İçindekiler
ISO/IEC 27001:2022 standardı 10 maddeden ve Ek A’dan oluşur. Belgelendirmede denetlenen yönetim sistemi şartları 4. ile 10. maddeler arasındadır.
Bu rehber, ISO 27001 Belgesi için her maddenin ne istediğini ve denetçinin hangi kanıtları aradığını açıklar.
ISO 27001 Maddeleri Tablosu
Maddeler, diğer ISO yönetim sistemi standartlarıyla aynı Yüksek Seviye Yapı’yı izler. Bu sayede ISO 27001, ISO 9001 veya ISO 22301 ile kolayca entegre edilir.
| Madde | Başlık | PUKÖ |
|---|---|---|
| 0–3 | Giriş, kapsam, atıflar, terimler | Tanıtım |
| 4 | Kuruluşun bağlamı | Planla |
| 5 | Liderlik | Planla |
| 6 | Planlama | Planla |
| 7 | Destek | Uygula |
| 8 | İşletim | Uygula |
| 9 | Performans değerlendirme | Kontrol et |
| 10 | İyileştirme | Önlem al |
| Ek A | 93 bilgi güvenliği kontrolü | Risk işleme |
Madde 0–3: Giriş, Kapsam, Atıflar ve Terimler
İlk maddeler şart içermez ve denetimde doğrudan sorgulanmaz. Terimlerin tanımları ISO/IEC 27000 standardından alınır.
Madde 4: Kuruluşun Bağlamı
Kuruluş, bilgi güvenliğini etkileyen iç ve dış konuları belirler. Sistemin kapsamı bu analize göre çizilir.
4.1 Kuruluşun ve Bağlamının Anlaşılması
Mevzuat, müşteri beklentileri, tehdit ortamı ve teknoloji altyapısı değerlendirilir. 2024 ekiyle iklim değişikliğinin ilgili bir konu olup olmadığı da sorgulanır.
4.2 İlgili Tarafların İhtiyaç ve Beklentileri
Müşteri, düzenleyici kurum, tedarikçi ve çalışanların güvenlik beklentileri listelenir. 2022 sürümü, bu beklentilerden hangilerinin sistemle karşılanacağının belirlenmesini ister.
4.3 BGYS Kapsamının Belirlenmesi
Kapsam; birimleri, lokasyonları, varlıkları ve dış arayüzleri gösterecek şekilde yazılır. Kapsam belgesi zorunlu dokümanlardandır.
4.4 Bilgi Güvenliği Yönetim Sistemi
Sistem için gereken süreçler ve bu süreçlerin etkileşimleri tanımlanır. Bu ifade 2022 sürümünde açıkça eklenmiştir.
Madde 5: Liderlik
Üst yönetim, bilgi güvenliğinin iş hedefleriyle uyumundan doğrudan sorumludur. Güvenliği yalnızca BT birimine bırakmak bu maddeye aykırıdır.
5.1 Liderlik ve Taahhüt
Yönetim kaynak sağlar, politikayı onaylar ve sistemin sonuçlarını izler. Denetçi bu taahhüdü üst yönetimle görüşerek doğrular.
5.2 Bilgi Güvenliği Politikası
Kuruluşun amacına uygun, hedef belirlemeye çerçeve sunan bir politika yazılır. Politika çalışanlara ve gerekiyorsa ilgili taraflara duyurulur.
5.3 Roller, Sorumluluklar ve Yetkiler
Bilgi güvenliği sorumluları ve yetkileri atanır. Sistemin performansını yönetime raporlayacak kişi de belirlenir.
Madde 6: Planlama
ISO 27001’in kalbi bu maddedir. Risk değerlendirmesi, risk işleme ve Uygulanabilirlik Bildirgesi burada tanımlanır.
6.1.2 Bilgi Güvenliği Risk Değerlendirmesi
Riskler tutarlı ve tekrarlanabilir bir yöntemle belirlenir, analiz edilir ve değerlendirilir. Risk kabul kriterleri önceden yazılı olarak tanımlanır.
6.1.3 Bilgi Güvenliği Risk İşleme
Her risk için azaltma, kabul, kaçınma veya transfer seçeneği belirlenir. Seçilen kontroller Ek A ile karşılaştırılarak Uygulanabilirlik Bildirgesi hazırlanır.
6.2 Bilgi Güvenliği Hedefleri
Hedefler ölçülebilir, izlenebilir ve politikayla uyumlu olmalıdır. 2022 sürümü hedeflerin izlenmesini açıkça ister.
6.3 Değişikliklerin Planlanması
Sistemde yapılacak değişiklikler planlı ve kontrollü şekilde yürütülür. Bu alt madde 2022 sürümüyle eklenmiştir.
Madde 7: Destek
Sistemin işlemesi için gereken kaynaklar bu maddede ele alınır. İnsan, yetkinlik, farkındalık, iletişim ve dokümantasyon bu kaynaklardır.
7.2 Yetkinlik ve 7.3 Farkındalık
Güvenlik görevi olan kişilerin yetkinliği eğitim ve deneyimle sağlanır. Tüm çalışanlar politikayı ve ihlalin sonuçlarını bilir.
