(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2017 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Denetim Bulgusu Bir Ceza Değil, İyileştirme Sinyalidir
İster kurum içi yapılan bir iç tetkik, ister akredite bir belgelendirme kuruluşu tarafından yürütülen dış denetim olsun; denetim bulguları organizasyonun bağışıklık sistemini test eden en kritik göstergelerdir.
Ancak uygulamada pek çok kuruluş, denetim bulgularını “sınavda yakalanmış bir hata” gibi algılamakta ve yalnızca denetçiyi tatmin edecek geçici, yüzeysel çözümlere yönelmektedir. Oysa aynı bulgunun bir sonraki denetimde tekrar ortaya çıkmasının temel nedeni, semptomların giderilip kök nedenlerin (root causes) ortadan kaldırılmamasıdır.
ISO/IEC 17021-1 Uyarınca Denetim Bulgularının Ayrımı
Denetimlerde ortaya konan tespitler aynı hukuki ve teknik ağırlığa sahip değildir. ISO/IEC 17021-1 standardı uyarınca tespitler net çizgilerle ayrılır:
| Tespit Türü | Hukuki / Teknik Niteliği | Standardın Tanımı | Belgelendirme Sürecine Etkisi |
|---|---|---|---|
| Majör Uygunsuzluk (Major Nonconformity) | Zorunlu Uygunsuzluk (Madde 3.12) | Yönetim sisteminin şartlarından birinin hiç uygulanmaması, sistemin amaçlanan sonuçlara ulaşma kabiliyetini doğrudan çökerten veya kontrolün tamamen yok olduğunu gösteren durumlar. | Belge verilmesini veya yenilenmesini doğrudan engeller. Düzeltici faaliyet uygulanıp sahada doğrulanana kadar süreç askıda kalır. |
| Minör Uygunsuzluk (Minor Nonconformity) | Zorunlu Uygunsuzluk (Madde 3.13) | Sistemin genel işleyişini veya kontrol kabiliyetini tek başına çökertmeyen, münferit veya sınırlı etkiye sahip prosedürel sapmalar. | Belgelendirmeyi doğrudan durdurmaz; kabul edilebilir bir düzeltici faaliyet planının onaylanması şartıyla belge verilebilir. |
| İyileştirme Fırsatı / Gözlem (OFI) | Uygunsuzluk DEĞİLDİR (Tavsiye) | Standart şartlarına doğrudan bir aykırılık teşkil etmeyen, ancak gelecekte risk doğurabilecek veya sürecin verimliliğini artırabilecek profesyonel gözlemler. | Zorunlu düzeltici faaliyet gerektirmez. Belgelendirme kararını olumsuz etkilemez; yönetimin değerlendirmesine bırakılır. |
Sahada En Sık Karşılaşılan 6 Tipik Uygunsuzluk ve Kök Nedenleri
Yıllar süren denetim deneyimleri, denetimlerde ortaya çıkan uygunsuzlukların belirli kurumsal alışkanlıklardan kaynaklandığını göstermektedir:
1. “Rafta Duran Dokümantasyon” Sendromu
- Tespit: Kuruluşun onaylı bilgi güvenliği politikaları ve prosedürleri vardır; ancak sahada çalışanlara sorulduğunda bu kurallardan haberdar olmadıkları veya tam tersi yöntemlerle çalıştıkları görülür.
- Kök Neden: Dokümantasyonun çalışanların katılımı olmadan, dış danışmanlar tarafından kopyala-yapıştır şablonlarla hazırlanması ve yönetimin sadece “belge almak için” onaylaması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 5.1 (Liderlik) ve Madde 7.5 (Dokümante Edilmiş Bilgi).
2. Süreç İşliyor Ama Kayıt ve Kanıt Yok
- Tespit: Personele göre yedekler düzenli alınmakta, kullanıcı yetkileri işten ayrılanlardan geri alınmakta veya risk analizleri yapılmaktadır; ancak denetçiye sunulabilecek onaylı tutanak, sistem logu veya bilet kaydı bulunamaz.
- Kök Neden: “Yazılı olmayan kural kural değildir, nesnel kanıtı olmayan faaliyet yapılmamıştır” denetim aksiyomunun anlaşılmaması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 7.5.3 (Dokümante Edilmiş Bilginin Kontrolü).
3. Güvenlik Farkındalığının E-Postayla Sınırlı Kalması
- Tespit: Çalışanlar oltalama (phishing) e-postalarına tıklamakta, parolalarını güvensiz alanlara yazmakta veya kritik verileri kontrolsüz paylaşmaktadır.
