(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2017 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Dokümantasyon Karmaşası ve Modern ISO Yaklaşımı
ISO 27001 projelerine başlayan kuruluşların ve bilgi güvenliği yöneticilerinin en sık sorduğu soru şudur: “Hangi belgeleri hazırlamak zorundayız, hangileri isteğe bağlıdır ve denetçi bizden neleri görmek ister?”
Geçmişte ISO standartlarında yer alan “prosedür”, “politika”, “talimat” ve “kayıt” gibi ayrık kavramlar, ISO Yüksek Düzeyli Yapı (Harmonized Structure) ile birlikte tek bir çatı kavram altında toplanmıştır: Dokümante Edilmiş Bilgi (Documented Information).
ISO/IEC 27001:2022 Madde 7.5.1 uyarınca kuruluşun BGYS dokümantasyonu iki ana kaynaktan oluşur:
- a) Bu standardın zorunlu kıldığı dokümante edilmiş bilgi.
- b) BGYS’nin etkinliği için kuruluş tarafından gerekli olduğu belirlenen dokümante edilmiş bilgi.
“Muhafaza Edilen” (Maintain) ile “Saklanan” (Retain) Bilgi Ayrımı
Uluslararası standart metninde kullanılan fiiller dokümantasyonun niteliğini belirler:
- “Shall be maintained as documented information” (Dokümante edilmiş bilgi olarak muhafaza edilmelidir): Sürekli güncel tutulan, versiyon kontrolü yapılan canlı kural setleridir (Politikalar, Kapsam, Metodolojiler, Uygulanabilirlik Bildirgesi vb.).
- “Shall be retained as documented information” (Dokümante edilmiş bilgi olarak saklanmalıdır): Belirli bir tarihte gerçekleşmiş bir faaliyetin nesnel kanıtı olan, değiştirilemez tarihsel kayıtlardır (Eğitim tutanakları, risk analiz sonuçları, iç tetkik raporları, YGG tutanakları vb.).
ISO/IEC 27001:2022 Ana Maddelerindeki Zorunlu Dokümante Edilmiş Bilgiler
Aşağıdaki fihrist, standardın Madde 4 ile Madde 10 arasındaki çekirdek gereksinimlerinde açıkça şart koşulan dokümante edilmiş bilgileri sınıflandırır:
1. Zorunlu Olarak “Muhafaza Edilecek” Bilgiler (Canlı Dokümanlar)
| Madde No | Dokümante Edilmiş Bilgi | Amacı ve Kapsamı |
|---|---|---|
| Madde 4.3 | BGYS Kapsamı (Scope) | Sistemin sınırlarını, dahil edilen lokasyonları, süreçleri, bilgi varlıklarını ve hariç tutmaları açıkça tanımlar. |
| Madde 5.2 | Bilgi Güvenliği Politikası | Üst yönetimce onaylanmış, güvenlik hedeflerine taahhüdü ortaya koyan üst düzey yönetim politikasıdır. |
| Madde 6.1.2 | Risk Değerlendirme Süreci | Risklerin nasıl tanımlanacağını, analiz edileceğini ve kriterlerini belirleyen yazılı metodolojidir. |
| Madde 6.1.3 | Risk İşleme Süreci | Risklerin hangi seçeneklerle (azaltma, aktarma, kaçınma, kabul) ele alınacağını düzenleyen süreçtir. |
| Madde 6.1.3 d) | Uygulanabilirlik Bildirgesi (SoA) | Ek A’daki 93 kontrolün hangilerinin seçildiğini, uygulanma durumlarını ve hariç tutma gerekçelerini içeren temel belgedir. |
| Madde 6.2 | Bilgi Güvenliği Hedefleri | Ölçülebilir, izlenebilir ve ilgili fonksiyonlara atanmış kurumsal güvenlik hedefleridir. |
2. Zorunlu Olarak “Saklanacak” Bilgiler (Nesnel Kanıt Kayıtları)
| Madde No | Saklanacak Kanıt Kaydı | Kanıtın Niteliği |
|---|---|---|
