Özet: ISO 27001 Boşluk Analizi (GAP Analizi) rehberi: Mevcut durum tespiti (As-Is), Madde 4-10 ve Ek A kontrolleri bazında olgunluk skorlaması, risk matrisi ve bütçelendirilmiş BGYS kurulum yol haritası tasarımı.
Kapsam ve Çerçeve: ISO/IEC 27001 ve ISO/IEC 27003 uygulama kılavuzu çerçevesinde kurumsal güvenlik olgunluk değerlendirmesi ve boşluk analizi metodolojisi.
Giriş ve Kavramsal Çerçeve
Kurumlar ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi kurmaya karar verdiklerinde genellikle şu soruyla karşılaşırlar: "Nereden başlamalıyız ve mevcut güvenlik düzeyimiz ne durumda?"
Bu sorunun en rasyonel ve teknik yanıtı Boşluk Analizi (GAP Analizi / Fark Analizi) çalışmasıdır. Boşluk analizi; kurumun hedeflediği bilgi güvenliği yönetim sistemi şartları ile bugün fiilen bulunduğu operasyonel nokta arasındaki mesafeyi ölçen, kanıta dayalı ve sistematik bir durum tespit çalışmasıdır.
Boşluk Analizi ile Akredite Belgelendirme Denetimi Arasındaki Kesin Ayrım
Boşluk analizi ile resmi belgelendirme denetimi sıklıkla birbiriyle karıştırılmaktadır. Bu iki sürecin kurumsal rolleri ve yürütülme amaçları birbirinden farklıdır:
- Boşluk (GAP) Analizi (Sistematik Hazırlık ve Tanı Çalışması): Kurumun standarda göre nerelerde eksikleri olduğunu görmek, bütçe ve iş gücü planlaması yapmak için yürütülen kanıta dayalı bir danışmanlık veya öz değerlendirme çalışmasıdır. Akreditasyonlu bir sertifika hakkı kazandırmaz; amacı eksiklikleri resmi denetim öncesinde şeffaflıkla belirlemektir.
- Akredite Belgelendirme Denetimi (Resmi Uygunluk Değerlendirmesi): TÜRKAK veya uluslararası akreditasyon kurumları (UKAS, DAKKS vb.) tarafından yetkilendirilmiş bağımsız bir Belgelendirme Kuruluşu (CB) denetçileri tarafından icra edilen iki aşamalı (Aşama 1 Dokümantasyon İncelemesi ve Aşama 2 Saha Denetimi) resmi denetimdir.
Analiz Edilen Boyutlar: Madde 4–10 ile Ek A Kontrollerinin Rol Ayrımı
Bir ISO/IEC 27001:2022 boşluk analizi iki temel eksende yürütülür ve bu iki eksenin yönetim sistemindeki işlevi farklıdır:
1. Yönetim Sistemi Zorunlu Şartları (Maddeler 4–10)
Standardın ana gövdesini oluşturan bu maddeler, yönetim sisteminin kurumsal omurgasıdır ve kuruluşun belirlediği BGYS kapsamı dahilinde uygulanabilir temel şartları temsil eder:
- Madde 4 (Kuruluşun Bağlamı): İç ve dış hususlar, ilgili tarafların beklentileri ve BGYS kapsam sınırları.
- Madde 5 (Liderlik): Üst yönetimin taahhüdü, bilgi güvenliği politikası, kurumsal roller ve yetkiler.
- Madde 6 (Planlama): Risk değerlendirme ve işleme metodolojisi ile bilgi güvenliği hedefleri.
- Madde 7 (Destek): Kaynaklar, personel yetkinliği, farkındalık, iletişim ve dokümante edilmiş bilgi.
- Madde 8 (Operasyon): Operasyonel planlama, kontrol ve risk değerlendirmelerinin yürütülmesi.
- Madde 9 (Performans Değerlendirme): İzleme, ölçme, analiz, iç tetkik ve Yönetimin Gözden Geçirmesi (YGG).
- Madde 10 (İyileştirme): Uygunsuzluk yönetimi, düzeltici faaliyetler ve sürekli iyileştirme.
2. Operasyonel Kontrol Referans Listesi (Ek A)
ISO/IEC 27001:2022 Ek A, güncel 4 tema altında toplanmış toplam 93 kontrol maddesi içerir:
- Organizasyonel Kontroller (37 Kontrol): Politikalar, varlık yönetimi, tedarikçi ilişkileri vb.
