Özet: Saha denetimlerinden derlenen en yaygın 5 denetim bulgusu: Kontrolsüz revizyonlar, işletilmeyen YGG toplantıları, kök nedene inmeyen yüzeysel düzeltici faaliyetler (DÖF), ölçülmeyen KPI hedefleri ve ortak şifre kullanımı riskleri.
Kapsam ve Çerçeve: ISO 19011:2018 bulgu derecelendirme kriterleri ve ISO 27001 dış belgelendirme denetimleri saha tecrübesiyle kök neden analizi ve denetim hazırlık rehberi.
(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2017 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: Denetim Bulgusu Bir Ceza Değil, İyileştirme Sinyalidir
İster kurum içi yapılan bir iç tetkik, ister akredite bir belgelendirme kuruluşu tarafından yürütülen dış denetim olsun; denetim bulguları organizasyonun bağışıklık sistemini test eden en kritik göstergelerdir.
Ancak uygulamada pek çok kuruluş, denetim bulgularını “sınavda yakalanmış bir hata” gibi algılamakta ve yalnızca denetçiyi tatmin edecek geçici, yüzeysel çözümlere yönelmektedir. Oysa aynı bulgunun bir sonraki denetimde tekrar ortaya çıkmasının temel nedeni, semptomların giderilip kök nedenlerin (root causes) ortadan kaldırılmamasıdır.
ISO/IEC 17021-1 Uyarınca Denetim Bulgularının Ayrımı
Denetimlerde ortaya konan tespitler aynı hukuki ve teknik ağırlığa sahip değildir. ISO/IEC 17021-1 standardı uyarınca tespitler net çizgilerle ayrılır:
| Tespit Türü | Hukuki / Teknik Niteliği | Standardın Tanımı | Belgelendirme Sürecine Etkisi |
|---|---|---|---|
| Majör Uygunsuzluk (Major Nonconformity) | Zorunlu Uygunsuzluk (Madde 3.12) | Yönetim sisteminin şartlarından birinin hiç uygulanmaması, sistemin amaçlanan sonuçlara ulaşma kabiliyetini doğrudan çökerten veya kontrolün tamamen yok olduğunu gösteren durumlar. | Belge verilmesini veya yenilenmesini doğrudan engeller. Düzeltici faaliyet uygulanıp sahada doğrulanana kadar süreç askıda kalır. |
| Minör Uygunsuzluk (Minor Nonconformity) | Zorunlu Uygunsuzluk (Madde 3.13) | Sistemin genel işleyişini veya kontrol kabiliyetini tek başına çökertmeyen, münferit veya sınırlı etkiye sahip prosedürel sapmalar. | Belgelendirmeyi doğrudan durdurmaz; kabul edilebilir bir düzeltici faaliyet planının onaylanması şartıyla belge verilebilir. |
| İyileştirme Fırsatı / Gözlem (OFI) | Uygunsuzluk DEĞİLDİR (Tavsiye) | Standart şartlarına doğrudan bir aykırılık teşkil etmeyen, ancak gelecekte risk doğurabilecek veya sürecin verimliliğini artırabilecek profesyonel gözlemler. | Zorunlu düzeltici faaliyet gerektirmez. Belgelendirme kararını olumsuz etkilemez; yönetimin değerlendirmesine bırakılır. |
Sahada En Sık Karşılaşılan 6 Tipik Uygunsuzluk ve Kök Nedenleri
Yıllar süren denetim deneyimleri, denetimlerde ortaya çıkan uygunsuzlukların belirli kurumsal alışkanlıklardan kaynaklandığını göstermektedir:
1. “Rafta Duran Dokümantasyon” Sendromu
- Tespit: Kuruluşun onaylı bilgi güvenliği politikaları ve prosedürleri vardır; ancak sahada çalışanlara sorulduğunda bu kurallardan haberdar olmadıkları veya tam tersi yöntemlerle çalıştıkları görülür.
- Kök Neden: Dokümantasyonun çalışanların katılımı olmadan, dış danışmanlar tarafından kopyala-yapıştır şablonlarla hazırlanması ve yönetimin sadece “belge almak için” onaylaması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 5.1 (Liderlik) ve Madde 7.5 (Dokümante Edilmiş Bilgi).
2. Süreç İşliyor Ama Kayıt ve Kanıt Yok
- Tespit: Personele göre yedekler düzenli alınmakta, kullanıcı yetkileri işten ayrılanlardan geri alınmakta veya risk analizleri yapılmaktadır; ancak denetçiye sunulabilecek onaylı tutanak, sistem logu veya bilet kaydı bulunamaz.
- Kök Neden: “Yazılı olmayan kural kural değildir, nesnel kanıtı olmayan faaliyet yapılmamıştır” denetim aksiyomunun anlaşılmaması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 7.5.3 (Dokümante Edilmiş Bilginin Kontrolü).
3. Güvenlik Farkındalığının E-Postayla Sınırlı Kalması
- Tespit: Çalışanlar oltalama (phishing) e-postalarına tıklamakta, parolalarını güvensiz alanlara yazmakta veya kritik verileri kontrolsüz paylaşmaktadır.
- Kök Neden: Farkındalık eğitiminin yılda bir kez toplu slayt gösterisi veya imzalatılan formalite listelerle geçiştirilmesi; ölçülebilir davranış değişikliğinin hedeflenmemesi.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 7.3 (Farkındalık) ve Ek A 6.3 (Bilgi Güvenliği Farkındalığı).
