Uygulanabilirlik Bildirgesi Nedir? Örnek SoA

Uygulanabilirlik Bildirgesi, ISO 27001 Ek A’daki 93 kontrolün her biri için uygulanıp uygulanmadığını ve gerekçesini gösteren zorunlu dokümandır. İngilizce adıyla Statement of Applicability (SoA) olarak da bilinir.

Bu rehber, ISO 27001 Belgesi sürecinde bildirgenin nasıl hazırlanacağını ve denetimde nasıl değerlendirildiğini anlatır.

Uygulanabilirlik Bildirgesi Nedir?

Bildirge, risk değerlendirmesinin sonuçlarını Ek A kontrolleriyle eşleştiren bir tablodur. Kuruluşun hangi güvenlik önlemlerini neden aldığını tek belgede özetler.

Standardın 6.1.3 maddesi bildirgenin hazırlanmasını zorunlu tutar. Bildirge olmadan ISO 27001 belgelendirme denetimi yapılamaz.

Uygulanabilirlik Bildirgesinde Neler Yer Alır?

Standart, bildirgede bulunması gereken bilgileri açıkça sayar. Her kontrol için aşağıdaki dört bilgi yazılır.

Gerekli kontroller ve bunların neden gerekli olduğu
Kontrolün uygulanıp uygulanmadığı
Ek A kontrollerinden hariç tutulanlar ve hariç tutma gerekçesi
Ek A dışında eklenen kontroller varsa bunların listesi

Uygulamada çoğu kuruluş, kontrolün nasıl uygulandığını gösteren doküman veya kayıt referansını da ekler. Bu sütun denetimi belirgin şekilde hızlandırır.

Uygulanabilirlik Bildirgesi Örneği

Aşağıdaki tablo, küçük bir yazılım firması için hazırlanmış bildirgeden kısa bir örnektir. Gerçek bildirgede 93 kontrolün tamamı listelenir.

Kontrol	Durum	Gerekçe	Referans
5.15 Erişim kontrolü	Uygulanıyor	Müşteri verisine yetkisiz erişim riski	Erişim kontrol politikası
5.23 Bulut hizmetlerinin kullanımında bilgi güvenliği	Uygulanıyor	Ürün bulut altyapısında çalışıyor	Bulut güvenliği prosedürü
7.4 Fiziksel güvenliğin izlenmesi	Uygulanıyor	Ofiste sunucu ve dizüstü bilgisayarlar bulunuyor	Kamera ve alarm kayıtları
8.13 Bilgi yedekleme	Uygulanıyor	Veri kaybı riski ve sözleşme şartı	Yedekleme planı, geri yükleme testleri
8.28 Güvenli kodlama	Uygulanıyor	Kendi yazılımını geliştiriyor	Güvenli kodlama standardı
7.12 Kablolama güvenliği	Hariç	Ofis kablolaması bina yönetimine ait, kritik veri taşımıyor	Risk değerlendirmesi R-14

Uygulanabilirlik Bildirgesi Nasıl Hazırlanır?

Bildirge, risk değerlendirmesinden sonra hazırlanır, ondan önce değil. Sırayı tersine çevirmek denetimde en sık görülen hatalardandır.

1. Risk Değerlendirmesini Tamamlayın

Varlıklar, tehditler ve açıklıklar belirlenip riskler puanlanır. Ayrıntılı yöntem için ISO 27001 Risk Değerlendirmesi rehberine bakın.

2. Risk İşleme Kararlarını Verin

Kabul edilemeyen her risk için hangi kontrollerin uygulanacağına karar verilir. Bu kararlar risk işleme planına yazılır.

3. Seçilen Kontrolleri Ek A ile Karşılaştırın

Seçilen kontroller 93 kontrolle tek tek karşılaştırılır. Amaç, gerekli bir kontrolün gözden kaçmadığından emin olmaktır.

4. Gerekçeleri ve Referansları Yazın

Her satır için kısa ama anlaşılır bir gerekçe yazılır. Uygulanan kontrollere ilgili politika, prosedür veya kayıt referansı eklenir.

5. Onaylayın ve Güncel Tutun

Bildirge yönetim tarafından onaylanır ve sürüm numarası verilir. Risk değerlendirmesi değiştiğinde bildirge de güncellenir.

Kontrol Hariç Tutma Gerekçesi Nasıl Yazılır?

Bir kontrol ancak ilgili risk yoksa veya başka bir yolla karşılanıyorsa hariç tutulabilir. “Uygulanmıyor” demek tek başına gerekçe sayılmaz.

Zayıf gerekçe: Bu kontrol bizim için geçerli değil.
Güçlü gerekçe: Kuruluş yazılım geliştirmiyor, tüm yazılımlar hazır paket olarak satın alınıyor; bu nedenle 8.28 güvenli kodlama kontrolü gerekli değildir.

Denetçi hariç tutulan kontrolleri özellikle sorgular. Sahada hariç tutulan konuyla ilgili bir faaliyet görürse uygunsuzluk yazar.

Denetçi Uygulanabilirlik Bildirgesinde Neye Bakar?

Bildirge, Aşama 1 denetiminde ilk incelenen dokümanlardandır. Aşama 2’de ise sahadaki uygulamayla karşılaştırılır.

93 kontrolün tamamı listelenmiş mi?
Bildirgedeki kararlar risk değerlendirmesiyle tutarlı mı?
Hariç tutma gerekçeleri ikna edici mi?
Uygulanıyor denen kontrollerin kanıtı var mı?
Bildirge onaylı, sürümlü ve güncel mi?

Kontrollerin tam listesi ve tipik kanıtları için ISO 27001 Ek A Kontrolleri rehberine göz atın.

Sık Yapılan Hatalar

Bildirgedeki hatalar çoğunlukla aceleyle ve şablondan hazırlanmasından kaynaklanır. En sık karşılaştıklarımız şunlardır.

Şablondan Kopyalanmış Bildirge

Başka bir firmanın bildirgesi kendi riskinize uymaz. Denetçi gerekçeleri sahayla karşılaştırdığında tutarsızlık hemen ortaya çıkar.

Her Kontrolü Uygulanıyor Göstermek

Tüm kontrolleri uygulanıyor işaretlemek güvenli görünse de her biri için kanıt istenir. Kanıtı olmayan her satır uygunsuzluk riskidir.

2013 Sürümüne Göre Kalmış Bildirge

2022 sürümünde kontrol sayısı 114’ten 93’e indi ve numaralar değişti. Eski numaralarla hazırlanmış bir bildirge geçerli sayılmaz.

Sıkça Sorulan Sorular

Uygulanabilirlik Bildirgesi zorunlu mu?

Evet, ISO 27001’in 6.1.3 maddesi bildirgeyi zorunlu dokümanlar arasında sayar. Bildirge olmadan belgelendirme yapılamaz.

Bildirge Excel’de hazırlanabilir mi?

Evet, standart bir format şart koşmaz. Önemli olan içeriğin tam, onaylı ve sürüm kontrollü olmasıdır.

Bildirge ne sıklıkla güncellenmeli?

Risk değerlendirmesi değiştiğinde ve her yönetimin gözden geçirmesinde kontrol edilmelidir. Yılda en az bir kez güncellik teyidi önerilir.

Bildirge müşteriyle paylaşılır mı?

Bazı müşteriler tedarikçi değerlendirmesinde bildirgeyi ister. Hassas ayrıntılar çıkarılmış bir özet sürüm paylaşılabilir.