7.4 İletişim ve 7.5 Dokümante Edilmiş Bilgi
Kimin, neyi, ne zaman ve nasıl ileteceği belirlenir. Dokümanlar ve kayıtlar oluşturulur, güncellenir ve erişime göre korunur.
Madde 8: İşletim
Planlanan risk işleme faaliyetleri bu maddede hayata geçirilir. Denetimde en çok kanıt istenen bölüm burasıdır.
8.1 İşletimin Planlanması ve Kontrolü
Süreçler için kriterler belirlenir ve bu kriterlere göre kontrol edilir. Dış kaynaklı süreçler de kontrol altına alınır.
8.2 Risk Değerlendirmesi ve 8.3 Risk İşleme
Risk değerlendirmesi planlı aralıklarla ve önemli değişikliklerde tekrarlanır. Risk işleme planının uygulandığı kayıtlarla gösterilir.
Madde 9: Performans Değerlendirme
Sistemin ve kontrollerin işe yarayıp yaramadığı verilerle ölçülür. Bu madde kontrol aşamasının merkezidir.
9.1 İzleme, Ölçme, Analiz ve Değerlendirme
Neyin, hangi yöntemle, ne zaman ölçüleceği belirlenir. Sonuçlar analiz edilerek yönetime raporlanır.
9.2 İç Tetkik
Planlı aralıklarla tarafsız iç tetkikler yapılır. Tetkik programı, süreçlerin önemini ve önceki tetkik sonuçlarını dikkate alır.
9.3 Yönetimin Gözden Geçirmesi
Üst yönetim sistemi belirli girdilerle düzenli olarak değerlendirir. Çıktılar iyileştirme kararları ve değişiklik ihtiyaçlarıdır.
Madde 10: İyileştirme
Sistem sürekli iyileşecek şekilde işletilir. 2022 sürümünde sürekli iyileştirme 10.1, uygunsuzluk ve düzeltici faaliyet 10.2 olarak yer değiştirmiştir.
10.2 Uygunsuzluk ve Düzeltici Faaliyet
Uygunsuzluğun kök nedeni araştırılır ve tekrarını önleyecek faaliyet uygulanır. Faaliyetin etkinliği daha sonra doğrulanır.
Maddeler Ek A ile Nasıl Bağlanır?
Ek A kontrolleri tek başına uygulanmaz, Madde 6.1.3’teki risk işleme kararlarıyla seçilir. Bu yüzden risk değerlendirmesi zayıf olan bir sistemde Ek A da zayıf kalır.
93 kontrolün tam listesi için ISO 27001 Ek A Kontrolleri rehberine bakın.
ISO 27001 Maddeleri Kontrol Listesi
Aşağıdaki liste, denetim öncesi her maddenin hazır olup olmadığını kontrol etmeniz için hazırlandı. Sayfayı tarayıcınızdan PDF olarak kaydedip ekibinizle paylaşabilirsiniz.
- 4.3 – BGYS kapsamı yazılı ve arayüzler tanımlı mı?
- 5.2 – Bilgi güvenliği politikası onaylı ve duyurulmuş mu?
- 6.1.2 – Risk değerlendirme yöntemi ve kabul kriterleri yazılı mı?
- 6.1.3 – Risk işleme planı ve Uygulanabilirlik Bildirgesi hazır mı?
- 6.2 – Bilgi güvenliği hedefleri ölçülüyor mu?
- 7.2 – Güvenlik rollerinin yetkinlik kayıtları var mı?
- 7.3 – Tüm çalışanlar farkındalık eğitimi aldı mı?
- 8.2 – Risk değerlendirmesi güncel mi?
- 9.1 – Kontrollerin etkinliği ölçülüyor mu?
- 9.2 – Tüm kapsamı içeren iç tetkik yapıldı mı?
- 9.3 – Yönetimin gözden geçirmesi tamamlandı mı?
- 10.2 – Uygunsuzluklar için kök neden analizi yapıldı mı?
Zorunlu dokümanların tam listesi ISO 27001 Belgesi Şartları yazısındadır.
Sıkça Sorulan Sorular
ISO 27001’de kaç madde vardır?
Standart 10 maddeden ve Ek A’dan oluşur. Belgelendirmede denetlenen şartlar 4. ile 10. maddeler arasındadır.
ISO 27001 maddeleri ile Ek A aynı şey mi?
Hayır, maddeler yönetim sisteminin şartlarıdır ve hepsi zorunludur. Ek A ise risk değerlendirmesine göre seçilen kontrollerin listesidir.
Hangi madde kapsam dışı bırakılabilir?
4. ile 10. maddeler kapsam dışı bırakılamaz. Yalnızca Ek A kontrolleri gerekçesiyle hariç tutulabilir.
2013 ile 2022 sürümünün maddeleri farklı mı?
Madde yapısı aynıdır, ancak 4.2, 4.4, 6.2, 6.3 ve 8.1’de küçük değişiklikler vardır. Asıl büyük değişiklik Ek A kontrollerindedir.