Denetçi Görüşmesine Hazırlık: Süreç Sahipleri Nasıl Hazırlanır?

Dokümanlar ne kadar düzgün olursa olsun, denetçi kanaatini büyük ölçüde süreç sahipleriyle yaptığı görüşmelerde oluşturur. Sistem yöneticisi yedekleme politikasını hiç duymadığını söylerse ya da İK uzmanı işten çıkış sürecini dokümandan farklı anlatırsa, haftalarca hazırlanan kanıt dosyasının değeri bir anda düşer. BT, İK, satın alma ve tesis yönetimindeki süreç sahiplerinin görüşmeye nasıl hazırlanacağı, kanıtın masada nasıl gösterileceği ve bilinmeyen soruya nasıl yaklaşılacağı aşağıda adım adım var.

Denetçi görüşmede neyi doğrular?

Görüşme bilgi sınavı değil, doğrulama tekniğidir. ISO 19011 rehberliğinde görüşme; doküman incelemesi ve gözlemle birlikte bilgi toplamanın temel yöntemlerinden biridir ve elde edilen bilgi mümkün olduğunca diğer kaynaklarla çapraz kontrol edilir. Denetçi bir süreç sahibiyle konuşurken genellikle üç şeyi aynı anda test eder:

Doğrulanan	Denetçinin aradığı	Tipik soru
Tasarım	Süreç tanımlı mı, roller belli mi?	“Yeni bir kullanıcı hesabı nasıl açılıyor?”
Uygulama	Anlatılan, kayıtlarda görülüyor mu?	“Geçen ay açılan bir hesabın talebini gösterebilir misiniz?”
Farkındalık	Kişi kendi rolünün güvenlik sorumluluğunu biliyor mu?	“Bir güvenlik olayı fark ederseniz ne yaparsınız?”

Hazırlığın ezber üzerine kurulamamasının nedeni bu üçlüdür. Denetçi anlatılan süreçten rastgele bir örnek ister ve kaydı kendisi açar. Anlatım ile kayıt arasındaki her fark iki şeyden birini gösterir: ya doküman gerçeği yansıtmıyor ya da süreç uygulanmıyor. İkisi de bulgudur.

Görüşme planı ve katılımcı seçimi

Belgelendirme kuruluşu denetim planını genellikle denetimden önce paylaşır; hangi saatte hangi sürecin ve hangi kontrollerin inceleneceği planda yazar. Planı aldığınız gün iki iş yapın:

1. Süreç–katılımcı eşlemesi: Her oturum için birincil katılımcıyı (süreci fiilen yürüten kişi) ve bir yedeği belirleyin. Birincil katılımcı yönetici değil, işi yapan kişidir; yönetici gerekiyorsa oturumun başında kısa bir çerçeve verir ve çekilir.
2. Kanıt hazırlığı: Her oturumun kontrol listesini kanıt matrisinden çıkarın ve ilgili kayıtlara gerçekten erişilebildiğini deneyin. Kanıt kalemlerinin kontrollerle nasıl eşleneceği kanıt matrisi rehberinde anlatılıyor.

Kalabalık oturum verimi düşürür. Üç–dört kişiyi aşan katılımda cevaplar birbirini düzeltmeye başlar ve denetçi tutarsızlık görür. BGYS yöneticisinin her oturumda bulunması yararlıdır; ama rolü cevap vermek değil, kanıt erişimini hızlandırmak ve not tutmaktır. Konuşan, işi yapan olmalı.

Rol bazlı hazırlık: BT, İK, satın alma, tesis yönetimi

Her rolün hazırlığı, o rolün sahip olduğu kontroller ve ürettiği kayıtlar etrafında kurulur. Aşağıdaki başlıklar ISO/IEC 27001:2022 Annex A temalarına göre görüşmelerde en sık açılan konulardır.

BT ve sistem yönetimi

• Kullanıcı hesabı açma, değiştirme ve kapatma akışı; ilgili bilet örnekleri.
• Ayrıcalıklı hesapların kimde olduğu ve nasıl gözden geçirildiği.
• Yedekleme kapsamı, başarısız işlerin nasıl takip edildiği, son geri yükleme testi.
• Yama ve zafiyet yönetimi: kritik bir güncellemenin nasıl değerlendirilip uygulandığı.
• Değişiklik kaydı: son yapılan önemli değişikliğin talep, onay ve test izi.

