Merhaba

Ön Not – Kapsam ve Amaç

Bu rehber, ISO 27001:2022’nin zorunlu dokümantasyon setini standardın maddeleriyle eşleştirerek anlaşılır kılmak amacıyla yazılmıştır. Odak noktası tek tek belge şablonları değil, sürecin kendisidir: hangi maddenin neden bir kanıt gerektirdiği, bu kanıtın hangi belgeyle üretildiği ve belgelerin birbiriyle nasıl ilişkilendiği.

Metindeki doküman adları, numaralandırmalar ve örnek içerikler (politika başlıkları, doküman kodları, kontrol referansları) kuruma, standardın revizyonuna ve yıllara göre değişiklik gösterebilir. Bir belgenin adı farklılaşabilir, bir kontrol güncellenebilir, yeni bir uygulama yaklaşımı ortaya çıkabilir. Bu nedenle örnekleri birebir kopyalanacak reçeteler olarak değil, mantığı kavramak için birer illüstrasyon olarak okuyun; kendi ISMS’inize uygularken ISO 27001:2022 standardının güncel metnini ve akredite belgelendirme kuruluşunuzun yönlendirmelerini esas alın.

Aynı şekilde, “Ödeme Kuruluşları İçin Düzenleyici Katman” başlığı altında hazırlanan bölümler de yürürlükteki düzenlemelere dayanır ve mevzuat değiştikçe güncellenmesi gerekir. PCI DSS sürümleri, TCMB tebliğleri, BDDK düzenlemeleri, KVKK/MASAK gereksinimleri ve saklama (retention) süreleri zaman içinde değişebilir. Bu rehber hukuki veya denetim danışmanlığı yerine geçmez; nihai uygulama için kurumunuzun uyumluluk ekibine, QSA’sına ve güncel resmi mevzuata başvurun.

Kısacası: amaç, süreci ve mantığı anlamaktır. Örnekler bugünün fotoğrafıdır; ilke ise kalıcıdır.

ISO 27001:2022 sertifikasyon sürecine giren birçok ekibin ilk takıldığı soru şudur: “Hangi dokümanları hazırlamak zorundayız?” Standardın kendisi aslında sınırlı sayıda dokümante edilmiş bilgi talep eder; ama gerçek denetim pratiğinde her bir madde ve her bir Annex A kontrolü için somut kanıt (evidence) üretmeniz beklenir. Bu yazıda, standardın ana maddelerini (Clause 4-10) ve Annex A kontrol setini (A.5-A.8) karşılayan doküman referanslarını tek tek ele alıyorum.

Burada dikkat çeken nokta şu: Aşağıdaki tabloların bir kısmı standardın kesin olarak zorunlu tuttuğu belgelerdir (Örneğin Kapsam Dokümanı, Risk Değerlendirme Metodolojisi, Uygulanabilirlik Bildirgesi/SoA). Geri kalanı ise “dokümante edilmiş bilgi” ilkesini karşılayan, denetçinin olgunluk kanıtı olarak beklediği pratik belgelerdir. Bir doküman birden fazla maddeyi karşılayabilir bu yüzden aynı belge ismini birden çok satırda göreceksiniz. Bu bir tekrar değil, sağlıklı bir ISMS’in tek bir politikayla birden fazla kontrolü örtmesidir.

ISMS (BGYS) Nedir?

Tablolara girmeden önce, bu yazı boyunca sürekli karşınıza çıkacak bir kavramı netleştirelim:

ISMS (Information Security Management System) – Türkçesiyle Bilgi Güvenliği Yönetim Sistemi (BGYS).

ISMS, bir kuruluşun bilgi varlıklarını (veri, sistem, süreç ve insan) korumak için kurduğu sistematik ve yönetsel çerçevedir. Dikkat: ISMS tek bir yazılım ya da tek bir belge değildir. Politikaların, prosedürlerin, rollerin, risk yönetiminin ve sürekli iyileştirme döngüsünün bütününü kastediyoruz.

