Gözetim Denetimi Hazırlığı: Belgelendirme Sonrası Yıllar İçin Plan

ISO 27001 belgesi alındıktan sonraki ilk yıl, BGYS’nin gerçekten işleyip işlemediğinin ortaya çıktığı dönemdir. Proje ekibi dağılır, danışman ayrılır, iç denetim ve yönetimin gözden geçirmesi takvimden düşer; gözetim denetimine birkaç hafta kala bir yıllık kayıt boşluğu fark edilir. Bu senaryoyu önlemek için gözetimde denetçinin neye baktığını, yeniden belgelendirmeden farkını, önceki bulguların ve değişikliklerin nasıl ele alınacağını bilmek ve denetimden önceki on haftayı plana bağlamak gerekir. Aşağıda hepsi var.

Gözetim denetimi ile yeniden belgelendirme farkı

ISO/IEC 17021-1’e göre belgelendirme döngüsü üç yıldır. İlk belgelendirmenin ardından, yeniden belgelendirme yılları dışında en az takvim yılında bir kez gözetim denetimi yapılır; ilk gözetim denetimi belgelendirme kararı tarihinden itibaren on iki ayı geçemez. Üçüncü yılın sonunda, belge bitiş tarihinden önce yeniden belgelendirme denetimi yapılır.

Özellik	Gözetim denetimi	Yeniden belgelendirme
Amaç	Sistemin sürdürüldüğünü doğrulamak	Sistemin bütün olarak uygunluğunu ve etkinliğini yeniden onaylamak
Kapsam	Gereklilikler örneklemle; her gözetimde tüm maddeler incelenmeyebilir	Tüm standart gereklilikleri ve kapsam
Süre	IAF MD 5’e göre genellikle ilk belgelendirme süresinin yaklaşık üçte biri	IAF MD 5’e göre genellikle ilk belgelendirme süresinin yaklaşık üçte ikisi
Dayanak	Önceki denetimler ve döneme ait kayıtlar	Tüm belgelendirme döngüsünün performansı
Sonuç	Belgenin sürdürülmesi, kapsam değişikliği veya askıya alma	Yeni üç yıllık belge kararı

Gözetimin kapsamı dar görünür, ama örneklemi denetçi belirler. Bir gözetimde incelenmeyen kontrol bir sonrakinde incelenir; belgelendirme kuruluşları üç yıllık programı, döngü boyunca kapsamın ve kontrollerin dengeli örneklenmesini sağlayacak şekilde planlar. “Bu yıl o konuya bakılmaz” varsayımı güvenli değildir. Sahada en sık gördüğümüz yanlış hesap budur.

Denetçinin gözetimde odaklandığı konular

ISO/IEC 17021-1 her gözetim denetiminde değerlendirilmesi gereken konuları sayar; bilgi güvenliği yönetim sistemlerinde ISO/IEC 27006 bu gereklilikleri BGYS’ye özgü unsurlarla tamamlar. Pratikte gözetim şu başlıklar etrafında döner:

• İç denetim ve yönetimin gözden geçirmesi: Dönem içinde yapılmış, planlanan kapsamı tamamlamış ve çıktıları takip edilmiş mi?
• Önceki denetimde tespit edilen uygunsuzluklar: Düzeltici faaliyetler uygulanmış ve etkin mi?
• Şikâyetlerin ele alınması: Bilgi güvenliğiyle ilgili dış ve iç şikâyetler nasıl kaydedilip sonuçlandırılmış?
• Hedeflere ulaşmadaki etkinlik: Bilgi güvenliği hedefleri ölçülmüş mü, sonuçlar değerlendirilmiş mi?
• Sürekli iyileştirme faaliyetleri: Planlanan iyileştirmelerde ilerleme var mı?
• Operasyonel kontrolün sürekliliği: Risk değerlendirmesi güncel mi, kontroller döneme yayılmış kayıtlarla işletiliyor mu?
• Değişiklikler: Organizasyon, kapsam, lokasyon, kritik sistem ve tedarikçi değişiklikleri nasıl yönetilmiş?
• Belge ve logo kullanımı: Belgelendirmeye yapılan atıflar kapsamla uyumlu mu?

İlk iki madde, gözetimde genellikle en çok zaman ayrılan kısımdır. Bu iki kayıt yoksa geri kalanı tartışılmaz bile. İç denetim programının döngüye nasıl yayılacağı ISO 27001 iç denetim programı, YGG’nin girdi ve çıktılarının nasıl kayda alınacağı yönetimin gözden geçirmesi rehberlerinde anlatılıyor.

