VDA ISA Olgunluk Seviyeleri 0–5: Hedef Seviye Nasıl Kanıtlanır?

VDA ISA öz değerlendirmesinde her kontrolün yanına 0 ile 5 arasında bir olgunluk seviyesi yazılır ve sahada en sık gördüğümüz tablo, sütunun baştan sona “3” ile doldurulmasıdır. Bu sayı TISAX değerlendirmesinde denetçinin başlangıç noktasıdır. Gerçekçi puanlanmış bir öz değerlendirme denetimi hızlandırır; abartılmış olanı bulgu ve güven kaybı üretir. Aşağıda seviyelerin tanımlarını, hedef seviye 3’ün pratikte ne istediğini ve beyan ettiğiniz seviyeyi nasıl kanıtlayacağınızı anlatıyoruz.

Olgunluk modelinin mantığı

VDA ISA’nın olgunluk modeli süreç değerlendirme yaklaşımlarından (ISO/IEC 15504, bugünkü ISO/IEC 33000 serisi) türetilmiştir. Model bir kontrolün var olup olmadığını değil, kontrolü sağlayan sürecin ne kadar oturduğunu ölçer. Ayrım şu: güvenlik duvarında bir kuralın bulunması teknik bir durumdur; kuralların talep, onay, gözden geçirme ve kayıt döngüsüyle yönetilmesi bir süreçtir. Olgunluk ikincisini puanlar.

Katalogda her kontrol bir hedef ve bu hedefi gerçekleştirmek için beklenen gereklilikler listesiyle tanımlanır. Gereklilikler “zorunlu” (must), “tavsiye edilen” (should) ve yüksek ile çok yüksek koruma ihtiyacına ait ek gereklilikler olarak ayrılır. Seviye, ilgili gerekliliklerin ne ölçüde ve ne kadar sistematik karşılandığına göre verilir. Kural tek kişide kalıyorsa süreç yoktur.

Seviye tanımları

Seviye	Ad	Kısa tanım
0	Incomplete (Eksik)	Süreç yok, uygulanmıyor veya amaca uygun değil
1	Performed (Uygulanan)	Belgesiz ya da kısmen belgeli süreç uygulanıyor, amaca ulaştığına dair işaretler var
2	Managed (Yönetilen)	Amaca ulaşan süreç uygulanıyor; süreç dokümantasyonu ve uygulama kanıtı mevcut
3	Established (Yerleşik)	Genel sisteme entegre standart süreç; arayüzler tanımlı, sürekli uygulandığına dair kanıt var
4	Predictable (Öngörülebilir)	Süreç etkinliği ölçütlerle izleniyor, müdahale eşikleri tanımlı
5	Optimizing (Optimize edilen)	Sürekli iyileştirme ana hedef, ayrılmış kaynaklarla yürütülüyor

Tanımların özgün metni katalogun ilgili sayfasındadır; Türkçe ifadeler açıklama amaçlıdır. Katalog sürümünü ve resmî metni ENX veya VDA üzerinden edindiğiniz güncel dosyadan kontrol edin; sürüm geçişi VDA ISA 2027 geçişi yazısında ele alınıyor.

Hedef seviye 3’ün anlamı

Bilgi güvenliği uyumu açısından TISAX değerlendirmelerinde genel hedef olgunluk seviyesi 3’tür. Seviye 3, seviye 2’nin üzerine üç şey ekler:

1. Standartlaştırma: Süreç kişiye veya departmana göre değişmez; kuruluş genelinde tek bir tanımlı yöntem vardır.
2. Entegrasyon: Süreç diğer süreçlerle bağlantılıdır. Erişim yönetimi İK’nın işe giriş ve ayrılış süreçlerinden tetiklenir; risk yönetimi değişiklik yönetimine girdi verir.
3. Sürdürülebilirlik: Sürecin bir süredir aktif uygulandığına dair kanıt vardır. Bir hafta önce yürürlüğe giren prosedür, ne kadar iyi yazılmış olursa olsun, bu beklentiyi karşılamaz.

