İçindekiler
ISO/IEC 27001:2022’nin Ek A bölümünde 4 tema altında toplanan 93 bilgi güvenliği kontrolü bulunur. Kuruluş, risk değerlendirmesine göre bu kontrollerden hangilerini uygulayacağını seçer.
Bu rehber, ISO 27001 Belgesi için Ek A kontrollerinin yapısını, yeni kontrolleri ve denetimde istenen kanıtları açıklar.
Ek A Kontrolleri Nasıl Düzenlenmiştir?
2013 sürümündeki 14 bölüm ve 114 kontrol, 2022 sürümünde 4 tema ve 93 kontrole indirilmiştir. Kontrollerin bir kısmı birleştirilmiş, 11 kontrol ise yeni eklenmiştir.
| Tema | Ek A bölümü | Kontrol sayısı |
|---|---|---|
| Organizasyonel kontroller | A.5 | 37 |
| İnsan kaynaklı kontroller | A.6 | 8 |
| Fiziksel kontroller | A.7 | 14 |
| Teknolojik kontroller | A.8 | 34 |
| Toplam | 93 |
Ek A kontrollerinin uygulama rehberi ayrı bir standart olan ISO/IEC 27002:2022’de yer alır. Bu standart her kontrol için ayrıntılı öneriler sunar.
A.5 Organizasyonel Kontroller
En kalabalık temadır ve bilgi güvenliğinin yönetim boyutunu kapsar. Politikalar, roller, varlık yönetimi ve tedarikçi ilişkileri bu temadadır.
Öne Çıkan Kontroller
- Bilgi güvenliği politikaları
- Bilgi ve ilgili diğer varlıkların envanteri
- Erişim kontrolü ve kimlik yönetimi
- Tedarikçi ilişkilerinde bilgi güvenliği
- Bilgi güvenliği olaylarının yönetimi
- Kesinti sırasında bilgi güvenliği
- Kişisel verilerin gizliliği ve korunması
A.6 İnsan Kaynaklı Kontroller
Çalışanların işe alımdan ayrılışa kadar bilgi güvenliğine etkisini yönetir. İnsan hatası ihlallerin önemli bir nedeni olduğu için bu tema kritiktir.
Öne Çıkan Kontroller
- İşe alım öncesi tarama
- Bilgi güvenliği farkındalığı ve eğitimi
- Gizlilik sözleşmeleri
- Uzaktan çalışma
- Bilgi güvenliği olaylarının raporlanması
A.7 Fiziksel Kontroller
Ofis, sistem odası ve ekipmanların fiziksel güvenliğini kapsar. Denetimde sahada gözlemle doğrulanır.
Öne Çıkan Kontroller
- Fiziksel güvenlik sınırları ve giriş kontrolleri
- Fiziksel güvenliğin izlenmesi
- Temiz masa ve temiz ekran
- Ekipmanın güvenli şekilde elden çıkarılması
A.8 Teknolojik Kontroller
BT altyapısının teknik güvenliğini kapsar. Denetimde sistem ekranları ve log kayıtlarıyla doğrulanır.
Öne Çıkan Kontroller
- Uç nokta cihazlarının güvenliği
- Ayrıcalıklı erişim hakları
- Kötü amaçlı yazılımlara karşı koruma
- Teknik açıklıkların yönetimi
- Bilgi yedekleme
- Kayıt tutma (loglama)
- Kriptografi kullanımı
- Ağ güvenliği
2022 Sürümündeki 11 Yeni Kontrol
Yeni kontroller bulut, veri sızıntısı ve güvenli yazılım geliştirme gibi güncel riskleri hedefler. 2013 belgesinden geçen kuruluşlarda denetçinin en çok sorguladığı başlıklar bunlardır.
| Kontrol | Tema |
|---|---|
| Tehdit istihbaratı | A.5 |
| Bulut hizmetlerinin kullanımında bilgi güvenliği | A.5 |
| İş sürekliliği için BT hazırlığı | A.5 |
| Fiziksel güvenliğin izlenmesi | A.7 |
| Konfigürasyon yönetimi | A.8 |
| Bilginin silinmesi | A.8 |
| Veri maskeleme | A.8 |
| Veri sızıntısının önlenmesi | A.8 |
| İzleme faaliyetleri | A.8 |
| Web filtreleme | A.8 |
| Güvenli kodlama | A.8 |
93 Kontrolün Tam Listesi
Aşağıdaki tablolar, ISO/IEC 27001:2022 Ek A’daki tüm kontrolleri tema sırasıyla gösterir. Kontrol adları Türkçe karşılıklarıyla verilmiştir.