4. Kopyala-Yapıştır ve Güncellenmeyen Risk Analizleri
- Tespit: Risk değerlendirme tablosunda yer alan varlıklar ve tehditler kuruluşun gerçek BT mimarisiyle örtüşmemekte; yeni devreye alınan bulut sistemleri veya uzaktan çalışma riskleri tabloda yer almamaktadır.
- Kök Neden: Risk değerlendirmesinin yaşayan bir süreç olarak değil, denetimden hemen önce güncellenen formalite bir evrak olarak görülmesi.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 6.1.2 ve Madde 8.2 (Risk Değerlendirmesi).
5. Tedarikçi ve Üçüncü Taraf Güvenliği İhmalleri
- Tespit: Dış kaynak yazılım firmaları, bulut barındırma sağlayıcıları veya bakım ekipleri şirket sistemlerine uzaktan erişmekte; ancak sözleşmelerinde güvenlik yükümlülükleri veya erişim loglama kontrolleri bulunmamaktadır.
- Kök Neden: Güvenlik sınırlarının yalnızca şirket içi yerel ağ ile sınırlı sanılması; tedarik zinciri risklerinin değerlendirilmemesi.
- Standart Maddesi: ISO/IEC 27001:2022 Ek A 5.19 - 5.23 (Tedarikçi İlişkileri).
6. “Bu Madde Zorunlu mu?” Zihniyeti ve Yatırım İsteksizliği
- Tespit: Yöneticilerin denetimlerde sıkça “Standart bunu harfi harfine istiyor mu, asgari ne yaparsak belgeyi kurtarırız?” yaklaşımını sergilemesi.
- Kök Neden: Yönetim sistemlerinin temel şartı olan Sürekli İyileştirme (Madde 10.1) ilkesinin kavranamaması ve sistemin bir iş değeri değil ek maliyet unsuru olarak algılanması.
- Standart Maddesi: ISO/IEC 27001:2022 Madde 10.1 (Sürekli İyileştirme).
Uygunsuzlukların Yönetimi ve Kök Neden Analizi (Madde 10.2)
ISO/IEC 27001:2022 Madde 10.2 (Uygunsuzluk ve Düzeltici Faaliyet) uyarınca bir uygunsuzluk ortaya çıktığında kuruluş:
- Uygunsuzluğa anında tepki vermeli, kontrol altına almalı ve sonuçlarıyla ilgilenmelidir (Geçici Düzeltme / Correction).
- Uygunsuzluğun nedenlerini belirleyerek (root cause analysis) başka bir yerde tekrarlanmasını önleyecek tedbirlerin gerekliliğini değerlendirmelidir.
- Gerekli aksiyonları planlamalı ve uygulamalıdır.
- Alınan düzeltici faaliyetlerin etkinliğini gözden geçirmelidir.
Örnek Kök Neden Değerlendirmesi:
- Uygunsuzluk: İşten ayrılan personelin VPN erişiminin 3 ay boyunca kapatılmadığı tespit edilmiştir.
- Geçici Düzeltme: İlgili kullanıcının hesabı derhal kapatılmıştır.
- Kök Neden Sorgulaması: İK biriminin çıkış bildirimini BT’ye manüel e-posta ile ilettiği, iş yoğunluğunda bu e-postanın atlandığı ve iki birim arasında merkezi bir kimlik yönetimi (IAM/İYS) entegrasyonu bulunmadığı tespit edilmiştir.
- Kalıcı Düzeltici Faaliyet (Madde 10.2): İK çıkış onayını BT hesap kapatma iş akışına otomatik bağlayan bir entegrasyonun devreye alınması ve haftalık yetki kontrol listesi işletilmesi.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Artık Risk ve Risk İşleme: Denetim bulgularının risk bağlamı için Artık Risk Nedir? makalesini inceleyebilirsiniz.
- İç Denetim Fonksiyonu: İç tetkikin amacı ve işleyişi için İç Denetim Nedir, Ne İşe Yarar? rehberini okuyabilirsiniz.
- Zorunlu Kayıtlar: Denetimlerde aranan doküman ve kayıt listesi için ISO 27001 Zorunlu Dokümante Edilmiş Bilgiler makalesine başvurabilirsiniz.
Sık Sorulan Sorular
Bir denetimde hiç uygunsuzluk çıkmaması iyi bir şey midir?
İç denetimde hiç uygunsuzluk bulunamaması genellikle sistemin mükemmel olduğunu değil, denetimin yüzeysel yapıldığını veya denetçinin körlük yaşadığını gösterir. Sağlıklı bir yönetim sistemi sürekli gelişmek için iyileştirme fırsatları ve minör bulgular üretmelidir.
Dış denetimde majör uygunsuzluk çıkarsa ne olur?
Kuruluşa genellikle 30 ila 90 gün arasında bir düzeltme süresi tanınır. Bu süre sonunda baş denetçi takip denetimi (Follow-up audit) yapar; kök neden giderilmiş ve düzeltici faaliyet etkin şekilde hayata geçirilmişse belge onaylanır.
Denetim öncesi çalışanların panikle doküman doldurması neden tehlikelidir?
Denetçiler tarihler arasındaki uyumsuzlukları, aynı kalemle arka arkaya imzalanmış formları veya aynı gün düzenlenmiş yıllık toplantı tutanaklarını saniyeler içinde anlarlar. Sahte veya sonradan doldurulmuş kayıtlar etik dışı kabul edilir ve denetimin güvenilirliğini sıfırlar.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.