Sahada kullandığımız basit test: süreç sahibi izne çıktığında süreç aynı şekilde işlemeye devam ediyor mu, ve son birkaç döngünün kaydı gösterilebiliyor mu? İki cevap da “evet” ise seviye 3 iddiası savunulabilir. Biri “hayır” ise değildir.

Aynı kontrol için seviye örnekleri

Erişim haklarının periyodik gözden geçirilmesini ele alalım. Aynı kontrol farklı kuruluşlarda şöyle görünebilir:

Seviye	Sahadaki durum	Tipik kanıt
1	IT yöneticisi yılda bir kez yetkilere göz atıyor, yazılı yöntem yok	Sözlü anlatım, düzensiz e-postalar
2	Gözden geçirme prosedürü yazılı, son gözden geçirme kaydı var	Prosedür, imzalı gözden geçirme listesi
3	Tüm kritik sistemler aynı yöntemle, sistem sahiplerince periyodik gözden geçiriliyor; bulgular ticket ile kapatılıyor	Birden fazla döngünün kayıtları, ticket kapanışları, İK süreçleriyle bağlantı
4	Gözden geçirmenin zamanında tamamlanma oranı ve kaldırılan yetki sayısı izleniyor, eşik aşımında aksiyon alınıyor	KPI raporu, eşik tanımı, eşik aşımı aksiyon kaydı

Seviye 2 ile 3 arasındaki fark çoğu kuruluşta şuradadır: tek bir sistemde iyi işleyen uygulama kapsamdaki tüm sistemlere yayılmış mı? Gözden geçirme ERP için yapılıyor ama dosya sunucusu, VPN ve Active Directory’deki ayrıcalıklı gruplar için yapılmıyorsa seviye 3 iddiası çöker. Bu kontrolün kanıtlanması erişim gözden geçirme kanıtı yazısında ayrıntılı anlatılıyor.

Öz değerlendirmede doğru puanlama

Hedef seviye 3 olduğu için her kontrole 3 yazmak en yaygın eğilimdir. AL2’de makul olma kontrolünde, AL3’te yerinde incelemede hemen ortaya çıkar. Çalışan yöntem şu sırayla ilerler:

1. Kanıttan başlayın: Her kontrol için önce elinizdeki kanıtı listeleyin, seviyeyi sonra kanıta göre belirleyin. Kanıtı olmayan seviye beyan edilmez.
2. Gereklilikleri tek tek işaretleyin: Kontrolün zorunlu gerekliliklerinden biri karşılanmıyorsa seviye 3 beyanı tutarlı olmaz.
3. Kapsamın tamamına bakın: Tüm lokasyonlarda ve kapsamdaki tüm sistemlerde aynı durum geçerli mi?
4. Açıklama alanını kullanın: Kısmi uygulamaları ve devam eden iyileştirmeleri dürüstçe yazın; denetçi açıklamalı bir seviye 2’yi açıklamasız bir seviye 3’e tercih eder.
5. Bağımsız kontrol yaptırın: Puanlamayı süreç sahibinden başka birinin kanıtlara bakarak gözden geçirmesi abartıyı azaltır.

Katalogun sonuç sayfası kontrol bazındaki puanlardan bir özet sonuç hesaplar ve bu hesapta hedefin üzerindeki değerleri hedefle sınırlar. Bir alanda seviye 4 veya 5 beyan etmek başka bir alandaki eksiği telafi etmez. Seviye 4–5’i ancak gerçekten ölçüm ve iyileştirme mekanizması varsa ve kanıtlayabiliyorsanız yazın.

Abartılı puanlamanın riskleri

• Denetçi beyan ile kanıt arasındaki tutarsızlığı bulgu olarak yazar.
• Öz değerlendirmenin genel güvenilirliği sorgulanır, kanıt talebi artar; değerlendirme uzar.
• Kuruluş iyileştirme gereken alanları kendi iç planında görmez, kaynak yanlış yere gider.

Denetçi beyan edilen seviyeyi nasıl doğrular?

Değerlendirme sağlayıcısı beyan edilen seviyeyi üç kaynağı karşılaştırarak test eder: yazılı süreç, uygulama kaydı ve süreci yürüten kişinin anlatımı. Üçü tutarlıysa seviye kabul edilir. Biri eksikse seviye düşer.

