Dış Kaynak BGYS Danışmanlığı: Ne Teslim Almalısınız?

Bilgi güvenliği yönetim sistemini dış kaynak bir danışmanla kurmak veya işletmek, iç kaynağı sınırlı kuruluşlar için çoğu zaman en gerçekçi yoldur. Ancak “danışmanlık” kelimesi çok farklı hizmetleri kapsar: bir şablon klasörü teslimi de, aylık işletilen bir yönetim sistemi de danışmanlık olarak satılabilir. Bu rehber, dış kaynak BGYS danışmanlığında neyi teslim almanız gerektiğini ve teklifleri nasıl karşılaştıracağınızı anlatır.

Üç farklı hizmet modeli

Kurulum projesinde teslim almanız gerekenler

• Bağlam analizi ve kapsam beyanı
• Risk değerlendirme metodolojisi, risk kaydı ve risk işleme planı (risk sahiplerince onaylı)
• Uygulanabilirlik Bildirgesi (gerekçeli)
• Kuruma özel politika, prosedür ve kayıt şablonları; her biri için sahip
• Bilgi güvenliği hedefleri ve ölçüm yöntemi
• Farkındalık planı ve ilk eğitim kayıtları
• İç denetim raporu ve düzeltici faaliyet kayıtları
• Yönetimin gözden geçirmesi tutanağı
• Kanıt matrisi ve kanıtların saklandığı yapı

Yalnızca doküman teslim edip risk analizi, iç denetim ve YGG’yi kapsamayan bir hizmet, belgelendirme denetiminin beklediği yönetim döngüsünü tamamlamaz.

Sürekli hizmette teslim almanız gerekenler

• Yıllık BGYS takvimi ve rol dağılımı
• Aylık faaliyet raporu: yapılan kontroller, eksik kayıtlar, açık aksiyonlar
• Üç aylık risk ve KPI raporu
• Güncel risk kaydı, SoA ve doküman revizyonları
• Yıllık iç denetim, YGG ve gözetim denetimi hazırlığı

Teklifleri karşılaştırırken sorulacak sorular

1. Dokümanlar kuruma özel mi yazılıyor, yoksa şablon mu uyarlanıyor? Her doküman için sahip görüşmesi yapılıyor mu?
2. Risk analizi atölyelerle mi yapılıyor, yoksa hazır risk listesi mi kullanılıyor?
3. İç denetim bağımsız bir denetçi tarafından mı yapılıyor?
4. Teslimatlar teklifte madde madde listelenmiş mi?
5. Proje sonunda bilgi aktarımı ve iç sahiplere devir planlanmış mı?
6. Sürekli hizmette aylık kaç gün/saat ve hangi raporlar taahhüt ediliyor?
7. Danışman, belgelendirme veya etiket “garantisi” veriyor mu? (Veriyorsa dikkat: sonuç bağımsız kuruluşa aittir.)

Kurumda kalması gerekenler

Dış kaynak modelinde bile bazı sorumluluklar devredilemez: üst yönetimin liderliği ve onayları, risk kabul kararları, kontrol sahiplerinin kendi süreçlerini işletmesi ve bütçe kararları. Danışman sistemi tasarlar, takip eder ve raporlar; kararlar kuruluşta kalır.

Sözleşmede bulunması önerilen maddeler

• Gizlilik ve bilgi güvenliği yükümlülükleri
• Teslimat listesi ve kabul kriterleri
• Dokümanların fikri mülkiyeti ve kuruluşa devri
• Sürekli hizmette kapasite (gün/saat) ve raporlama sıklığı
• Sözleşme bitiminde devir ve erişimlerin kapatılması

Sık sorulan sorular

Danışman iç denetimi de yapabilir mi?

Yapabilir; ancak dokümanları yazan ve sistemi işleten kişinin kendi işini denetlemesi bağımsızlığı zayıflatır. İç denetimin farklı bir uzmanca yapılması önerilir.

Sözleşme bitince dokümanlar kimde kalır?

Kuruma özel hazırlanan dokümanların kuruluşa ait olması ve düzenlenebilir formatta teslim edilmesi sözleşmede açıkça belirtilmelidir.

Hizmet uzaktan yürütülebilir mi?

Büyük kısmı evet; fiziksel güvenlik, saha gözlemi ve bazı atölyeler için dönemsel yerinde çalışma önerilir.

Kurulum için ISO 27001 BGYS Kurulumu, işletim için Dış Kaynak BGYS Sorumluluğu, stratejik liderlik için vCISO hizmetlerimizi inceleyebilirsiniz.