ISO 27001 Zorunlu Dokümanlar Listesi ve Hazırlık Rehberi

ISO 27001 zorunlu dokümanlar, Bilgi Güvenliği Yönetim Sistemi (BGYS) standart şartlarını karşılamak ve denetimlerden başarıyla geçmek için hazırlanması gereken resmi politika, prosedür ve kayıtları ifade eder. Bu dokümanlar, kurumun bilgi güvenliği süreçlerini nasıl yönettiğini kanıtlayan temel unsurlardır. Süreçlerin doğru kurgulanması, işletmenizi gereksiz bürokrasiden kurtarırken bilgi güvenliği süreçlerinizi standart hale getirir.

Sistemin temel amacı, kurum genelinde sürdürülebilir bir güvenlik kültürü oluşturmaktır. Belgelendirme denetimlerinde başarı sağlamak, bu dokümanların sadece bilgisayarlarda kayıtlı olmasıyla değil, sahada fiilen uygulanmasıyla mümkündür.

İçerik

ISO 27001 Zorunlu Dokümanlar Hakkında Doğru Bilinen Yanlışlar

Sektörde sıkça dile getirilen yüzlerce sayfalık doküman hazırlama iddiası tamamen bir efsanedir. Güncel ISO/IEC 27001:2022 standardı, hantal bir klasör yığını oluşturmak yerine, yaşayan ve dinamik bir iso 27001 zorunlu dokümanlar mimarisi kurmaktır. Standart metnindeki "dokümante edilmiş bilgi" ifadesi, her işletmenin kendi ölçeğine, yapısına ve risk profiline göre esnetilebilir. Önemli olan, süreçlerin işletildiğini gösteren kanıtların sistemli şekilde kayıt altına alınmasıdır. Bu hazırlığı doğru kurgulamak için profesyonel ISO 27001 danışmanlık hizmeti almak süreci hızlandırır.

Kuruluşların dokümantasyon sürecinde yaptığı en yaygın hata, işletmenin gerçek iş akışlarıyla uyuşmayan hazır taslakları sisteme dahil etmektir. Denetim sırasında bu hazır taslakların sahada karşılığının bulunmaması, doğrudan majör uygunsuzluk bulgusu olarak raporlanır. Bu nedenle, oluşturulan her politikanın ve prosedürün şirketin mevcut iş yapış şeklini yansıtması ve uygulanabilir olması şarttır.

Ana Standart Maddelerine Göre ISO 27001 Zorunlu Dokümanlar (Madde 4 - 10)

Yönetim sisteminin omurgasını oluşturan ana maddeler, tüm kuruluşlar için istisnasız zorunludur. Belgelendirme denetimlerinde ilk olarak bu maddelerin gerektirdiği temel belgeler incelenir. Hazırlanması gereken iso 27001 zorunlu dokümanlar sadece kağıt üzerinde kalmamalı, her birinin sahadaki somut karşılıkları denetçiye sunulabilmelidir. İlgili ana maddeler kapsamında üretilmesi gereken temel belgeler ve sahadaki somut karşılıkları aşağıdaki tabloda özetlenmiştir:

Bu belgeler, sistemin kurulduğunu denetçiye kanıtlayan öncelikli dokümanlardır. Örneğin, ISO 27001 şartları gereği hazırlanan kapsam dokümanı, BGYS sınırlarını net olarak çizmelidir. Kapsam dışında bırakılan her alanın teknik ve mantıklı gerekçeleri bu dokümanda yer almalıdır.

Ek-A Kontrollerine Bağlı ISO 27001 Zorunlu Dokümanlar ve Politikalar

Ek-A bünyesindeki 93 kontrol, risk değerlendirme sonuçlarına göre uygulanır. Uygulanabilirlik Bildirgesi (SoA) üzerinde "uygulanıyor" olarak işaretlediğiniz kontrollerin belgeleri de denetimde zorunlu hale gelir. Dolayısıyla risk analizinizin sonuçları, hangi ek dokümanları hazırlamanız gerektiğini doğrudan belirler. Bu kontrollerin hayata geçirilmesiyle birlikte yeni iso 27001 zorunlu dokümanlar ve kayıt türleri sisteme dahil olur.

Örneğin, A.5.1 Bilgi güvenliği politikaları kapsamında erişim kontrolü ve temiz masa kuralları tanımlanmalıdır. Erişim politikalarının nasıl kurgulanacağı konusunda detaylı bilgi edinmek için ISO 27001 erişim kontrolü rehberi içeriğimizi inceleyebilirsiniz. A.5.9 Bilgi ve ilişkili varlıkların envanteri ise varlık sahiplerini ve sınıflandırma derecelerini içerir. Teknik tarafta ise A.8.8 Teknik açıklıkların yönetimi kontrolü kritik rol oynar. Bu kontrolün en somut kanıtı, uzmanlarca yapılan ve sistem açıklarını ortaya koyan sızma testi (pentest) hizmeti sonrasında üretilen resmi rapordur.

