ISO 27001 SoA Nedir? Uygulanabilirlik Bildirgesi Hazırlama

Uygulanabilirlik Bildirgesi (Statement of Applicability, SoA), ISO 27001 denetiminde en çok incelenen dokümanlardan biridir. Çünkü SoA, kuruluşun risk değerlendirmesinden çıkan kararlarla uyguladığı kontroller arasındaki bağı tek bir tabloda gösterir. İyi hazırlanmış bir SoA, denetçinin “bu kontrolü neden uyguluyorsunuz, şu kontrolü neden uygulamıyorsunuz?” sorularının cevabını önceden verir.

SoA’nın içermesi gerekenler

Standart, SoA’nın gerekli kontrolleri, bunların dahil edilme gerekçesini, uygulanıp uygulanmadığını ve Ek A kontrollerinden dışlananların gerekçesini içermesini bekler. Pratikte her satır şu sütunlara sahiptir:

SoA nasıl hazırlanır? Altı adım

1. Risk işleme kararlarını toplayın. Her “azaltma” kararı için seçilen kontrolleri listeleyin.
2. Diğer gereklilikleri ekleyin. KVKK, müşteri sözleşmeleri veya TISAX gibi gerekliliklerin zorunlu kıldığı kontrolleri işaretleyin.
3. Ek A ile karşılaştırın. Ek A’nın her kontrolünü gözden geçirip gerekli bir kontrolün atlanmadığını doğrulayın.
4. Dışlamaları gerekçelendirin. Örneğin “kuruluş yazılım geliştirmiyor” gerekçesiyle güvenli geliştirme kontrollerinin dışlanması; ancak hazır yazılımların özelleştirilmesi yapılıyorsa bu gerekçe geçersiz kalabilir.
5. Uygulama durumunu dürüstçe belirtin. Henüz tamamlanmamış kontroller “planlandı” olarak işaretlenir ve risk işleme planında takip edilir.
6. Onaylayın ve sürümleyin. SoA bir yaşayan dokümandır; kontrol değişikliklerinde güncellenir.

Örnek SoA satırları

Sık görülen SoA hataları

• Tüm kontrollerin gerekçesiz “Evet / uygulandı” işaretlenmesi.
• Gerekçe sütununda yalnızca “risk” yazması; hangi riskin ilişkili olduğunun belirtilmemesi.
• 2013 sürümüne ait 114 kontrol yapısıyla hazırlanmış eski SoA’nın güncellenmemesi.
• Referans verilen dokümanların bulunmaması veya farklı isimle tutulması.
• Risk işleme planı ile SoA arasında tutarsız durum bilgisi.

2022 sürümüne geçişte SoA

ISO/IEC 27001:2022, Ek A kontrollerini ISO/IEC 27002:2022 ile uyumlu dört tema altında yeniden düzenlemiş ve tehdit istihbaratı, bulut hizmetlerinin kullanımı, konfigürasyon yönetimi, veri maskeleme, izleme faaliyetleri gibi yeni kontroller eklemiştir. 2013 sürümüyle hazırlanmış bir SoA’nın yeni yapıya taşınması ve yeni kontrollerin risk kararlarıyla değerlendirilmesi gerekir. Belgelendirme kuruluşlarının geçiş takvimi uygulama öncesinde kendi duyurularından teyit edilmelidir.

Sık sorulan sorular

SoA’yı müşterilerle paylaşmak zorunda mıyız?

Hayır. SoA iç bir dokümandır ve hassas bilgiler içerebilir. Müşteriler talep ederse özet veya gizlilik sözleşmesi kapsamında paylaşım değerlendirilebilir.

SoA’daki “planlandı” durumundaki kontroller denetimde sorun çıkarır mı?

Planlı kontrollerin risk işleme planında sorumlu ve hedef tarihle izlenmesi ve kalan riskin onaylanmış olması gerekir. Tamamlanmamış kontrollerin kritik risklerle ilgili olması durumunda denetçi gerekçe sorgulayabilir.

SoA ne sıklıkla güncellenir?

Kontrol seçimi veya uygulama durumu değiştiğinde ve risk değerlendirmesinin gözden geçirildiği planlı aralıklarda. Her güncelleme sürüm numarası ve onayla kayıt altına alınmalıdır.

SoA ve risk çalışmanızı birlikte yürütmek isterseniz ISO 27001 Risk Analizi, Risk İşleme ve SoA hizmetimizi inceleyebilirsiniz.