ISO 27001 Doküman Listesi

ISO 27001 belgelendirme süreci, bir politika klasörü hazırlamaktan ibaret değildir; kuruluşun bilgi varlıklarını, bunlara yönelik riskleri ve seçilen kontrolleri birbirine bağlayan yaşayan bir sistem kurmayı gerektirir. 2022 revizyonu ile güncellenen standartta dokümantasyon iki ana grupta toplanır:

• Yönetimsel çerçeve (Madde 4 ile 10),
• Ek-A kontrolleri (93 kontrol, 4 tema).

ISO 27001:2022’ye göre hangi maddenin hangi dokümanı ya da kaydı zorunlu kıldığını gösteren ISO 27001 doküman listesi aşağıdadır. ISO 27001 belgesi almak isteyen kuruluşların bu dokümanları hazırlaması ve uygulaması gerekir.

Bilgi güvenliği denetimlerinde “söyle, yaz, uygula ve kanıtla” prensibi esastır. Aşağıdaki liste standardın yüksek seviye yapısındaki zorunlulukları karşılar.

ISO 27001 Temel Doküman Listesi

Bu dokümanlar olmadan bir bilgi güvenliği yönetim sisteminin (BGYS) kurulmuş sayılması mümkün değildir.

Sistemin kurulum aşamasında hazırlanması zorunlu olan dokümanlar şunlardır:

• BGYS Kapsam Dokümanı: Belgenin üzerine yazılacak kapsamın dayanağıdır. Uzaktan çalışma ve bulut altyapısı varsa bunlar da tanımlanır.
• Bilgi Güvenliği Politikası: Tüm çalışanlara duyurulur ve ilgili taraflara erişilebilir kılınır.
• Risk Değerlendirme Metodolojisi: Olasılık ve etki ölçekleri ile risk kabul seviyesinin tanımı.
• Varlık Envanteri ve Risk Kaydı: Metodolojinin uygulanmış halidir.
• Risk İşleme Planı: Risk sahiplerinin onayını taşır.
• Uygulanabilirlik Bildirgesi: Denetçinin ilk istediği ve belge üzerinde sürüm numarasıyla anılan dokümandır.

ISO 27001 Ek-A Kontrollerine Dayalı Dokümanlar

Ek-A kontrollerinin bir bölümü açıkça “dokümante edilmelidir” ifadesini taşır. Diğerleri için de uygulamanın tutarlı olduğunu göstermek üzere yazılı kural beklenir. Seçilen kontrollere göre aşağıdaki politika ve prosedürler hazırlanır.

Bilgi ve Varlık Yönetimi

• Varlık Envanteri (A.5.9): Bilgi ve ilişkili varlıkların sahipleriyle birlikte listesi. Hazırlama adımları için ISO 27001 varlık envanteri örneği rehberimize bakabilirsiniz.
• Kabul Edilebilir Kullanım Kuralları (A.5.10): Bilgisayar, e-posta ve taşınabilir ortam kullanım kuralları.
• Bilgi Sınıflandırma ve Etiketleme Rehberi (A.5.12, A.5.13): Gizlilik seviyeleri ve işleme kuralları.

Erişim ve Kimlik Yönetimi

• Erişim Kontrol Politikası (A.5.15): Yetkilendirme, gözden geçirme ve iptal süreçleri.
• Kimlik Doğrulama Kuralları (A.5.17): Parola kriterleri ve çok faktörlü doğrulama.
• Kriptografi Kullanım Kuralları (A.8.24): Şifreleme ve anahtar yönetimi.

Operasyonel Güvenlik

• Dokümante İşletim Prosedürleri (A.5.37): Yedekleme, yama, kullanıcı açma gibi rutin işlemler.
• Yedekleme Politikası (A.8.13): Sıklık, saklama süresi ve geri yükleme testi.
• Değişiklik Yönetimi Prosedürü (A.8.32): Sistem değişikliklerinin onay ve test süreci.
• Güvenli Geliştirme Kuralları (A.8.25, A.8.28): Yazılım geliştiren kuruluşlar için.

Olay, Süreklilik ve Tedarikçi

• Olay Yönetimi Prosedürü (A.5.24, A.5.26): İhlal bildirimi, müdahale ve kayıt.
• BT Süreklilik Planı (A.5.29, A.5.30): Kesinti senaryoları ve kurtarma hedefleri.
• Tedarikçi Güvenliği Politikası (A.5.19, A.5.20): Sözleşmelere konacak güvenlik şartları.
• Gizlilik Sözleşmeleri (A.6.6): Çalışan ve üçüncü taraf taahhütleri.
• Yasal ve Sözleşmesel Şartlar Listesi (A.5.31): KVKK başta olmak üzere geçerli yükümlülükler.