Adım Adım BGYS Dokümantasyon Sürecini Yönetmek

Bir yönetim sisteminin belgelendirilmesi, sistemli adımlarla gerçekleştirilir. Aşağıdaki adımları izleyerek kurumunuza özgü iso 27001 zorunlu dokümanlar yapısını sıfırdan inşa edebilirsiniz:

1. BGYS Kapsamının Belirlenmesi: BGYS ekibi, sınırları çizer ve kapsam dokümanını üreterek üst yönetimin onayına sunar.
2. Risk Değerlendirme Metodolojisinin Oluşturulması: Risk yöneticisi, analiz kriterlerini ve risk tablosunu hazırlar; tehditleri puanlar.
3. Politika ve Prosedürlerin Yazılması: Süreç sahipleri, kendi operasyonel alanlarına özgü iş akışlarını ve güvenlik kurallarını dokümante eder.
4. Uygulanabilirlik Bildirgesinin (SoA) Çıkarılması: BGYS yöneticisi, 93 kontrolün durumunu beyan eden ve gerekçelendiren SoA belgesini üretir.
5. Kayıtların ve Kanıtların Biriktirilmesi: Tüm personel, günlük operasyonlarda form, log ve test kayıtlarını oluşturarak sistemi canlı tutar.

Denetçilerin İsteyeceği Somut Teknik Kanıtlar ve Log Kayıtları

Denetim sırasında sadece yazılı prosedürlerin varlığı yeterli kabul edilmez. Denetçiler, kuralların sahada gerçekten uygulanıp uygulanmadığını anlamak için somut teknik kanıtlar talep eder. Bu teknik kanıtlar da aslında bu iso 27001 zorunlu dokümanlar sisteminin ayrılmaz bir parçası olan operasyonel kayıtlardır.

Örneğin, A.8.9 Konfigürasyon yönetimi kapsamında sunucu sıkılaştırma kanıtı olarak Linux sistemlerde SSH erişim parametreleri denetlenebilir. /etc/ssh/sshd_config dosyasındaki şu yapılandırma parametreleri teknik bir kanıt sunar:

PermitRootLogin no
PasswordAuthentication no
MaxAuthTries 3

Windows tabanlı sunucularda ise yerel güvenlik politikalarının yapılandırması incelenir. Komut satırında çalıştırılacak şu komut, denetçiye sistemdeki aktif denetim politikalarının durumunu gösterir:

auditpol /get /category:*

Ayrıca, A.8.13 Bilgi yedekleme kontrolü için sunulması gereken "Yedekten Geri Dönüş Testi Tutanağı" şu alanları içermelidir:

• Test Tarihi ve Saati: Testin ne zaman yapıldığı.
• Hedef Sistem / Veri Tabanı: Test edilen yedek verisi.
• RTO (Kurtarma Süresi Hedefi): Planlanan maksimum kurtarma süresi.
• Gerçekleşen Kurtarma Süresi: Verinin dönülmesinin ne kadar sürdüğü.
• Test Sonucu ve Doğrulama: Kurtarılan verilerin bütünlük kontrolü.
• Onaylayan Yetkili: Testi gerçekleştiren sistem yöneticisinin imzası.

Sık Yapılan Hatalar: Dokümantasyon Sürecinde Nerede Yanılıyoruz?

BGYS kurulumu sırasında yapılan bazı hatalar, denetimlerde doğrudan uygunsuzluk olarak raporlanır. Bu hatalardan kaçınmak belgelendirme sürecini kolaylaştırır:

• Kopyala-Yapıştır Doküman Kullanmak: Başka bir firmanın politikalarını kopyalamak, hazır şablonlar kullanmak, iso 27001 zorunlu dokümanlar sürecinde yapılan en kritik hatadır ve sahada uygulanmayan taahhütlerin verilmesine yol açar.
• Revizyon Kontrolünü Atlamak: Dokümanların üzerinde hazırlayan, onaylayan, revizyon tarihi ve sürüm numarası gibi bilgilerin bulunmaması Madde 7.5 açısından eksikliktir.
• SoA Hariç Tutma Gerekçelerini Yazmamak: Uygulanabilirlik Bildirgesi'nde bazı kontroller hariç tutulabilir ancak bunun mantıklı gerekçesi belgede açıkça yazılmalıdır.
• Geriye Dönük Sahte Kayıt Üretmek: Denetimden birkaç gün önce, tüm yıl yapılmamış olan erişim gözden geçirme formlarını aceleyle doldurmak denetçilerce kolayca fark edilir.
• Erişim Yetki Matrislerini Güncellememek: İşten ayrılan personelin yetkilerinin sistemlerden kaldırıldığını gösteren İK ve IT koordinasyon kayıtlarının eksik olması sık karşılaşılan bir hatadır.

