ISO 27001 Dokümanları: Politika, Prosedür ve Kayıt Nasıl Hazırlanır?

“ISO 27001 için hangi dokümanlar zorunlu?” sorusu genellikle bir liste beklentisiyle sorulur. Oysa standart, belirli doküman adları değil, belirli bilgilerin dokümante edilmesini ve bunun yanında kuruluşun BGYS’nin etkinliği için gerekli gördüğü dokümanların oluşturulmasını ister. Bu rehber, standardın açıkça dokümante bilgi beklediği konuları, pratikte hangi dokümanlarla karşılandığını ve dokümanların denetimde nasıl savunulabilir hale geldiğini anlatır.

Politika, prosedür, talimat ve kayıt farkı

Denetçiler politikayı okur, prosedürü sorar, ama kararı genellikle kayda bakarak verir.

Standardın açıkça dokümante bilgi beklediği başlıca konular

• BGYS kapsamı
• Bilgi güvenliği politikası
• Risk değerlendirme süreci ve risk işleme süreci
• Uygulanabilirlik Bildirgesi (SoA)
• Bilgi güvenliği hedefleri
• Yetkinlik kanıtları
• Süreçlerin planlandığı gibi yürütüldüğüne dair güven sağlamak için gerekli operasyonel bilgiler
• Risk değerlendirmesi ve risk işleme sonuçları
• İzleme ve ölçme sonuçları
• İç denetim programı ve sonuçları
• Yönetimin gözden geçirmesi sonuçları
• Uygunsuzluklar, alınan aksiyonlar ve düzeltici faaliyet sonuçları

Ek A kontrolleri de çoğu durumda doküman gerektirir: örneğin işletim prosedürlerinin dokümante edilmesi, kabul edilebilir kullanım kuralları veya olay yönetimi planlaması. Hangilerinin gerekli olduğu SoA’daki kontrol seçimine bağlıdır.

Not: Liste, standardın yapısının özetidir; madde metinleri telifli olduğundan birebir aktarılmamıştır. Kesin gereklilikler için standardın kendisine başvurulmalıdır.

Pratikte tipik bir doküman seti

Orta ölçekli bir kuruluşta yönetim sistemi ve kontroller genellikle 20–30 doküman ile karşılanır: politika, risk metodolojisi, risk işleme planı, SoA, varlık yönetimi, sınıflandırma, erişim kontrolü, kullanıcı hesabı yönetimi, parola ve MFA, ayrıcalıklı erişim, yedekleme, iş sürekliliği ve felaket kurtarma, olay müdahalesi, loglama ve izleme, değişiklik ve yama yönetimi, güvenli konfigürasyon, tedarikçi güvenliği, uzaktan erişim, kabul edilebilir kullanım, farkındalık planı, iç denetim programı, YGG dokümanları, düzeltici faaliyet formları ve denetim kanıt matrisi. Birden fazla konu tek dokümanda birleştirilebilir; önemli olan tutarlılık ve izlenebilirliktir.

Bir dokümanı denetimde savunulabilir kılan beş unsur

1. Sahip: Dokümanın güncel tutulmasından sorumlu kişi.
2. Onay ve yürürlük: Kim onayladı, hangi tarihte yürürlüğe girdi?
3. Gözden geçirme sıklığı: En az yıllık veya değişiklik bazlı.
4. Gerçeklik: Anlatılan rol, sistem ve sıklık kurumda var mı?
5. Kayıt bağlantısı: Her kural hangi formu veya sistem kaydını üretiyor?

Şablon kullanmak yanlış mı?

Şablon format ve başlık yapısı için iyi bir başlangıç olabilir. Sorun, şablonun kuruma uyarlanmadan yürürlüğe konmasıdır: içinde geçen “Bilgi Güvenliği Komitesi” kurumda yoksa, “aylık log incelemesi” yapılmıyorsa, doküman denetimde uygunsuzluk üretir. Uyarlama için her doküman sahibiyle kısa bir görüşme yapılması ve gerçek işleyişin yazılması önerilir.

Doküman kontrolü: sürüm, erişim, saklama

Standart dokümante bilginin dağıtımını, erişimini, saklanmasını ve değişikliklerin kontrolünü bekler. Microsoft 365 kullanan kuruluşlar için SharePoint doküman kütüphanesi; sürümleme, onay akışı ve erişim yetkileriyle bu gereklilikleri pratik biçimde karşılar. Ayrıntı için SharePoint kanıt yönetimi rehberine bakabilirsiniz.

Dokümanlarınızı dışarıdan hazırlatmak

Sık sorulan sorular

Dokümanlar Word yerine bir yazılımda tutulabilir mi?

Evet. Standart format belirlemez; doküman yönetim sistemi, SharePoint, wiki veya GRC aracı kullanılabilir. Önemli olan sürüm kontrolü, onay, erişim ve saklama gerekliliklerinin karşılanmasıdır.

İngilizce dokümanlar kabul edilir mi?

Denetim dili ve çalışanların anlayabileceği dil dikkate alınmalıdır. Grup şirketi politikaları İngilizce olabilir; kullanıcıya yönelik talimatların Türkçe olması uygulanabilirlik açısından önerilir.

Doküman sayısı az olursa denetimde sorun olur mu?

Hayır. Gereksiz doküman çokluğu daha büyük bir risktir. Gereklilikler karşılandığı, tutarlı ve uygulanıyor olduğu sürece konuların birleştirilmesi kabul edilir.

İç kaynak yoksa dokümanların tamamı dış kaynak olarak hazırlanabilir; ancak her dokümanın bir iç sahibe devredilmesi şarttır. Bilgi Güvenliği Politika ve Prosedür Paketi 25 temel dokümanı tek projede hazırlar; ISO 27001 dokümantasyon hizmeti ise kapsamı esnek tutar.