Önemli olan nokta şu: ISMS, güvenliği “teknik önlemler yığını” olmaktan çıkarıp yönetilebilir bir sürece dönüştürür. Firewall kurmak veya antivirüs yüklemek tek başına ISMS değildir; bunları hangi riske karşı, kimin sorumluluğunda, hangi politikaya dayanarak yaptığınızı tanımlayan ve düzenli olarak ölçüp gözden geçirdiğiniz yapı ISMS’tir.

ISO 27001’in temel mantığı, ISMS’i PUKÖ döngüsü (Planla-Uygula-Kontrol Et-Önlem Al / PDCA) üzerine oturtur. Bu döngü, standardın ana maddeleriyle birebir örtüşür:

Bu yüzden aşağıdaki tablolarda sık sık göreceğiniz iki çatı belgesi kritiktir. ISMS El Kitabı (ISMS Manual) sistemin bir bütün olarak nasıl işlediğini anlatır; adeta ISMS’in anayasasıdır. ISMS Kapsam Dokümanı (ISMS Scope Document) ise sistemin hangi birimleri, lokasyonları ve varlıkları kapsadığını yani sertifikasyonun sınırlarını çizer.

Tek cümlede: ISMS, bilgi güvenliğini rastgele önlemler yerine, riske dayalı ve sürekli iyileşen bir yönetim disiplinine oturtan sistemin adıdır. Aşağıdaki doküman listesi de işte bu sistemi kanıtlayan belgeler bütünüdür.

Bölüm 1: Ana Maddeler (Clause 4-10)

Standardın gövdesini oluşturan bu maddeler, Bilgi Güvenliği Yönetim Sistemi’nin (BGYS) yönetsel çerçevesini tanımlar. Annex A teknik/organizasyonel kontrolleri anlatırken, bu maddeler sistemin nasıl yönetileceğini belirler.

Madde 4 – Kuruluşun Bağlamı

Genel görünüm: Madde 4, sertifikasyonun temelidir. Kapsam Dokümanı ve iç/dış konu analizi doğru kurulmazsa, sonraki tüm risk değerlendirmesi zemininden kayar. Denetçiler bu bölümü genellikle en ince eleyip sık dokudukları yerlerden biridir.

Madde 5 – Liderlik

Madde 6 – Planlama

Burada dikkat çeken nokta şu: Uygulanabilirlik Bildirgesi (SoA), ISO 27001’in pazarlık kabul etmez zorunlu belgesidir. 93 Annex A kontrolünün her biri için “uyguluyor musunuz, uygulamıyorsanız neden” gerekçesini içermek zorundadır. Denetçinin ilk isteyeceği belgelerden biridir.

Madde 7 – Destek

Madde 8 – Operasyon

Madde 9 – Performans Değerlendirme

Genel görünüm: Madde 9, ISMS’in “yaşadığını” kanıtladığınız yerdir. İç denetim kayıtları ve yönetim gözden geçirme tutanakları olmadan, sisteminizin işlediğine dair somut kanıt sunamazsınız. Sertifikasyon öncesi en az bir tam döngüyü (iç denetim + yönetim gözden geçirmesi) tamamlamış olmanız beklenir.

Madde 10 – İyileştirme

Bölüm 2: Annex A Kontrolleri (A.5-A.8)

ISO 27001:2022 ile birlikte Annex A yeniden yapılandırıldı ve kontrol sayısı 114’ten 93’e düştü. Kontroller artık dört tematik grup altında toplanıyor: Organizasyonel, İnsan, Fiziksel ve Teknolojik.

A.5 – Organizasyonel Kontroller

Burada dikkat çeken nokta şu: A.5.7 (Tehdit İstihbaratı) ve A.5.23 (Bulut Güvenliği), 2022 revizyonuyla gelen yeni kontrollerdendir. Özellikle bulut yoğun ortamlarda çalışan ekipler için, önceki 2013 sürümünden geçiş yapılıyorsa bu iki kontrol çoğunlukla eksik kalmış olur. Denetim öncesi öncelikli kapatılacaklar listesine alınmalıdır.

