ISO 27001 Belgelendirme Denetimi: Aşama 1 ve Aşama 2 Nasıl Geçilir

Prosedürler yazılmış, SoA imzalanmış, risk tablosu dolu. Denetçi yine de ilk gün “bu kuralı son üç ayda kim, nerede uyguladı?” diye sorar ve kayıt çıkmaz. ISO 27001 belgesi BGYS’nin kurulmasıyla değil, bağımsız bir belgelendirme kuruluşunun iki aşamalı denetimi ve ardından verdiği belge kararıyla alınır. Bu rehber, ilk belgelendirmeye hazırlanan BGYS ve IT yöneticileri için süreci kuruluş seçiminden belge kararına kadar sırayla anlatır: Aşama 1’de neye, Aşama 2’de neye bakıldığını, aradaki sürenin nasıl kullanılacağını ve denetim gününden önce neyin kontrol edileceğini.

Belgelendirme kuruluşu seçimi ve akreditasyon

Belgelendirme kuruluşları ISO/IEC 17021-1 (yönetim sistemi denetimi ve belgelendirmesi yapan kuruluşlar için genel gereklilikler) ve BGYS’ye özgü ISO/IEC 27006-1 kurallarına göre çalışır. Bir kuruluşun bu kurallara uyduğunu bağımsız olarak doğrulayan mekanizma akreditasyondur. Türkiye’de akreditasyon kurumu TÜRKAK’tır; yurt dışındaki akreditasyon kurumları da IAF (International Accreditation Forum) karşılıklı tanınma anlaşmasına taraf olabilir. Müşteriniz veya ihale şartnamesi “akredite belge” istiyorsa, akreditasyonu olmayan bir kuruluşun belgesi çoğu durumda kabul görmez. Ucuz teklif burada pahalıya patlar.

Teklif toplamadan önce şunları doğrulayın:

• Akreditasyon kapsamı: Akreditasyon genel olarak değil, belirli standart ve sektörler için verilir. Akreditasyon sertifikasının ekinde ISO/IEC 27001’in yer aldığını TÜRKAK’ın veya ilgili akreditasyon kurumunun sitesinden kendiniz kontrol edin; satış sunumundaki logoya güvenmeyin.
• Belge doğrulanabilirliği: Belgenin akreditasyon logosunu taşıyıp taşımayacağını ve IAF CertSearch gibi kamuya açık veri tabanlarında sorgulanabilir olup olmayacağını sorun.
• Denetim süresinin dayanağı: Denetim adam-günü, ISO/IEC 27006-1’deki tabloya göre kapsamdaki çalışan sayısından başlanarak karmaşıklık faktörleriyle ayarlanır. Teklifler arasında büyük gün farkı varsa hesabın gerekçesini isteyin. Standart altı süre, derinliği düşük denetim demektir.
• Denetçi yetkinliği: Sektörünüzde (üretim, yazılım, finans gibi) deneyimli denetçi atanıp atanmayacağını ve denetim dilini baştan netleştirin.
• Danışmanlık–denetim ayrımı: Belgelendirme kuruluşu aynı BGYS için danışmanlık veremez. “Denetim + danışmanlık paketi” öneren yapı tarafsızlık kuralına aykırıdır.

Aşama 1 denetimi: amaç ve kapsam

Aşama 1, BGYS’nin Aşama 2’ye hazır olup olmadığının değerlendirmesidir. Denetçi burada kontrollerin etkinliğini örneklemekten çok, yönetim sisteminin tasarımına ve dokümante edilmiş bilginin standardı karşılayıp karşılamadığına bakar. ISO/IEC 17021-1’e göre Aşama 1’in tipik hedefleri:

• Kapsamın, lokasyonların ve süreçlerin doğrulanması; kapsam ifadesinin belgede yazacağı biçimle netleşmesi.
• Zorunlu dokümante edilmiş bilginin incelenmesi: bilgi güvenliği politikası, risk değerlendirme ve risk işleme süreci, risk işleme planı, Uygulanabilirlik Bildirgesi (SoA), bilgi güvenliği hedefleri.
• İç denetimin ve yönetimin gözden geçirmesinin planlanıp gerçekleştirildiğinin görülmesi.
• Aşama 2 planı için bilgi toplanması: vardiyalar, uzak lokasyonlar, örneklenecek süreçler, kritik sistemler.

