Majör ve Minör Uygunsuzluk Farkı: Denetim Bulguları Nasıl Sınıflanır?

Kapanış toplantısında okunan bulgu listesinde “majör” kelimesi geçtiğinde belgelendirme takvimi kayar, bazen müşteriye verilen tarih de. Oysa bulgunun sınıfı denetçinin keyfine kalmış bir yargı değildir; belgelendirme kuruluşlarının uymak zorunda olduğu ISO/IEC 17021-1 tanımlarına ve toplanan kanıtın niteliğine dayanır. Bilgi güvenliği denetimlerinde majör uygunsuzluk, minör uygunsuzluk, gözlem ve iyileştirme fırsatı nasıl ayrılır, her sınıf belge kararını nasıl etkiler ve bir bulguya katılmadığınızda hangi yolu izlersiniz — aşağıda sırasıyla.

Bulgu sınıfları: majör, minör, gözlem, iyileştirme fırsatı

ISO/IEC 17021-1 belgelendirme kuruluşları için iki uygunsuzluk sınıfı tanımlar. Majör uygunsuzluk, yönetim sisteminin amaçlanan sonuçlara ulaşma yeteneğini etkileyen uygunsuzluktur. Minör uygunsuzluk bu yeteneği etkilemeyen uygunsuzluktur. İkisi de bir gerekliliğin karşılanmadığını gösterir. Fark, karşılanmayan gerekliliğin sistemin bütününe etkisindedir.

Uygunsuzluk sayılmayan iki kategori daha sık kullanılır; adları ve kullanımları belgelendirme kuruluşuna göre değişir:

• Gözlem: Gerekliliğin karşılanmadığını gösterecek kadar kanıt yok, ama durum devam ederse uygunsuzluğa dönüşebilir. Bazı kuruluşlar bu terimi hiç kullanmaz.
• İyileştirme fırsatı: Gereklilik karşılanmış, ancak uygulamanın etkinliği veya verimliliği artırılabilir. Belgelendirme denetçisi danışmanlık yapamaz; bu yüzden bu ifadeler belirli bir çözüm dayatmaz.

Denetim sözleşmenizde ve belgelendirme kuruluşunun kurallarında hangi terimlerin geçtiğini, her birinin ne tür yanıt istediğini denetimden önce okuyun. Kapanış toplantısında öğrenmek geç kalmaktır. TISAX değerlendirmelerinde de majör–minör ayrımı vardır, ama sonuçların etiket süreciyle ilişkisi farklıdır; bu konu TISAX düzeltici eylem planı ve geçici etiket yazısında ayrıca anlatılıyor.

Majör uygunsuzluğu belirleyen kriterler

ISO/IEC 17021-1, tanımına eklediği notta majör sınıflamanın iki tipik durumunu sayar: etkili süreç kontrolünün var olduğuna dair ciddi şüphe bulunması ve aynı gereklilik ya da konuyla ilişkili birden çok minör uygunsuzluğun sistematik bir başarısızlığa işaret etmesi. Denetim masasında bu kriterler genellikle şu sorulara dönüşür:

1. Gereklilik hiç mi karşılanmamış, kısmen mi? İç denetimin hiç yapılmamış olması ile iç denetim programında bir sürecin atlanması aynı şey değildir.
2. Sorun tek örnekte mi, sürecin tamamında mı? İncelenen beş değişiklikten birinde onay eksikliği ile hiçbirinde onay olmaması farklı sınıflanır.
3. BGYS döngüsünün temel bir unsuru eksik mi? Risk değerlendirmesi, SoA, iç denetim, yönetimin gözden geçirmesi ve düzeltici faaliyet süreci bu döngünün omurgasıdır. Biri işlemiyorsa, sistemin sonuç üretme yeteneği doğrudan etkilenir.
4. Bilgi güvenliğine fiili etkisi var mı? Kapsam içindeki kritik bir sistemin hiç yedeklenmemesi, kayıt formunda bir alanın eksik doldurulmasıyla aynı riski taşımaz.
5. Önceki bulgu tekrar mı ediyor? Daha önce minör raporlanan ve etkili düzeltici faaliyetle kapatılmayan sorun, bir sonraki denetimde daha ağır sınıflanabilir.

Sahada en sık gördüğümüz majör kaynağı teknik kontroller değil, yönetim sistemi döngüsüdür. Tek bir eksik firewall kuralı çoğu zaman minör yazılır. Hiç yapılmamış iç denetim ise genellikle majördür.