Önceki bulguların kapanış kanıtı

Önceki denetimdeki minör uygunsuzluklar için belgelendirme kuruluşu planınızı kabul etmiştir; gözetimde planın uygulandığı ve etkili olduğu doğrulanır. Denetçi her bulgu için genellikle şu izi sürer: bulgu ifadesi → kök neden analizi → faaliyetler ve tamamlanma kanıtı → etkinlik doğrulaması → benzer alanlarda yaygınlık kontrolü.

Her açık veya kapatılmış bulgu için bir kapanış dosyası hazırlayın. Dosyada kabul edilen planın kendisi, planda taahhüt edilen her faaliyetin tamamlanma kanıtı, etkinlik kriteri ve ölçüm sonucu bulunur. Planda bir tarih kaydıysa gerekçesi ve yeni tarihi kimin onayladığı da dosyada olmalı. Planda yazan, sahada da görülmeli.

Bulgu sınıflarının sonraki denetime etkisi ve minör bulguların birikerek majöre dönüşme riski majör ve minör uygunsuzluk farkı yazısında ayrıntılı ele alınıyor.

Kapsam ve organizasyon değişikliklerinin bildirilmesi

ISO/IEC 17021-1, belgelendirme kuruluşlarının, belgeli kuruluştan belgelendirmeyi etkileyebilecek değişiklikleri gecikmeden bildirmesini istemesini gerektirir. Bu değişiklikler arasında hukuki statü veya sahiplik, organizasyon ve üst yönetim, adres ve lokasyonlar, kapsam ve yönetim sisteminde ya da süreçlerde önemli değişiklikler bulunur. Bildirim yükümlülüğünün ayrıntıları belgelendirme sözleşmenizde yazar.

Bilgi güvenliği açısından tipik değişiklik tetikleyicileri:

• Yeni bir lokasyonun açılması veya kapsam içindeki bir lokasyonun kapanması.
• Veri merkezinin buluta taşınması veya ana barındırma sağlayıcısının değişmesi.
• BT operasyonunun dış kaynağa devri ya da dış kaynaktan geri alınması.
• Birleşme, satın alma veya bölünme.
• BGYS yöneticisinin ya da üst yönetimin değişmesi.

Bu değişiklikler hem belgelendirme kuruluşuna bildirimi hem de kuruluş içinde risk değerlendirmesi, SoA ve kapsam dokümanının güncellenmesini gerektirebilir. Denetçi gözetimde değişikliği öğrendiğinde ilk olarak bu güncellemelere bakar. Sunucuları buluta taşıdığınız halde risk kaydında hâlâ eski sistem odası duruyorsa, denetçi bunu ilk saatte görür. Bildirilmemiş kapsam değişikliği, denetim süresinin ve planının yanlış hesaplanmasına da yol açar.

Gözetim öncesi hazırlık takvimi

Hazırlık denetimden birkaç gün önce değil, döngü boyunca yürür. Ama dönemsel faaliyetleri toplu kontrol etmek için on haftalık bir geri sayım iyi işler. Takvim, iç denetim ve YGG’nin bu döneme kadar zaten tamamlanmış olduğunu varsayar; tamamlanmamışsa ilk iş bunları planlamaktır.

Denetime kalan	Faaliyet	Çıktı
10 hafta	Denetim tarihinin teyidi, değişikliklerin listelenmesi ve bildirimi	Değişiklik listesi, bildirim yazışması
9 hafta	Önceki denetim raporu ve açık bulguların durum kontrolü	Bulgu kapanış dosyaları taslağı
8 hafta	Kanıt matrisinde gecikmiş ve eksik kanıt taraması	Gecikmiş kanıt listesi ve sorumlular
7–6 hafta	Risk değerlendirmesi ve SoA’nın değişikliklere göre güncellenmesi	Revize risk kaydı ve SoA
5 hafta	İç denetim ve YGG kayıtlarının bütünlük kontrolü	Program–gerçekleşme karşılaştırması
4 hafta	Hedef ve KPI ölçüm sonuçlarının derlenmesi	Hedef izleme tablosu
3 hafta	Denetim planının alınması, süreç sahiplerinin belirlenmesi	Oturum–katılımcı eşlemesi
2 hafta	Süreç sahipleriyle prova görüşmeleri	Prova notları ve düzeltmeler
1 hafta	Kanıt erişim kontrolü, toplantı odası veya uzaktan bağlantı hazırlığı	Erişim testi tamamlandı

Sekizinci haftadaki kanıt taraması, takvimin en çok iş çıkaran adımıdır: gecikmiş bir çeyreklik gözden geçirme ya da yapılmamış bir geri yükleme testi burada görülür ve hâlâ dönem içinde telafi edilebilir. Son hafta görülürse edilemez. Prova görüşmeleri ise denetimin insan tarafındaki boşlukları gösterir; içeriği için denetçi görüşmesine hazırlık yazısına bakabilirsiniz.

