TISAX AL1, AL2 ve AL3 Değerlendirme Seviyeleri Arasındaki Farklar

Müşteriden gelen TISAX talep yazısında çoğu zaman tek satır vardır: “AL3 bekliyoruz.” Tedarikçi bunu bir sertifika sınıfı sanıp hazırlığa başlar, aylar sonra yanlış hedeflerle başvurduğunu fark eder. Değerlendirme seviyesi (Assessment Level), denetçinin kanıtı ne derinlikte inceleyeceğini ve sahaya gelip gelmeyeceğini belirler; hazırlık süresi, iç kaynak ve maliyet doğrudan buradan çıkar. Aşağıda AL1, AL2 ve AL3 arasındaki yöntem farkını, seviyenin nereden türediğini ve yanlış seçimin bedelini bilgi güvenliği sorumluları ve IT yöneticileri için sahadan bakarak anlatıyoruz.

Seviye neyi ölçer?

Ölçüt her seviyede aynıdır: VDA ISA (Information Security Assessment) kataloğu. Değişen, bu katalogdaki kontrollerin hangi güvence düzeyiyle doğrulandığıdır. Seviye, aynı kontrol listesi için “denetçi neye bakar, nasıl bakar, nerede bakar” sorularının cevabıdır.

Üç seviye tanımlıdır:

• AL1: Kuruluşun kendi yaptığı öz değerlendirme. Bağımsız doğrulama yoktur; bu yüzden TISAX etiketi üretmez ve TISAX değişim mekanizmasında kullanılmaz.
• AL2: Öz değerlendirmenin, ENX tarafından yetkilendirilmiş bir değerlendirme sağlayıcısı (audit provider) tarafından makul olma (plausibility) açısından kontrolü. Kanıt incelemesi ve görüşmeler esastır; varsayılan yöntem uzaktandır.
• AL3: Kapsamlı doğrulama. Kanıt incelemesine ek olarak yerinde inceleme, gözlem, çalışanlarla görüşme ve fiziksel kontrollerin doğrudan kontrolü yapılır.

Seviye bir not değil, güvence düzeyidir. AL3 sonucu, AL2’den “daha başarılı” olduğunuzu göstermez; aynı kontrollerin daha sıkı bir yöntemle doğrulandığını gösterir. Bir fark daha var: AL3 gerektiren hedeflerde katalogdaki “çok yüksek koruma ihtiyacı” ek gereklilikleri de uygulanır. Kontrol kapsamı genişler.

AL1, AL2, AL3 karşılaştırma tablosu

Ölçüt	AL1	AL2	AL3
Kim değerlendirir?	Kuruluşun kendisi	Değerlendirme sağlayıcısı	Değerlendirme sağlayıcısı
Temel yöntem	Öz değerlendirme	Makul olma kontrolü	Kapsamlı doğrulama
Kanıt incelemesi	Yok	Seçilmiş kanıtlar	Ayrıntılı, örneklemli
Görüşmeler	Yok	Genellikle video konferans	Yerinde, süreç sahipleriyle
Yerinde inceleme	Yok	Varsayılan değil	Esas yöntem
TISAX etiketi	Üretmez	AL2 etiketleri	AL3 etiketleri

Tablodaki “seçilmiş kanıtlar” ifadesini hafife almayın. AL2’de denetçi her kontrol için bütün kayıtları istemez; öz değerlendirmede beyan ettiğiniz olgunluk seviyesinin inandırıcı olup olmadığını temsilî kanıtlar ve görüşmelerle test eder. Beyan ile kanıt arasında tutarsızlık görürse daha fazla kanıt ister ve bulgu yazar. Bir tutarsızlık, diğer beyanlara da gölge düşürür.

Seviyeyi ne belirler?

Seviyeyi katılımcı serbestçe seçmez; seviye, seçilen değerlendirme hedefinden (etiketten) türer. Her etiket bir koruma ihtiyacını temsil eder ve bu ihtiyacın gerektirdiği güvence düzeyi tanımlıdır. Genel eşleşme şöyle:

• Yüksek koruma ihtiyacı olan bilgi (“Info high” / güncel adıyla “Confidential”), yüksek erişilebilirlik ve kişisel veri işleme (“Data”) hedefleri AL2 ile değerlendirilir.
• Çok yüksek koruma ihtiyacı olan bilgi (“Info very high” / “Strictly confidential”), çok yüksek erişilebilirlik, özel nitelikli kişisel veri (“Special data”) ve prototip koruma hedeflerinin tamamı AL3 gerektirir.