Örnek bulgularla sınıflandırma tablosu

Aşağıdaki örnekler ISO/IEC 27001:2022 denetimlerinde karşılaşılabilecek tipik durumları ve olası sınıflarını gösterir. Nihai sınıf, denetçinin topladığı kanıtın kapsamına ve kuruluşun koşullarına bağlıdır; tablo bir karar kuralı değil, akıl yürütme örneğidir.

Durum	İlgili gereklilik	Olası sınıf
Belgelendirme döngüsünde hiç iç denetim yapılmamış	Madde 9.2	Majör
Yönetimin gözden geçirmesi yapılmış, bazı zorunlu girdiler tartışılmamış	Madde 9.3	Minör
Risk değerlendirmesi yok veya kapsamın tamamını içermiyor	Madde 6.1.2, 8.2	Majör
İncelenen ayrılan personelden birinin hesabı geç kapatılmış	Annex A 5.18	Minör
Ayrılan personel hesaplarının geniş bir bölümü açık, gözden geçirme yapılmamış	Annex A 5.18, 8.2	Majör
Geri yükleme testi planlanan sıklıktan bir kez sapmış	Annex A 8.13	Minör veya gözlem
Eğitim kayıtları var, etkinlik değerlendirmesi zayıf	Madde 7.2	İyileştirme fırsatı veya minör

Dördüncü ve beşinci satır aynı kontrolün iki farklı sınıf alabileceğini gösterir. Sınıfı belirleyen kontrolün adı değil, uygunsuzluğun yaygınlığı ve sistemin sonuç üretme yeteneğine etkisidir. Tek geç kapanan hesap bir kazadır. Onlarca açık hesap bir sistem arızasıdır. Bulgu ifadesinin nasıl kurulduğunu bilmek sınıfı değerlendirmenizi kolaylaştırır; kriter, durum, neden ve etki unsurları denetim bulgusu yazımı rehberinde anlatılıyor.

Bulgu sınıfının belgelendirme kararına etkisi

Belgelendirme kuruluşu karar vermeden önce uygunsuzluklara verilen yanıtları değerlendirmek zorundadır. Etki, sınıfa ve denetim türüne göre değişir:

Sınıf	İlk belgelendirme	Gözetim / yeniden belgelendirme
Majör	Düzeltme ve düzeltici faaliyetin uygulandığı doğrulanmadan belge kararı verilmez; doğrulama ek ziyaret veya doküman incelemesiyle yapılabilir	Belgenin askıya alınmasına kadar gidebilir; yeniden belgelendirmede belge bitiş tarihinden önce doğrulanmalıdır
Minör	Kuruluşun düzeltme ve düzeltici faaliyet planı kabul edilir; uygulama bir sonraki denetimde doğrulanır	Plan kabul edilir, kapanış sonraki gözetimde incelenir
Gözlem / iyileştirme fırsatı	Resmî yanıt gerekmeyebilir	Bir sonraki denetimde ne yapıldığı sorulabilir

ISO/IEC 17021-1, ilk belgelendirmede belgelendirme kuruluşu majör uygunsuzluklara ilişkin düzeltme ve düzeltici faaliyetlerin uygulandığını Aşama 2’nin son gününden itibaren altı ay içinde doğrulayamazsa, belgelendirme önermeden önce yeni bir Aşama 2 denetimi yapılmasını şart koşar. Yanıt sürelerini (örneğin planın kaç gün içinde gönderileceği) ise her kuruluş kendi kurallarıyla belirler; bu süreler denetim raporunda veya sözleşmede yazar. Takvimi ilk gün öğrenin.

Bulguya katılmadığınızda ne yapmalı?

Bulguyu tartışmanın en verimli zamanı denetim sırasıdır, kapanıştan sonrası değil. Denetçiler bulguları genellikle günlük kapanışta veya nihai toplantı öncesinde paylaşır; o an kanıt sunmak için kullanılmalıdır. Sırası şöyle:

