İçindekiler
ISO 27001 Liderlik Prosedürü, üst yönetimin Bilgi Güvenliği Yönetim Sistemine (BGYS) nasıl liderlik ve taahhüt göstereceğini tanımlayan dokümandır. Bu yazıda prosedürün amacını, üst yönetimden beklenen somut taahhütleri ve ISO 27001 denetiminde liderliğin nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 Liderlik Prosedürünün Amacı Nedir?
ISO 27001:2017 Madde 5.1, BGYS’nin başarısının yalnızca teknik ekibe bırakılamayacak kadar kritik bir konu olduğunu, üst yönetimin doğrudan ve görünür şekilde sürece dahil olması gerektiğini şart koşar. Bu prosedürün amacı, BGYS’nin etkinliği, geliştirilmesi ve iyileştirilmesi için üst yönetimin liderlik etmesi, çalışan katılımını teşvik etmesi ve bilgi güvenliği politikasının kuruluş genelinde benimsenerek farkındalığın artırılması için izlenecek yol ve yöntemleri tanımlamaktır. Uygulamadan üst yönetim, BGYS Temsilcisi, bölüm sorumluları ve tüm çalışanlar kendi sorumluluk alanlarında pay sahibidir; çünkü liderlik, tek bir kişinin değil kurumsal bir kültürün yansımasıdır.
Üst Yönetimden Beklenen Somut Taahhütler Nelerdir?
Kuruluş üst yönetimi, ISO 27001:2017 BGYS kapsamında aşağıdaki taahhütleri yerine getirerek liderlik ve bağlılığını somut biçimde gösterir:
- Bilgi güvenliği politikası ve amaçlarının kuruluşun stratejik yönüyle uyumlu şekilde oluşturulmasını temin etmek
- BGYS şartlarının kuruluşun iş süreçleriyle bütünleştirilmesini sağlamak
- BGYS için gerekli kaynakların erişilebilir olmasını temin etmek
- Etkin bilgi güvenliği yönetiminin ve BGYS şartlarına uyumun öneminin kurum genelinde duyurulmasını sağlamak
- BGYS’nin hedeflenen çıktılarının başarılmasını temin etmek
- BGYS’nin etkinliğine katkı sağlamaları için çalışanları yönlendirmek ve desteklemek
- Sürekli iyileştirmeyi desteklemek
- Diğer yönetim rollerinin kendi sorumluluk alanlarında liderlik sergilemesini desteklemek
Bu maddelerin ortak noktası, hiçbirinin tek seferlik bir imza veya onay işlemiyle sınırlı olmamasıdır; her biri sürekli ve görünür bir yönetim davranışı gerektirir. Örneğin “kaynakların erişilebilirliği” maddesi, yalnızca bütçe onayını değil, eğitim zamanının ve personel kapasitesinin de fiilen ayrılmasını kapsar.
Liderlik Denetimde Nasıl Değerlendirilir?
Kuruluşta her çalışan kendi görev tanımı çerçevesinde liderliğe katkı sağlamakla yükümlüdür; gerçek liderlik, tüm çalışanların kendi görevlerinin ve BGYS politikasının farkında olmasıyla ölçülür. Denetçiler bu prosedürü değerlendirirken genellikle YGG toplantı tutanaklarını, kaynak tahsisine dair somut kayıtları ve çalışanlarla yapılan mülakatlarda liderlik taahhütlerinin ne ölçüde bilindiğini inceler. Bu prosedür; Kuruluşun Bağlamı Prosedürü, İhtiyaç ve Beklenti Analiz Formu, Kaynak Yönetim Prosedürü ve Düzeltici ve İyileştirici Faaliyetler Prosedürü ile birlikte bütünleşik şekilde yürütülmeli ve ISO 27001 belgesi denetimlerinde üst yönetim taahhüdünün somut ve sürdürülebilir kanıtını oluşturmalıdır.