Giriş ve Kavramsal Çerçeve
Kurumlar ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi kurmaya karar verdiklerinde genellikle şu soruyla karşılaşırlar: “Nereden başlamalıyız ve mevcut güvenlik düzeyimiz ne durumda?”
Bu sorunun en rasyonel ve teknik yanıtı Boşluk Analizi (GAP Analizi / Fark Analizi) çalışmasıdır. Boşluk analizi; kurumun hedeflediği bilgi güvenliği yönetim sistemi şartları ile bugün fiilen bulunduğu operasyonel nokta arasındaki mesafeyi ölçen, kanıta dayalı ve sistematik bir durum tespit çalışmasıdır.
Boşluk Analizi ile Akredite Belgelendirme Denetimi Arasındaki Kesin Ayrım
Boşluk analizi ile resmi belgelendirme denetimi sıklıkla birbiriyle karıştırılmaktadır. Bu iki sürecin kurumsal rolleri ve yürütülme amaçları birbirinden farklıdır:
- Boşluk (GAP) Analizi (Sistematik Hazırlık ve Tanı Çalışması): Kurumun standarda göre nerelerde eksikleri olduğunu görmek, bütçe ve iş gücü planlaması yapmak için yürütülen kanıta dayalı bir danışmanlık veya öz değerlendirme çalışmasıdır. Akreditasyonlu bir sertifika hakkı kazandırmaz; amacı eksiklikleri resmi denetim öncesinde şeffaflıkla belirlemektir.
- Akredite Belgelendirme Denetimi (Resmi Uygunluk Değerlendirmesi): TÜRKAK veya uluslararası akreditasyon kurumları (UKAS, DAKKS vb.) tarafından yetkilendirilmiş bağımsız bir Belgelendirme Kuruluşu (CB) denetçileri tarafından icra edilen iki aşamalı (Aşama 1 Dokümantasyon İncelemesi ve Aşama 2 Saha Denetimi) resmi denetimdir.
:::callout{type=“important” title=“ISO/IEC 17021-1 Kapsamında Tarafsızlık ve Çıkar Çatışması Yükümlülükleri”} ISO/IEC 17021-1 (Madde 5.2) ve ISO/IEC 27006 uluslararası standartları, belgelendirme sürecinde çıkar çatışmasını engellemek için farklı aktörlere yönelik kesin ve ayrı yükümlülükler getirir:
- Belgelendirme Kuruluşu (CB): Belgelendirme kuruluşunun kendisi yönetim sistemi danışmanlığı veya iç tetkik hizmeti sunamaz; danışmanlık sağladığı bir yönetim sistemini belgelendiremez (Madde 5.2.5).
- İlişkili Kuruluşlar (Related Bodies): Belgelendirme kuruluşuyla organik, mülkiyet veya sözleşmesel bağı bulunan tüzel kişilikler danışmanlık sunuyorsa; belgelendirme kuruluşu bu faaliyeti kendi hizmetleriyle birlikte pazarlayamaz veya ortak paket olarak sunamaz; tarafsızlığa yönelik olası tüm riskler bağımsız komitelerce analiz edilip tamamen bertaraf edilmelidir (Madde 5.2.6 & 5.2.7).
- Bireysel Denetçiler (Auditors): Bir kuruluşa son iki yıl içinde yönetim sistemi danışmanlığı, iç tetkik veya şirket içi eğitim sağlamış olan denetçiler, o kuruluşun belgelendirme denetim ekibinde denetçi veya karar verici olarak görevlendirilemezler (Madde 5.2.10).
- Bağımsız Danışmanlar ve Uzmanlar: Bağımsız bir danışman veya iç tetkikçi, ilgili belgelendirme sürecinde akredite üçüncü taraf denetim ekibinde yer almadığı sürece kuruluşa hazırlık ve boşluk analizi desteği sunabilir. :::
Analiz Edilen Boyutlar: Madde 4–10 ile Ek A Kontrollerinin Rol Ayrımı
Bir ISO/IEC 27001:2022 boşluk analizi iki temel eksende yürütülür ve bu iki eksenin yönetim sistemindeki işlevi farklıdır:
1. Yönetim Sistemi Zorunlu Şartları (Maddeler 4–10)
Standardın ana gövdesini oluşturan bu maddeler, yönetim sisteminin kurumsal omurgasıdır ve kuruluşun belirlediği BGYS kapsamı dahilinde uygulanabilir temel şartları temsil eder:
- Madde 4 (Kuruluşun Bağlamı): İç ve dış hususlar, ilgili tarafların beklentileri ve BGYS kapsam sınırları.
- Madde 5 (Liderlik): Üst yönetimin taahhüdü, bilgi güvenliği politikası, kurumsal roller ve yetkiler.
- Madde 6 (Planlama): Risk değerlendirme ve işleme metodolojisi ile bilgi güvenliği hedefleri.
- Madde 7 (Destek): Kaynaklar, personel yetkinliği, farkındalık, iletişim ve dokümante edilmiş bilgi.
- Madde 8 (Operasyon): Operasyonel planlama, kontrol ve risk değerlendirmelerinin yürütülmesi.
- Madde 9 (Performans Değerlendirme): İzleme, ölçme, analiz, iç tetkik ve Yönetimin Gözden Geçirmesi (YGG).
- Madde 10 (İyileştirme): Uygunsuzluk yönetimi, düzeltici faaliyetler ve sürekli iyileştirme.
2. Operasyonel Kontrol Referans Listesi (Ek A)
ISO/IEC 27001:2022 Ek A, güncel 4 tema altında toplanmış toplam 93 kontrol maddesi içerir:
- Organizasyonel Kontroller (37 Kontrol): Politikalar, varlık yönetimi, tedarikçi ilişkileri vb.
