İçindekiler
ISO 27001 Etkinlik Kontrol Listesi, BGYS performans göstergelerinin (farkındalık, yedekleme, iç tetkik, düzeltici faaliyet gibi) hedef ve gerçekleşme değerleriyle aylık olarak izlendiği ölçüm tablosudur. Bu yazıda listenin amacını, kapsadığı göstergeleri ve ISO 27001 denetiminde veriye dayalı izlemenin neden önemli olduğunu ele alıyoruz.
ISO 27001 Etkinlik Kontrol Listesinin Amacı Nedir?
Bu liste, ISO 27001 Madde 9.1 (İzleme, Ölçme, Analiz ve Değerlendirme) kapsamında BGYS kontrollerinin etkinliğinin ölçülebilir şekilde izlenmesini sağlar. Bir kontrolün “var olması” ile “etkili çalışması” aynı şey değildir; örneğin bir yedekleme süreci kurulu olabilir ama fiilen başarı oranı düşükse, kontrol kağıt üzerinde durur ama pratikte işlevsizdir. Bu liste, tam olarak bu etkinlik farkını görünür kılar.
Listede Hangi Göstergeler Yer Alır?
- BGYS farkındalık eğitimi katılım oranı, firewall güncelleme oranı
- Üçüncü taraf gizlilik sözleşmesi oranı, hedeflere ulaşma oranı
- Log yönetimi, yedekleme ve iç tetkik uyum oranları
- Düzeltici faaliyetlerin zamanında kapanma oranı, varlık envanteri güncelliği
Göstergelerin hem teknik (firewall güncelleme, yedekleme) hem organizasyonel (eğitim katılımı, sözleşme oranı) alanları kapsaması, BGYS’nin etkinliğinin tek bir boyutla değil, çok yönlü olarak değerlendirildiğini gösterir.
Bu Liste Denetimde Nasıl Değerlendirilir?
Her gösterge için hedef değer, ölçüm sıklığı ve sorumlu belirtilir. Denetçiler bu listeyi incelerken genellikle hedef değerlerin altında kalan göstergeler için bir aksiyon planı olup olmadığını sorgular; sürekli hedefin altında kalan ama hiçbir aksiyon tetiklemeyen bir gösterge, izlemenin formalite olduğuna işaret eder. Bu liste, ISO 27001 belgesi denetimlerinde BGYS performansının veriye dayalı ve düzenli izlendiğinin kanıtıdır.