1. Olguyu ve sınıfı ayırın. Önce bulgunun olgusal temeline itiraz edip etmediğinizi netleştirin. Olgu doğruysa tartışma sınıf üzerinde yapılır; yanlışsa olguyu çürüten kanıt gerekir.
2. Kanıtla açıklayın. “Aslında bunu yapıyoruz” demek yetmez; ilgili kaydı, tarihini ve kapsamını gösterin. Denetçi kanıtı kabul ederse bulgu değiştirilebilir veya geri çekilebilir.
3. Kriteri sorun. Bulgunun dayandığı gerekliliğin metnini isteyin. Standardın gerektirmediği bir uygulama, denetçinin tercih ettiği yöntem olarak bulguya dönüşmüş olabilir.
4. Nihai toplantıda kayda geçirin. Uzlaşılamayan bulgularda görüşünüzün rapora not edilmesini isteyin.
5. Resmî itiraz yolunu kullanın. ISO/IEC 17021-1, belgelendirme kuruluşlarının şikâyet ve itiraz süreçlerini tanımlamasını ve bunları kamuya açık tutmasını gerektirir. İtiraz yazılı, kanıta dayalı ve bu prosedüre uygun yapılır.

İtiraz sürerken yanıt sürelerini kaçırmayın. Bulguya ilişkin düzeltme planını yine de hazırlamak, belge kararının gecikmesini önler. Haklı çıkarsanız plan geri çekilir; çıkmazsanız zaman kaybetmemiş olursunuz.

Minör bulguların birikerek majöre dönüşmesi

Aynı gereklilik veya konu etrafında toplanan birden çok minör bulgu, sistematik bir zayıflığa işaret eder ve majör sınıflanabilir. Erişim yönetimini düşünün: aynı denetimde geç kapatılan hesaplar, gözden geçirilmeyen ayrıcalıklı hesaplar ve kaydı olmayan yetki değişiklikleri ayrı ayrı minör görünebilir. Birlikte okunduğunda erişim kontrol sürecinin işlemediğini gösterir.

Bu dönüşümü önlemenin yolu minör bulguları kök nedenleriyle kapatmaktır. Yalnız bulgudaki örneği düzeltmek (geç kapatılan tek hesabı kapatmak) sorunu bir sonraki denetime taşır. Semptom kapanır, neden kalır. Etkili kök neden analizi için DÖF’te kök neden analizi yazısındaki 5 Neden ve balık kılçığı uygulamalarına bakabilirsiniz. Önceki bulguların kapanışının gözetimde nasıl inceleneceği gözetim denetimi hazırlığı rehberinde anlatılıyor.

Kendi iç denetimlerinizde aynı sınıflandırma mantığını kullanırsanız sistematik zayıflıkları belgelendirme denetçisinden önce görürsünüz. İç denetim programının bu yönde kurulması için ISO 27001 iç denetim ve düzeltici faaliyet yönetimi, belgelendirme sonrası açık bulguların kapatılması için denetim sonrası uygunsuzluk kapatma ve DÖF hizmetlerimizi inceleyebilirsiniz. Belgelendirme kuruluşu gerekliliklerinin resmi metni ISO/IEC 17021-1 sayfasında yer alır.

Sık sorulan sorular

Majör uygunsuzluk alırsak belge alamaz mıyız?

İlk belgelendirmede majör uygunsuzluk açıkken belge kararı verilmez; düzeltme ve düzeltici faaliyetin uygulandığı belgelendirme kuruluşunca doğrulandığında süreç devam eder. Doğrulama Aşama 2’nin son gününden itibaren altı ay içinde yapılamazsa yeni bir Aşama 2 denetimi gerekir.

Minör uygunsuzluk için ne kadar sürede yanıt vermek gerekir?

Süre ISO/IEC 17021-1’de sabit bir gün sayısıyla değil, belgelendirme kuruluşunun kurallarıyla belirlenir. Genellikle denetim raporunda veya sözleşmede yazar; minör bulgularda düzeltme ve düzeltici faaliyet planının bu süre içinde gönderilmesi beklenir.

Gözlem veya iyileştirme fırsatı için DÖF açmak zorunlu mu?

Genellikle resmî yanıt zorunlu değildir, ama bir sonraki denetimde ne yapıldığı sorulabilir. Gözlemi değerlendirip bir karar kaydı oluşturmak, konunun uygunsuzluğa dönüşmesini önleyen iyi bir uygulamadır.

Denetçinin verdiği bulgu sınıfına itiraz edebilir miyiz?

Evet. Önce denetim sırasında kanıtla açıklama yapın, uzlaşılamazsa görüşünüzün rapora not edilmesini isteyin. Sonrasında belgelendirme kuruluşunun kamuya açık itiraz prosedürüne göre yazılı ve kanıta dayalı itiraz yapılabilir.