İçindekiler
ISO 27001 İhtiyaç ve Beklenti Analiz Formu, üst yönetim, müşteriler, çalışanlar, tedarikçiler ve diğer ilgili tarafların bilgi güvenliği yönetim sistemine dair ihtiyaç ve beklentilerinin kayıt altına alındığı dokümandır. Bu yazıda formun hangi amaçla kullanıldığını, hangi paydaş gruplarını kapsadığını ve ISO 27001 denetimlerinde nasıl değerlendirildiğini ayrıntılı şekilde ele alıyoruz.
ISO 27001 İhtiyaç ve Beklenti Analiz Formunun Amacı Nedir?
ISO 27001:2017 Madde 4.2 (İlgili Tarafların İhtiyaç ve Beklentilerinin Anlaşılması), bir BGYS’nin yalnızca teknik kontrollerden ibaret olmadığını, kuruluşu çevreleyen tüm paydaşların beklentilerini de kapsaması gerektiğini şart koşar. Bu form, paydaş beklentilerinin tek seferlik bir varsayım değil, sistematik şekilde izlenen ve güncellenen canlı bir kayıt olmasını sağlar. Form üzerinde her paydaş için ayrı ayrı “ihtiyaç” ve “beklenti” sütunları doldurulur; bu ayrım önemlidir çünkü ihtiyaçlar genellikle kuruluşun yasal veya sözleşmesel olarak zorunlu tuttuğu BGYS faaliyetlerini, beklentiler ise doğrudan zorunlu olmasa da üst yönetimin liderlik ederek karşılamayı hedeflediği kurumsal olgunluk ve bilgi birikimini ifade eder.
ISO 27001 İhtiyaç ve Beklenti Analiz Formunda Hangi Taraflar Yer Alır?
Form kapsamında değerlendirilen başlıca paydaş grupları ve tipik beklentileri şu şekilde özetlenebilir:
- Üst yönetim: BGYS’nin kurumsal risklerini azaltmasını ve yatırım getirisini somut biçimde görmeyi bekler.
- Müşteriler: Kendilerine ait verilerin gizliliğinin ve sözleşmesel güvenlik şartlarının eksiksiz karşılanmasını talep eder.
- Çalışanlar: Açık güvenlik politikaları, yeterli eğitim ve kullanılabilir iş süreçleri bekler.
- Tedarikçiler: Kendilerinden istenen güvenlik şartlarının net ve uygulanabilir olmasını ister.
- Sanayi ve Ticaret Odası, bankalar, sigorta şirketleri: Kurumsal itibarın ve finansal işlemlerin güvenilirliğinin BGYS ile teyit edilmesini bekler.
- BGYS belgelendirme kuruluşu: Standardın tüm maddelerine objektif kanıtlarla uyulduğunu doğrulamayı hedefler.
Form Ne Sıklıkla Gözden Geçirilir ve Hangi Süreçleri Tetikler?
Form, yılda en az bir kez Yönetimin Gözden Geçirmesi (YGG) toplantısında ele alınır; ancak yeni bir müşteri sözleşmesi, yeni bir yasal düzenleme veya önemli bir paydaş talebi ortaya çıktığında ara dönemde de güncellenir. Tespit edilen yeni bir ihtiyaç veya karşılanamayan bir beklenti; duruma göre düzeltici/iyileştirici faaliyet, değişiklik yönetimi süreci, kaynak yönetimi planlaması veya BGYS hedeflerinin yeniden planlanması gibi somut aksiyonları tetikler. Bu nedenle form, arşivde duran statik bir belge değil, BGYS’nin diğer tüm süreçlerine girdi sağlayan canlı bir referans dokümanı olarak ele alınmalıdır.
Denetçiler bu formu incelerken genellikle paydaş listesinin kuruluşun gerçek faaliyet alanıyla örtüşüp örtüşmediğini, beklentilerin güncel olup olmadığını ve tespit edilen açıkların somut aksiyonlara dönüşüp dönüşmediğini sorgular. Bu form, ISO 27001 belgesi denetimlerinde paydaş beklentilerinin sürekli ve sistematik şekilde izlendiğinin en net kanıtlarından biridir.