Gözetim kontrol listesi

“Belge aldık, sistem durdu” riskini ölçmenin en hızlı yolu, son on iki aya ait aşağıdaki kayıtların varlığını ve tarihlerini kontrol etmektir. Kayıtların tamamı denetimden önceki birkaç haftaya yığılmışsa, sistem sürekli işletilmemiş demektir. Denetçi tarihlere bakar.

• İç denetim programı ve dönem içinde gerçekleşen denetim raporları.
• Yönetimin gözden geçirmesi toplantı kaydı; standartta sayılan tüm girdilerin ele alındığı ve kararların takip edildiği.
• Önceki belgelendirme ve iç denetim bulgularının DÖF kayıtları, etkinlik doğrulamasıyla birlikte.
• Güncel risk değerlendirmesi ve risk işleme planının ilerleme durumu.
• Revizyon tarihi değişikliklerle uyumlu SoA ve kapsam dokümanı.
• Bilgi güvenliği hedeflerinin ölçüm sonuçları.
• Periyodik kontrol kayıtları: erişim gözden geçirmeleri, geri yükleme testleri, zafiyet taramaları, tedarikçi değerlendirmeleri.
• Olay kayıtları ve olaylardan çıkarılan dersler.
• Farkındalık eğitimi kayıtları; dönem içinde işe başlayanlar dahil.
• Belgelendirme kuruluşuna yapılan değişiklik bildirimleri.
• Web sitesi, teklif ve sunumlarda belge ve logo kullanımının kapsamla uyumu.

Listede eksik çıkan kalemler, döngünün geri kalanında sürekliliği sağlayacak bir yapının eksik olduğunu gösterir. Eksik kaydı tamamlamak tek seferlik iştir; eksik yapıyı kurmak asıl iştir. İlk belgelendirme sürecinin ayrıntıları için Aşama 1 ve Aşama 2 denetim süreci yazısına bakılabilir. BGYS sorumluluğunu belge sonrası dönemde sürdürecek iç kaynağı olmayan kuruluşlar için dış kaynak BGYS sorumluluğu ve sürekli ISO 27001 danışmanlığı, denetim öncesi kapsamlı hazırlık için ISO 27001 belgelendirme denetimi hazırlığı hizmetlerimiz bu döngüyü destekler. Gözetim ve yeniden belgelendirme kurallarının resmi kaynağı ISO/IEC 17021-1 standardıdır.

Sık sorulan sorular

ISO 27001 gözetim denetimi ne sıklıkla yapılır?

ISO/IEC 17021-1’e göre yeniden belgelendirme yılları dışında en az takvim yılında bir kez. İlk gözetim denetimi, belgelendirme kararı tarihinden itibaren on iki ayı geçemez. Kesin tarihler belgelendirme kuruluşunun üç yıllık denetim programında yer alır.

Gözetim denetiminde tüm Annex A kontrolleri incelenir mi?

Her gözetimde tüm kontroller incelenmeyebilir; denetçi örneklem alır. Ancak belgelendirme kuruluşu üç yıllık programı, döngü boyunca kapsamın ve kontrollerin dengeli örneklenmesini sağlayacak şekilde planlar. Bu yüzden tüm kontrollerin dönem boyunca işletilmiş olması gerekir.

Gözetim denetiminde majör uygunsuzluk çıkarsa ne olur?

Belgelendirme kuruluşu düzeltme ve düzeltici faaliyetlerin belirli bir süre içinde uygulanmasını ve doğrulanmasını ister. Bu sağlanamazsa belge askıya alınabilir. Süreler ve doğrulama yöntemi belgelendirme kuruluşunun kurallarına göre belirlenir.

Kapsam değişikliğini gözetim denetimine kadar bekletebilir miyiz?

Önermeyiz. Belgelendirmeyi etkileyebilecek değişikliklerin belgelendirme kuruluşuna gecikmeden bildirilmesi beklenir ve sözleşmede bu yükümlülük yer alır. Bildirilmeyen değişiklik denetim süresinin ve planının yanlış hesaplanmasına yol açar.