İçindekiler
ISO 27001 BGYS Hedefleri ve Planlama Formu, her bölümün belirlediği bilgi güvenliği hedeflerini mevcut durum, risk-fırsat ve kaynak ihtiyacıyla birlikte kayıt altına alan formdur. Bu yazıda formun amacını, kapsadığı alanları ve ISO 27001 denetiminde neden önemli olduğunu ele alıyoruz.
ISO 27001 BGYS Hedefleri ve Planlama Formunun Amacı Nedir?
Bu form, ISO 27001:2017 Madde 6.2 kapsamında BGYS hedeflerinin nasıl, hangi kaynaklarla ve hangi sürede gerçekleştirileceğinin belgelenmesini sağlar. BGYS Hedefleri ve Planlama Prosedürü hedeflerin nereden türetileceğini tanımlarken, bu form o hedeflerin somut, takvimli ve kaynağı belli bir plana dönüştürülmesini sağlayan uygulama aracıdır.
Formda Hangi Alanlar Yer Alır?
- Dönem, bölüm, sorumlu
- Hedef ve mevcut durum
- Riskler ve fırsatlar
- Planlama (hedefe ulaşma yöntemi)
- İhtiyaç duyulan kaynaklar (personel, ekipman, eğitim, mali kaynak, yazılım/donanım)
“Mevcut durum” alanının hedefle yan yana yer alması önemlidir; çünkü bir hedefin anlamlı olup olmadığı yalnızca mevcut durumla karşılaştırıldığında anlaşılır. Örneğin “farkındalık eğitimlerinin artırılması” hedefi, mevcut durumda hiç eğitim verilmiyorsa çok farklı, yılda bir kez veriliyorsa çok farklı bir planlama gerektirir.
Kaynak İhtiyacı Karşılanamazsa Ne Olur ve Denetimde Ne Aranır?
Kaynak yetersizse Kaynak Talep Formu açılarak ihtiyaç bu bölümde ayrıca belirtilir; böylece bir hedefin gerçekleşmemesinin nedeni “unutuldu” değil, “kaynak talep edildi ama henüz karşılanmadı” şeklinde izlenebilir hale gelir. Denetçiler bu formu incelerken genellikle belirlenen hedeflerin bir önceki dönemde gerçekleşip gerçekleşmediğini ve gerçekleşmeyenler için neden belirtilip belirtilmediğini sorgular. Bu form, ISO 27001 belgesi denetimlerinde bölüm bazlı BGYS hedeflerinin somut, kaynaklandırılmış ve izlenebilir olduğunun kanıtıdır.