Etiket adları ENX tarafından katalog sürümleriyle birlikte güncellenebilir. Başvurudan önce güncel adları ve seviye eşleşmelerini ENX’in resmî TISAX dokümantasyonundan doğrulayın. Hangi müşteri talebinin hangi etikete karşılık geldiği TISAX etiketleri ve koruma hedefleri yazısında ayrıntılı anlatılıyor.

Karar zinciri sahada şöyle işler: müşterinin talep yazısı veya sözleşmedeki bilgi güvenliği eki, hangi bilgiyi hangi koruma ihtiyacıyla paylaşacağını söyler; ihtiyaç bir etikete, etiket bir seviyeye karşılık gelir. Yazıda yalnızca “TISAX AL3” geçiyorsa elinizde yeterli bilgi yok demektir. Hangi etiketin istendiğini yazılı teyit alın.

AL2’de plausibility kontrolü ve uzaktan yöntem

AL2, kuruluşun doldurduğu ISA öz değerlendirmesiyle başlar. Değerlendirme sağlayıcısı dosyayı ve eklenen kanıtları inceler, ardından süreç sahipleriyle uzaktan görüşür. Soru tektir: beyan edilen durum gerçekçi mi?

Denetçinin baktığı yerler

• Beyan edilen olgunluk seviyesiyle uyumlu yazılı süreç ve uygulama kaydı var mı?
• Kanıtlar güncel mi, kapsamdaki lokasyonları ve süreçleri kapsıyor mu?
• Görüşülen kişi süreci kendi sözleriyle anlatabiliyor mu, anlatım kayıtlarla örtüşüyor mu?
• “Uygulanamaz” işaretlenen kontrollerin gerekçesi savunulabilir mi?

Uzaktan görüşmede ekran paylaşımıyla canlı sistem gösterimi sık istenir: erişim gözden geçirme kaydının ticket sisteminde açılması, yedekleme yazılımında son geri yükleme testinin gösterilmesi gibi. Sahada en sık gördüğümüz aksilik, ekran paylaşımında açık kalan bir e-posta veya müşteri dosyasının istemeden görünmesidir. Gösterilecek ekranları önceden hazırlayın; ayrıntılar uzaktan denetim hazırlığı yazısında.

AL2’yi kolay sanmayın. Makul olma kontrolü yüzeysel bir onay değildir; olgunluğu kanıtın desteklemediği düzeyde beyan ederseniz denetçi kontrolü yeniden puanlar ve öz değerlendirmenin bütününe daha şüpheci yaklaşır. AL2 de kanıta dayalı bir değerlendirmedir. Uzaktan olması bunu değiştirmez.

AL3’te yerinde inceleme

AL3’te değerlendirme sağlayıcısı kapsamdaki lokasyonlara gelir. Belge ve kayıt incelemesi yine yapılır; asıl fark, denetçinin kontrolü kendi gözüyle doğrulamasıdır:

• Fiziksel güvenlik: Güvenlik alanlarının sınırları, kartlı geçiş ve kayıtları, ziyaretçi süreci, kamera ve alarm sistemlerinin varlığı ve işleyişi.
• Uygulamanın gözlemi: Temiz masa, ekran kilitleme, prototip alanında fotoğraf çekme yasağına uyum gibi davranışlar sahada görülür.
• Rastgele görüşmeler: Yalnızca süreç sahipleriyle değil, sahada çalışan personelle de konuşulabilir. Farkındalığın kâğıtta kalıp kalmadığı burada anlaşılır.
• Teknik doğrulama: Yapılandırmalar, log kayıtları ve sistem raporları denetçinin seçtiği örneklemle canlı incelenir.

AL3 hazırlığında en çok zamanı teknik kontroller değil, kanıt dosyasının lokasyon bazında düzenlenmesi ve süreç sahiplerinin görüşmeye hazırlanması yer. Kontrol ile kanıtı eşleştiren bir yapı için kanıt matrisi yöntemiyle başlayın. Çok lokasyonlu kapsamlarda hangi lokasyonun nasıl ziyaret edileceği, değerlendirme sağlayıcısının ENX kurallarına dayalı planlamasına bağlıdır; bunu ön görüşmede netleştirin.

Seviyenin hazırlık planına etkisi

Aynı kuruluş için AL2 ve AL3 hazırlığı farklı iş paketleri üretir. Planı seviyeye göre ayırırsanız iç kaynak doğru yere gider.

