ISO/IEC 27001:2022 yapısı

Önceki modülde tek tek riskleri değerlendirmeyi öğrendin. Bu modülde bu çalışmayı kurumsal bir sisteme bağlayacaksın. ISO/IEC 27001:2022, bir bilgi güvenliği yönetim sistemi kurmanın gereksinimlerini tanımlar. Kısaca BGYS denir, İngilizcesi ISMS'tir.

Yönetim sistemi tek seferlik bir proje değildir. Sürekli dönen bir döngüdür: planla, uygula, kontrol et, iyileştir. Standart sertifikalandırılabilir. Bağımsız bir denetçi, kurumun döngüyü gerçekten işlettiğini doğrular.

Altay Kargo, bu sertifikayı şart koşan büyük bir perakende zincirini müşteri olarak kazanmak istiyor. Sertifika, güvenliği ciddiye aldığını söylemekten fazlasını kanıtlar ve sözleşme masasında pazarlık gücü kazandırır. Bu derste standardın iskeletini, sertifika yolculuğunu ve denetçinin istediği belgeleri adım adım göreceksin.

Standardın ilk üç maddesi gereksinim taşımaz. Madde 1 standardın konusunu, madde 2 atıf yapılan belgeleri, madde 3 terimleri verir. Terimler için ISO/IEC 27000'e gönderme yapılır.

Asıl gereksinimler madde 4 ile 10 arasında durur. Bu iskelet yalnız 27001'e özgü değildir. ISO'nun yönetim sistemi standartları aynı ortak yapıyı kullanır. Bu yapıya Annex SL ya da uyumlaştırılmış yapı (Harmonized Structure) denir.

Kalite için ISO 9001 ve çevre için ISO 14001 de aynı başlıklarla ilerler. Bu yüzden birden çok sertifikası olan kurum, iç denetimi ve yönetim gözden geçirmesini tek takvimde birleştirebilir. Fark, risk değerlendirmesinin bilgi güvenliğine odaklanmasındadır.

Madde 4 kuruluşun bağlamını ele alır. Önce kurumu etkileyen iç ve dış konular (4.1), sonra ilgili tarafların beklentileri (4.2) belirlenir. Kapsam (4.3) bu ikisinden çıkar. Madde 5 liderliği ister; üst yönetim politikayı onaylar ve rolleri dağıtır.

Madde 6 planlamadır. Risk değerlendirmesi (6.1.2), risk işleme (6.1.3) ve güvenlik hedefleri (6.2) burada kurulur. 2022 sürümü buraya değişikliklerin planlanmasını (6.3) ekledi. Madde 7 destek kaynaklarını sayar: kaynak, yetkinlik, farkındalık, iletişim ve dokümante bilgi.

Madde 8 işletimdir; risk değerlendirmesi planlı aralıklarla tekrarlanır, kontroller günlük işte çalışır. Madde 9 performans değerlendirmesidir: izleme, iç denetim ve yönetim gözden geçirmesi. Madde 10 iyileştirmedir; uygunsuzluklar kapatılır, sistem sürekli iyileşir.

Bu yedi madde, planla-uygula-kontrol et-iyileştir (PDCA) döngüsünün BGYS'ye uyarlanmış halidir. Planlama madde 4 ile 6'yı, uygulama madde 7 ile 8'i, kontrol madde 9'u, iyileştirme madde 10'u karşılar. Maddeler birbirinden kopuk bir liste değildir; her madde bir öncekinin çıktısını kullanır.

Kapsam olmadan risk değerlendirmesi yapılamaz. Risk değerlendirmesi olmadan kontrol seçilemez. Uygunsuzluk tespit edilmeden düzeltici faaliyet başlamaz; bu tespit çoğu zaman iç denetimden gelir.

Madde numarasını Ek A kontrol numarasıyla karıştırma. Madde 5 bir gereksinimdir, A.5.15 ise Ek A'daki erişim kontrolüdür. Denetçi 'madde 9.2' dediğinde iç denetimi, 'A.5.15' dediğinde erişim kontrolünü sorar.

Sertifikayı ISO vermez. ISO standardı yazar; sertifikayı akredite bir belgelendirme kuruluşu verir. Türkiye'de ulusal akreditasyon kurumu TÜRKAK'tır. Yolculuk, dış denetimden aylar önce başlar.

İlk iş boşluk analizidir (gap analysis). Kurumun bugünkü durumu standardın her maddesiyle karşılaştırılır. Sonra eksikler kapatılır: politika yazılır, risk değerlendirmesi yapılır, kontroller devreye alınır.

