Yönetimin Gözden Geçirmesi (YGG): Girdiler, Çıktılar ve Kayıt

Her yıl aynı şablon, aynı cümleler ve tek satırlık bir “BGYS etkin bulunmuştur” sonucu: denetçinin formalite olarak en kolay tanıdığı kayıt yönetimin gözden geçirmesi (YGG) tutanağıdır. Oysa YGG, BGYS’de toplanan ölçüm, denetim ve risk bilgisinin üst yönetim kararına dönüştüğü tek noktadır. Karar çıkmıyorsa toplantı boşa yapılmıştır. Aşağıda ISO 27001 madde 9.3’ün girdi ve çıktılarını uygulanabilir bir gündeme çeviriyor; veri kaynaklarını, tutanak yapısını ve aksiyon takibini örnekleriyle veriyoruz.

YGG’nin amacı ve sıklığı

ISO/IEC 27001:2022 madde 9.3.1, üst yönetimin BGYS’yi sürekli uygunluğunu, yeterliliğini ve etkinliğini sağlamak için planlı aralıklarla gözden geçirmesini ister. Bu üç kavram toplantının sorularını da belirler:

• Uygunluk: BGYS hâlâ kuruluşun bağlamına ve stratejisine uyuyor mu?
• Yeterlilik: Kapsam, kaynaklar ve kontroller gereklilikleri karşılamaya yetiyor mu?
• Etkinlik: Hedeflere ulaşılıyor mu, riskler istenen düzeye iniyor mu?

Standart sıklık vermez. Yılda bir tam toplantı en yaygın uygulamadır; ama tek bir yıllık toplantı, yıl içinde çıkan önemli kararları aylarca bekletebilir. Bütçe onayı bekleyen bir firewall yenilemesi ya da destek süresi biten bir sunucunun geçiş kararı Aralık’ı beklememeli. Pratik model, yılda bir tam YGG ile çeyreklik kısa BGYS değerlendirmelerini birlikte yürütmektir. Çeyreklik toplantılarda tüm zorunlu girdiler görüşülmüyorsa bunlara YGG değil, YGG’ye girdi üreten ara değerlendirme deyin. Aşama 2 belgelendirme denetiminden önce en az bir YGG yapılmış olması beklenir.

Zorunlu girdiler ve veri kaynakları

Madde 9.3.2, YGG’nin aşağıdaki girdileri dikkate almasını ister. Tablo her girdinin sahada nereden besleneceğini gösterir:

Girdi (9.3.2)	Veri kaynağı	Sunacak rol
a) Önceki YGG aksiyonlarının durumu	Aksiyon takip listesi	BGYS yöneticisi
b) İç ve dış konulardaki değişiklikler	Bağlam analizi revizyonu	BGYS yöneticisi
c) İlgili tarafların ihtiyaç ve beklentilerindeki değişiklikler	İlgili taraflar tablosu, yeni sözleşmeler, mevzuat takibi	Hukuk / BGYS yöneticisi
d1) Uygunsuzluklar ve düzeltici faaliyetler	DÖF kaydı, eğilim grafiği	BGYS yöneticisi
d2) İzleme ve ölçme sonuçları	KPI raporu (yama, yedekleme, erişim gözden geçirme vb.)	IT yöneticisi
d3) Denetim sonuçları	İç ve dış denetim raporları	İç denetim sorumlusu
d4) Bilgi güvenliği hedeflerinin karşılanması	Hedef planlama kartları	Hedef sahipleri
e) İlgili taraflardan geri bildirim	Müşteri denetimleri, şikâyetler, anket soruları	Satış / kalite
f) Risk değerlendirmesi sonuçları ve risk işleme planının durumu	Risk kaydı, risk işleme planı	Risk sahipleri
g) Sürekli iyileştirme fırsatları	Öneri kaydı, olay sonrası değerlendirmeler	Tüm katılımcılar

“c” girdisi 2022 revizyonunda ayrı madde olarak eklendi; bağlam ve ilgili taraflar analizinin nasıl tutulacağı ilgili taraflar analizi rehberinde. “d” girdisi için standart açıkça eğilimleri ister: tek dönem değeri değil, önceki dönemlerle karşılaştırma. Ölçüm verisini son üç dört dönemlik bir seriyle sunmak eğilimi okunur kılar. Hedeflerin nasıl yazılıp ölçüleceği bilgi güvenliği hedefleri rehberinde, denetim sonuçlarını üreten program ise iç denetim programı rehberinde anlatılıyor.

