İçindekiler
ISO 27001 Uygulanabilirlik Bildirgesi, standardın Ek-A kontrol maddelerinin her biri için uygulanabilirlik durumunu, seçilme nedenini ve ilgili dokümanı gösteren zorunlu BGYS dokümanıdır. Bu yazıda bildirgenin amacını, içerdiği bilgileri ve ISO 27001 denetiminde neden standardın en önemli tek dokümanı sayıldığını ele alıyoruz.
ISO 27001 Uygulanabilirlik Bildirgesinin Amacı Nedir?
Bu bildirge, ISO 27001 Madde 6.1.3 kapsamında Ek-A’daki 114 kontrolün kuruluşta hangilerinin uygulandığını, hangilerinin kapsam dışı bırakıldığını ve gerekçelerini resmi olarak ortaya koyar. Bu doküman genellikle “SoA” (Statement of Applicability) olarak da bilinir ve belgelendirme denetçilerinin tetkike başlarken ilk incelediği dokümandır; çünkü kuruluşun risk değerlendirmesi sonucunda hangi kontrolleri neden seçtiği veya seçmediği, tüm BGYS’nin mantıksal temelini oluşturur.
Bildirgede Hangi Bilgiler Yer Alır?
- Kontrol numarası ve ISO/IEC 27001 kontrol tanımı
- Uygulanabilirlik durumu (uygulanabilir/uygulanamaz) ve ilgili varlıklar
- Kontrol kaynağı (mevcut kontrol/risk işleme) ve kontrol maddesinin seçilme nedeni
- Kontrolü destekleyen doküman veya kayıt referansı
“Kontrol kaynağı” ve “seçilme nedeni” alanlarının birlikte bulunması, bir kontrolün rastgele veya varsayılan olarak değil, ya zaten mevcut bir uygulamayı resmileştirdiği ya da Risk Fırsat Analiz Prosedüründen çıkan somut bir risk işleme kararı sonucunda seçildiğinin kanıtlanmasını sağlar. “Uygulanamaz” olarak işaretlenen kontroller için de gerekçe zorunludur; bir kontrolün uygulanmaması asla açıklamasız bırakılamaz.
Bu Bildirge Denetimde Nasıl Değerlendirilir?
Bildirge; Güvenlik Politikası, Bilgi Güvenliği Organizasyonu, İnsan Kaynakları Güvenliği, Varlık Yönetimi, Erişim Kontrolü, Kriptografi, Fiziksel Güvenlik, İşletim Güvenliği, Haberleşme Güvenliği, Sistem Temini/Geliştirme/Bakımı, Tedarikçi İlişkileri, İhlal Olayı Yönetimi, İş Sürekliliği ve Uyum başlıklarının tamamını kapsar. Denetçiler bu bildirgeyi incelerken genellikle her kontrolün “kontrolü destekleyen doküman” referansının gerçekten var olup olmadığını (bu rehberde ele alınan onlarca politika, prosedür ve formla eşleşip eşleşmediğini) teyit eder; bu bildirge, ISO 27001 belgesi denetimlerinde Ek-A kontrollerinin sistematik olarak değerlendirildiğinin, gerekçelendirildiğinin ve tüm BGYS dokümantasyonuyla tutarlı şekilde bağlandığının en kapsamlı kanıtıdır.