Dış denetimden önce en az bir iç denetim ve bir yönetim gözden geçirmesi tamamlanmalıdır. Çünkü denetçi, madde 9'un kâğıtta değil gerçekte çalıştığını görmek ister. Altay Kargo'da bu hazırlık, kapsamın genişliğine göre birkaç ay ile bir yıl arası sürebilir.

Dış denetim iki aşamalıdır. Birinci aşamada denetçi belgeleri, kapsamı ve hazırlığı inceler. Uygulanabilirlik Bildirgesi, risk değerlendirmesi ve iç denetim raporu burada okunur.

İkinci aşamada kontrollerin gerçekten çalıştığını sahada görür. Çalışanlarla konuşur, kayıtlardan örnek çeker, sistem ekranlarına bakar. Denetçi bulgularını iki düzeyde yazar.

Büyük uygunsuzluk sertifika kararını durdurur. Küçük uygunsuzluk ise bir düzeltme planıyla kapanır. Sertifika üç yıl geçerlidir. İlk gözetim denetimi, sertifika kararından en geç on iki ay sonra yapılır; sonrakiler yılda birdir.

Üçüncü yılın sonunda yeniden belgelendirme denetimi gelir ve döngü baştan başlar. Gözetimi geçemeyen kurum sertifikasını kaybedebilir.

ALTAY KARGO - BGYS SERTİFİKA TAKVİMİ (taslak)
Ay 0-2   Boşluk analizi, kapsam kararı (4.3), politika onayı (5.2)
Ay 2-7   Risk değerlendirmesi ve işleme (6.1.2, 6.1.3), Bildirge, kontroller
Ay 7-8   İç denetim (9.2), yönetim gözden geçirmesi (9.3)
Ay 9     Aşama 1: belge ve hazırlık incelemesi
Ay 10    Aşama 2: sahada uygulama denetimi, ardından sertifika kararı
Yıl 1    1. gözetim denetimi (karardan en geç 12 ay sonra)
Yıl 2    2. gözetim denetimi
Yıl 3    Yeniden belgelendirme denetimi, yeni üç yıllık döngü

Türkiye'de standardın Türk Standardı karşılığı TS ISO/IEC 27001 adını taşır. Kamu kurumları ve kritik altyapı işletmeleri ayrıca Bilgi ve İletişim Güvenliği Rehberi'ne (BİG Rehberi) uyar. Rehber önce Dijital Dönüşüm Ofisi eliyle yayımlandı; ofisin yetkileri sonra Siber Güvenlik Başkanlığı'na (SGB) devredildi. SGB, Ek A kontrolleriyle Rehber tedbirlerini yan yana koyan bir eşleştirme tablosu yayımlar.

Kapsamlar aynıysa BGYS iç denetimi ile Rehber uyum denetimi tek bir denetimde yürütülebilir. Tablo yine de 'bire bir aynı' demez; bir tedbir, ilgili kontrolün hedeflerinden biri olarak okunur. Altay Kargo bugün Rehber'e tabi değil. Kritik altyapı sayılan bir alana girerse, bu tablo iki denetimi birleştirmesine yardım eder.

Madde 5, BGYS'nin sahibini belirler. Üst yönetim bilgi güvenliği politikasını onaylar (5.2), rolleri ve yetkileri dağıtır (5.3). Politika, hedef koymak için bir çerçeve verir ve sürekli iyileştirme sözü içerir. Yönetimin imzası bir formalite değildir.

Denetçi yönetimle görüşür ve BGYS'ye kaynak ayrılıp ayrılmadığını sorar. BT müdürünün tek başına yürüttüğü bir BGYS, madde 5'te bulgu üretir. Altay Kargo'da politika genel müdürün onayıyla yayımlandı. GRC ekibinden biri bilgi güvenliği sorumlusu oldu ve yönetim kuruluna altı ayda bir rapor verecek.

Kapsam kararı 4.1 ve 4.2'nin çıktısına dayanır. 4.1'de kurumu etkileyen iç ve dış konular yazılır: pazar, mevzuat, teknoloji ve tehdit ortamı. Şubat 2024'te yayımlanan Değişiklik 1 (Amd 1:2024) buraya bir soru ekledi.

Kurum, iklim değişikliğinin kendisi için ilgili bir konu olup olmadığını belirlemelidir. 4.2'ye de ilgili tarafların iklimle ilgili gereksinimleri olabileceğini hatırlatan bir not girdi. Bir kargo şirketi için sel ya da aşırı sıcak, depoların ve veri merkezinin sürekliliğini etkileyebilir.

4.2'de ilgili taraflar ve beklentileri listelenir. Altay Kargo için perakende zinciri, bireysel müşteriler, KVKK kapsamındaki kişiler ve yazılım tedarikçileri bu listededir. 2022 sürümü, bu beklentilerden hangisinin BGYS ile karşılanacağını da yazmayı ister.

