ISO 27001 İç Denetim Programı: Planlama, Sıklık ve Bağımsızlık

Belgelendirme denetiminden üç hafta önce elde kontrol listesiyle yapılan tek seferlik bir tur iç denetim değildir. Denetçi bunu programın tarihinden, örneklemin darlığından ve bulguların hep doküman eksikliği olmasından anlar. İç denetim, BGYS’nin kendini sınadığı mekanizmadır ve çalışması için çok yıllı bir program gerekir. Aşağıda ISO 27001 madde 9.2 kapsamında böyle bir programın nasıl kurulacağını, süreç ve kontrollerin nasıl önceliklendirileceğini, küçük kuruluşlarda denetçi bağımsızlığının nasıl sağlanacağını ve programın etkinliğinin nasıl ölçüleceğini anlatıyoruz.

Denetim programı ve denetim planı farkı

ISO/IEC 27001:2022 madde 9.2 iç denetimi iki alt maddede ele alır. 9.2.1, BGYS’nin kuruluşun kendi gerekliliklerine ve standardın gerekliliklerine uygun olup olmadığını, etkin şekilde uygulanıp sürdürülüp sürdürülmediğini planlı aralıklarla denetlemeyi ister. 9.2.2 ise bir iç denetim programı kurmayı, uygulamayı ve sürdürmeyi ister; program sıklığı, yöntemleri, sorumlulukları, planlama gerekliliklerini ve raporlamayı kapsar.

Yönetim sistemleri denetimi kılavuzu ISO 19011:2018 iki kavramı ayırır: denetim programı, belirli bir zaman dilimi için planlanan ve belirli bir amaca yönelik bir veya daha fazla denetimin düzenlemeleridir; denetim planı ise tek bir denetimin faaliyetlerini ve düzenlemelerini tanımlar. İkisi sürekli karıştırılır.

Özellik	Denetim programı	Denetim planı
Zaman ufku	Bir veya birkaç yıl	Tek denetim (gün/hafta)
Sahibi	BGYS yöneticisi veya program yöneticisi	Baş denetçi
İçerik	Hangi süreç/kontrol, ne sıklıkla, kim, hangi yöntemle	Kapsam, kriterler, gündem, görüşülecek kişiler, örneklem
Girdi	Risk, önceki bulgular, değişiklikler	Program, önceki denetim raporu, doküman incelemesi
Kanıt	Onaylı program, revizyon geçmişi	Plan, kontrol listesi, rapor

Madde 9.2.2 ayrıca her denetim için kriterlerin ve kapsamın tanımlanmasını, sonuçların ilgili yönetime raporlanmasını ve programın uygulandığını gösteren dokümante edilmiş bilginin saklanmasını ister. Yani yalnız rapor değil, programın kendisi de kanıttır. Onaysız program, program değildir.

Programı belirleyen girdiler: risk, önceki bulgular, değişiklikler

Standart, program oluşturulurken ilgili süreçlerin önemini ve önceki denetimlerin sonuçlarını dikkate almayı ister. Pratikte her süreç veya kontrol grubu için şu dört girdiyi puanlayıp denetim sıklığını buna göre belirleyebilirsiniz:

• Risk düzeyi: Sürecin yüksek riskleri ne ölçüde azalttığı. Erişim yönetimi, yedekleme ve değişiklik yönetimi genellikle en üstte yer alır.
• Önceki bulgular: Açık veya yeni kapanmış uygunsuzluklar, düzeltici faaliyetin gerçekten çalıştığını doğrulamak için tekrar denetim ister.
• Değişiklikler: Yeni sistem, yeni tedarikçi, organizasyonel değişiklik veya buluta geçiş.
• Olaylar ve dış girdiler: Güvenlik olayları, müşteri şikâyetleri, dış denetim gözlemleri.

Bir kısıtı baştan bilin: önceliklendirme bazı alanları seyrek denetlemeye izin verir, hiç denetlememeye izin vermez. Standart bunu döngü olarak yazmasa da 9.2.1 BGYS’nin bütününün uygunluğunun denetlenmesini ister; belgelendirme kuruluşları da programın belgelendirme döngüsü boyunca madde 4–10’un tamamını ve SoA’da uygulanabilir işaretlenen tüm Annex A kontrollerini kapsamasını bekler. Yönetim sistemi maddelerinin (bağlam, liderlik, risk değerlendirmesi, YGG, düzeltici faaliyet) her yıl denetlenmesi yaygın ve önerilen uygulamadır. Aşama 2 belgelendirme denetiminden önce iç denetim ve YGG’nin en az bir kez yapılmış olması da beklenir.