Aşama 1 kısmen veya tamamen uzaktan yapılabilir; bu, kuruluşun uygulamasına ve kapsamın niteliğine bağlıdır. Seçme şansınız varsa yerinde isteyin. Denetçi sistem odasını, kabinetleri ve fiziksel giriş noktalarını erken görür; Aşama 2’de sürpriz bulgu riski düşer.

Sahada Aşama 1’de en sık karşılaştığımız üç sorun: kapsam ifadesiyle SoA’nın uyuşmaması, risk değerlendirmesinin kapsamdaki varlıkları tam kapsamaması ve SoA’da hariç tutulan kontrollerin gerekçesinin “uygulanmıyor” gibi boş bir ifadeyle geçiştirilmesi. Üçü de masa başında yakalanır. SoA’nın nasıl yapılandırılacağını ISO 27001 SoA hazırlama rehberinde ayrıntılı anlattık.

Aşama 1 bulgularının yönetimi

Aşama 1 raporu, Aşama 2’de uygunsuzluğa dönüşebilecek endişe alanlarını listeler. Bunlar resmi uygunsuzluk sayılmaz; ama aynı durum Aşama 2’de sürüyorsa uygunsuzluk yazılması beklenir. Kontrol sırası şöyle olmalı:

1. Her bulguyu kayda alın: Bulgu, sorumlu, hedef tarih ve kapanış kanıtını içeren bir izleme listesi açın; bu listeyi BGYS’nin düzeltici faaliyet kaydına bağlayın.
2. Kök nedene inin: “Prosedürde eksik alan var” bulgusunu yalnız dokümanı güncelleyerek kapatmak çoğu zaman yetmez. Aşama 2’de denetçi, güncellenen kuralın uygulandığını gösteren kayıt arar.
3. Uygulama kanıtı üretin: Değiştirilen her süreç için Aşama 2’ye kadar birkaç gerçek kayıt oluşsun (ör. yeni erişim gözden geçirme formuyla yapılmış bir gözden geçirme).
4. Takvimi gerçekçi kurun: Bulgular ağırsa Aşama 2’yi ertelemek, hazırlıksız girip majör uygunsuzluk almaktan daha ucuzdur.

Aşama 1 ile Aşama 2 arasındaki süre standartta sabit bir sayı değildir; belgelendirme kuruluşu bulguların niteliğine ve hazırlığınıza göre belirler. Bu aralık bekleme süresi değildir. Eksiklerin kapatıldığı ve kanıt biriktirildiği bir uygulama dönemidir.

Aşama 2 denetimi: uygulama etkinliği

Aşama 2, BGYS’nin kendi kurallarına göre gerçekten işletildiğini ve sonuç ürettiğini değerlendirir. Denetçi süreç sahipleriyle görüşür, kayıt örnekleri seçer, sistem ekranlarını ve raporları inceler, gerekirse lokasyonları gezer. Soru “prosedür var mı?” değildir. Soru, “prosedür uygulanıyor mu ve işe yarıyor mu?” sorusudur.