A.6 – İnsan Kontrolleri

A.7 – Fiziksel Kontroller

A.8 – Teknolojik Kontroller

Burada dikkat çeken nokta şu: A.8.20-8.23 (ağ güvenliği, ağ hizmetleri, segmentasyon, web filtreleme) kümesinin tümü Ağ Mimari Diyagramı talep eder. Diyagram bir “belge” gibi görünmese de denetçinin somut kanıt olarak gördüğü şeydir; VLAN segmentasyonu, DMZ, güvenlik duvarı zonları ve trafik akışları güncel bir diyagramda okunabilir olmalıdır. Özellikle düzenlemeye tabi ortamlarda (ödeme kuruluşları, finans) bu diyagramın kapsam sınırlarını net göstermesi kritiktir.

Bölüm 3: Ödeme Kuruluşları İçin Düzenleyici Katman

Yukarıdaki liste her sektöre uygulanabilen genel bir ISO 27001 setidir. Ancak Türkiye’de faaliyet gösteren bir ödeme kuruluşu (6493 sayılı Kanun kapsamındaki Ödeme ve Elektronik Para Kuruluşu) iseniz, ISO 27001 tek başına yeterli değildir; üzerine oturması gereken beş ayrı düzenleyici çerçeve vardır. Bunların çoğu ISO kontrolleriyle örtüşür ama ondan daha fazlasını ister. İşte kritik nokta budur: ISO 27001 sertifikanız olsa bile, bu çerçevelerin ek gereksinimlerini karşılayan belgeleriniz yoksa denetimde açık kalırsınız.

Bu bölüm, ISO 27001 setinize hangi düzenlemeye özgü belgeleri eklemeniz gerektiğini gösterir.

3.1 TCMB (Bilgi Sistemleri Yönetmeliği)

TCMB’nin “Ödeme ve Elektronik Para Kuruluşlarının Bilgi Sistemleri” ile ilgili düzenlemesi, ISO 27001’in en çok örtüştüğü çerçevedir ancak bilgi sistemleri sürekliliği, birincil/ikincil sistem ayrımı ve yurt içinde veri bulundurma gibi noktalarda ondan daha spesifiktir.

Burada dikkat çeken nokta şu: TCMB’nin bağımsız bilgi sistemleri denetimi ve periyodik sızma testi yükümlülüğü, ISO 27001’in “iç denetim”inden farklıdır bunlar dışarıdan, akredite bir tarafça yapılmak zorundadır. ISO’nun iç denetim kaydı bu yükümlülüğü karşılamaz.

3.2 BDDK (Erişim ve Kart Ödeme Sistemleri)

BDDK tarafı, özellikle kart hamili verisi ve ödeme sistemi katılımcılığı olan kuruluşlar için erişim yönetimi ve loglama gereksinimlerini sıkılaştırır.

3.3 MASAK (Suç Gelirlerinin Aklanmasının Önlenmesi)

MASAK, bilgi güvenliğinden çok uyum (compliance) alanına girer; ancak ISO’nun kayıt saklama, izlenebilirlik ve loglama kontrolleriyle doğrudan bağı vardır.

3.4 KVKK (6698 Sayılı Kanun)

KVKK, ISO 27001’in A.5.34 (PII gizliliği) kontrolüyle örtüşür ama ondan çok daha kapsamlı bir dokümantasyon seti ister. ISO’nun tek bir “Gizlilik Politikası” satırı KVKK’yı karşılamaz.

Burada dikkat çeken nokta şu: ISO 27001’in olay müdahale kontrolleri (A.5.24-5.27) “olayı yönet ve öğren” der; KVKK ise buna 72 saat içinde Kurul’a bildirim zorunluluğunu ekler. Olay müdahale planınızda bu yasal süre ve bildirim kanalı açıkça yazılı olmalıdır aksi halde ISO uyumlu ama KVKK’ya aykırı bir sürece sahip olursunuz.

3.5 PCI DSS v4.0.1

Kart hamili verisi (CHD) işleyen, saklayan veya ileten her ödeme kuruluşu için PCI DSS ayrı ve teknik olarak en yoğun katmandır. ISO 27001 ile ciddi örtüşmesi olsa da, PCI DSS kontrolleri çok daha öngörücü ve ölçülebilirdir (Örneğin belirli şifreleme algoritmaları, belirli tarama periyotları).

