İçindekiler
ISO 27001 Kuruluşun Bağlamı Prosedürü, Bilgi Güvenliği Yönetim Sisteminin (BGYS) hedeflenen çıktılarına ulaşabilmesi için kuruluşun iç ve dış bağlamının nasıl analiz edileceğini tanımlayan temel dokümanlardan biridir. Bu rehberde, prosedürün ISO 27001 belgelendirme sürecindeki yerini, içermesi gereken başlıkları ve denetimde nasıl değerlendirildiğini adım adım ele alıyoruz.
ISO 27001 Kuruluşun Bağlamı Prosedürünün Amacı Nedir?
ISO 27001:2017 standardının 4. maddesi, bir kuruluşun BGYS’yi kurmadan önce kendi iç ve dış gerçekliğini tanımasını şart koşar; çünkü aynı sektördeki iki firma bile farklı tedarikçi profiline, farklı müşteri beklentisine ve farklı yasal yükümlülüklere sahip olabilir. Bu prosedürün amacı, kuruluşun amaç ve hedefleriyle ilgili olan, BGYS’nin hedeflenen çıktılarını etkileyebilecek tüm iç ve dış konuların sistematik biçimde belirlenmesi için izlenecek yol, yöntem ve sorumlulukları netleştirmektir. Uygulamadan üst yönetim, bölüm sorumluları ve BGYS Temsilcisi birlikte sorumludur; çünkü bağlam analizi tek bir departmanın değil, kuruluşun bütününün ortak çıktısıdır.
Dış Bağlam Analizi Nasıl Yapılır?
Dış bağlamın anlaşılması amacıyla siyasal konjonktür, teknolojik gelişmeler, rekabet şartları, ekonomik koşullar ve yürürlükteki yasal düzenlemeler gibi kuruluşun doğrudan kontrol edemediği ancak bilgi güvenliğini etkileyebilecek etkenler değerlendirilir. Bu değerlendirme Dış Bağlam SWOT Analiz Formu üzerinden yılda en az bir kez yapılır ve Yönetimin Gözden Geçirmesi (YGG) toplantısında tekrar ele alınarak güncellenir. Örneğin yeni bir siber güvenlik mevzuatının yürürlüğe girmesi veya sektördeki bir rakibin veri ihlali yaşaması, dış bağlam analizinin ara dönemde güncellenmesini gerektiren tipik tetikleyicilerdendir.
İç Bağlam Analizinde Hangi Unsurlar Değerlendirilir?
İç bağlamın anlaşılması amacıyla sunucular, network yapısı, donanım ve yazılım envanteri, fiziksel alanlar, personel yetkinliği, farkındalık düzeyi, verilen eğitimler ve kurumsal bilgi birikimi gibi etkenler İç Bağlam SWOT Analiz Formu üzerinden yılda bir kez analiz edilir. Bu analizin sonucunda ortaya çıkan personel yetkinlik açıkları, eğitim ihtiyaçları veya kaynak eksiklikleri doğrudan Kaynak Yönetim Prosedürünü tetikler; yani bağlam analizi soyut bir form doldurma işlemi değil, kuruluşun gerçek kaynak planlamasına girdi sağlayan canlı bir süreçtir.
İlgili Tarafların İhtiyaç ve Beklentileri Nasıl İzlenir?
Kuruluş; üst yönetim, müşteriler, çalışanlar, tedarikçiler, sanayi ve ticaret odaları, sigorta şirketleri, BGYS belgelendirme kuruluşu ve bankalar gibi paydaşların bilgi güvenliğine dair ihtiyaç ve beklentilerini İhtiyaç ve Beklenti Analiz Formu ile sistematik şekilde takip eder. Bu analizde tespit edilen açıklar gerektiğinde düzeltici/iyileştirici faaliyet, değişiklik yönetimi, kaynak yönetimi veya BGYS hedefleri planlama süreçlerini tetikler; böylece bağlam analizi, BGYS’nin diğer tüm alt süreçleriyle organik şekilde bağlantılı hale gelir.
Denetimde Bu Prosedür Nasıl Değerlendirilir?
İç ve Dış Bağlam SWOT Analizlerini BGYS Temsilcisi hazırlar, bölüm sorumluları kontrol eder, Genel Müdür onaylar. Denetçiler bu prosedürü incelerken genellikle analizin güncel olup olmadığını, YGG toplantı tutanaklarıyla tutarlılığını ve tespit edilen risklerin diğer BGYS dokümanlarına yansıyıp yansımadığını kontrol eder. Bu nedenle Kuruluşun Bağlamı Prosedürü; İhtiyaç ve Beklenti Analiz Formu, İç/Dış Bağlam SWOT Analiz Formları ve BGYS Hedefleri ve Planlama Prosedürü ile birlikte bütünleşik şekilde yürütülmeli ve ISO 27001 belgesi denetimlerinde bağlam analizinin gerçek ve sürekli yürütüldüğünün somut kanıtı olarak sunulmalıdır.