İçindekiler
ISO 27001 İletişim Prosedürü, Bilgi Güvenliği Yönetim Sistemiyle ilgili iç ve dış iletişimin nasıl yürütüleceğini tanımlayan dokümandır. Bu yazıda prosedürün amacını, iç ve dış iletişim kurallarını ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 İletişim Prosedürünün Amacı Nedir?
Bu prosedürün amacı, ISO 27001:2017 Madde 7.4 kapsamında BGYS ile ilgili gerekli iç ve dış iletişim için yol ve yöntemleri belirleyerek güvence altına almaktır. Bilgi güvenliği ihlalleri çoğu zaman teknik bir zafiyetten değil, yanlış kişiye yanlış bilginin yanlış zamanda ulaşmasından kaynaklanır; bu nedenle “kim, kime, ne zaman ve nasıl” iletişim kuracağının önceden tanımlanmış olması, BGYS’nin en kritik önleyici kontrollerinden biridir. Uygulamadan Genel Müdür, bölüm sorumluları ve BGYS Temsilcisi sorumludur.
İç İletişim Nasıl Sağlanır?
- Bölüm sorumluları arasında iç iletişim e-posta, telefon ve anlık mesajlaşma uygulamalarıyla yürütülür; tüm değişiklikler İletişim Formu ile e-posta üzerinden duyurulur.
- Personel duyuruları İç İletişim Formuna yazılarak duyuru alanına eklenir.
- BGYS politikası, hedefleri, değişiklik planları, YGG ve İç Tetkik duyuruları İletişim Formu ile yapılır.
- Müşteri iletişimleri e-posta ile yapıldığında “okundu” teyidi veya telefonla teyit alınması zorunludur.
“Okundu teyidi” şartının özellikle vurgulanması önemlidir; çünkü bir e-postanın gönderilmiş olması, karşı tarafın onu okuduğunun kanıtı değildir. Kritik bir BGYS değişikliği söz konusu olduğunda, teyit alınmadan iletişimin tamamlandığı varsayılamaz.
Dış İletişim Nasıl Yürütülür ve Denetimde Ne Aranır?
Firma dışı yazışmalar e-posta ve gerektiğinde telefonla yürütülür. Her iletişimde; neyle ilgili, ne zaman, kiminle, nasıl ve kimin iletişim kuracağı bilgisi mutlaka bulunmalıdır; bu beş unsur, bir iletişimin daha sonra denetlenebilir ve geriye dönük izlenebilir olmasını sağlar. Denetçiler bu prosedürü incelerken genellikle kritik duyuruların (BGYS politikası değişikliği, bir ihlal olayı, YGG kararları gibi) gerçekten tüm ilgili taraflara ulaştığının kanıtını, yani teyitli iletişim kayıtlarını sorgular. Bu prosedür; İç ve Dış İletişim Planı ve İç ve Dış İletişim Formu ile birlikte kullanılır ve ISO 27001 belgesi denetimlerinde BGYS iletişiminin sistematik ve izlenebilir şekilde yönetildiğinin kanıtıdır.