A.5 Organizasyonel Kontroller (37)
| No | Kontrol |
|---|---|
| 5.1 | Bilgi güvenliği politikaları |
| 5.2 | Bilgi güvenliği rolleri ve sorumlulukları |
| 5.3 | Görevlerin ayrılığı |
| 5.4 | Yönetim sorumlulukları |
| 5.5 | Otoritelerle iletişim |
| 5.6 | Özel ilgi gruplarıyla iletişim |
| 5.7 | Tehdit istihbaratı |
| 5.8 | Proje yönetiminde bilgi güvenliği |
| 5.9 | Bilgi ve ilgili diğer varlıkların envanteri |
| 5.10 | Bilgi ve ilgili varlıkların kabul edilebilir kullanımı |
| 5.11 | Varlıkların iadesi |
| 5.12 | Bilginin sınıflandırılması |
| 5.13 | Bilginin etiketlenmesi |
| 5.14 | Bilgi transferi |
| 5.15 | Erişim kontrolü |
| 5.16 | Kimlik yönetimi |
| 5.17 | Kimlik doğrulama bilgisi |
| 5.18 | Erişim hakları |
| 5.19 | Tedarikçi ilişkilerinde bilgi güvenliği |
| 5.20 | Tedarikçi anlaşmalarında bilgi güvenliğinin ele alınması |
| 5.21 | BİT tedarik zincirinde bilgi güvenliğinin yönetimi |
| 5.22 | Tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi |
| 5.23 | Bulut hizmetlerinin kullanımında bilgi güvenliği |
| 5.24 | Bilgi güvenliği olay yönetiminin planlanması ve hazırlık |
| 5.25 | Bilgi güvenliği olaylarının değerlendirilmesi ve karar |
| 5.26 | Bilgi güvenliği ihlal olaylarına müdahale |
| 5.27 | Bilgi güvenliği ihlal olaylarından öğrenme |
| 5.28 | Kanıt toplama |
| 5.29 | Kesinti sırasında bilgi güvenliği |
| 5.30 | İş sürekliliği için BİT hazırlığı |
| 5.31 | Yasal, düzenleyici ve sözleşmeden doğan gereklilikler |
| 5.32 | Fikri mülkiyet hakları |
| 5.33 | Kayıtların korunması |
| 5.34 | Kişisel verilerin gizliliği ve korunması |
| 5.35 | Bilgi güvenliğinin bağımsız gözden geçirilmesi |
| 5.36 | Bilgi güvenliği politika, kural ve standartlarına uyum |
| 5.37 | Dokümante edilmiş işletim prosedürleri |
A.6 İnsan Kaynaklı Kontroller (8)
| No | Kontrol |
|---|---|
| 6.1 | Tarama (işe alım öncesi doğrulama) |
| 6.2 | İstihdam hüküm ve koşulları |
| 6.3 | Bilgi güvenliği farkındalığı, öğretimi ve eğitimi |
| 6.4 | Disiplin süreci |
| 6.5 | İstihdamın sona ermesi veya değişmesinden sonraki sorumluluklar |
| 6.6 | Gizlilik veya ifşa etmeme anlaşmaları |
| 6.7 | Uzaktan çalışma |
| 6.8 | Bilgi güvenliği olaylarının raporlanması |
A.7 Fiziksel Kontroller (14)
| No | Kontrol |
|---|---|
| 7.1 | Fiziksel güvenlik sınırları |
| 7.2 | Fiziksel giriş |
| 7.3 | Ofislerin, odaların ve tesislerin güvenliği |
| 7.4 | Fiziksel güvenliğin izlenmesi |
| 7.5 | Fiziksel ve çevresel tehditlere karşı koruma |
| 7.6 | Güvenli alanlarda çalışma |
| 7.7 | Temiz masa ve temiz ekran |
| 7.8 | Ekipman yerleşimi ve korunması |
| 7.9 | Tesis dışındaki varlıkların güvenliği |
| 7.10 | Depolama ortamları |
| 7.11 | Destekleyici altyapı hizmetleri |
| 7.12 | Kablolama güvenliği |
| 7.13 | Ekipman bakımı |
| 7.14 | Ekipmanın güvenli şekilde elden çıkarılması veya yeniden kullanımı |
A.8 Teknolojik Kontroller (34)
| No | Kontrol |
|---|---|
| 8.1 | Kullanıcı uç nokta cihazları |
| 8.2 | Ayrıcalıklı erişim hakları |
| 8.3 | Bilgiye erişimin kısıtlanması |
| 8.4 | Kaynak koda erişim |
| 8.5 | Güvenli kimlik doğrulama |
| 8.6 | Kapasite yönetimi |
| 8.7 | Kötü amaçlı yazılımlara karşı koruma |
| 8.8 | Teknik açıklıkların yönetimi |
| 8.9 | Konfigürasyon yönetimi |
| 8.10 | Bilginin silinmesi |
| 8.11 | Veri maskeleme |
| 8.12 | Veri sızıntısının önlenmesi |
| 8.13 | Bilgi yedekleme |
| 8.14 | Bilgi işleme olanaklarının yedekliliği |
| 8.15 | Kayıt tutma (loglama) |
| 8.16 | İzleme faaliyetleri |
| 8.17 | Saat senkronizasyonu |
| 8.18 | Ayrıcalıklı yardımcı programların kullanımı |
| 8.19 | İşletimdeki sistemlere yazılım kurulumu |
| 8.20 | Ağ güvenliği |
| 8.21 | Ağ hizmetlerinin güvenliği |
| 8.22 | Ağların ayrılması |
| 8.23 | Web filtreleme |
| 8.24 | Kriptografi kullanımı |
| 8.25 | Güvenli geliştirme yaşam döngüsü |
| 8.26 | Uygulama güvenliği gereklilikleri |
| 8.27 | Güvenli sistem mimarisi ve mühendislik ilkeleri |
| 8.28 | Güvenli kodlama |
| 8.29 | Geliştirme ve kabulde güvenlik testleri |
| 8.30 | Dış kaynaklı geliştirme |
| 8.31 | Geliştirme, test ve canlı ortamların ayrılması |
| 8.32 | Değişiklik yönetimi |
| 8.33 | Test bilgisi |
| 8.34 | Denetim testleri sırasında bilgi sistemlerinin korunması |
Kontrol Nitelikleri (Attributes)
ISO/IEC 27002:2022, her kontrolü beş nitelikle etiketler. Bu etiketler kontrolleri farklı açılardan filtrelemeyi ve raporlamayı kolaylaştırır.
