Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · Kurumsal Web
Mevcut politika, süreç ve teknik kontrollerinizin ISO/IEC 27001:2022 gereklilikleri karşısındaki durumunu görüşme, doküman incelemesi ve kanıt örneklemesiyle ölçüyor; eksikleri önceliklendirilmiş bir yol haritasına dönüştürüyoruz.
Gap analizi, kuruluşun bugün ne yaptığı ile ISO 27001’in ne beklediği arasındaki farkın kanıta dayalı olarak ölçülmesidir. Yalnızca “var/yok” işaretlenen bir kontrol listesi değildir; her gereklilik için uygulamanın varlığı, tutarlılığı ve kaydı ayrı değerlendirilir. Sonuç, hangi işlerin hangi sırayla ve ne kadar eforla yapılacağını gösteren bir plan olur.
Kurulumun ne kadar iş gerektirdiği bilinmediği için yönetim kararı ertelenebiliyor.
Teknik ekip yedekleme ve erişim kontrollerini uyguladığını düşünüyor ancak kayıt, onay ve gözden geçirme kanıtı bulunmuyor.
Onlarca eksik var; hangisinin belgelendirme açısından kritik, hangisinin iyileştirme önerisi olduğu ayrıştırılamıyor.
Her yönetim sistemi maddesi ve seçilen Ek A kontrolleri; tanımlı mı, uygulanıyor mu, kaydı tutuluyor mu ve etkinliği ölçülüyor mu soruları üzerinden puanlanır. Bulgular “belgelendirmeyi engelleyebilecek”, “önemli” ve “iyileştirme” olarak sınıflandırılır.
Kapsam taslağı, organizasyon, sistem listesi ve mevcut dokümanların toplanması.
Madde 4–10 gerekliliklerinin görüşme ve doküman incelemesiyle ele alınması.
Ek A kontrollerinin uygulama durumunun ilgili ekiplerle görüşme ve örnek kanıtla doğrulanması.
Seçilmiş konularda (erişim listeleri, yedek raporları, yama durumu, log kayıtları) örnek kontrol.
Bulguların kritikliğe göre sıralanması, iş paketleri ve kaba efor tahmini.
Gap analizinde beyan yerine kanıt esas alınır. “Erişimler üç ayda bir gözden geçiriliyor” cevabı, son gözden geçirmenin kaydıyla doğrulanır. Bu yaklaşım sonraki BGYS kurulum projesinin kapsamını netleştirir. Riskler henüz değerlendirilmemişse risk analizi ve SoA yol haritasının ilk iş paketi olarak planlanır. Teknik kontrollerin derinlemesine testi gerekiyorsa BT güvenlik denetimi ile birleştirilebilir.
Yönetim sistemi gerekliliği hiç karşılanmıyor (ör. risk değerlendirmesi yok, iç denetim yapılmamış). Belgelendirmeyi doğrudan engelleyebilir.
Gereklilik kısmen karşılanıyor ancak kanıt veya tutarlılık eksik (ör. politika var, gözden geçirme kaydı yok).
Gereklilik karşılanıyor; etkinlik veya verimlilik artırılabilir (ör. manuel yürütülen bir kontrolün otomasyonu).
Kapsam dışında kalan kontroller; SoA’da gerekçesiyle belirtilmesi gerekir.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Hayır. Gap analizi mevcut durumu ölçer ve yol haritası verir; eksiklerin giderilmesi kurulum projesinin konusudur.
Görüşme ve doküman incelemesi uzaktan yapılabilir. Fiziksel güvenlik ve sahadaki kontroller için kısa bir saha ziyareti önerilir.
Evet, madde ve kontrol bazında olgunluk puanı verilir; ancak asıl çıktı önceliklendirilmiş eksik listesi ve yol haritasıdır.
Ticari koşullar teklif aşamasında netleştirilir; analiz çıktıları kurulum projesinde doğrudan kullanılır.
Mevcut kontrollerinizin standardın gerekleri karşısındaki durumunu kanıta dayalı değerlendirin.
Kısa süreli proje
Gap analizi, kurulum projesinin kapsamını ve bütçesini gerçekçi kılar.
Kapsam taslağı ve doküman talebi iletilir.
Fonksiyon bazlı görüşmeler ve doküman incelemesi yapılır.
Seçilmiş kontrollerde kanıt doğrulanır.
Bulgular, yol haritası ve efor tahmini yönetime sunulur.
Bilgi güvenliği yönetim sistemini sıfırdan kurun; kapsam, risk, kontrol, süreç ve kanıtları denetime hazır hale getirin.
Bilgi varlıkları ve süreçleri için tekrarlanabilir risk değerlendirmesi ve gerekçeli kontrol seçimi oluşturun.
Kimlik, ağ, sunucu, yedekleme ve operasyon kontrollerini delile dayalı değerlendirin.
Aşama 1 ve Aşama 2 öncesinde eksikleri kapatın, kanıtları toplayın ve ekibi hazırlayın.
Kapsamınızı ve mevcut kontrollerinizi kısa bir görüşmede dinliyor, gap analizinin yöntemi, örnekleme seviyesi ve çıktıları için teklif sunuyoruz.