d2 satırındaki KPI raporunu elle hazırlamayın. Yama yönetimi aracının uyumluluk raporu, yedekleme yazılımının iş geçmişi ve erişim gözden geçirme kayıtları doğrudan sistemden çekilmeli; toplantıdan önceki gece Excel’de toparlanan sayılar ilk soruda çözülür. Standartta listelenmemiş olsa da olay istatistikleri, tedarikçi değerlendirme sonuçları, iş sürekliliği tatbikatları ve kaynak durumu (bütçe, personel) toplantıya eklenmesi gereken faydalı girdilerdir.

Örnek gündem

Gündemi zorunlu girdilerin sırasına göre değil, kararın mantığına göre kurun. Aşağıdaki gündem yaklaşık iki saatlik bir yıllık YGG için örnektir:

YGG-2026 GÜNDEM (örnek)
1. Açılış, katılımcılar, önceki YGG kararlarının durumu      [9.3.2 a]
2. Bağlam ve ilgili taraflardaki değişiklikler               [9.3.2 b, c]
   - Yeni müşteri sözleşmesi güvenlik ekleri
   - Mevzuat değişiklikleri
3. Performans özeti (eğilimlerle)                            [9.3.2 d]
   3.1 Hedeflerin durumu
   3.2 KPI sonuçları
   3.3 İç / dış denetim bulguları
   3.4 Uygunsuzluklar ve DÖF durumu
4. İlgili taraf geri bildirimleri                            [9.3.2 e]
5. Risk değerlendirmesi ve risk işleme planı durumu          [9.3.2 f]
   - Kabul edilmesi istenen kalıntı riskler (karar)
6. İyileştirme fırsatları ve öneriler                        [9.3.2 g]
7. Kararlar: değişiklik ihtiyaçları, kaynaklar, yeni hedefler [9.3.3]
8. Aksiyonların atanması ve kapanış

Sunum malzemesini toplantıdan birkaç gün önce katılımcılara gönderin. Toplantı süresi bilgi aktarımına değil, karar gerektiren maddelere harcanmalıdır: kabul edilmesi istenen kalıntı riskler, ertelenmesi önerilen bir risk işleme aksiyonu, bütçe isteyen bir iyileştirme. Slayt okumak için toplanılmaz.

Üst yönetimin aktif katılımı

Madde 9.3 gözden geçirmeyi açıkça üst yönetime verir; madde 5.1 de üst yönetimin BGYS için liderlik ve taahhüt göstermesini ister. Sahada en sık gördüğümüz zayıflık, toplantının BGYS yöneticisinin kendi kendine yaptığı bir değerlendirmeye dönüşmesidir. Denetçinin formalite YGG’yi tanıdığı tipik işaretler:

• Tutanakta karar yerine yalnız “bilgi verildi” ifadelerinin bulunması
• Her yıl aynı metnin tarihi değiştirilerek kullanılması
• Kabul edilen kalıntı risklerin yönetim onayı olmadan kayda geçmesi
• Katılımcı listesinde karar yetkisi olan kimsenin bulunmaması
• Tutanaktaki aksiyonların sorumlu ve tarih içermemesi veya bir sonraki YGG’de durumlarının sorulmaması
• Denetçi üst yönetimle görüştüğünde BGYS hedeflerinin ve önemli risklerin bilinmemesi

Belgelendirme denetçileri genellikle üst yönetimden biriyle kısa bir görüşme yapar. Yöneticinin YGG’de alınan kararları ve gerekçelerini kendi cümleleriyle anlatabilmesi, kayıttan daha güçlü bir kanıttır. Ezberlenmiş cümle hemen anlaşılır.