Burada dikkat çeken nokta şu: PCI DSS v4.0.1’in getirdiği en önemli yenilik, birçok kontrol için Targeted Risk Analysis (Hedeflenmiş Risk Analizi) dokümanı istemesidir. Bu, ISO 27001’in genel risk kaydından farklı, kontrol-bazlı ayrı bir belgedir; Örneğin log inceleme sıklığını veya bazı esnek gereksinimlerin uygulama şeklini gerekçelendiren mini risk analizleridir. ISO risk kaydınız bu boşluğu doldurmaz.

Genel Görünüm – Katmanları Nasıl Yönetmeli

Genel görünüm: Bu beş çerçeve ISO 27001 ile büyük ölçüde örtüştüğü için, akıllıca kurgulanmış bir ISMS tek doküman setiyle hepsini birden besleyebilir. Pratik yaklaşım, mevcut ISO politikalarınıza düzenleyici gereksinimleri ek bölüm olarak işlemek ve tek bir çapraz uyum matrisi (crosswalk) tutmaktır: bir sütunda ISO kontrolü, yanında TCMB / BDDK / MASAK / KVKK / PCI DSS karşılıkları. Bu matris, denetimden denetime aynı kanıtı tekrar tekrar üretmenizi engeller ve bir kontroldeki değişikliğin hangi düzenlemeleri etkilediğini anında gösterir.

Genel Görünüm ve Pratik Notlar

Bu eşleştirme tablosu, ISO 27001:2022 dokümantasyon setini planlarken bir yol haritası olarak kullanılabilir.

Birkaç Pratik Çıkarım:

Birincisi, tek bir politika birden çok kontrolü örter. Örneğin “Erişim Kontrol Politikası” A.5.15, 5.16, 5.17, 5.18 ile A.8.2, 8.3, 8.4, 8.5’i birden karşılar. Bu, doküman setinizi 40-50 dosyada tutmanızı sağlar; her kontrole ayrı belge yazmak gereksiz bir yüktür ve bakımını zorlaştırır.

İkincisi, kayıtlar (register/log) ile politikalar farklı şeylerdir. Risk Kaydı, Varlık Kaydı, İç ve Dış Konular Kaydı gibi belgeler “yaşayan” dokümanlardır; denetçi bunların güncel tutulduğunu ve gerçek veriyle dolu olduğunu görmek ister. Boş bir şablon, olmayan bir belgeden daha kötü izlenim bırakır.

Üçüncüsü, Uygulanabilirlik Bildirgesi (SoA) her şeyi bağlar. Yukarıdaki Annex A kontrollerinin her biri için “uyguluyoruz/uygulamıyoruz + gerekçe + ilgili doküman” satırını SoA’da tutmalısınız. SoA, denetçinin dokümantasyon setinizi gezmek için kullandığı içindekiler tablosudur.

Son olarak, bu liste bir başlangıç şablonudur, kutsal metin değil. Kuruluşunuzun bağlamına göre bazı dokümanları birleştirebilir, bazılarını bölebilir veya sektöre özgü ek belgeler ekleyebilirsiniz. Düzenlemeye tabi bir ödeme kuruluşuysanız, Bölüm 3’teki TCMB/BDDK/MASAK/KVKK/PCI DSS katmanını mutlaka ISO setinizin üzerine oturtun. Önemli olan, standardın her maddesi ve uygulanabilir her düzenlemenin her yükümlülüğü için izlenebilir bir kanıt zincirinin mevcut olmasıdır.

Ek: Çekirdek Belge Örnekleri

Yukarıdaki referans tablolarında adı geçen belgelerin nasıl göründüğünü merak edenler için, en kritik dokümanlardan dokuzunu örnek içerikle doldurdum. Bu şablonlar bir yönetim sistemi mantığını göstermek amaçlıdır; başlangıç iskeletidir, kopyala-yapıştır uyumluluk garantisi değildir. [Köşeli parantez içindeki alanlar] kuruma özgü doldurulacak yer tutuculardır.

