ISO 27001 Belgesi Şartları ve Zorunlu Dokümanlar

ISO 27001 belgesi için kuruluşun yasal olarak faaliyette olması, risk değerlendirmesini tamamlaması ve seçtiği güvenlik kontrollerini uyguluyor olması gerekir. Sistem, denetimden önce kayıt üretmiş olmalıdır.

Bu yazı, ISO 27001 Belgesi için ön koşulları, zorunlu dokümanları ve kayıtları listeler.

Başvuru Ön Koşulları

Belgelendirme kuruluşu, denetime başlamadan önce bazı temel koşulları kontrol eder. Bunlar sağlanmadan belgelendirme denetimi yapılamaz.

Tanımlı Kapsam

Kapsamdaki birimler, lokasyonlar ve sistemler yazılı olarak belirlenmelidir. Kapsam dışındaki taraflarla arayüzler tanımlanmalıdır.

Risk Değerlendirmesi ve Bildirge

Risk değerlendirmesi, risk işleme planı ve Uygulanabilirlik Bildirgesi tamamlanmış olmalıdır. Bunlar Aşama 1 denetiminin temel girdileridir.

Uygulanan Kontroller

Seçilen kontroller uygulanıyor ve kayıt üretiyor olmalıdır. Denetçi kanıtı kayıtlarda, sistem ayarlarında ve görüşmelerde arar.

İç Tetkik ve Yönetimin Gözden Geçirmesi

Belgelendirmeden önce sistemin tamamını kapsayan bir iç tetkik yapılmalıdır. Yönetimin gözden geçirmesi tamamlanıp kayda alınmalıdır.

ISO 27001 Zorunlu Dokümanları

ISO/IEC 27001:2022’nin ana maddeleri aşağıdaki bilgileri açıkça “dokümante edilmiş bilgi” olarak ister. Ek A kontrollerinin bir kısmı da ayrıca doküman gerektirir.

Doküman	Madde
BGYS kapsamı	4.3
Bilgi güvenliği politikası	5.2
Risk değerlendirme prosesi	6.1.2
Risk işleme prosesi	6.1.3
Uygulanabilirlik Bildirgesi	6.1.3 d
Bilgi güvenliği amaçları	6.2
Operasyonel planlama ve kontrol bilgileri	8.1

Tutulması Gereken Kayıtlar

Kayıtlar, sistemin ve kontrollerin uygulandığının kanıtıdır. Denetçi bu kayıtlardan örnekler inceler.

Kayıt	Madde
Yetkinlik kanıtları	7.2
Risk değerlendirmesi sonuçları	8.2
Risk işleme sonuçları	8.3
İzleme ve ölçme sonuçları	9.1
İç tetkik programı ve sonuçları	9.2
Yönetimin gözden geçirmesi sonuçları	9.3
Uygunsuzluklar ve düzeltici faaliyetler	10.2

Sık İstenen Politika ve Prosedürler

Ek A kontrolleri seçildiğinde bazı politika ve prosedürlerin yazılı olması beklenir. Aşağıdakiler denetimlerde en sık incelenen dokümanlardır.

Bilgi varlıkları envanteri ve kabul edilebilir kullanım kuralları
Erişim kontrol politikası
Bilgi güvenliği olay yönetimi prosedürü
Tedarikçi ilişkilerinde bilgi güvenliği
Yedekleme ve iş sürekliliği için BT hazırlığı
Yasal, mevzuat ve sözleşme şartları listesi
Dokümante edilmiş işletim prosedürleri

Kontrollerin tam listesi ISO 27001 Ek A Kontrolleri rehberinde yer alır.

ISO 27001:2013 Belgeli Firmalar Ne Yapmalı?

2013 sürümüne göre verilen belgelerin geçiş süresi Ekim 2025’te sona erdi. Bu tarihe kadar geçişini tamamlamayan kuruluşların belgesi geçerliliğini yitirdi.

Belgesi düşen bir kuruluş, 2022 sürümüne göre yeniden ilk belgelendirme sürecine girer. Bu süreçte risk değerlendirmesi ve Uygulanabilirlik Bildirgesi yeni 93 kontrole göre güncellenir.

Uygulanabilirlik Bildirgesi’ni 2022 Ek A’ya göre yeniden hazırlayın.
11 yeni kontrol için uygulama kanıtlarını oluşturun.
Politika ve prosedürlerdeki eski madde atıflarını güncelleyin.
Değişen şartları kapsayan bir iç tetkik yapın.

Denetime Hazır mısınız? Kontrol Listesi

Aşağıdaki sorulara “evet” diyebiliyorsanız denetime hazırsınız. Eksik varsa önce onları tamamlayın.

Kapsam ve bilgi güvenliği politikası yazılı mı?
Bilgi varlıkları envanteri güncel mi?
Risk değerlendirmesi ve risk işleme planı tamamlandı mı?
Uygulanabilirlik Bildirgesi kontrollerin gerçek durumunu yansıtıyor mu?
Erişim yetkileri düzenli gözden geçiriliyor mu?
Yedekler test ediliyor mu?
Bilgi güvenliği olayları kayıt altında mı?
İç tetkik ve yönetimin gözden geçirmesi tamamlandı mı?

Eksiklerin tespiti için ISO 27001 Danışmanlığı, adımlar için ISO 27001 Belgesi Nasıl Alınır rehberine bakın.

Sıkça Sorulan Sorular

Uygulanabilirlik Bildirgesi nedir?

Ek A’daki her kontrolün uygulanıp uygulanmadığını ve gerekçesini gösteren dokümandır. Örnek tablo için Uygulanabilirlik Bildirgesi rehberine bakın.

Her Ek A kontrolünü uygulamak zorunlu mu?

Hayır, kontroller risk değerlendirmesine göre seçilir. Dışarıda bırakılan kontrollerin gerekçesi yazılmalıdır.

Bilgi güvenliği politikası kaç sayfa olmalı?

Standart uzunluk belirlemez, bir sayfalık onaylı bir politika yeterlidir. Örnek metin için Bilgi Güvenliği Politikası yazısına bakın.

Küçük yazılım firmaları için şartlar daha mı az?

Şartlar her kuruluş için aynıdır. Ancak küçük ve tek lokasyonlu yapılarda dokümantasyon çok daha sadedir.