- İnsan Kaynakları Kontrolleri (8 Kontrol): İşe alım öncesi, sırası ve ayrılış güvenlik kontrolleri.
- Fiziksel Kontroller (14 Kontrol): Fiziksel güvenlik sınırları, sunucu odası, temiz masa/ekran.
- Teknolojik Kontroller (34 Kontrol): Kimlik doğrulama, ağ güvenliği, kriptografi, yedekleme vb.
:::callout{type=“warning” title=“Ek A Kontrollerinin Seçimi ve Kapsamı”} Ek A’daki 93 kontrolün tamamının her kuruluş tarafından harfiyen uygulanması zorunlu değildir.
Ek A, kuruluşun risk değerlendirmesi sonucunda gözden geçirmesi gereken kapsamlı bir kontrol referans listesidir (normative reference checklist). Kuruluş, risk analizi bulguları, yasal/düzenleyici mevzuat şartları ve sözleşmesel taahhütleri doğrultusunda gerekli kontrolleri belirler. :::
Uygulanabilirlik Bildirgesi (SoA) ve Risk İşleme İlişkisi
Boşluk analizinin en somut yönetsel çıktısı, Uygulanabilirlik Bildirgesi’nin (Statement of Applicability - SoA) hazırlanmasına sağladığı zemindir.
ISO/IEC 27001:2022 Madde 6.1.3 (b, c, d) uyarınca hazırlanan SoA dokümanı şunları içerir:
- Dahil Edilen Gerekli Kontroller: Kurumun risk işleme süreci, mevzuat veya sözleşmeler sonucu gerekli gördüğü kontroller. (Önemli Not: SoA yalnızca Ek A kontrolleriyle sınırlı olmak zorunda değildir; kurum kendi risk profili gereği Ek A dışından sektörel standartlar veya özel güvenlik önlemleri de dahil edebilir).
- Seçilme Gerekçeleri: Kontrollerin neden dahil edildiğine ilişkin nesnel dayanaklar.
- Mevcut Uygulama Durumu: Seçilen kontrollerin halihazırda uygulanıp uygulanmadığı.
- Hariç Tutulan Kontroller ve Gerekçelendirme: Kapsam dışında bırakılan Ek A kontrollerinin neden uygulanabilir bulunmadığına dair doğrulanabilir teknik gerekçeler (örneğin kurum bünyesinde yazılım geliştirilmiyorsa ilgili kontrollerin hariç tutulması).
Boşluk analizi, SoA hazırlanırken hangi kontrollerin mevcut olduğunu, hangilerinin eksik olduğunu ve hangilerinin meşru biçimde hariç tutulabileceğini ortaya koyar.
Boşluk Analizi Sürecinin 4 Temel Adımı
| Adım | Faaliyet Alanı | İncelenen Unsurlar ve Yöntem |
|---|---|---|
| 1. Kapsam ve Hazırlık | Sınırların ve BGYS Kapsamının Belirlenmesi | Analize dahil edilecek lokasyonlar, iş birimleri, kritik bilgi varlıkları ve yasal gereksinimler netleştirilir. |
| 2. Durum Mülakatları | Süreç Liderleriyle Görüşmeler | İK, Bilgi Teknolojileri, Hukuk, Satın Alma ve Operasyon yöneticileriyle yapılandırılmış soru listeleri üzerinden görüşülür. |
| 3. Kanıt ve Yapılandırma İncelemesi | Teknik Altyapı ve Kayıt Örneklemesi | Güvenlik duvarı kuralları, yedekleme test logları, fiziksel geçiş kayıtları, sözleşmeler ve prosedürler örneklenir. |
| 4. GAP Raporu ve Yol Haritası | Durum Tespiti ve Eylem Planı Sunumu | Tespit edilen eksikler gruplanır, öncelikli riskler belirlenir ve bütçe/zaman odaklı bir aksiyon planı sunulur. |
Yüzdesel Uyum Hesabının Anlamı ve Sınırlılıkları
Boşluk analizi raporlarında yöneticilere sunulan “Kurumumuz standarda %45 oranında uyumludur” gibi yüzdesel skorlar yaygın olarak kullanılır. Ancak bu skorların taşıdığı metodolojik sınırlar bilinmelidir:
- Resmi Standart Kuralı Değildir: ISO/IEC 27001 standardı hiçbir yerinde yüzdesel bir uyum eşiği tanımlamaz. Yüzdelik oran, çalışmayı yürüten uzmanın kullandığı yarı-kantitatif puanlama modelinin bir aritmetik ortalamasıdır.
- Aritmetik Ortalama ve Uygunsuzluk Sınıflandırması: Yüksek bir genel yüzde, kurumun denetimden sorunsuz geçeceğini garanti etmez. Belgelendirme denetimlerinde uygunsuzluklar (majör, minör veya gözlem); eksikliğin BGYS’nin hedeflerine ulaşma yeteneğini doğrudan ve sistematik olarak tehlikeye atıp atmadığına ve baş denetçinin kanıta dayalı mesleki değerlendirmesine göre sınıflandırılır.
GAP Raporu Kuruma Ne Sağlar?
Eksiksiz yürütülmüş bir boşluk analizi raporu yönetimin önüne şu üç somut girdiyi koyar:
- Öncelikli Güvenlik Zaafları: En yüksek operasyonel riski taşıyan ve acil müdahale gerektiren açıkların listesi.
- Doğru Bütçe ve Kaynak Planı: Gereksiz harcamaları önleyerek sadece gerçekten ihtiyaç duyulan kontrollere yatırım yapılmasını sağlayan maliyet optimizasyonu.
- Gerçekçi Proje Takvimi: Belgelendirme hazırlığının kaç ay süreceğine dair süreç sahipleriyle mutabık kalınmış net bir yol haritası.