Aşama 2’de tipik olarak incelenen alanlar:

• Risk yönetimi döngüsü: Risk değerlendirmesinin planlanan aralıklarla veya önemli değişikliklerde güncellendiği, risk işleme planındaki aksiyonların takip edildiği, artık risklerin risk sahiplerince onaylandığı.
• Annex A kontrollerinin örneklenmesi: SoA’da uygulanabilir denen kontroller için kayıt: erişim talepleri ve ayrılış süreçleri, yedekleme ve geri yükleme testleri, yama kayıtları, tedarikçi değerlendirmeleri, olay kayıtları, eğitim kayıtları. Sahada en çok takılan kalem geri yükleme testidir; yedek işi “başarılı” görünür ama test edilmiş bir geri dönüş kaydı yoktur.
• Ölçme ve izleme: Hedeflerin ölçüldüğü, sonuçların değerlendirildiği ve yönetime raporlandığı.
• İç denetim ve YGG: İç denetimin kapsamı tam taraması, bulguların düzeltici faaliyete bağlanması ve yönetimin gözden geçirmesinin standarttaki girdileri ele alması. İç denetimin planlanmasını ISO 27001 iç denetim programı yazısında, YGG’nin içeriğini yönetimin gözden geçirmesi rehberinde bulabilirsiniz.
• Liderlik: Üst yönetimin BGYS’ye katılımı; denetçi genellikle açılış toplantısında veya ayrı bir görüşmede üst yönetimle konuşur. Genel müdürün “bunu IT biliyor” demesi kötü bir başlangıçtır.

Aşama 2 sonunda bulgular uygunsuzluk (majör veya minör) ve gözlem/iyileştirme fırsatı olarak sınıflanır. Majör uygunsuzluk, bir gerekliliğin hiç karşılanmaması veya BGYS’nin amaçlanan sonuca ulaşma yeteneğinden ciddi şüphe doğuran durumdur; minör uygunsuzluk ise sistemin bütününü etkilemeyen münferit bir sapmadır. Sınıflandırma kriterlerini majör ve minör uygunsuzluk farkı yazısında örneklerle anlattık.

Aşama 1 ve Aşama 2 karşılaştırması

Boyut	Aşama 1	Aşama 2
Temel soru	Sistem tasarımı hazır mı?	Sistem uygulanıyor ve etkin mi?
Odak	Doküman, kapsam, SoA, risk yöntemi	Kayıtlar, görüşmeler, sistem kanıtı
Yer	Uzaktan veya yerinde	Ağırlıklı olarak yerinde
Katılımcılar	BGYS yöneticisi, kilit sorumlular	Süreç sahipleri, IT, İK, üst yönetim
Çıktı	Hazırlık raporu, endişe alanları, Aşama 2 planı	Uygunsuzluklar, belge önerisi
Belgeye etkisi	Doğrudan belge kararı çıkmaz	Belge kararının dayanağıdır

Belge kararı ve sonrası

Aşama 2’de uygunsuzluk yazıldıysa, belgelendirme kuruluşunun verdiği süre içinde düzeltme ve düzeltici faaliyet planını sunarsınız. Minör uygunsuzlukta genellikle planın kabulü yeterlidir; uygulamanın etkinliği bir sonraki denetimde doğrulanır. Majörde ise düzeltmenin ve düzeltici faaliyetin uygulandığı belge kararından önce doğrulanmalıdır; bu, kanıt incelemesiyle veya ek bir yerinde ziyaretle yapılabilir. Süre aşılırsa kuruluş yeni bir Aşama 2 isteyebilir.

Belge kararını denetim ekibi vermez; belgelendirme kuruluşunda denetime katılmamış bir karar verici veya komite verir. Karar olumluysa belge üç yıl geçerli olacak şekilde düzenlenir. Bu döngüde her yıl gözetim denetimi yapılır, döngü sonunda yeniden belgelendirme gelir. İlk gözetim denetimi belge kararından itibaren on iki ay içinde yapılmalıdır. Takvimi buradan geriye doğru kurun: iç denetim ve YGG bu tarihten önce bitmiş olmalı. Belge sonrası döngünün ayrıntıları gözetim denetimi hazırlığı yazısında.

Belgeyi aldıktan sonra sık yapılan hata, belge üzerindeki kapsam ifadesini okumadan dosyaya kaldırmaktır. ISO/IEC 27006-1, belge dokümanlarında SoA’nın ilgili sürümüne atıf yapılmasını bekler; SoA’yı güncellediğinizde kuruluşu bilgilendirmeniz gerekip gerekmediğini sözleşmenizden kontrol edin. Yeni lokasyon, yeni hizmet gibi kapsam değişiklikleri de kuruluşa bildirilmeli, gerekirse ek denetimle değerlendirilmelidir.