İnsan kaynakları

• İşe alım öncesi tarama ve gizlilik sözleşmesinin hangi aşamada imzalandığı.
• İşten ayrılan personelin BT’ye bildirilme yöntemi ve süresi.
• Farkındalık eğitiminin işe girişte ve periyodik olarak nasıl verildiği.
• Disiplin sürecinin bilgi güvenliği ihlallerini kapsayıp kapsamadığı.

Satın alma

• Bilgiye erişen tedarikçilerin nasıl belirlendiği ve güvenlik değerlendirmesinin ne zaman yapıldığı.
• Sözleşmelerdeki gizlilik ve güvenlik maddeleri; örnek bir sözleşme.
• Bulut hizmeti alımında güvenlik gerekliliklerinin nasıl değerlendirildiği.

Tesis ve idari işler

• Ziyaretçi kayıt ve refakat süreci; kart erişim yetkilerinin gözden geçirilmesi.
• Sistem odası erişim listesi ve erişim logları.
• Kamera kayıtlarının saklama süresi ve erişim yetkisi.

Prova toplantısında her kişiden kendi sürecini beş dakikada anlatmasını, ardından son üç aydan bir kayıt açmasını isteyin. Sahada en sık gördüğümüz tablo şudur: anlatım prosedürü izler, kayıt ise ekibin fiilen yaptığı kısayolu gösterir. Bu farkı denetimden önce görmek, en ucuz düzeltme fırsatıdır.

Örnek sorular ve cevap yaklaşımı

İyi cevap kısa, olgusal ve kanıta bağlıdır. Riskli cevap ise genelleme, varsayım veya kapsam dışına taşan açıklama içerir.

Soru	Güçlü cevap	Riskli cevap
İşten ayrılanın hesabı ne zaman kapanır?	“İK’dan bilet gelir, aynı gün kapatırız. Son ayrılışın biletini göstereyim.”	“Hep hemen kapatırız, hiç sorun olmadı.”
Yedekler test ediliyor mu?	“Aylık geri yükleme testi yapıyoruz; son test kaydı burada.”	“Yedek yazılımı başarılı diyor, demek ki sorun yok.”
Tedarikçi seçerken güvenliğe bakılıyor mu?	“Bilgiye erişecekse değerlendirme formu doldurulur. Son değerlendirmeyi açabilirim.”	“Büyük firmalarla çalışıyoruz, güvenlidirler.”
Bir olay fark ederseniz ne yaparsınız?	“Olay bildirim adresine yazar, BT’yi ararım.”	“Önce kendim çözmeye çalışırım.”

“Hep”, “asla”, “hiçbir zaman” gibi mutlak ifadeler denetçiyi örneklemi genişletmeye iter. Tek bir istisna çıktığında mutlak ifade, sürecin kontrol altında olmadığının kanıtına dönüşür. Gerçekçi cevap istisnayı da kapsar: “Genellikle aynı gün kapatırız; geç kapanan olursa haftalık mutabakat raporunda yakalanır.” Bu cümle güven verir. Mutlak cümle şüphe doğurur.

Görüşme sırasında kanıt gösterme kuralları

• Yalnız istenen kanıtı açın. Kanıt klasörünün tamamını ekrana getirmek, denetçinin istemediği ama dikkatini çeken kayıtlara yönelmesine yol açar.
• Kanıtı kaynağından gösterin. Mümkünse kaydı sistem üzerinde canlı açın; kopyalanmış dosya yerine bilet sisteminden veya yönetim konsolundan gösterim daha güçlüdür.
• Örneklemi denetçi seçer. “Şunu göstereyim” deyip en temiz kaydı seçmek yerine listeyi sunun, seçimi denetçiye bırakın. Seçilmiş örnek güvensizlik yaratır.
• Gizli bilgiyi önceden ayıklayın. Kişisel veri veya müşteri bilgisi içeren ekranlarda yalnız gerekli alanlar görünmeli. Uzaktan oturumlardaki ek kurallar uzaktan denetim hazırlığı rehberinde ayrıca ele alınıyor.
• Gösterilen kanıtı kayda geçirin. Hangi dosyanın hangi sürümle gösterildiğini not edin; bulgu tartışmasında bu liste referans olur.

