TISAX ve ISO 27001 Kanıt Yönetiminde SharePoint Kullanımı

TISAX değerlendirmesinde veya ISO 27001 denetiminde zamanın önemli bir kısmı kanıt aramakla geçer: son erişim gözden geçirmesi kimin e-postasında, geri yükleme testi hangi klasörde, prosedürün onaylı sürümü hangisi? Microsoft 365 kullanan kuruluşlar için SharePoint Online, ek lisans gerektirmeden kontrol bazlı ve sürüm kontrollü bir kanıt sistemi kurmaya yeter. Bu rehber pratik bir yapı önerir.

Klasör ağacı yerine meta veri

Kanıtları “2026 / BT / Erişim” gibi klasörlere koymak, bir kanıtın birden fazla kontrole hizmet ettiği durumlarda çoğaltmaya yol açar. Bunun yerine tek bir kanıt kütüphanesinde her dosyaya meta veri eklenir:

Görünümler (views) ile “TISAX – bu çeyrek eksik kanıtlar” veya “Kontrol bazlı kanıt indeksi” gibi listeler tek tıkla oluşturulur.

Kontrol listesi: kanıt beklentisinin kaynağı

Ayrı bir SharePoint listesi, kontrolleri (SoA satırları veya VDA ISA kontrolleri) tutar: kontrol numarası, açıklama, sahip, kanıt sıklığı ve beklenen kanıt tipi. Kanıt kütüphanesindeki “Kontrol” alanı bu listeye bağlanır. Böylece hangi kontrol için hangi dönem kanıtının eksik olduğu raporlanabilir.

Doküman yönetimi: onaylı sürüm tek olmalı

• Politika ve prosedürler ayrı bir kütüphanede, ana/ara sürüm açık olarak tutulur.
• Yayın için onay akışı (Power Automate veya yerleşik onay) kullanılır; okuyucular yalnızca onaylı ana sürümü görür.
• Her dokümanda sahip, gözden geçirme tarihi ve sınıflandırma sütunları bulunur.
• Eski sürümler sürüm geçmişinde saklanır; denetçi değişiklik izini görebilir.

Erişim ve gizlilik

Kanıtlar hassas bilgiler içerebilir (ağ şemaları, yetki listeleri, zafiyet raporları). Site izinleri rol bazlı tanımlanmalı, dış paylaşım kapatılmalı, gizli kanıtlar ayrı bir kütüphanede veya klasörde daha dar izinle tutulmalıdır. Lisansınız destekliyorsa duyarlılık ve saklama etiketleri ek koruma sağlar. Denetçiye erişim gerekiyorsa süreli, salt okunur paylaşım veya ekran paylaşımı tercih edilir.

Kanıt takvimi ve hatırlatmalar

Periyodik kanıtlar (aylık log incelemesi, üç aylık erişim gözden geçirmesi, geri yükleme testleri) için bir takvim tanımlanır. Power Automate ile dönem sonunda “Bekleniyor” durumundaki kayıtların sahiplerine hatırlatma gönderilebilir. Bu, kanıtların denetim öncesi değil, oluştukları anda toplanmasını sağlar.

İyi bir kanıtın özellikleri

1. Tarihli: Hangi döneme ait olduğu belli.
2. Kaynağı belli: Sistem raporu, imzalı form, toplantı tutanağı.
3. Kapsamı belli: Hangi sistem, lokasyon veya kullanıcı grubunu kapsadığı.
4. Sonuç ve aksiyon içeren: Gözden geçirmede bulunan sapmalar ve düzeltmeleri.
5. Gereğinden fazla bilgi içermeyen: Parolalar, gereksiz kişisel veriler maskelenmiş.

Sık sorulan sorular

Ek lisans gerekiyor mu?

Temel kütüphane, meta veri, sürümleme ve onay akışı standart Microsoft 365 iş planlarında bulunur. Gelişmiş saklama ve duyarlılık etiketleri lisansa bağlıdır.

Teams kanalındaki dosyalar kanıt olarak kullanılabilir mi?

Teams dosyaları da SharePoint’te tutulur; ancak kontrol bazlı meta veri ve izin yapısı için ayrı bir kanıt sitesi daha düzenli bir yönetim sağlar.

Kanıtları ne kadar süre saklamalıyız?

En az bir belgelendirme veya etiket döngüsü boyunca ve yasal/sözleşmesel saklama sürelerine göre; süre saklama politikasında tanımlanmalıdır.

SharePoint kanıt kütüphanesini kurmak ve kontrol listesini SoA veya VDA ISA ile eşlemek için SharePoint ile Denetim Kanıt ve Doküman Yönetimi hizmetimize, değerlendirme öncesi son hazırlık için TISAX değerlendirme öncesi hazırlık hizmetimize bakabilirsiniz.