Belgelendirme öncesi kontrol listesi

Aşama 1’den önce ve Aşama 2’den önce ayrı ayrı üzerinden geçin:

• Kapsam ifadesi, risk değerlendirmesi, SoA ve organizasyon şeması aynı kapsamı tarif ediyor.
• SoA’daki her kontrol için uygulanma durumu ve hariç tutma gerekçesi yazılı; her uygulanabilir kontrolün bir kanıt kaynağı belli.
• Risk işleme planı onaylı; artık riskler risk sahiplerince kabul edilmiş.
• Kapsamın tamamını kapsayan en az bir iç denetim tamamlanmış, bulguları düzeltici faaliyete bağlanmış.
• Yönetimin gözden geçirmesi standarttaki girdilerle yapılmış; karar ve aksiyonlar tutanakta.
• Bilgi güvenliği hedefleri için en az bir ölçüm dönemi sonucu mevcut.
• Farkındalık eğitimi kayıtları kapsamdaki çalışanların tamamını gösteriyor; yeni başlayanlar dahil.
• Denetçiye sunulacak kanıtlar kontrol bazında bir kanıt klasöründe düzenli; denetim süresince erişim yetkisi tanımlı. Kanıtların nasıl eşleneceğine kanıt matrisi hazırlama yazısında değindik.
• Süreç sahiplerine denetim takvimi bildirilmiş; görüşme saatlerinde vekâlet planı hazır.
• Denetçinin göreceği ekranlarda gizli veri maskeleme ve ekran paylaşımı kuralları belirlenmiş. Canlı konsolda parola listesi açık kalmasın.

Belgelendirmeden önce mevcut durumu bağımsız bir gözle görmek istiyorsanız, ISO 27001 gap analizi Aşama 1 öncesi eksikleri çıkarır; belgelendirme denetimi hazırlığı ise kanıt dosyası ve denetim günü planına odaklanır. Akreditasyon kurumları için TÜRKAK ve IAF sitelerine bakabilirsiniz.

Sık sorulan sorular

Aşama 1 ile Aşama 2 arasında ne kadar süre olmalı?

Standart sabit bir süre vermez. Tarihi belgelendirme kuruluşu, Aşama 1 bulgularının ağırlığına ve sizin hazırlığınıza bakarak belirler. Bu aralığı endişe alanlarını kapatmak ve değiştirdiğiniz süreçler için gerçek uygulama kaydı biriktirmek için kullanın.

İç denetim ve YGG yapılmadan Aşama 2’ye girilebilir mi?

Pratikte hayır. ISO/IEC 17021-1, Aşama 1’de iç denetimin ve yönetimin gözden geçirmesinin planlanıp yapıldığının değerlendirilmesini ister; belgelendirme kuruluşları bu yüzden Aşama 2’den önce kapsamı kapsayan iç denetim ve YGG kaydını görmek ister. Bu kayıtlar yoksa Aşama 2 genellikle ertelenir ya da uygunsuzluk yazılır.

Majör uygunsuzluk çıkarsa belge alınamaz mı?

Majör uygunsuzluk açıkken belge kararı verilmez; ama süreç bitmez. Düzeltme ve düzeltici faaliyet kanıtla veya ek ziyaretle doğrulandıktan sonra karar verilebilir. Doğrulama kuruluşun verdiği süre içinde yapılamazsa yeni bir Aşama 2 gerekebilir.

Belgenin akredite olup olmadığını nasıl doğrularım?

Belgelendirme kuruluşunun akreditasyon sertifikasında ve ekinde ISO/IEC 27001’in yer aldığını akreditasyon kurumunun sitesinden kontrol edin. Belgenin IAF CertSearch gibi kamuya açık veri tabanlarında sorgulanabilir olup olmayacağını da sorun.