- Kök Neden: Farkındalık eğitiminin yılda bir kez toplu slayt gösterisi veya imzalatılan formalite listelerle geçiştirilmesi; ölçülebilir davranış değişikliğinin hedeflenmemesi.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 7.3 (Farkındalık) ve Ek A 6.3 (Bilgi Güvenliği Farkındalığı).
4. Kopyala-Yapıştır ve Güncellenmeyen Risk Analizleri
- Tespit: Risk değerlendirme tablosunda yer alan varlıklar ve tehditler kuruluşun gerçek BT mimarisiyle örtüşmemekte; yeni devreye alınan bulut sistemleri veya uzaktan çalışma riskleri tabloda yer almamaktadır.
- Kök Neden: Risk değerlendirmesinin yaşayan bir süreç olarak değil, denetimden hemen önce güncellenen formalite bir evrak olarak görülmesi.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 6.1.2 ve Madde 8.2 (Risk Değerlendirmesi).
5. Tedarikçi ve Üçüncü Taraf Güvenliği İhmalleri
- Tespit: Dış kaynak yazılım firmaları, bulut barındırma sağlayıcıları veya bakım ekipleri şirket sistemlerine uzaktan erişmekte; ancak sözleşmelerinde güvenlik yükümlülükleri veya erişim loglama kontrolleri bulunmamaktadır.
- Kök Neden: Güvenlik sınırlarının yalnızca şirket içi yerel ağ ile sınırlı sanılması; tedarik zinciri risklerinin değerlendirilmemesi.
- Standart Maddesi: ISO/IEC 27001:2022 Ek A 5.19 - 5.23 (Tedarikçi İlişkileri).
6. “Bu Madde Zorunlu mu?” Zihniyeti ve Yatırım İsteksizliği
- Tespit: Yöneticilerin denetimlerde sıkça “Standart bunu harfi harfine istiyor mu, asgari ne yaparsak belgeyi kurtarırız?” yaklaşımını sergilemesi.
- Kök Neden: Yönetim sistemlerinin temel şartı olan Sürekli İyileştirme (Madde 10.1) ilkesinin kavranamaması ve sistemin bir iş değeri değil ek maliyet unsuru olarak algılanması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 10.1 (Sürekli İyileştirme).
Uygunsuzlukların Yönetimi ve Kök Neden Analizi (Madde 10.2)
ISO/IEC 27001:2022 Madde 10.2 (Uygunsuzluk ve Düzeltici Faaliyet) uyarınca bir uygunsuzluk ortaya çıktığında kuruluş:
- Uygunsuzluğa anında tepki vermeli, kontrol altına almalı ve sonuçlarıyla ilgilenmelidir (Geçici Düzeltme / Correction).
- Uygunsuzluğun nedenlerini belirleyerek (root cause analysis) başka bir yerde tekrarlanmasını önleyecek tedbirlerin gerekliliğini değerlendirmelidir.
- Gerekli aksiyonları planlamalı ve uygulamalıdır.
- Alınan düzeltici faaliyetlerin etkinliğini gözden geçirmelidir.
Örnek Kök Neden Değerlendirmesi:
- Uygunsuzluk: İşten ayrılan personelin VPN erişiminin 3 ay boyunca kapatılmadığı tespit edilmiştir.
- Geçici Düzeltme: İlgili kullanıcının hesabı derhal kapatılmıştır.
- Kök Neden Sorgulaması: İK biriminin çıkış bildirimini BT’ye manüel e-posta ile ilettiği, iş yoğunluğunda bu e-postanın atlandığı ve iki birim arasında merkezi bir kimlik yönetimi (IAM/İYS) entegrasyonu bulunmadığı tespit edilmiştir.
- Kalıcı Düzeltici Faaliyet (Madde 10.2): İK çıkış onayını BT hesap kapatma iş akışına otomatik bağlayan bir entegrasyonun devreye alınması ve haftalık yetki kontrol listesi işletilmesi.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Artık Risk ve Risk İşleme: Denetim bulgularının risk bağlamı için Artık Risk Nedir? makalesini inceleyebilirsiniz.
- İç Denetim Fonksiyonu: İç tetkikin amacı ve işleyişi için İç Denetim Nedir, Ne İşe Yarar? rehberini okuyabilirsiniz.
- Zorunlu Kayıtlar: Denetimlerde aranan doküman ve kayıt listesi için ISO 27001 Zorunlu Dokümante Edilmiş Bilgiler makalesine başvurabilirsiniz.