Kapsam beyanı (4.3) üç şeyi açıkça yazar. Birincisi sınırlardır: hangi birim, hangi lokasyon, hangi sistem içeride. İkincisi arayüzler ve bağımlılıklardır, yani kapsam içindeki sistemlerin dışarıyla konuştuğu noktalar.

Üçüncüsü hariç tutulanlardır: dışarıda kalan her şey ve gerekçesi. Arayüz en çok atlanan kısımdır. Sürücü uygulaması bir harita servisine, bir ödeme kuruluşuna ve bir bulut sağlayıcısına bağlanıyorsa bu bağlantılar arayüzdür.

Bağlantının öbür ucu kapsam dışında kalabilir. Ama o uca giden veri ve o ucu yöneten sözleşme kapsamın içindedir. Aşağıdaki taslak, Altay Kargo'nun ilk kapsam beyanıdır.

KAPSAM BEYANI - Altay Kargo BGYS (sürüm 0.3, taslak)
Kapsam  : Sürücü mobil uygulaması, gönderi takip API'si ve müşteri
          verisi işleyen sistemlerin geliştirilmesi, işletimi ve desteği.
Lokasyon: Genel müdürlük (yazılım ve BT ekipleri), ana aktarma deposu.
Arayüz  : Harita servisi API'si, ödeme kuruluşu entegrasyonu,
          bulut altyapı sağlayıcısı (IaaS), SMS bildirim hizmeti.
Hariç   : Muhasebe sistemi. Gerekçe: müşteri verisi işlemez, ayrı ağ
          bölütünde durur, kapsam içi sistemlerle veri alışverişi yok.
Hariç   : Bölge şubeleri. Gerekçe: 2027 genişleme planına alındı.
Onay    : Genel müdür, 2026-09-15

Beyanı satır satır oku. Kapsam satırı sistemi değil, süreci anlatır: geliştirme, işletim ve destek. Yalnız 'sunucular' yazan bir kapsam, o sunucuları yöneten insanları dışarıda bırakır. Lokasyon satırı denetçinin nereye gideceğini söyler.

Arayüz satırı dört dış bağlantı sayar. Her biri Ek A'daki tedarikçi kontrolleriyle (5.19-5.22) izlenecek. Hariç satırları gerekçelidir. Muhasebe dışarıda, çünkü müşteri verisine dokunmuyor ve ayrı bir ağ bölütünde duruyor.

Gerekçe yazılmasaydı denetçi 'neden?' diye sorardı. Son satır onayı gösterir. Kapsam bir yönetim kararıdır; teknik ekibin tek başına vereceği bir karar değildir.

Madde 7.5 dokümante bilgiyi düzenler. Dokümante bilgi kâğıt yığını değildir. Belgeler sürümlenir, onaylanır ve güncel tutulur. Standart bazı belgeleri adıyla ister ve denetçi bu listeyi elinde tutar.

Bağlam ve planlama için kapsam (4.3), politika (5.2), risk değerlendirme süreci (6.1.2) ve risk işleme süreci (6.1.3) yazılır. Aynı grupta Uygulanabilirlik Bildirgesi (6.1.3 d) ve güvenlik hedefleri (6.2) bulunur. Destek için yetkinlik kanıtı (7.2) tutulur. İşletimde risk değerlendirme sonuçları (8.2) ve risk işleme sonuçları (8.3) saklanır.

Değerlendirme için izleme ve ölçme sonuçları (9.1), iç denetim programı ve sonuçları (9.2) ve yönetim gözden geçirmesi sonuçları (9.3) istenir. İyileştirme için uygunsuzluklar ve düzeltici faaliyetler (10.2) kaydedilir. Kurum bunlara gerekli gördüğü başka belgeleri de ekler.

Belge ile kaydı iyi ayır. Politika ve prosedür 'ne yapacağız' sorusunu yanıtlar ve zamanla değişir. Kayıt 'ne yaptık' sorusunu yanıtlar ve sonradan değiştirilmez.

Kayıt, bir kontrolün ne zaman ve kimin elinde çalıştığını kanıtlar. Örneğin Altay Kargo'nun erişim prosedürü üç ayda bir yetki gözden geçirmesi ister. Denetçi prosedürü okuduktan sonra son dört gözden geçirmenin tutanağını ister.

Tutanak yoksa prosedür kâğıt üzerinde kalmış demektir. Yönetim gözden geçirmesi de aynı mantıkla okunur. Tek sayfalık, 'her şey yolunda' diyen bir tutanak yetmez. 9.3.2 gündemi tek tek sayar: önceki kararların durumu, iç ve dış konulardaki değişiklikler, performans eğilimleri, risk değerlendirmesi sonuçları ve iyileştirme fırsatları.