ISO 27001 bilgi güvenliği kontrol listesi hangi alanları kapsar?
ISO 27001 kontrol listesi; liderlik ve taahhüt, kapsam belirleme, risk değerlendirme ve işleme metodolojisi, politika seti, operasyonel güvenlik kontrolleri, olay yönetimi, iç denetim ve yönetim gözden geçirmesi adımlarını içeren 8 ana aşamayı kapsar.
ÖĞRENME AMACI
Kurumsal bilgi güvenliği yönetim sisteminin temel maddelerini ve uygulanabilirlik bildirgesi (SoA) kapsamındaki kontrolleri adım adım değerlendirme yetkinliği kazandırmak.
Kontrol Listesinin Amacı ve Kullanım Kılavuzu
Bu kontrol listesi, kurum içi BGYS koordinatörleri, iç denetçiler ve departman yöneticileri için ISO/IEC 27001 hazırlık ve idame süreçlerinde rehberlik etmek üzere hazırlanmıştır. Her kontrol maddesi için mevcut durumunuzu “Tam Uyumlu”, “Kısmi Uyumlu” veya “Uyumsuz / Planlanmadı” olarak değerlendiriniz.
Bölüm 1: Bağlam, Liderlik ve Kapsam (Madde 4 & 5)
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 1.1 | Kurumun iç ve dış hususları ile paydaş beklentileri dokümante edilmiş mi? | İç/Dış Hususlar Analizi, İlgili Taraf Matrisi |
| 1.2 | BGYS kapsamı sınırları, hariç tutmalar ve coğrafi yerleşkeler netleştirilmiş mi? | BGYS Kapsam Dokümanı |
| 1.3 | Üst yönetim tarafından onaylanmış Bilgi Güvenliği Politikası mevcut ve duyurulmuş mu? | Üst Yönetim İmzalı Politika, İntranet/Duyuru Kayıtları |
| 1.4 | Bilgi güvenliği rol, yetki ve sorumlulukları matrisi tanımlanmış mı? | Görev Tanımları, RACI Matrisi, Komite Kararları |
Bölüm 2: Risk Yönetimi ve Fırsatlar (Madde 6 & 8)
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 2.1 | Risk değerlendirme ve işleme metodolojisi onaylanmış mı? | BGYS Risk Metodolojisi Prosedürü |
| 2.2 | Bilgi varlık envanteri ve varlık sahiplikleri güncel tutuluyor mu? | Varlık Envanteri ve Sınıflandırma Listesi |
| 2.3 | Tehdit ve zafiyet odaklı risk analizi gerçekleştirilmiş mi? | Risk Değerlendirme Tablosu ve Risk Puanları |
| 2.4 | Risk işleme planı (RTP) ve Uygulanabilirlik Bildirgesi (SoA) hazırlanmış mı? | Risk İşleme Planı, Güncel SoA Dokümanı |
Bölüm 3: Destek ve Farkındalık (Madde 7)
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 3.1 | Gerekli kaynaklar (bütçe, personel, araçlar) tahsis edilmiş mi? | Bütçe ve Kaynak Tahsis Kayıtları |
| 3.2 | Tüm personele yıllık bilgi güvenliği farkındalık eğitimi verilmiş mi? | Eğitim Katılım Tutanakları, Sınav Sonuçları |
| 3.3 | İşe alım öncesi ve süresince güvenlik taahhütleri ve gizlilik sözleşmeleri imzalanmış mı? | Gizlilik Sözleşmeleri (NDA), İK Prosedürleri |
| 3.4 | Dokümante edilmiş bilgi yönetim prosedürü (sürüm kontrolü, onay akışı) işliyor mu? | Doküman Yönetim Prosedürü, Dağıtım Listeleri |
Bölüm 4: Annex A — Organizasyonel ve İnsan Kontrolleri
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 4.1 | Varlıkların kabul edilebilir kullanım kuralları belirlenmiş mi? | Kabul Edilebilir Kullanım Politikası |
| 4.2 | Bilgi sınıflandırması ve etiketleme kuralları uygulanıyor mu? | Bilgi Sınıflandırma Kılavuzu |
| 4.3 | Uzaktan çalışma ve mobil cihaz güvenlik kuralları devrede mi? | Uzaktan Çalışma Prosedürü, MDM Politikaları |
| 4.4 | Bilgi güvenliği olay bildirim akışı ve temas noktaları belirlenmiş mi? | Olay Yönetim Prosedürü, Olay Kayıt Formları |
Bölüm 5: Annex A — Fiziksel ve Teknolojik Kontroller
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 5.1 | Fiziksel güvenlik çevreleri, kartlı geçiş ve ziyaretçi takibi yapılıyor mu? | Geçiş Kontrol Logları, Ziyaretçi Defteri |
| 5.2 | Temiz masa ve temiz ekran kuralları kurum genelinde denetleniyor mu? | Periyodik Temiz Masa Kontrol Tutanakları |
| 5.3 | Kullanıcı kimlik doğrulama, güçlü parola ve MFA kontrolleri aktif mi? | IAM / Active Directory Politikaları, MFA Logları |
| 5.4 | Düzenli yedekleme yapılıyor ve periyodik geri dönüş testleri kayıt altına alınıyor mu? | Yedekleme Prosedürü, Başarılı Restorasyon Test Raporu |
| 5.5 | Ağ güvenliği, güvenlik duvarı (firewall) ve segmentasyon kontrolleri sağlanmış mı? | Ağ Topoloji Şeması, Firewall Kural İnceleme Raporu |
| 5.6 | Zafiyet taramaları ve sızma (penetrasyon) testleri düzenli yapılıyor mu? | Yıllık Sızma Testi Raporu ve İyileştirme Takibi |
Bölüm 6: Performans Değerlendirme ve İyileştirme (Madde 9 & 10)
| No | Kontrol Maddesi | Beklenen Kanıt / Çıktı |
|---|---|---|
| 6.1 | Yıllık iç denetim planı hazırlanmış ve bağımsız denetçilerce icra edilmiş mi? | İç Denetim Planı, Denetim Raporları, Soru Listeleri |
| 6.2 | Üst yönetimin katıldığı Yönetim Gözden Geçirme (YGG) toplantısı yapılmış mı? | YGG Toplantı Tutanağı ve Aksiyon Listesi |
| 6.3 | Tespit edilen uygunsuzluklar için düzeltici faaliyetler (DÖF) başlatılmış ve kapatılmış mı? | DÖF Takip Tablosu, Kök Neden Analiz Kayıtları |
| 6.4 | Güvenlik hedefleri ve metrikleri periyodik olarak ölçülüp raporlanıyor mu? | BGYS KPI ve Metrik İzleme Dashboardu |
Değerlendirme Sonrası Adımlar
- Eksiklikleri Önceliklendirin: Uyumsuz veya kısmi uyumlu maddeleri risk seviyesine göre sıralayın.
- Sorumlu ve Termin Belirleyin: Her eksiklik için ilgili süreç sahibini ve gerçekçi bir tamamlanma tarihi atayın.
- Kanıt Dosyasını Oluşturun: Dış denetim öncesinde her kontrol maddesine ait kanıt dokümanlarını dijital denetim klasöründe hazır bulundurun.