• Dokümana karşı kayıt: Prosedür üç ayda bir gözden geçirme diyorsa son dört çeyreğin kaydı aranır. Prosedürle uyumsuz sıklık seviye 3 iddiasını zayıflatır.
• Kayda karşı anlatım: Süreç sahibine “son gözden geçirmede ne buldunuz, ne yaptınız?” diye sorulur. Kayıtta görünen aksiyonun anlatımla örtüşmesi beklenir.
• Örnekleme: Denetçi bir sistem, bir lokasyon veya bir dönem seçip aynı uygulamanın orada da yapıldığını kontrol eder. Seviye 3’ün “kuruluş geneli” vurgusu bu adımda sınanır.
• Arayüz kontrolü: Sürecin girdi ve çıktı aldığı diğer süreçlerle bağlantısı sorulur; örneğin bir ayrılış kaydının erişim iptaline ne kadar sürede yansıdığı.

Bu yaklaşım kanıt dosyasının yapısını da belirler. Her kontrol için tek bir “en iyi” kanıt yerine prosedürü, en az birkaç döngünün kaydını ve arayüz kanıtını birlikte hazırlayın; seviye 3 beyanı ancak böyle savunulur.

Seviye yükseltme yol haritası

Gerçekçi bir öz değerlendirme, iyileştirme planının ve TISAX değerlendirme hazırlığının girdisidir. Seviye geçişlerinde tipik iş paketleri:

Geçiş	Yapılacak iş
0 → 1	Kontrolün asgari düzeyde uygulanmaya başlanması
1 → 2	Sürecin yazılı hâle getirilmesi, sorumluların atanması, kayıt tutulması
2 → 3	Kapsamın tamamına yayılması, diğer süreçlerle bağlanması, birkaç döngü işletilmesi
3 → 4	Etkinlik ölçütleri ve eşiklerin tanımlanması, düzenli raporlama

Önceliklendirmeye zorunlu gereklilikleri karşılanmayan kontrollerden başlayın, sonra seçtiğiniz etiketlerin getirdiği ek gerekliliklere geçin. 2’den 3’e geçiş takvim ister; bu kontrolleri planın en başına koyun. Döngü kaydı hızlandırılamaz. Gerçekçi bir başlangıç noktası için bağımsız bir VDA ISA gap analizi ve olgunluk değerlendirmesi iç puanlamadaki yanlılığı azaltır. Genel hazırlık süreci için TISAX hazırlık rehberine bakın.

Sık sorulan sorular

Hedef seviye 3 her kontrol için zorunlu mu?

Katalog TISAX değerlendirmeleri için genel hedef olgunluk seviyesini 3 olarak tanımlar. Tek tek kontrollerin hedefin altında kalması bulgu üretir; bulguların sınıfı ve etiket kararına etkisi, değerlendirme sağlayıcısının bulgu değerlendirmesine bağlıdır.

Seviye 4 veya 5 beyan etmek sonucu iyileştirir mi?

Pratikte hayır. Sonuç hesabında hedefin üzerindeki değerler hedef seviyeye göre sınırlanır ve bir kontroldeki fazlalık başka bir kontroldeki eksiği kapatmaz. Kanıtlanamayan yüksek beyanlar ise denetçinin öz değerlendirmeye güvenini azaltır.

Yazılı prosedürü olmayan ama iyi işleyen bir süreç hangi seviyededir?

Uygulandığı ve amacına ulaştığı gösterilebiliyorsa genellikle seviye 1’dir. Seviye 2 için sürecin belgelenmiş olması ve uygulama kanıtının bulunması gerekir; seviye 3 için ise sürecin kuruluşun genel sistemine entegre edilmiş ve bir süredir sürdürülüyor olması beklenir.

Uygulanamaz işaretlenen kontroller sonucu nasıl etkiler?

Gerekçesi kabul edilen uygulanamaz kontroller puanlamaya dahil edilmez. Ancak denetçi gerekçeyi sorgular; kapsamdaki bir faaliyetle ilişkili kontrolü uygulanamaz saymak bulgu riskini artırır.