Çıktılar: kararlar, değişiklikler, kaynaklar

Madde 9.3.3, YGG sonuçlarının sürekli iyileştirme fırsatlarına ilişkin kararları ve BGYS’deki değişiklik ihtiyaçlarını içermesini ister; sonuçların kanıtı olarak dokümante edilmiş bilgi saklanmalıdır. Kaynak kararları ISO 27001’de 9.3.3 içinde ayrıca sayılmaz; ancak 5.1 ve 7.1 gereği gerekli kaynakların sağlanması üst yönetimin sorumluluğudur ve YGG bu kararların doğal kayıt yeridir. Tipik çıktılar:

• Kapsam, politika veya hedeflerde değişiklik kararı
• Kalıntı risklerin kabulü veya ek risk işleme kararı
• Bütçe, personel, araç veya dış hizmet kaynağı kararı
• Yeni dönem hedeflerinin onayı
• Süreç iyileştirmeleri ve atanmış aksiyonlar

Kalıntı risk kabulü sahada en çok sorun çıkan çıktıdır. “Eski üretim sunucusu ağdan ayrılamıyor, risk kabul edildi” kararı kimin imzasıyla, hangi telafi edici kontrolle (ayrı VLAN, sıkı ACL, izleme) ve ne zamana kadar geçerli olduğu yazılmadan alınırsa, iki yıl sonra kimse kararın sahibini bulamaz. Bu kararlar için risk işleme planı rehberinde anlatılan yapı YGG kararlarıyla birebir eşleştirilebilir.

Toplantı tutanağı ve aksiyon takibi

Tutanak gündemle aynı yapıda olmalı, her girdi için kısa bir değerlendirme ve varsa kararı içermelidir. Ekler (KPI raporu, denetim özeti, risk raporu) tutanağa referansla bağlanır. Aksiyonlar için ayrı bir kayıt tutun; takip ancak böyle yürür:

Alan	Örnek içerik
Karar/aksiyon no	YGG26-04
Gündem maddesi ve girdi	5 – Risk işleme planı (9.3.2 f)
Karar	Uç nokta tespit ve müdahale çözümü için bütçe onaylandı
Sorumlu	IT yöneticisi
Hedef tarih	Dönem sonu
Durum ve kanıt	Satın alma talebi no, kurulum kaydı
Doğrulama	Bir sonraki YGG’de 9.3.2 a girdisiyle

Tutanağın onayı (imza veya elektronik onay), dağıtım listesi ve saklama yeri doküman kontrolü kurallarına tabidir. Toplantı çevrim içi yapıldıysa katılım kaydı da kanıt olarak saklanabilir.

Hazırlık kontrol listesi

• Önceki YGG aksiyonlarının durumu güncellendi mi?
• Bağlam ve ilgili taraflar analizi gözden geçirildi mi?
• KPI ve hedef verileri eğilimleriyle hazır mı?
• İç denetim raporu ve DÖF durumu tek sayfada hazır mı?
• Risk kaydı ve risk işleme planının güncel durumu hazır mı?
• Karar gerektiren maddeler gündemde açıkça işaretlendi mi?
• Karar yetkisi olan üst yönetim temsilcileri toplantıya katılacak mı?

YGG’yi besleyen göstergeleri ve raporlamayı tasarlamak için YGG ve KPI tasarımı, yıl boyu BGYS döngüsünü dışarıdan işletmek için sürekli BGYS danışmanlığı sayfalarına bakabilirsiniz. Madde metinleri için birincil kaynak ISO/IEC 27001 standardıdır.

Sık sorulan sorular

YGG’ye kimlerin katılması gerekir?

Gözden geçirme üst yönetimin sorumluluğundadır; bu yüzden BGYS ile ilgili karar ve kaynak yetkisi olan yöneticiler katılmalıdır. BGYS yöneticisi, IT yöneticisi, iç denetim sorumlusu ve gerektiğinde hukuk, İK veya risk sahipleri girdileri sunmak için yer alır.

YGG yılda bir yapılırsa yeterli mi?

Standart sıklık vermez, planlı aralıklar ister. Yılda bir tam YGG yaygındır; önemli kararların gecikmemesi için çeyreklik ara değerlendirmeler eklemek iyi bir uygulamadır.

YGG tutanağında mutlaka neler bulunmalı?

Madde 9.3.2’deki tüm girdilerin değerlendirildiğini gösteren bölümler, sürekli iyileştirme ve BGYS değişikliklerine ilişkin kararlar, sorumlu ve tarih atanmış aksiyonlar, katılımcılar ve onay bilgisi bulunmalıdır.

Entegre yönetim sisteminde YGG tek toplantıda yapılabilir mi?

Yapılabilir. Ancak her standardın zorunlu girdileri ayrı ayrı görüşülmeli ve tutanakta izlenebilir olmalıdır; bilgi güvenliğine özgü risk işleme planı ve hedefler genel kalite verileri arasında kaybolmamalıdır.