İş paketi	AL2 odağı	AL3 odağı
Öz değerlendirme	Gerçekçi puanlama, gerekçeli açıklama	Aynı, ek gereklilikler dahil
Kanıt dosyası	Temsilî ve güncel kanıtlar	Lokasyon bazında tam set
Fiziksel güvenlik	Beyan ve belgeler	Sahada gösterilebilir durum
Personel hazırlığı	Süreç sahipleri	Süreç sahipleri ve saha çalışanları
Lojistik	Video konferans düzeni	Ziyaret programı, refakatçi, toplantı odası

AL3’e hazırlanan kuruluşlarda sık gördüğümüz hata, belge setini tamamlayıp sahayı son haftaya bırakmaktır. Kartlı geçiş kayıtlarının saklanması, kamera kayıt süresi, ziyaretçi defterinin düzenli tutulması geriye dönük kanıt ister. Denetimden birkaç gün önce başlatılan bir uygulama “sürdürülebilir şekilde uygulanıyor” beklentisini karşılamaz. Geçmiş kayıt sonradan üretilemez.

Yanlış seviye seçiminin sonuçları

Seviye etiketten türediği için “yanlış seviye” aslında “yanlış etiket seti” demektir. İki yönde de bedel ödenir.

Eksik seçim: müşteri AL3 beklerken AL2 hedefleri

• Sonuç müşterinin kabul kriterini karşılamaz; ENX portalında paylaşılan etiketler talep edilen hedefi içermez.
• Eksik hedefler için ek değerlendirme planlanır: yeni takvim, yeniden yerinde ziyaret, ek maliyet.
• Sözleşme veya proje başlangıcı gecikebilir; prototip içeren işlerde müşteri etiket olmadan bilgi veya parça paylaşmayabilir.

Fazla seçim: gerekmeyen AL3 hedefleri

• Çok yüksek koruma ihtiyacına ait ek gereklilikler kapsamınıza girer; hazırlık yükü belirgin biçimde artar.
• Yerinde inceleme, kapsamdaki tüm lokasyonlar için lojistik ve iç kaynak ister.
• Prototip hedefleri kapsamdaki tüm lokasyonlara bağlanır. Prototip işi yapılmayan bir lokasyon da aynı kapsamdaysa nasıl ele alınacağını (ayrı kapsam, kapsam dışı bırakma) kayıttan önce netleştirin.

Başvurudan önce kontrol sırası

1. Müşterinin talep yazısındaki etiket adlarını ve beklenen tarihi yazılı olarak teyit edin.
2. Birden fazla müşteri varsa taleplerin birleşimini çıkarın; en yüksek ihtiyacı belirleyen müşteriyi not edin.
3. Her etiketin seviyesini güncel ENX dokümantasyonuyla eşleştirin.
4. Kapsamdaki lokasyonların bu etiketlerle uyumlu olup olmadığını kontrol edin.
5. Seçimi değerlendirme sağlayıcısıyla ön görüşmede bir kez daha gözden geçirin.

Sürecin bütünü için TISAX hazırlık rehberi çerçeveyi verir. Etiket ve seviye seçimini bir ön değerlendirmeyle netleştirmek isterseniz TISAX danışmanlığı ve değerlendirme hazırlığı sayfasında nasıl çalıştığımızı görebilirsiniz.

Sık sorulan sorular

AL2 değerlendirmesinde denetçi hiç sahaya gelmez mi?

AL2’nin varsayılan yöntemi uzaktan yapılan makul olma kontrolüdür; kanıtlar incelenir, görüşmeler video konferansla yürütülür. Katılımcı talep ederse veya değerlendirme sağlayıcısı uzaktan yöntemle yeterli güvence oluşturamazsa yerinde inceleme yapılabilir.

AL1 öz değerlendirmesi müşteriye TISAX sonucu olarak gösterilebilir mi?

Hayır. AL1 bağımsız doğrulama içermez; TISAX etiketi üretmez ve ENX portalında paylaşılan bir değerlendirme sonucu değildir. Bazı müşteriler doldurulmuş ISA dosyasını ayrıca isteyebilir, ama bu bir TISAX etiketinin yerine geçmez.

Önce AL2 alıp sonra AL3’e yükseltmek mümkün mü?

Mümkün, ancak yükseltme yeni değerlendirme hedefleri için ek bir değerlendirme demektir; ayrı planlama, maliyet ve zaman ister. Müşterinin AL3 gerektiren bir etiket istediği biliniyorsa doğrudan doğru hedeflerle başvurmak genellikle daha verimlidir.

Değerlendirme seviyesini katılımcı kendisi seçebilir mi?

Pratikte hayır. Seviye, seçilen değerlendirme hedefinin, yani etiketin koruma ihtiyacından türer. Katılımcı hangi etiketleri alacağını seçer; o etiketlerin gerektirdiği seviye kendiliğinden belirlenir.