan şirketlerde bu boşluk doğrudan outsourcing sayfasında ele alınan sözleşme sorularının üstüne oturur.


• Erişim gözden geçirmeleri. Katılışta açılmış ve bir daha gözden geçirilmemiş hesaplar; işten ayrılmış kişiler erişim listesinde; rollerden ayrılmış kişilerin yönetici hakları. Kâğıtta var olan ama kaydı olmayan gözden geçirmeler yarım bir bulgudur.


• Olay yönetimi. Tanımlanmış süreç yok, iletişim listesi yok, gerçekleşen olayların kaydı yok. Şirketin sahip olduğunu unuttuğu olaylar, denetimde bulgu olan olaylardır.


• Farkındalık eğitimi. Kayıtlı, tekrar eden bir program yerine tek seferlik bir oryantasyon slaytı. Standart, insanların yükümlülüklerinin farkında olup olmadığını sorar; tarihli bir katılım listesi bu soruyu cevaplar.


• Yedekleme testi. Yedekleme yapılandırılmış, bir kez geri yüklenmemiş. Hiç denenmemiş bir geri yükleme test edilmemiş bir kontroldür ve analizin teknik kontrolü genellikle program ekran görüntüsü yerine geri yükleme kanıtı ister.

Sağlayıcı seçimi

Ciddi bir analizi pahalı bir incelemeyi ayıran üç soru:

• Bağımsızlık. Analist sertifika kararında bir çıkar taşımamalıdır — analistler sertifikalandırmaz, sertifikasyon kuruluşları sertifikalandırır; ikisini birden vaat eden bir sağlayıcı bir hizmet değil bir çatışma tarif etmektedir. Bağımsızlık, analistin sonrasında satılacak bir ürününün olmamasını da kapsar: sonrasında kendi platformunuzu öneren bir analiz, bulgular eklenmiş bir satış dokümanıdır.


• Yöntem. Tekliften önce yöntemi isteyin: kapsamın nasıl anlaşıldığını, bulguların nasıl derecelendirildiğini, kontrol alanı başına hangi kanıtın istendiğini ve hangi çıktıların geleceğini. Önceden yazılmış bir yöntem, bulguları sonradan sertifikasyon denetçisi nezdinde savunulabilir kılan şeydir.


• Örnek rapor. Tek en iyi test. Karartılmış bir boşluk kaydı ve rapor tam olarak ne alacağınızı gösterir: bulgular kanıtla maddelere bağlı mı, şiddetler gerekçeli mi, yol haritası bir sıralama mı yoksa bir dilek listesi mi.

Sıkça Sorulan Sorular

Bir boşluk analizi ne kadar sürer?

Kapsama bağlıdır ve kapsam almadan süre söyleyen herkes tahmin yürütmektedir. Belirleyiciler kapsamın büyüklüğüdür — sınırdaki lokasyon, sistem ve süreç sayısı — dokümanların durumu ve kaç kişiyle görüşüleceğidir. Mevcut politikaları olan tek bir departman kapsamı, sıfırdan başlayan çok lokasyonlu bir kapsamdan farklı bir iştir; dürüst cevap kapsam görüşmesinden sonra, yazılı olarak gelir.

Satmak için ISO 27001'e ihtiyacımız var mı?

Genellikle yasal değil müşteri gerekliliğidir: ihaleler, büyük müşteriler ve düzenlemeye tabi alıcılar sertifikayı giderek daha fazla istemektedir, özellikle yazılım ve hizmetlerde. Pratik cevap kendi iş hattınızdır: ciddi iki potansiyel müşteri istediysen iş vakası vardır; hiçbiri istemediyse dayanak gelir değil risk azaltmadır. Standart tüm kuruluşun sertifikalanmasını gerektirmez; bu yüzden kapsamı daraltılmış bir sertifikasyon önce müşteriye açılan kısmı hizmete alabilir.

Uygulanabilirlik Beyanı nedir?

