İçindekiler
ISO 27001 BGYS Örnek Hedefleri, kuruluşların bilgi güvenliği yönetim sisteminde belirleyebileceği ölçülebilir hedeflere somut örnekler sunan listedir. Bu yazıda listenin amacını, örnek hedefleri ve ISO 27001 denetiminde iyi bir hedefin hangi özellikleri taşıması gerektiğini ele alıyoruz.
ISO 27001 BGYS Örnek Hedeflerinin Amacı Nedir?
Bu liste, ISO 27001:2017 Madde 6.2 kapsamında BGYS hedeflerinin nasıl somut ve ölçülebilir şekilde ifade edileceğine dair referans örnekler sunar. Pek çok kuruluş BGYS hedefi belirlerken “bilgi güvenliğini artırmak” gibi soyut ifadelerde takılır; oysa iyi bir hedef mutlaka bir sayı, bir yüzde veya net bir zaman dilimi içermelidir. Bu liste, proses liderlerine kendi bölümleri için benzer somutlukta hedefler yazarken referans alabilecekleri bir çerçeve sunar.
Örnek Hedefler Nelerdir?
- Sözleşme gözden geçirme: İmzalanan hizmet/gizlilik sözleşmelerinin %80’inin yıllık olarak gözden geçirilmesi
- Sürekli iyileştirme: BGYS’ye yönelik yılda en az 5 iyileştirme önerisi geliştirilmesi
- Farkındalık eğitimi: Tüm personele yılda en az 1 BGYS farkındalık eğitimi verilmesi
- İhlal olayı azaltma: Yıllık BGYS ihlal olayı sayısının en fazla 5 ile sınırlandırılması
- İş sürekliliği tatbikatı: Yılda en az 1 BGYS tatbikatının gerçekleştirilmesi
- Kaynak ayırma: BGYS için yıllık asgari bütçenin ayrılması
Bu altı örneğin ortak özelliği, her birinin yıl sonunda “gerçekleşti mi, gerçekleşmedi mi” sorusuna net bir evet/hayır ile cevap verilebilir olmasıdır. Örneğin “ihlal olayı sayısının en fazla 5 ile sınırlandırılması” hedefi, yıl sonunda ihlal kayıtları sayılarak doğrudan doğrulanabilir; bu da hedefin yoruma açık olmadığını gösterir.
İyi Bir BGYS Hedefi Hangi Özellikleri Taşımalıdır?
Bu örneklerden çıkarılabilecek ortak ilkeler şunlardır: hedef ölçülebilir bir sayı veya yüzde içermeli, bir zaman dilimine (genellikle yıllık) bağlanmalı ve bir sorumlusu olmalıdır. Denetçiler hedefleri incelerken bu üç unsurun eksiksiz olup olmadığını kontrol eder; “farkındalığı artırmak” gibi muğlak bir ifade, denetimde genellikle revize edilmesi istenen bir bulguya dönüşür. Bu liste, ISO 27001 belgesi denetimlerinde kuruluşun hedef belirleme olgunluğunu değerlendirmek için kullanılan pratik bir referans kaynağıdır.