Aranan siteler: Eretek · Sistem Destek · Network · Siber Güvenlik · Uyum ve Denetim · web.eretek.com
ISO 27001 politika, prosedür, talimat ve kayıtlarınızı kuruluşunuzun organizasyonuna, BT altyapısına, risklerine ve operasyonlarına göre hazırlıyoruz. Teslim ettiğimiz şey bir şablon klasörü değil; sahibi, revizyon kuralı ve kanıt kaydı tanımlanmış, denetimde savunulabilir bir doküman sistemidir.
ISO 27001 dokümantasyon hizmeti, standardın “dokümante bilgi” beklentisini karşılayan politika, prosedür, talimat ve kayıt yapısının kuruma özel olarak yazılmasıdır. Her doküman; kuruluştaki gerçek rolleri, kullanılan sistemleri (ör. Active Directory, Microsoft 365, ERP, yedekleme ürünü) ve uygulanan kontrolleri tarif eder. Böylece denetçi bir prosedürü okuduğunda, sahada aynı işleyişi ve bu işleyişin kaydını bulur.
Hazır setlerde geçen roller, sistemler ve sıklıklar kurumda yok; denetçi “bu kontrolü nasıl uyguluyorsunuz?” diye sorduğunda kayıt gösterilemiyor.
Dokümanların sahibi, onaylayanı ve gözden geçirme tarihi tanımlı değil; güncellenmeyen prosedürler yürürlükte görünüyor.
Yüzlerce sayfalık doküman var ama kullanıcılar ve BT ekibi ne yapacağını bilmiyor; kurallar operasyona inmemiş.
Hazır şablon teslimi hızlı görünür; ancak kurumun gerçek süreçlerine uymayan bir doküman denetimde kanıtla desteklenemez ve uygunsuzluğa dönüşür. Kuruma özel tasarımda önce süreç ve sorumlular belirlenir, doküman bu işleyişi tarif eder ve her kural için hangi kaydın üretileceği tanımlanır. Mevcut şablonlarınız varsa kullanılabilir bölümler korunarak uyarlanır.
Politika–prosedür–talimat–kayıt hiyerarşisi, numaralandırma, şablon formatı ve doküman sahipliği tablosu.
Kapsam, politika, risk metodolojisi, risk işleme planı, SoA, hedefler, iç denetim ve YGG dokümanları.
Erişim, varlık, yedekleme, değişiklik, yama, loglama, olay müdahale, tedarikçi, uzaktan erişim ve diğer Ek A kontrollerine ait prosedürler.
Kabul edilebilir kullanım, temiz masa/ekran, mobil cihaz ve uzaktan çalışma gibi çalışan odaklı kısa talimatlar.
Erişim talep formu, değişiklik kaydı, geri yükleme test kaydı, olay kaydı, DÖF formu gibi kanıt üreten şablonlar.
Onay akışı, revizyon matrisi, yayın ve erişim yöntemi; doküman sahiplerine kısa devir eğitimi.
Her doküman için önce “bu kural kurumda kim tarafından, hangi araçla, hangi sıklıkta uygulanacak ve kanıtı ne olacak?” sorusu yanıtlanır. Sonra metin bu yanıta göre yazılır. Dokümanlar SoA ve risk işleme planıyla izlenebilir şekilde bağlanır; kanıtların saklanması için SharePoint tabanlı kanıt yönetimi kurulabilir. TISAX hedefi olan kuruluşlarda aynı set TISAX dokümantasyonuyla ortak kullanılacak şekilde tasarlanır. Hangi dokümanların zorunlu olduğuna dair ayrıntı için ISO 27001 dokümanları rehberimizi okuyabilirsiniz.
Aşağıdaki doküman ve kayıtlar tek tek veya bütün bir set olarak hazırlanabilir. Liste kurumun kapsamına ve risk değerlendirmesine göre daraltılır veya genişletilir.
