ISO 27002:2022 Kontrol Öznitelikleri Pratikte Nasıl Kullanılır?

93 kontrollük bir SoA’yı açıp “olay anında bizi hangi kontroller uyarır?” sorusuna beş dakikada cevap veremiyorsanız, kontrol setiniz bir liste olarak duruyor demektir; yönetilmiyor. ISO/IEC 27002:2022’yi 2013 sürümünden ayıran en belirgin farklardan biri, her kontrole beş öznitelik (attribute) atanmasıdır. Bu öznitelikler 93 kontrolü farklı açılardan filtrelemeyi, yönetime farklı görünümlerle raporlamayı ve NIST CSF gibi çerçevelerle ortak bir dil kurmayı sağlar. Bu rehber, kontrol setini yöneten BGYS sorumluları ve güvenlik mimarları için öznitelikleri açıklar ve SoA ile kontrol envanterinde nasıl işe yarar hale getirileceğini örneklerle gösterir.

ISO 27001 ile ISO 27002 ilişkisi

ISO/IEC 27001 bir gereklilik standardıdır; belgelendirme ona göre yapılır. Annex A’sı her kontrol için yalnızca kısa bir kontrol ifadesi verir. ISO/IEC 27002 ise rehber standarttır: aynı numaralandırmayla her kontrolün amacını, uygulama rehberini, diğer bilgileri ve öznitelik değerlerini içerir. Belgelendirme denetiminde ISO 27002’ye uyum denetlenmez; ama bir kontrolün nasıl yorumlanacağı tartışılırken hem kuruluşlar hem denetçiler ISO 27002’yi açar.

Öznitelikler yalnız ISO 27002’de yer alır ve tamamen bilgilendirme amaçlıdır. Hiçbir öznitelik değeri bir kontrolü zorunlu kılmaz veya kapsam dışına çıkarmaz. Bunlar etikettir. Kontrol setini kendi ihtiyacınıza göre görüntülemek için kullanılır. 2022 ve 2024 değişikliklerinin geneli için ISO 27001:2022 ve 2024 değişikliği yazısına bakabilirsiniz.

Beş öznitelik ve değerleri

Standartta öznitelik değerleri “#” işaretiyle yazılır; bir kontrol aynı öznitelikte birden fazla değer alabilir.

Öznitelik	Değerler	Sorduğu soru
Kontrol türü	#Preventive, #Detective, #Corrective	Kontrol olaydan önce mi, sırasında mı, sonra mı etki eder?
Bilgi güvenliği özellikleri	#Confidentiality, #Integrity, #Availability	Hangi özelliği korur?
Siber güvenlik kavramları	#Identify, #Protect, #Detect, #Respond, #Recover	Siber güvenlik döngüsünün hangi aşamasına aittir?
Operasyonel yetenekler	15 değer (ör. #Governance, #Asset_management, #Identity_and_access_management, #Continuity)	Hangi operasyonel ekip veya yetenekle ilişkilidir?
Güvenlik alanları	#Governance_and_Ecosystem, #Protection, #Defence, #Resilience	Hangi üst düzey güvenlik alanına hizmet eder?

Siber güvenlik kavramları ISO/IEC TS 27110’daki beş kavrama dayanır. Operasyonel yeteneklerin tam listesi: #Governance, #Asset_management, #Information_protection, #Human_resource_security, #Physical_security, #System_and_network_security, #Application_security, #Secure_configuration, #Identity_and_access_management, #Threat_and_vulnerability_management, #Continuity, #Supplier_relationships_security, #Legal_and_compliance, #Information_security_event_management ve #Information_security_assurance.

Birkaç kontrolün değerleri, yapının nasıl okunacağını gösterir:

Kontrol	Kontrol türü	Siber güvenlik kavramı	Operasyonel yetenek
5.7 Tehdit istihbaratı	#Preventive #Detective #Corrective	#Identify #Detect #Respond	#Threat_and_vulnerability_management
8.13 Bilgi yedekleme	#Corrective	#Recover	#Continuity
8.15 Kayıt tutma (logging)	#Detective	#Detect	#Information_security_event_management
8.16 İzleme faaliyetleri	#Detective #Corrective	#Detect #Respond	#Information_security_event_management

Öznitelikle kontrol filtreleme örnekleri

Özniteliklerin pratik değeri, kontrol envanterini bir tablo (Excel, SharePoint listesi, GRC aracı) olarak tutup bu sütunlara göre filtrelediğinizde ortaya çıkar. Tipik sorular:

• “Olay anında bizi uyaracak kontroller hangileri ve ne durumda?” Kontrol türü #Detective olanları SoA’daki uygulama durumuyla birlikte listeleyin. Uygulanabilir denen ama kanıtı zayıf tespit kontrolleri, olay yönetimi zincirindeki kör noktaları gösterir. Sahada bu listenin başında genellikle 8.15 çıkar: loglar toplanıyor, ama kimse okumuyor ve saklama süresi diskin dolmasına bırakılmış.
• “Fidye yazılımı sonrası toparlanma yeteneğimiz nedir?” #Recover ve #Respond değerli kontrolleri #Availability özelliğiyle kesiştirin. Ortaya çıkan küçük küme, iş sürekliliği tatbikatının test etmesi gereken kontrollerdir.
• “IT altyapı ekibinin sahip olduğu kontroller hangileri?” #System_and_network_security ve #Secure_configuration operasyonel yeteneklerine göre filtreleyip kontrol sahiplerini atayın.
• “Kontrol setimiz önleyici kontrollere mi yığılmış?” Kontrol türüne göre uygulanan kontrol sayısını çıkarın. Tespit ve düzeltici kontrol sayısı düşükse olay yönetimi ve süreklilik alanlarını öne alın. Yalnız önleyen sistem, ilk ihlalde kördür.

Kontrol envanterini CSV olarak tutuyorsanız, birden fazla değer içeren hücreleri ayrıştırıp basit bir filtreyle çalışabilirsiniz. Aşağıdaki örnek, standart Python kütüphanesiyle #Detective türündeki ve henüz tam uygulanmamış kontrolleri listeler (sütun adları ve satırlar örnek amaçlıdır):

kontrol;baslik;kontrol_turu;siber_kavram;durum
8.15;Kayıt tutma;#Detective;#Detect;Kısmi
8.16;İzleme faaliyetleri;#Detective #Corrective;#Detect #Respond;Uygulandı
8.13;Bilgi yedekleme;#Corrective;#Recover;Uygulandı

Yukarıdaki içerik kontroller.csv dosyasıdır; aşağıdaki betik bu dosyayı okur:

import csv
with open("kontroller.csv", encoding="utf-8") as f:
    for r in csv.DictReader(f, delimiter=";"):
        turler = r["kontrol_turu"].split()
        if "#Detective" in turler and r["durum"] != "Uygulandı":
            print(r["kontrol"], r["baslik"], r["durum"])

Aynı mantık Excel’de “içerir” filtresiyle veya SharePoint listesinde çoklu seçim sütunuyla da kurulabilir. Asıl mesele yazım disiplinidir: değerleri serbest metin yerine sabit bir değer listesinden seçin. Bir hücrede “#Detective”, diğerinde “Detective”, üçüncüsünde “#detective” yazıyorsa filtre sessizce eksik sonuç döner ve kimse fark etmez.

Yönetime raporlamada öznitelik görünümleri

Üst yönetim 93 kontrollük bir SoA okumaz. Aynı verinin öznitelik bazlı özeti ise karar almayı kolaylaştırır. Yönetimin gözden geçirmesi veya çeyrek raporları için kullanılabilecek görünümler:

Görünüm	Satırlar	Hedef kitle
Güvenlik alanı özeti	Dört güvenlik alanı × uygulama durumu	Üst yönetim
Siber döngü görünümü	Identify–Recover × açık aksiyon sayısı	IT yönetimi, CISO
Ekip görünümü	Operasyonel yetenek × kontrol sahibi	Ekip liderleri
CIA görünümü	Gizlilik, bütünlük, erişilebilirlik × risk sayısı	Risk sahipleri

Bu görünümlerde sayı tek başına bir şey söylemez. Her hücrenin arkasında hangi kontrollerin bulunduğu ve uygulama durumunun hangi kanıta dayandığı izlenebilir olmalıdır. Yoksa görünüm, denetimde savunulamayan renkli bir gösterge paneline dönüşür.

Diğer çerçevelerle eşlemede kullanım

Siber güvenlik kavramları özniteliği, NIST Cybersecurity Framework ile konuşmanın en kısa yoludur. Ama bir fark var: NIST CSF 2.0 altı fonksiyon tanımlar (Govern, Identify, Protect, Detect, Respond, Recover); ISO 27002’nin siber güvenlik kavramları ise beş değerden oluşur ve Govern karşılığı içermez. Yönetişim kontrollerini CSF’nin Govern fonksiyonuyla ilişkilendirirken operasyonel yetenek özniteliğindeki #Governance ve #Legal_and_compliance ile güvenlik alanındaki #Governance_and_Ecosystem değerlerinden yararlanabilirsiniz.