Her Ek A kontrolünü, kapsamınıza uygulanabilir olup olmadığını ve nedenini, uygulanma şeklini listeleyen belge. Standart tarafından şart koşulur ve sertifikasyon denetçisi tarafından incelenir; ayrıca erken hazırlanması en verimli belgedir, çünkü kontrol kararlarını denetim baskısı altında değil bir kez yazıya dökmesini sağlar. Yukarıdaki dört analiz çıktısından biri taslak SoA'dır.

Boşluklar nasıl derecelendirilir?

Öncelik ve şiddetle; şiddet, kontrolün standarttaki konumuna değil kuruluşun riskine bağlıdır. Kullanışlı bir derecelendirme kendini açıklar: boşluk kalırsa ne olabilir, kim ya da ne açıktır ve kapatmak neyi gerektirir. Yalnızca "yüksek/orta/düşük" sıralaması veren derecelendirmeler sonradan tartışma üretir; yazılı gerekçeli derecelendirmeler insanların izlediği bir yol haritası üretir.

Bir boşluk analizi denetimin yerini tutar mı?

Hayır. İç denetim ve yönetim gözden geçirmesi BGYS'nin içindeki yükümlülüklerdir ve sertifika denetimi akredite bir sertifikasyon kuruluşuna aittir. Boşluk analizi ikisinden önce gelir ve ikisine de yardımcı olur ama denetim geçerliliği taşımaz — bu yukarıdaki "sertifika değildir" satırıdır ve bunu bulanıklaştıran bir sağlayıcıdan yazılı açıklama istenmelidir.

KVKK ya da GDPR'yi kapsar mı?

Kısmen örtüşür, aynı değildir. ISO 27001 bilgi güvenliği için bir yönetim sistemi standardıdır ve kişisel veriyi koruyan güvenlik kontrolleri olduğu ölçüde veri korumaya dokunur; KVKK ve GDPR ise hukuki yükümlülükler koyar — hukuki dayanak, ilgili kişinin hakları, ihlal bildirimi, aktarım kuralları — bir BGYS bunları destekleyebilir ama tek başına karşılamaz. Birçok şirket iki programı paylaşılan belgelerle yürütür ve hukuki sorular yetkili bir danışmana aittir; tedarikçi ve barındırma etrafındaki KVKK/GDPR yükümlülükleri outsourcing sayfasında ele alınır.

Kaynaklar ve standartlar

• Standart ISO/IE 27001'dir ve ISO tarafından yayımlanır (https://www.iso.org); değerlendirilen gereklilikler 4–10 maddeleri ve Ek A kontrol setidir; 2022 sürümünde 93 referans kontrol içerir. Sertifikasyon, ISO/IEC 17021 kapsamında çalışan akredite sertifikasyon kuruluşlarınca yapılır; bu sayfa hiçbir türde sertifika iddiası içermez.
• Süreç, çıktılar ve sık karşılaşılan boşluk ifadeleri genel olarak uygulayıcı pratiğini izler (kapsam alma, doküman incelemesi, görüşmeler, teknik örneklemeye, şiddet puanlı boşluk kaydı, iyileştirme yol haritası, taslak Uygulanabilirlik Beyanı); bu sayfada süre, maliyet ya da başarı oranı yoktur.
• Süreç ifadeleri (1. denetim dokümantasyon denetimi, 2. denetim uygulama denetimi, izleme denetimleri) standartın yayımlanmış sertifikasyon çerçevesini izler; güncel kuralları seçtiğiniz sertifikasyon kuruluşuyla doğrulayın.
• WorldwideTradeX'in ISO 27001 sertifikalı ya da akredite olduğuna dair hiçbir iddia ve sertifika garantisi bu sayfada yer almaz; veri koruma yükümlülükleri adıyla anılır, yorumlanmaz — uygulanacak rejimi yetkili bir danışmanla doğrulayın.

İlgili sayfalar

BT denetimi ve danışmanlık · Dijital altyapı · Türkiye'den yazılım outsourcing · Tedarikçi RFP listesi · Teklif isteyin