Ek.1 – BGYS El Kitabı (ISMS Manual)

Doküman No: BGYS-EK-001 | Sürüm: 1.0 | Gözden geçirme: Yıllık | Gizlilik: İç Kullanım
1. Amaç ve Kapsam. Bu el kitabı, [Kurum Adı] bünyesinde kurulan Bilgi Güvenliği Yönetim Sistemi’nin (BGYS) genel çerçevesini, işleyişini ve ISO 27001:2022 uyumunu tanımlar. BGYS’nin tüm bileşenlerine üst düzey bir bakış sunar ve ilgili alt dokümanlara referans verir.
2. Kuruluşun Bağlamı (Madde 4). Kurum, iç ve dış konularını “İç ve Dış Konular Kaydı” ile, ilgili tarafların beklentilerini “İhtiyaç ve Beklentiler Kaydı” ile belirler. BGYS kapsamı ayrı bir “Kapsam Dokümanı”nda tanımlanmıştır.
3. Liderlik ve Taahhüt (Madde 5). Üst yönetim bilgi güvenliğine liderlik eder; politikanın oluşturulması, kaynak tahsisi ve BGYS hedeflerinin kurumsal stratejiyle uyumundan sorumludur. Roller “Rol ve Sorumluluklar Dokümanı”nda ayrıntılandırılır.
4. Risk Yönetimi Yaklaşımı (Madde 6). Riskler “Risk Değerlendirme Metodolojisi”ne göre değerlendirilir ve “Risk Kaydı”nda izlenir. Seçilen kontroller “Uygulanabilirlik Bildirgesi (SoA)”nda gerekçeleriyle listelenir.
5. Destek, Operasyon ve Değerlendirme (Madde 7-9). Yetkinlik, farkındalık, dokümantasyon kontrolü, operasyonel planlama, izleme (KPI Matrisi), iç denetim ve yönetim gözden geçirmesi ilgili prosedürlerle yürütülür.
6. Sürekli İyileştirme (Madde 10). Uygunsuzluklar “DÖF Kaydı” üzerinden yönetilir; kök neden analizi ve düzeltici faaliyetlerle BGYS sürekli iyileştirilir.

El kitabı sistemin “anayasası”dır; ayrıntıyı değil çerçeveyi verir. Ayrıntılar ilgili politika ve prosedürlere bırakılır.

Ek.2 – Bilgi Güvenliği Politikası (Information Security Policy)

Doküman No: BGYS-POL-001 | Sürüm: 1.0 | Onaylayan: [Genel Müdür/Yönetim Kurulu]
1. Amaç. Bu politika, [Kurum Adı]’nın bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğini korumaya yönelik üst düzey taahhüdünü ortaya koyar.
2. Kapsam. Tüm çalışanları, yüklenicileri, üçüncü tarafları ve kurumun işlediği tüm bilgi varlıklarını kapsar.
3. Temel İlkeler.

• Gizlilik: Bilgiye yalnızca yetkili kişiler erişir.
• Bütünlük: Bilginin doğruluğu ve tamlığı korunur.
• Erişilebilirlik: Bilgi, yetkili kullanıcılar için gerektiğinde erişilebilir olur.
• Yasal uyum: İlgili tüm yasal, düzenleyici ve sözleşmesel gereksinimlere uyulur.
• Risk temelli yaklaşım: Kontroller, değerlendirilmiş risklere göre belirlenir.

4. Sorumluluklar. Üst yönetim politikayı onaylar ve destekler; Bilgi Güvenliği Yöneticisi uygulamayı koordine eder; tüm çalışanlar politikaya uymakla yükümlüdür. İhlaller “Disiplin Süreci” kapsamında ele alınır.

5. Yürürlük. Onay tarihinde yürürlüğe girer; yılda en az bir kez veya önemli değişikliklerde gözden geçirilir.

Ek.3 – BGYS Kapsam Dokümanı (ISMS Scope Document)

Doküman No: BGYS-KPS-001 | Sürüm: 1.0
1. Kapsam Beyanı. [Kurum Adı]’nın BGYS’si; [ör. ödeme hizmetleri operasyonlarının yürütüldüğü bilgi sistemleri, bunları destekleyen altyapı ve personel] süreçlerini kapsar.
2. Dahil Olan Birimler ve Lokasyonlar.

3. Kapsam Dışı Alanlar ve Gerekçesi. [ör. Fiziksel güvenliği tamamen üçüncü tarafça yönetilen X lokasyonu ilgili sorumluluk tedarikçi sözleşmesiyle devredilmiştir.]