Yönetimin taahhüdü, hedef çerçevesi ve temel ilkeler
Üst yönetim
Ölçekler, kabul kriterleri ve değerlendirme sıklığı
BGYS yöneticisi
Seçilen kontroller, sorumlular, hedef tarihler
Risk sahipleri
Ek A kontrollerinin uygulanma durumu ve gerekçesi
BGYS yöneticisi
Envanter, sahiplik, kabul edilebilir kullanım, iade
BT / varlık sahipleri
Gizlilik seviyeleri, etiketleme ve işleme kuralları
BGYS yöneticisi
En az yetki, ayrılık, onay ve gözden geçirme ilkeleri
BT yöneticisi
İşe giriş, rol değişikliği, ayrılış ve hesap kapatma
BT + İK
Kimlik doğrulama gereklilikleri ve istisnalar
BT yöneticisi
Yönetici hesapları, onay, kayıt ve süreli erişim
BT yöneticisi
Kapsam, sıklık, saklama, izolasyon ve geri yükleme testi
Sistem yöneticisi
BIA, RTO/RPO, kurtarma sırası ve roller
Süreç sahipleri + BT
Tespit, sınıflandırma, müdahale, bildirim, ders çıkarma
Olay müdahale ekibi
Log kaynakları, saklama, inceleme ve alarm
BT / güvenlik
Talep, etki analizi, onay, test, geri dönüş
BT yöneticisi
Sınıflandırma, test, uygulama süreleri, istisnalar
Sistem yöneticisi
Sıkılaştırma standartları ve sapma takibi
BT / güvenlik
Değerlendirme, sözleşme şartları, izleme
Satın alma + BGYS
VPN, MFA, cihaz şartları, üçüncü taraf erişimi
BT yöneticisi
Çalışanların bilgi ve cihaz kullanım kuralları
İK + BT
Yıllık eğitim takvimi, rol bazlı içerik, ölçüm
BGYS yöneticisi + İK
Denetim kapsamı, sıklığı, denetçi bağımsızlığı
BGYS yöneticisi
Gündem, girdiler, kararlar ve aksiyonlar
Üst yönetim
Kök neden, aksiyon, etkinlik doğrulaması
Süreç sahipleri
Kontrol – kanıt – sorumlu – sıklık ilişkisi
BGYS yöneticisi
Doküman adları kuruluşun terminolojisine göre değiştirilebilir; birden fazla konu tek prosedürde birleştirilebilir. Standart, belirli bir doküman adını değil, ilgili bilginin dokümante edilmesini bekler.
Çalışmanın hızlı ve doğru ilerlemesi için başlangıçta aşağıdaki bilgi ve katılımlara ihtiyaç duyarız. Eksik olanlar birlikte tamamlanır.
Çalışma bittiğinde sistemin canlı kalması için aşağıdaki kontroller sahiplerine devredilir; istenirse periyodik danışmanlıkla takip edilir.
Sabit bir sayı yoktur. Kapsam, risk değerlendirmesi ve uygulanacak kontroller belirler; mükerrer dokümanlar birleştirilir. Teklifte doküman listesi açıkça yer alır.
Hayır. Önce değerlendirilir; kullanılabilir bölümler korunur, eksik ve tutarsız kısımlar hedefli olarak revize edilir.
Genellikle düzenlenebilir Word/Excel formatında; isteğe bağlı olarak SharePoint doküman kütüphanesi ve onay akışıyla.
Başlangıç maliyeti düşüktür ancak kuruma uyarlanmadığında denetimde kanıtla desteklenemez ve uygunsuzluk üretir. Uyarlama yükü yine kurumda kalır.
Kuruluşunuza özel bilgi güvenliği dokümanlarını hazırlayın; şablon yığını değil, işletilebilir bir yönetim sistemi edinin.
Proje (doküman seti) + revizyon desteği
Dokümanlar kuruma özel yazılır; hazır şablon dağıtımı yapılmaz.
Mevcut dokümanlar ve ihtiyaç listesi çıkarılır.
Her alanın sahibiyle gerçek işleyiş netleştirilir.
Taslaklar yazılır, sahipler ve yönetimle gözden geçirilir.
Revizyon kontrolüyle yayınlanır, kanıt şablonları devreye girer.
ISO 27001 veya TISAX hazırlığında kullanılabilecek entegre politika altyapısı geliştirin.
Bilgi güvenliği yönetim sistemini sıfırdan kurun; kapsam, risk, kontrol, süreç ve kanıtları denetime hazır hale getirin.
BT süreçlerinizi şirketin gerçek çalışma biçimine uygun, yönetilebilir dokümana dönüştürün.
Denetim dosyalarını e-posta eklerinden kurtarın; sürüm, erişim ve onay kontrolü olan merkezi alan oluşturun.
Mevcut dokümanlarınızı ve BT yapınızı inceleyip hangi politika, prosedür ve kayıtların yazılacağını, hangilerinin revize edileceğini netleştiren bir teklif sunuyoruz.