| Nitelik | Değerler |
|---|---|
| Kontrol türü | Önleyici, tespit edici, düzeltici |
| Bilgi güvenliği özellikleri | Gizlilik, bütünlük, erişilebilirlik |
| Siber güvenlik kavramları | Tanımla, koru, tespit et, müdahale et, kurtar |
| Operasyonel yetenekler | Varlık yönetimi, kimlik ve erişim yönetimi, tehdit ve açıklık yönetimi gibi alanlar |
| Güvenlik alanları | Yönetişim ve ekosistem, koruma, savunma, dayanıklılık |
Nitelikler belgelendirme şartı değildir, ISO 27002’deki bir rehber araçtır. Ancak risk işleme planını yönetime anlatırken büyük kolaylık sağlar.
Ek A, ISO 27701 ve KVKK Uyumu
Kişisel verilerin korunması için gereken teknik ve idari tedbirlerin çoğu Ek A kontrolleriyle karşılanır. Erişim kontrolü, loglama, şifreleme, yedekleme ve olay yönetimi bunların başında gelir.
ISO 27701, Ek A’yı kişisel veri gizliliğine özel ek kontrollerle genişletir. Ayrıntılar için ISO 27701 Belgesi sayfasına bakabilirsiniz.
Uygulanabilirlik Bildirgesi
Uygulanabilirlik Bildirgesi, 93 kontrolün her biri için uygulanıp uygulanmadığını ve gerekçesini gösterir. Denetçi, bildirgedeki her “uygulanıyor” ifadesinin kanıtını arar.
Bir kontrol, ilgili risk yoksa gerekçesiyle dışarıda bırakılabilir. Örnek tablo ve hazırlama adımları için Uygulanabilirlik Bildirgesi rehberine bakın.
Bildirgenin diğer zorunlu dokümanlarla ilişkisi ISO 27001 Belgesi Şartları yazısında anlatılmıştır.
Kontrollerin Denetimde Kanıtlanması
Her kontrolün kanıtı farklıdır: bazıları dokümanla, bazıları kayıtla, bazıları sistem ayarıyla gösterilir. Denetçi örnekleme yaparak kanıtları inceler.
| Kontrol örneği | Tipik kanıt |
|---|---|
| Erişim hakları | Yetki gözden geçirme kayıtları, kullanıcı listeleri |
| Bilgi yedekleme | Yedekleme planı ve geri yükleme test kayıtları |
| Teknik açıklık yönetimi | Güncelleme kayıtları, tarama veya sızma testi raporları |
| Farkındalık eğitimi | Eğitim katılım listeleri, içerik |
| Tedarikçi güvenliği | Sözleşmelerdeki güvenlik ve gizlilik maddeleri |
Kontrolleri ekibinize anlatmak için ISO 27001 Eğitimi sayfasına göz atın.
Sıkça Sorulan Sorular
ISO 27001’de kaç kontrol vardır?
ISO/IEC 27001:2022 Ek A’da 93 kontrol bulunur. Bu kontroller 4 tema altında toplanmıştır.
ISO 27001 ile ISO 27002 arasındaki fark nedir?
ISO 27001 belgelendirilebilir şartları içerir. ISO 27002 ise kontrollerin nasıl uygulanacağına dair rehberdir ve tek başına belgelendirilmez.
2013’teki 114 kontrol nereye gitti?
Kontrollerin çoğu birleştirilerek 93’e indirildi ve 11 yeni kontrol eklendi. Kaldırılan kontrol sayısı çok azdır.
Ek A dışında kontrol eklenebilir mi?
Evet, kuruluş riskine göre ek kontroller tanımlayabilir. Ek A, eksiksiz bir kontrol listesi olarak değil, kontrol kaçırılmasın diye referans olarak kullanılır.