4. Ara Yüzler ve Bağımlılıklar. Kapsam; bulut hizmet sağlayıcıları, ödeme sistemleri katılımcılığı ve dış hizmet tedarikçileriyle olan ara yüzleri dikkate alır.

Kapsam dokümanı denetimin sınırlarını çizer. Fazla dar kapsam kritik riski dışarıda bırakır; fazla geniş kapsam yönetilemez hale gelir.

Ek.4 – Risk Değerlendirme Metodolojisi (Risk Assessment Methodology)

Doküman No: BGYS-PRO-002 | Sürüm: 1.0
1. Amaç. Bilgi güvenliği risklerinin tutarlı, tekrarlanabilir ve karşılaştırılabilir biçimde belirlenmesi, analiz edilmesi ve değerlendirilmesi için yöntemi tanımlar.
2. Risk Hesaplama. Risk Skoru = Olasılık × Etki formülüyle hesaplanır. Her iki eksen 1-5 ölçeğinde derecelendirilir.
Olasılık ölçeği: 1 = Çok Düşük (yılda birden az), 3 = Orta (ara sıra), 5 = Çok Yüksek (neredeyse kesin). Etki ölçeği: 1 = Önemsiz (ihmal edilebilir), 3 = Orta (sınırlı kesinti), 5 = Kritik (ciddi mali kayıp, yasal yaptırım, itibar zararı).

3. Risk Kabul Kriterleri.

4. Risk İşleme Seçenekleri. Azaltma (kontrol uygulama), transfer (sigorta/sözleşme), kaçınma (faaliyeti durdurma) veya kabul (gerekçeli onayla).

Ek.5 – Uygulanabilirlik Bildirgesi (Statement of Applicability – SoA)

Doküman No: BGYS-SOA-001 | Sürüm: 1.0
1. Amaç. ISO 27001:2022 Annex A’daki 93 kontrolün her biri için uygulanabilirlik durumunu, gerekçesini ve ilgili dokümanı listeler. Denetçinin dokümantasyon setini gezmek için kullandığı ana referanstır.

2. Örnek Kontrol Satırları.

SoA, ISO 27001’in pazarlık kabul etmez zorunlu belgesidir. “Uygulanmıyor” seçilen her kontrol için gerekçe mutlaka yazılmalıdır.

Ek.6 – KPI Matrisi (KPI Matrix – Madde 9.1)

Doküman No: BGYS-KPI-001 | Sürüm: 1.0
1. Amaç. BGYS’nin performansını ve etkinliğini ölçmek için izlenen temel performans göstergelerini tanımlar.
2. İzlenen Göstergeler.

KPI’lar ölçülebilir ve gerçek veriyle dolu olmalıdır. Boş bir matris denetçide olumsuz izlenim bırakır.

Ek.7 – İç Denetim Prosedürü (Internal Audit Procedure – Madde 9.2)

Doküman No: BGYS-PRO-009 | Sürüm: 1.0
1. Amaç. BGYS’nin planlanan düzenlemelere, ISO 27001:2022 gereksinimlerine ve kurumun kendi gereksinimlerine uygunluğunu bağımsız biçimde doğrulamak için iç denetim sürecini tanımlar.
2. Süreç Adımları.

1. Planlama: Yıllık İç Denetim Takvimi hazırlanır; kapsam ve kriterler belirlenir.
2. Denetçi Ataması: Denetçi kendi işini denetleyemez (tarafsızlık ilkesi).
3. Yürütme: Kanıt toplanır (görüşme, kayıt incelemesi, gözlem).
4. Raporlama: Bulgular (uygunsuzluk / gözlem / iyileştirme fırsatı) İç Denetim Raporu’na işlenir.
5. Takip: Uygunsuzluklar DÖF Kaydı’na aktarılır ve kapatılması izlenir.

3. Bulgu Sınıflandırması. Majör uygunsuzluk (bir gereksinimin tümden karşılanmaması), minör uygunsuzluk (tekil/sınırlı sapma), gözlem (uygunsuzluğa dönüşebilecek zayıflık).