Çok yıllı program örneği

Aşağıdaki tablo üç yıllık belgelendirme döngüsüne göre hazırlanmış kurgusal bir örnektir. “Y” yıllık, “D” derinlemesine (örneklemi büyütülmüş) denetimi, “T” odaklı takip denetimini gösterir.

Alan	Yıl 1	Yıl 2	Yıl 3
Madde 4–10 (yönetim sistemi)	Y	Y	Y
Erişim ve kimlik yönetimi (5.15–5.18, 8.2, 8.5)	D	Y	D
Yedekleme ve süreklilik (8.13, 5.29, 5.30)	D	Y	Y
Değişiklik ve yama yönetimi (8.8, 8.32)	Y	D	Y
Tedarikçi ve bulut (5.19–5.23)	Y	D	T
İnsan kaynakları (6.1–6.6)	Y	—	D
Fiziksel güvenlik (7.1–7.14)	Y	—	Y
Olay yönetimi (5.24–5.28)	Y	Y	D
Önceki yıl bulgularının takibi	—	T	T

Program tek büyük denetim yerine yıla yayılmış birkaç küçük denetimle de uygulanabilir. Süreç bazlı yaklaşım daha çok iş görür: “işe giriş–ayrılış” sürecini baştan sona izlemek, birden fazla Annex A kontrolünü tek denetimde test eder ve madde madde ilerleyen denetimden daha gerçekçi bulgular çıkarır. Örnek: İK’nın ayrılış listesinden beş kişi seçin, Active Directory’de hesaplarının ne zaman devre dışı bırakıldığına, VPN ve bulut uygulamalarındaki hesaplarının kapatılıp kapatılmadığına, zimmetli dizüstü bilgisayarın iade kaydına bakın. Sahada en sık takılan yer, AD hesabı kapanmış ama SaaS hesabı açık kalmış kullanıcıdır. Örneklemin nasıl seçileceği iç denetimde örneklem seçimi rehberinde anlatılıyor.

İç denetçi yetkinliği ve bağımsızlık

Madde 9.2.2, denetçilerin seçilmesini ve denetimlerin objektiflik ve tarafsızlık sağlanarak yürütülmesini ister. Madde 7.2 de BGYS performansını etkileyen işleri yapanların yetkinliğinin belirlenmesini ve kanıtlanmasını gerektirir; iç denetçiler bu kapsamdadır.

İç denetçiden beklenen yetkinlikler:

• ISO 27001 gerekliliklerini ve Annex A kontrollerini yorumlayabilme
• ISO 19011’e dayalı denetim tekniği: görüşme, kayıt inceleme, örneklem, gözlem
• Denetlenen alanın teknik temeli (örneğin Active Directory veya yedekleme yazılımının raporlarını okuyabilme)
• Bulguyu kriter, kanıt ve etki ile yazabilme

Teknik temel maddesi hafife alınmamalı. Yedekleme konsolunda yalnız “son iş başarılı” satırına bakan denetçi, haftalardır hiç tam yedek alınmadığını ya da bir sunucunun iş tanımından düşmüş olduğunu göremez. Yetkinlik kanıtı olarak eğitim sertifikası tek başına yetmez; gözetim altında yapılmış denetimler ve raporların kalitesi de değerlendirilir.

Küçük kuruluşlarda bağımsızlık

Temel kural tektir: denetçi kendi işini denetlemez. BT ekibi iki üç kişiden oluşan bir şirkette bu kural şu yollarla karşılanır:

• Çapraz denetim: Kalite veya İK’dan eğitim almış bir çalışan BT süreçlerini, BT çalışanı ise İK ve fiziksel güvenlik süreçlerini denetler.
• Yönetim sistemi maddelerinin ayrı denetlenmesi: BGYS yöneticisi kendi yazdığı risk metodolojisini ve YGG kaydını denetlemez; bu maddeleri başka biri veya dış kaynak denetler.
• Grup şirketi desteği: Aynı gruptaki başka bir şirketin denetçisiyle karşılıklı denetim.
• Dış kaynak: Bağımsızlığın içeride sağlanamadığı alanlar için.

Bağımsızlığın hangi yöntemle sağlandığı programda yazılı olmalıdır. Gerekçesiz denetçi ataması objektiflik sorusunu doğurur.

