İçindekiler
ISO 27001 BGYS Hedefleri ve Planlama Prosedürü, bilgi güvenliği yönetim sisteminde periyodik hedeflerin nasıl belirleneceğini ve bu hedeflere ulaşmak için nasıl planlama yapılacağını tanımlayan dokümandır. Bu yazıda prosedürün amacını, hedeflerin hangi kaynaklardan türetildiğini ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 BGYS Hedefleri ve Planlama Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001:2017 Madde 6.2 kapsamında BGYS politikası ve genel hedeflerle uyumlu periyodik hedeflerin belirlenmesini ve bu hedeflere ulaşmak için adım adım planlama yapılmasını sağlamaktır. BGYS Politikası soyut bir niyet beyanıyken, bu prosedür o niyeti ölçülebilir, takvimli ve sorumlusu belli hedeflere dönüştürür; politika ile günlük operasyon arasındaki köprüyü kurar. Uygulamadan tüm proses liderleri sorumludur, çünkü her bölümün bilgi güvenliğine katkısı farklı hedeflerle ifade edilir.
Hedefler Hangi Kaynaklardan Türetilir?
- Riskleri ortadan kaldırmak veya istenmeyen etkileri azaltmak için planlanan aksiyonlar
- Süreç, girdi veya çıktılarda gerçekleştirilen iyileştirmeler
- Performansı artırmaya yönelik girişimler
- İlgili tarafların ihtiyaç ve beklentilerini karşılamaya yönelik çalışmalar
- Düzeltici ve iyileştirici faaliyetler
Bu beş kaynağın her biri BGYS’nin farklı bir alt sürecine karşılık gelir; yani hedefler rastgele belirlenmez, doğrudan risk değerlendirmesinden, paydaş analizinden veya geçmiş uygunsuzluklardan beslenir. Bu bağlantı, hedeflerin kağıt üzerinde iyi görünen ama kuruluşun gerçek ihtiyaçlarıyla ilgisiz hedefler olmasının önüne geçer.
Hedef Planlama Formu Nasıl Doldurulur?
Her proses lideri yılda en az bir kez BGYS Hedefleri ve Planlama Formunu kullanarak; hedefi, mevcut durumu, hedefe ulaşırken karşılaşılabilecek riskleri ve elde edilecek fırsatları, planlamayı ve ihtiyaç duyulan kaynakları belirler. Bağlam Risk Fırsat Etki Değerlendirme Planındaki hedef sütununda yer alan düzeltici/iyileştirici faaliyet hedefleri de ilgili proseslere BGYS hedefi olarak doğrudan aktarılabilir; bu da iki dokümanın birbirinden kopuk değil, aynı veri setinin farklı görünümleri olarak çalışmasını sağlar.
Hedeflere ulaşma başarısı Performans Değerlendirme Prosedürüne göre izlenir ve sonuçlar Yönetimin Gözden Geçirmesi toplantılarına girdi olarak sunulur. Denetçiler bu prosedürü incelerken genellikle hedeflerin gerçekten ölçülebilir olup olmadığını ve bir önceki döneme ait hedeflerin başarı durumunun raporlanıp raporlanmadığını sorgular. Bu prosedür, ISO 27001 belgesi denetimlerinde BGYS’nin soyut bir politika değil, somut ve ölçülebilir hedeflerle yönetildiğinin kanıtıdır.