Ödeme kuruluşları için: ISO iç denetimi, TCMB’nin bağımsız bilgi sistemleri denetimi yükümlülüğünü karşılamaz; o denetim dışarıdan akredite tarafça yapılmalıdır.

Ek.8 – Erişim Kontrol Politikası (Access Control Policy)

Doküman No: BGYS-POL-005 | Sürüm: 1.0
1. Amaç. Bilgi varlıklarına erişimin, iş gereksinimi ve güvenlik ilkeleri doğrultusunda yetkilendirilmesini, sınırlanmasını ve izlenmesini sağlar.
2. Temel İlkeler.

• Bilmesi gereken (need-to-know): Erişim yalnızca görev için gerekli ölçüde verilir.
• En az ayrıcalık (least privilege): Kullanıcılara asgari yetki tanımlanır.
• Görevler ayrılığı: Çıkar çatışması yaratan yetkiler aynı kişide toplanmaz.

3. Kullanıcı Yaşam Döngüsü.

4. Ayrıcalıklı Erişim. Yönetici (admin) hesapları ayrı yönetilir, MFA zorunludur ve tüm ayrıcalıklı oturumlar loglanır. [Ödeme kuruluşları için PAM çözümü zorunludur.]

Ek.9 – DÖF Kaydı (CAPA Register – Madde 10.2)

Doküman No: BGYS-KAY-004 | Sürüm: 1.0

1. Amaç. Tespit edilen uygunsuzlukların kaydını, kök neden analizini, düzeltici/önleyici faaliyetleri ve kapatma durumunu izler. Sürekli iyileştirmenin (Madde 10) somut kanıtıdır.

2. Örnek Kayıt Satırları.

3. Kapatma Kriteri. Bir DÖF, uygulanan faaliyetin etkinliği doğrulandığında (verification) kapatılır. Yalnızca “yapıldı” beyanı yeterli değildir; etkinlik kanıtı aranır.

ISO 27001:2022 dokümantasyonu, ilk bakışta göz korkutan bir belge yığını gibi görünse de aslında tutarlı bir mantığın üzerine kuruludur: her madde bir soru sorar, her belge o soruya kanıtla cevap verir. Bu rehberin amacı, o mantığı görünür kılmak ve “hangi belgeyi neden hazırlıyorum” sorusuna net bir yanıt vermekti. Belgeleri tek tek üretmek yerine, birbiriyle konuşan bir sistem olarak kurgulamak — tek bir politikanın birden çok kontrolü örtmesi, kayıtların gerçek veriyle yaşaması, SoA’nın her şeyi birbirine bağlaması — hem denetim yükünü hafifletir hem de güvenliği kağıt üzerinde kalmaktan çıkarıp işleyen bir sürece dönüştürür.

Ödeme kuruluşları gibi düzenlemeye tabi kurumlar için tablo bir kat daha katmanlıdır: ISO 27001 sağlam bir temel sunar, ancak TCMB, BDDK, MASAK, KVKK ve PCI DSS’in ek yükümlülükleri bu temelin üzerine ayrı ayrı oturtulmalıdır. Buradaki en pratik yaklaşım, çerçeveleri ayrı ayrı yönetmek yerine tek bir çapraz uyum matrisinde buluşturmak; böylece bir kez üretilen kanıt, birden fazla denetimde tekrar tekrar kullanılabilir.

Unutulmaması gereken tek bir şey varsa o da şudur: dokümantasyon bir amaç değil, araçtır. Amaç, bilgi varlıklarını gerçekten korumaktır. En zarif politika bile uygulanmıyorsa, en dolu risk kaydı bile güncellenmiyorsa hiçbir değer taşımaz. Bu yüzden kurduğunuz sistemi yaşayan, ölçülen ve sürekli iyileşen bir bütün olarak düşünün — sertifikayı hedef değil, doğru kurulmuş bir sürecin doğal sonucu olarak görün.

Bu rehberin, kendi ISMS yolculuğunuzda sağlam bir başlangıç noktası olmasını dilerim. Sorularınız, katkılarınız ve deneyimleriniz için her zaman buradayım.

Başka bir yazımızda görüşmek dileğiyle…