ISO 27001 Ek-A Kontrolleri 2022 Revizyonu

2022 revizyonuyla kontrol sayısı 114’ten 93’e inmiş ve kontroller dört tema altında toplanmıştır. Her tema için ilgili kuralların hazır olması gerekir:

1. Organizasyonel Kontroller (37 kontrol): Politikalar, roller, tedarikçi ilişkileri, bulut hizmetleri, olay yönetimi.
2. İnsan Kontrolleri (8 kontrol): İşe alım taraması, farkındalık eğitimi, uzaktan çalışma, gizlilik sözleşmeleri.
3. Fiziksel Kontroller (14 kontrol): Giriş güvenliği, fiziksel izleme, ekipman bakımı, temiz masa.
4. Teknolojik Kontroller (34 kontrol): Erişim, şifreleme, ağ güvenliği, kayıt tutma, güvenli geliştirme.

Revizyonla on bir yeni kontrol eklenmiştir. Tehdit istihbaratı, bulut hizmetleri için bilgi güvenliği, veri maskeleme, veri sızıntısı önleme ve güvenli kodlama bunların başında gelir. 2013 sürümünden geçiş süresi sona ermiştir; denetimler yalnızca 2022 revizyonuna göre yapılır. Dokümanları eski yapıya göre hazırlanmış kuruluşlar için ISO 27001:2022 geçiş revizyonu hizmetimiz mevcut dokümanları yeni kontrol yapısına taşır.

ISO 27001 Zorunlu Doküman Listesi

ISO 27001 belgelendirme denetimi sırasında kuruluşta bulunması gereken ve denetçinin mutlaka örneklediği kayıtlar aşağıdaki tabloda gösterilmiştir. Denetçiler sistemin yalnızca kurulduğunu değil, işletildiğini görmek ister.

Nobel Belgelendirme olarak ISO 27001 hedefleyen kuruluşlarla doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz. Yazılım ve e-ticaret şirketlerine özel uygulama notlarını yazılım ve e-ticaret firmaları için ISO 27001 rehberi yazımızda bulabilirsiniz. Kişisel veri tarafını ayrıca yönetmek isteyenler için ISO 27701 belgesi aynı doküman altyapısının üzerine kurulur.

ISO 27001 Dokümanları Hakkında Sıkça Sorulan Sorular

Her Ek-A kontrolü için ayrı bir doküman mı gerekir?

Hayır. Birbiriyle ilişkili kontroller tek bir politika altında toplanabilir. Örneğin erişim kontrolü, kimlik yönetimi ve kimlik doğrulama kuralları tek bir erişim politikasında yazılabilir. Önemli olan standardın istediği içeriğin dokümante edilmiş olmasıdır.

Uygulanabilirlik Bildirgesi neden bu kadar önemlidir?

Uygulanabilirlik Bildirgesi, 93 kontrolün her biri için uygulanıp uygulanmadığını ve gerekçesini gösterir. Denetçi denetim planını bu dokümana göre hazırlar ve belgenin üzerinde bildirgenin sürüm numarası yer alır.

Kontrol sayısı 114’ten 93’e indi, doküman sayısı da azalır mı?

Kontrol sayısı azalsa da içerik birleştirilmiştir, kaldırılan bir gereklilik yoktur. Tehdit istihbaratı ve bulut güvenliği gibi yeni kontroller için mevcut dokümanlara yeni bölümler eklenmesi gerekir.

Risk değerlendirmesi hangi sıklıkla yenilenir?

Standart planlı aralıklarla ve önemli değişikliklerde yenilenmesini ister. Uygulamada yılda en az bir kez, ayrıca yeni bir sistem, lokasyon ya da tedarikçi devreye girdiğinde güncellenir.

KVKK dokümanları ISO 27001 için yeterli olur mu?

Hayır. KVKK dokümanları yalnızca kişisel verileri kapsar ve yasal şartlar listesinin bir parçasıdır. ISO 27001 tüm bilgi varlıklarını, risk değerlendirmesini ve Ek-A kontrollerini kapsayan daha geniş bir doküman seti ister.