- İnsan Kaynakları Kontrolleri (8 Kontrol): İşe alım öncesi, sırası ve ayrılış güvenlik kontrolleri.
- Fiziksel Kontroller (14 Kontrol): Fiziksel güvenlik sınırları, sunucu odası, temiz masa/ekran.
- Teknolojik Kontroller (34 Kontrol): Kimlik doğrulama, ağ güvenliği, kriptografi, yedekleme vb.
Uygulanabilirlik Bildirgesi (SoA) ve Risk İşleme İlişkisi
Boşluk analizinin en somut yönetsel çıktısı, ISO/IEC 27001 danışmanlığı kapsamında Uygulanabilirlik Bildirgesi'nin (Statement of Applicability - SoA) hazırlanmasına sağladığı zemindir.
ISO/IEC 27001:2022 Madde 6.1.3 (b, c, d) uyarınca hazırlanan SoA dokümanı şunları içerir:
- Dahil Edilen Gerekli Kontroller: Kurumun risk işleme süreci, mevzuat veya sözleşmeler sonucu gerekli gördüğü kontroller. (Önemli Not: SoA yalnızca Ek A kontrolleriyle sınırlı olmak zorunda değildir; kurum kendi risk profili gereği Ek A dışından sektörel standartlar veya özel güvenlik önlemleri de dahil edebilir).
- Seçilme Gerekçeleri: Kontrollerin neden dahil edildiğine ilişkin nesnel dayanaklar.
- Mevcut Uygulama Durumu: Seçilen kontrollerin halihazırda uygulanıp uygulanmadığı.
- Hariç Tutulan Kontroller ve Gerekçelendirme: Kapsam dışında bırakılan Ek A kontrollerinin neden uygulanabilir bulunmadığına dair doğrulanabilir teknik gerekçeler (örneğin kurum bünyesinde yazılım geliştirilmiyorsa ilgili kontrollerin hariç tutulması).
Boşluk analizi, SoA hazırlanırken hangi kontrollerin mevcut olduğunu, hangilerinin eksik olduğunu ve hangilerinin meşru biçimde hariç tutulabileceğini ortaya koyar.
Boşluk Analizi Sürecinin 4 Temel Adımı
| Adım | Faaliyet Alanı | İncelenen Unsurlar ve Yöntem |
|---|---|---|
| 1. Kapsam ve Hazırlık | Sınırların ve BGYS Kapsamının Belirlenmesi | Analize dahil edilecek lokasyonlar, iş birimleri, kritik bilgi varlıkları ve yasal gereksinimler netleştirilir. |
| 2. Durum Mülakatları | Süreç Liderleriyle Görüşmeler | İK, Bilgi Teknolojileri, Hukuk, Satın Alma ve Operasyon yöneticileriyle yapılandırılmış soru listeleri üzerinden görüşülür. |
| 3. Kanıt ve Yapılandırma İncelemesi | Teknik Altyapı ve Kayıt Örneklemesi | Güvenlik duvarı kuralları, yedekleme test logları, fiziksel geçiş kayıtları, sözleşmeler ve prosedürler örneklenir. |
| 4. GAP Raporu ve Yol Haritası | Durum Tespiti ve Eylem Planı Sunumu | Tespit edilen eksikler gruplanır, öncelikli riskler belirlenir ve bütçe/zaman odaklı bir aksiyon planı sunulur. |
Örnek ISO 27001 Boşluk (GAP) Analizi Değerlendirme Tablosu
Sahada uygulanan tipik bir ISO/IEC 27001:2022 boşluk analizi çalışma tablosunda her bir gereksinim şu yapıda puanlanır ve somut kanıtlarla raporlanır:
| Standart Maddesi / Kontrol | Kontrol Konusu | Mevcut Durum (Objektif Kanıt) | Uyum Durumu | Tespit Edilen Boşluk (GAP) | Önerilen Düzeltici Aksiyon & Öncelik |
|---|---|---|---|---|---|
| Madde 5.1 | Liderlik ve Taahhüt | Üst yönetim desteği sözlü var ancak onaylı BGYS Politikası bulunmuyor. | Kısmi Uyum | Yazılı, imzalı ve personele duyurulmuş üst politika eksik. | BGYS Üst Politikasının hazırlanması ve intranet üzerinden yayımlanması (Yüksek) |
| Madde 6.1.2 | Risk Değerlendirmesi | BT ekibi teknik açık taraması yapıyor ancak onaylı bir risk metodolojisi yok. | Uyumsuz | Varlık tabanlı risk değerlendirme prosedürü ve kriterleri tanımlanmamış. | ISO 27005 uyumlu risk değerlendirme metodolojisinin yazılması (Yüksek) |
| Ek A 5.15 | Erişim Kontrolü | Sunuculara şifreyle erişiliyor; ancak kritik sistemlerde çok faktörlü kimlik doğrulama (MFA) yok. | Kısmi Uyum | Dışarıdan VPN ve sunucu erişimlerinde MFA zorunluluğu işletilmiyor. | Tüm uzaktan erişimlere ve ayrıcalıklı hesaplara MFA entegrasyonu (Kritik) |
| Ek A 8.8 | Teknik Açıklık Yönetimi | Düzenli açıklık taraması ve sızma testi (pentest) raporu bulunmuyor. | Uyumsuz | Yılda en az 1 kez yapılması gereken bağımsız test eksik. | Kapsamlı zafiyet taraması ve sızma testi icrası (Yüksek) |
Eksiksiz bir uyum yol haritası ve danışmanlık süreci için ISO 27001 Danışmanlığı sayfamızdan metodolojimiz incelenebilir.