Dış kaynaklı iç denetim

İç denetimin tamamını veya bir kısmını dışarıdan almak standarda aykırı değildir. Dikkat edilecekler:

1. Program sahipliği kuruluşta kalır. Dış denetçi denetimi yürütür; programın kapsamı, sıklığı ve sonuçların takibi kuruluşun sorumluluğundadır.
2. Danışmanlık ile denetim ayrılmalıdır. BGYS’yi kuran veya dokümanlarını yazan danışmanın aynı dokümanları denetlemesi objektiflik sorunudur.
3. Gizlilik ve erişim: Dış denetçiye verilecek erişim, gizlilik sözleşmesi ve kanıtların nasıl paylaşılacağı tanımlanmalıdır. Denetçiye domain admin yetkisi verilmez; salt okunur rapor ve ekran paylaşımı çoğu zaman yeter.
4. Bilgi transferi: Rapor yalnız bulgu listesi olmamalı, kontrolün nasıl test edildiğini de içermelidir; sonraki denetimde aynı yöntem tekrarlanabilmelidir.

Dış kaynak teslimatlarının nasıl tanımlanacağı için dış kaynak BGYS danışmanlığı rehberine bakabilirsiniz.

Program etkinliğinin gözden geçirilmesi

Denetimler yapılmış olabilir, program yine de etkisiz olabilir. ISO 19011 programın izlenmesini ve gözden geçirilmesini önerir; ISO 27001 açısından program sonuçları YGG’ye “denetim sonuçları” girdisi olarak girer. Programı yılda bir şu sorularla gözden geçirin:

• Planlanan denetimlerin hepsi zamanında yapıldı mı? Ertelenenlerin gerekçesi kayıtlı mı?
• Program döngü sonunda tüm maddeleri ve uygulanabilir kontrolleri kapsayacak mı?
• Bulgular gerçek sorunları mı gösteriyor, yoksa yalnız doküman eksiklerini mi? Dış denetimde iç denetimin görmediği bulgu çıktı mı?
• Bulgular zamanında kapatıldı mı, düzeltici faaliyetlerin etkinliği doğrulandı mı?
• Denetçilerin yetkinliği ve bağımsızlığı yeterli miydi?

Dış denetimde iç denetimin hiç görmediği bir uygunsuzluk çıkması programın en açık zayıflık sinyalidir. Bu durumda örneklem büyüklüğünü, denetim süresini ve denetçi seçimini yeniden ele alın. Bulguların nasıl yazılacağı için denetim bulgusu yazımı, gözden geçirme toplantısına nasıl taşınacağı için YGG rehberi yol gösterir.

İç denetimi bağımsız bir ekiple yürütmek isterseniz ISO 27001 iç denetim ve düzeltici faaliyet yönetimi, programın yıl boyu işletilmesi için sürekli BGYS danışmanlığı hizmetlerimize bakabilirsiniz. Denetim ilkeleri için birincil kaynak ISO 19011:2018 kılavuzudur.

Sık sorulan sorular

İç denetim yılda kaç kez yapılmalı?

Standart sabit bir sıklık vermez; sıklık süreçlerin önemine ve önceki denetim sonuçlarına göre programda belirlenir. Yönetim sistemi maddelerinin her yıl denetlenmesi ve belgelendirme döngüsü içinde tüm uygulanabilir kontrollerin kapsanması yaygın uygulamadır.

Tüm Annex A kontrollerini her yıl denetlemek zorunlu mu?

Zorunlu değil. Risk temelli bir programda kontroller farklı sıklıklarla denetlenebilir; ancak SoA’da uygulanabilir işaretlenen tüm kontrollerin belgelendirme döngüsü içinde en az bir kez denetlenmesi belgelendirme kuruluşlarının yaygın beklentisidir.

BGYS yöneticisi iç denetimi kendisi yapabilir mi?

Kendi sorumluluğundaki alanları denetlememek şartıyla diğer süreçleri denetleyebilir. Risk metodolojisi, YGG ve doküman kontrolü gibi kendi yürüttüğü maddeleri başka bir çalışan veya dış denetçi denetlemelidir.

ISO 27007 ile ISO 19011 arasındaki fark nedir?

ISO 19011 tüm yönetim sistemleri için genel denetim kılavuzudur. ISO/IEC 27007 ise ISO 19011’i temel alarak bilgi güvenliği yönetim sistemlerinin denetimine özgü ek rehberlik sağlar.