Öznitelik eşlemesi kaba bir ön sınıflandırmadır; kontrol düzeyinde birebir eşlemenin yerini tutmaz. Bir CSF alt kategorisinin karşılanıp karşılanmadığına karar verirken ilgili ISO kontrolünün uygulama rehberi ve sizin kanıtınız birlikte değerlendirilmelidir. CSF tarafında profil çıkarmayı siber güvenlik sitemizdeki NIST CSF 2.0 profil oluşturma yazısında ele alıyoruz; çerçevenin kendisi için NIST CSF sayfasına bakabilirsiniz.

Kendi özniteliklerinizi tanımlamak

ISO 27002, kuruluşların kendi özniteliklerini tanımlayabileceğini açıkça belirtir. Beş standart özniteliğe ek olarak kontrol envanterine şu sütunları eklemek çoğu kuruluşta işe yarar:

• Düzenleyici eşleme: KVKK, NIS2, TISAX (VDA ISA) veya müşteri sözleşmesi maddesi. Birden fazla uyum programını aynı kontrol setiyle yönetirken tekrarı önler.
• Lokasyon veya kapsam birimi: Çok lokasyonlu kuruluşlarda kontrolün hangi sahalarda geçerli olduğu.
• Kanıt kaynağı ve sıklığı: Kontrolün kanıtının hangi sistemden, hangi aralıkla üretildiği. Örneğin yama uyum raporu WSUS veya uç nokta yönetim konsolundan aylık.
• Otomasyon derecesi: Manuel, yarı otomatik, otomatik. Manuel kontrollerin işletim etkinliği daha sık test gerektirir.
• Olgunluk: Kuruluşun kendi ölçeğiyle; hedef ve mevcut seviye ayrı sütunlarda.

Kendi özniteliklerinizi tanımladığınızda değer listelerini doküman kontrolü altına alın ve tanımlarını yazın. “Kısmi” uygulama durumunun ne demek olduğu tanımlanmamışsa, raporu her okuyan farklı anlar.

Öznitelik kullanımında sahada sık gördüğümüz hatalar:

• Özniteliği kontrol seçim gerekçesi saymak: “Bu kontrol #Corrective, bizde olay az, hariç tutalım” mantığı SoA’da savunulamaz. Seçim gerekçesi her zaman risk değerlendirmesinden gelir.
• Değerleri yerel olarak değiştirmek: Standart değerleri “bize göre daha doğru” diye değiştirmek, dış çerçevelerle karşılaştırmayı bozar. Farklı bir sınıflandırma gerekiyorsa standart değerleri koruyup yeni bir öznitelik ekleyin.
• Sayıyı olgunluk sanmak: Bir güvenlik alanında çok sayıda “uygulandı” kontrol bulunması, o alanın etkin olduğunu göstermez. İşletim etkinliği ayrıca test edilir.

Öznitelikli kontrol envanteri SoA’nın yerine geçmez; SoA’daki seçim gerekçesi ve uygulama durumuyla tutarlı tutulmalıdır. SoA yapısı için ISO 27001 SoA rehberine, tema bazlı kontrol yorumları için Annex A organizasyonel kontroller yazısına bakabilirsiniz. Mevcut kontrol setinizi öznitelik bazında analiz etmek için ISO 27001 gap analizi, kontrolleri risklerle eşlemek için risk analizi ve SoA hizmetlerimize göz atabilirsiniz. Öznitelik tablosunun resmi kaynağı ISO/IEC 27002:2022 standardıdır.

Sık sorulan sorular

Öznitelikler ISO 27001 belgelendirmesinde zorunlu mu?

Hayır. Öznitelikler yalnız ISO 27002’de yer alır ve bilgilendirme amaçlıdır. Belgelendirme denetimi ISO 27001 gerekliliklerine göre yapılır; öznitelik kullanmak kuruluşun tercihidir.

SoA’ya öznitelik sütunları eklemek gerekir mi?

Gerekmez. SoA’nın zorunlu içeriği kontroller, seçim gerekçeleri, uygulanma durumu ve hariç tutma gerekçeleridir. Öznitelikleri ayrı bir kontrol envanterinde tutup SoA ile kontrol numarası üzerinden bağlamak SoA’yı sade tutar.

Siber güvenlik kavramları NIST CSF fonksiyonlarıyla birebir aynı mı?

Beşi isim olarak örtüşür: Identify, Protect, Detect, Respond ve Recover. NIST CSF 2.0 ek olarak Govern fonksiyonunu içerir; ISO 27002’de bunun doğrudan bir kavram karşılığı yoktur ve yönetişim kontrolleri diğer özniteliklerle ilişkilendirilir.

Kendi tanımladığımız öznitelikleri denetçiye göstermeli miyiz?

Zorunlu değildir; ama kontrol sahipliği, kanıt kaynağı ve düzenleyici eşleme gibi öznitelikler denetimde kanıta hızlı ulaşmayı sağlar. Gösterecekseniz değer tanımları dokümante edilmiş ve güncel olmalıdır.