| Madde 7.2 d) | Personel Yetkinlik Kanıtları | Eğitim katılım tutanakları, sertifikalar, diplomalar ve yetkinlik değerlendirme formları. |
| Madde 8.1 | Operasyonel Planlama ve Kontrol Kanıtları | Güvenlik süreçlerinin planlandığı şekilde yürütüldüğünü doğrulayan operasyonel kayıtlar. |
| Madde 8.2 | Risk Değerlendirme Sonuçları | Gerçekleştirilen risk analizi çalışmaları sonucunda üretilen risk envanteri ve puanlama çıktıları. |
| Madde 8.3 | Risk İşleme Sonuçları | Risk işleme planının uygulama durumu ve kabul kriterlerini aşan artık riskler için alınan yönetim onayları. |
| Madde 9.1 | İzleme ve Ölçme Sonuçları | Güvenlik performans metriklerinin (KPI/KRI), kontrol testlerinin ve ölçüm raporlarının kanıtları. |
| Madde 9.2.2 g) | İç Denetim Programı ve Sonuçları | Denetim takvimi, soru listeleri, açılış/kapanış tutanakları ve onaylı resmi iç tetkik raporları. |
| Madde 9.3.3 | Yönetimin Gözden Geçirmesi Sonuçları | Üst yönetimin gerçekleştirdiği YGG toplantısının gündemi, kararları ve resmi toplantı tutanağı. |
| Madde 10.2 f) | Uygunsuzluklar ve Düzeltici Faaliyet Sonuçları | Açılan düzeltici faaliyet kayıtları, kök neden analizleri ve uygulanan faaliyetlerin etkinlik doğrulama sonuçları. |
Ek A Kontrollerinden Doğan Kayıtlar: Koşullu Zorunluluk İlkesi
Pek çok rehberde Ek A’dan doğan tüm prosedür ve kayıtlar (erişim matrisi, yedekleme logları, temiz masa politikası, sızma testi raporu vb.) sanki her şirket için koşulsuz zorunluymuş gibi sunulur. Bu yaklaşım metodolojik olarak hatalıdır.
Kuruluşun SoA’da seçtiği kontrollere bağlı olarak tipik olarak üretilmesi gereken nesnel kanıt örnekleri:
- Erişim Kontrolü (Ek A 5.15): Kullanıcı yetki onay formları, periyodik yetki gözden geçirme tutanakları.
- Gizlilik Taahhütleri (Ek A 6.6): Çalışanlar ve tedarikçilerle imzalanmış gizlilik sözleşmeleri (NDA).
- Yedekleme (Ek A 8.13): Sistem yedekleme logları ve periyodik yedekten geri dönme (restore) test tutanakları.
- Günlük Kayıtları (Ek A 8.15): Güvenlik olay günlükleri, sistem logları ve log inceleme kanıtları.
- Olay Yönetimi (Ek A 5.24 - 5.28): Güvenlik ihlal bildirimi formları ve olay müdahale raporları.
Bürokrasi Yanılgısı: Sayfa Sayısı Başarı Göstergesi Değildir
ISO/IEC 27001 standardı kurumun ölçeğine ve risk seviyesine uygun esneklik tanır (Madde 7.5.1).
Dijital ortamda tutulan bir Jira bileti, versiyon kontrol sistemindeki (Git) onay kaydı, otomatik SIEM logu veya dijital onaylı bir form da geçerli birer dokümante edilmiş bilgidir. Başarı, dolapları dolduran yüzlerce sayfalık okunmayan belgelerde değil; kurumun kültürüne yerleşmiş ve kanıt üretebilen canlı sistemdedir.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Boşluk Analizi Rehberi: Dokümanlarınızın tamlığını kontrol etmek için ISO 27001 Boşluk Analizi (GAP Analizi) rehberini inceleyebilirsiniz.
- Artık Risk ve SoA: Zorunlu risk dokümanlarının metodolojisi için Artık Risk Nedir? makalesine başvurabilirsiniz.
- Denetim Bulguları: Dokümantasyon eksikliğinden doğan denetim hataları için Yaygın İç ve Dış Denetim Bulguları makalesini okuyabilirsiniz.