ISO 27001 Zorunlu Dokümanlar Kontrol Listesi

Belgelendirme denetimine girmeden önce hazırlık seviyenizi ölçmek için aşağıdaki kontrol listesini kullanabilirsiniz:

• BGYS Kapsam Dokümanı hazırlanmış ve üst yönetim tarafından onaylanmış.
• Bilgi Güvenliği Politikası tüm çalışanların erişebileceği şekilde yayımlanmış.
• Bilgi Güvenliği Risk Değerlendirme Raporu ve Risk İşleme Planı güncel tutulmuş.
• ISO/IEC 27001:2022 standart yapısına uygun Uygulanabilirlik Bildirgesi (SoA) hazırlanmış.
• Bilgi Varlıkları Envanteri çıkarılmış, varlık sahipleri ve gizlilik sınıflandırmaları belirlenmiş.
• Personel için bilgi güvenliği farkındalık eğitimi tamamlanmış ve katılım kayıtları arşivlenmiş.
• Son 12 ay içinde en az bir kez İç Tetkik gerçekleştirilmiş ve raporlanmış.
• Yönetimin Gözden Geçirmesi (YGG) toplantısı yapılmış, kararları tutanak altına alınmış.
• Teknik açıkların tespiti için sızma testi yaptırılmış ve kapatma kanıtları sunulmuş.
• Düzeltici faaliyet prosedürü işletilmiş ve açık uygunsuzluklar kayıt altına alınmış.

Sıkça Sorulan Sorular

ISO 27001 zorunlu dokümanlar listesi kaç belgeden oluşur?

Zorunlu doküman sayısı firmanın ölçeğine, yapısına ve Uygulanabilirlik Bildirgesi (SoA) kapsamındaki tercihlerine göre değişir. Standart maddelerinde yaklaşık 10 temel doküman istenirken, Ek-A kontrollerinin uygulanma durumuna göre bu sayı 30 ila 40 arasında değişen politika, prosedür ve forma ulaşabilir.

Hazır iso 27001 zorunlu dokümanlar şablonları denetim için yeterli mi?

Hazır doküman şablonları sadece birer taslaktır ve tek başlarına denetimden geçmenizi sağlamaz. Her kuruluşun iş süreçleri, kullandığı teknolojiler ve risk profili farklıdır. Şablonların şirketinize özel olarak uyarlanması, süreçlerinizle eşleştirilmesi ve sahada fiilen uygulanarak kanıtlarının üretilmesi gerekir.

Uygulanabilirlik Bildirgesi (SoA) zorunlu bir doküman mıdır?

Evet, Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA) ISO 27001 belgelendirmesi için en kritik zorunlu dokümanlardan biridir. Madde 6.1.3 gereği hazırlanan bu belge, Ek-A'daki 93 kontrolün hangilerinin neden uygulandığını, hangilerinin ise hangi gerekçeyle kapsam dışı bırakıldığını resmi olarak beyan eder.

Dokümanların dijital ortamda saklanması kabul edilir mi?

Evet, ISO 27001 standart kuralları gereği dokümanların fiziksel olarak saklanma zorunluluğu yoktur. Doküman yönetimi dijital sistemler, intranet veya bulut platformları üzerinden yapılabilir. Önemli olan, dokümanlara yetkisiz erişimin engellenmesi, sürüm kontrollerinin yapılması ve gerektiğinde ilgili personelin güncel sürüme ulaşabilmesidir.

Her Ek-A kontrolü için ayrı bir politika yazılmalı mıdır?

Hayıri her kontrol için ayrı bir doküman yazılması gerekmez. Benzer kontrolleri tek bir çatı dokümanda birleştirmek çok daha verimli bir yöntemdir. Örneğin; erişim kontrolü, şifre güvenliği ve uzaktan çalışma kurallarını tek bir Erişim Kontrolü ve Kullanıcı Güvenliği Politikası altında birleştirebilirsiniz. Bu yaklaşım yönetimi kolaylaştırır.

Kaynaklar

• Uluslararası Standartlar Organizasyonu resmi web sitesi: https://www.iso.org (yeni sekmede açılır)
• Kişisel Verileri Koruma Kurumu resmi portalı: https://www.kvkk.gov.tr (yeni sekmede açılır)

BGYS Dokümantasyon Sürecinizi Bizimle Yönetin

ISO 27001 belgelendirme sürecinde gereksiz dokümantasyon yükünden kurtulmak ve denetimlere eksiksiz hazırlanmak için profesyonel destek alabilirsiniz. Ekibimiz, firmanızın gerçek ihtiyaçlarına uygun, yaşayan ve dinamik bir Bilgi Güvenliği Yönetim Sistemi kurmanız, mevzuat gereksinimleri ile uyumlu bir iso 27001 zorunlu dokümanlar seti oluşturmak için uçtan uca danışmanlık sunmaktadır. Sürecin nasıl işlediği ve hangi adımların atılması gerektiği konusunda daha detaylı bilgi için ISO 27001 belgesi ve ISO 27001 belgesi nasıl alınır başlıklı rehberlerimizi inceleyebilirsiniz. Ücretsiz ön görüşme ve firmanıza özel teklif almak için formu doldurun.

Hazırlayan: ISO 27001 Danışmanlık uzman ekibi (BGYS danışmanları ve sızma testi uzmanları).