İçindekiler
ISO 27001 İç Bağlam SWOT Analiz Formu, kuruluşun sunucular, network yapısı, ekipmanlar, yazılımlar ve personel yetkinliği gibi iç etkenlerini güçlü yön, zayıf yön, fırsat ve tehdit boyutlarıyla değerlendiren dokümandır. Bu yazıda formun hangi amaçla kullanıldığını, hangi etkenleri kapsadığını ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 İç Bağlam SWOT Analiz Formunun Amacı Nedir?
ISO 27001:2017 Madde 4.1, kuruluşun BGYS’nin hedeflenen çıktılarına ulaşmasını etkileyebilecek tüm iç konuları belirlemesini şart koşar. SWOT yöntemi burada tercih edilir çünkü bir unsurun aynı anda hem güçlü yön hem de risk taşıyabileceğini görünür kılar; örneğin güçlü bir teknik ekip bir güç kaynağıyken, bu ekibin yedeksiz olması aynı zamanda bir zafiyet oluşturabilir. Form, bu çok boyutlu değerlendirmeyi yılda bir kez sistematik şekilde yapmayı sağlar.
ISO 27001 İç Bağlam SWOT Analiz Formunda Hangi Etkenler Değerlendirilir?
Form kapsamında aşağıdaki iç etkenler güçlü yön, zayıf yön, fırsat ve tehdit eksenlerinde ayrı ayrı puanlanır ve yorumlanır:
- Sunucular ve network altyapısının güncelliği ve dayanıklılığı
- Ekipman ve yazılım envanterinin güvenlik yamalarının takip durumu
- Fiziksel alanların erişim kontrolü ve fiziksel güvenlik önlemleri
- Personel yetkinliği, güvenlik farkındalığı ve alınan eğitimlerin yeterliliği
- Kurumsal bilgi birikiminin dokümante edilmiş olup olmaması
Her etken için tespit edilen zayıf yön veya tehdit, tek başına bir uyumsuzluk değildir; asıl önemli olan bu tespitlerin bir aksiyona dönüşüp dönüşmediğidir. Örneğin yedeksiz bir teknik ekip tespiti, Kaynak Yönetim Prosedürü kapsamında yeni bir personel alımı veya çapraz eğitim planına dönüşmelidir.
Form Hangi Süreçlerle Birlikte Yürütülür?
İç Bağlam SWOT Analizi tek başına değil, Dış Bağlam SWOT Analiz Formu ve İhtiyaç ve Beklenti Analiz Formu ile birlikte yılda bir kez Yönetimin Gözden Geçirmesi (YGG) toplantısında ele alınır. Analiz sonuçları gerektiğinde güncellenir ve personel yetkinliği, eğitim ihtiyaçları veya kaynak ihtiyaçlarına dair somut kararlar bu toplantıda alınır. Denetçiler form incelenirken genellikle tespit edilen zayıf yönlerin takip eden dönemde iyileşip iyileşmediğini, yani formun gerçekten yaşayan bir yönetim aracı olup olmadığını sorgular. Bu form, ISO 27001 belgesi denetimlerinde iç bağlamın sistematik ve sürekli analiz edildiğinin somut kanıtıdır.