Yüzdesel Uyum Hesabının Anlamı ve Sınırlılıkları
Boşluk analizi raporlarında yöneticilere sunulan "Kurumumuz standarda %45 oranında uyumludur" gibi yüzdesel skorlar yaygın olarak kullanılır. Ancak bu skorların taşıdığı metodolojik sınırlar bilinmelidir:
- Resmi Standart Kuralı Değildir: ISO/IEC 27001 standardı hiçbir yerinde yüzdesel bir uyum eşiği tanımlamaz. Yüzdelik oran, çalışmayı yürüten uzmanın kullandığı yarı-kantitatif puanlama modelinin bir aritmetik ortalamasıdır.
- Aritmetik Ortalama ve Uygunsuzluk Sınıflandırması: Yüksek bir genel yüzde, kurumun denetimden sorunsuz geçeceğini garanti etmez. Belgelendirme denetimlerinde uygunsuzluklar (majör, minör veya gözlem); eksikliğin BGYS'nin hedeflerine ulaşma yeteneğini doğrudan ve sistematik olarak tehlikeye atıp atmadığına ve baş denetçinin kanıta dayalı mesleki değerlendirmesine göre sınıflandırılır.
GAP Raporu Kuruma Ne Sağlar?
Eksiksiz yürütülmüş bir boşluk analizi raporu yönetimin önüne şu üç somut girdiyi koyar:
- Öncelikli Güvenlik Zaafları: En yüksek operasyonel riski taşıyan ve acil müdahale gerektiren açıkların listesi.
- Doğru Bütçe ve Kaynak Planı: Gereksiz harcamaları önleyerek sadece gerçekten ihtiyaç duyulan kontrollere yatırım yapılmasını sağlayan maliyet optimizasyonu.
- Gerçekçi Proje Takvimi: Belgelendirme hazırlığının kaç ay süreceğine dair süreç sahipleriyle mutabık kalınmış net bir yol haritası.
Boşluk analizinde tespit edilen uygunsuzlukları baş denetçi perspektifiyle değerlendirmek, denetim kanıtlarını uluslararası kriterlere göre toplamak ve tetkik yetkinliği kazanmak için ISO 27001 Baş Denetçi Eğitimi (CQI ve IRCA Onaylı) programımızı inceleyebilirsiniz.
Okuyucu Yorumları (2)
Bu makale hakkındaki uzman sorularını, denetim tecrübelerini ve arşivlenmiş teknik tartışmaları inceleyebilir veya yeni bir yorum ekleyebilirsiniz.
Burak Bey merhaba; Boşluk analizi şablonunu tarafıma iletme şansınız var mı acaba? Kuruluşumuz içerisinde gerçekleştirmeyi düşünüyoruz.
Merhaba Haydar Bey;
Maalesef şablonumuz gönderemiyorum. Yalnızca hizmeti ücretli almanız doğrultusunda oluşturulacak rapor doğrultusunda şablona erişebilirsiniz. Anlayışınız için şimdiden teşekkür ederim.
ISO 27001 ile ilgili boşluk analizi hizmetiniz hakkında teklif geçebilir misiniz?
Merhaba Mustafa Bey;
Mail adresinize başvuru formumu gönderdim. O formu doldurmanıza istinaden teklifi tarafınıza iletiyor olacağım. Kolay gelsin.
Yorum Gönder
Sorularınızı, katkılarınızı veya teknik değerlendirmelerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.