Bilinmeyen soruya doğru yaklaşım

Her katılımcı her soruya cevap veremez; bunu beklemek de gerçekçi değil. Belli olması gereken, bilmediğinde ne yapacağıdır. Doğru yaklaşım üç adımdır: bilmediğini açıkça söylemek, bilginin kimde veya hangi dokümanda olduğunu belirtmek, gerekirse cevabı denetim içinde getirmeyi önermek. “Bu konuda yedekleme sorumlusu daha net bilgi verir; öğleden sonraki oturuma o katılacak” cevabı, tahmine dayalı her açıklamadan iyidir.

Tahminle verilen yanlış bilgi, sonraki oturumda başka birinin farklı anlatımıyla çeliştiğinde tutarsızlık bulgusuna dönüşebilir. Tahmin etmeyin. Sorulmayan konuyu açmak ya da gelecekte yapılacak iyileştirmeleri uzun uzun anlatmak da görüşmeyi kapsam dışı alanlara taşır.

Farkındalık soruları ayrı hazırlık ister: politika maddelerini ezberlemek değil, kişinin kendi işine dair güvenlik davranışını bilmesi beklenir. Bu yetkinliğin nasıl kazandırılıp kanıtlanacağı eğitim ve farkındalık kanıtı yazısında anlatılıyor; rol bazlı eğitim programları için BGYS farkındalık ve rol bazlı eğitim hizmeti de bu hazırlığın parçası olarak kurgulanabilir.

Görüşme sonrası not ve takip

Her oturumun sonunda BGYS yöneticisi kısa bir oturum notu yazar: denetçinin sorduğu konular, gösterilen kanıtlar, sonradan istenen ek bilgiler ve olası bulgu sinyalleri. Bu not hem günlük kapanışta hem de nihai toplantıda bulgu ifadelerini değerlendirmek için kullanılır.

• Denetçinin ek istediği kanıtlar, sorumlu ve teslim saatiyle listelenir.
• Günlük kapanışta denetçinin dile getirdiği gözlemler kaydedilir; yanlış anlaşılan bir konu varsa aynı gün kanıtla açıklanır.
• Denetimden sonra katılımcılarla kısa bir değerlendirme yapılır: hangi sorular zorladı, hangi süreçte anlatım ile kayıt ayrıştı.

Bu değerlendirmenin çıktısı bir sonraki denetimin hazırlık listesini besler. İlk belgelendirme denetiminin yapısı için ISO 27001 Aşama 1 ve Aşama 2 süreci yazısına, kapsamlı bir hazırlık programı için ISO 27001 belgelendirme denetimi hazırlığı hizmetine bakabilirsiniz. Denetim tekniklerinin genel çerçevesi ISO 19011:2018 kılavuzunda tanımlıdır.

Sık sorulan sorular

Denetçi görüşmesine kimler katılmalı?

Süreci fiilen yürüten kişi birincil katılımcıdır; yanında bir yedek ve kanıt erişimini hızlandıran BGYS yöneticisi bulunabilir. Üç–dört kişiyi aşan katılım cevapların birbirini düzeltmesine ve tutarsızlık izlenimine yol açar.

Süreç sahiplerine örnek cevap metni vermek doğru mu?

Hayır. Ezber metinler ilk takip sorusunda dağılır ve sürecin yalnız kâğıt üzerinde olduğu izlenimini verir. Bunun yerine kişinin kendi sürecini anlatıp son dönemden bir kayıt gösterdiği prova yapılmalıdır.

Denetçinin sorusunun cevabını bilmiyorsam ne yapmalıyım?

Bilmediğinizi açıkça söyleyin, bilginin kimde veya hangi dokümanda olduğunu belirtin, gerekiyorsa cevabı denetim içinde getirmeyi önerin. Tahmine dayalı cevap, başka bir oturumdaki anlatımla çeliştiğinde bulguya dönüşebilir.

Görüşmede kanıt örneğini kim seçer?

Örneklemi denetçi seçmeli. Kayıt listesini sunup seçimi denetçiye bırakmak, önceden seçilmiş temiz bir örnek göstermekten daha güven verici ve denetim tekniğine uygundur.