ISO/IEC 27001:2022’nin belgelendirmede denetlenen yönetim sistemi şartları 4. ile 10. maddeler arasındadır; Ek A’daki 93 kontrol ise bu maddelerin içindeki risk işleme süreciyle seçilir. Kısacası maddeler “sistemi nasıl yöneteceğinizi”, Ek A ise “hangi güvenlik önlemlerini değerlendireceğinizi” tanımlar ve denetimde ikisi birlikte incelenir.
ISO 27001 standart maddeleri denildiğinde çoğu kişinin aklına önce Ek A’daki kontroller gelir. Oysa bir bilgi güvenliği yönetim sistemini (BGYS) belgelendirilebilir kılan, standardın 4–10. maddelerindeki yönetim sistemi şartlarıdır. Ek A kontrolleri, bu maddelerin içindeki risk işleme sürecinin bir aracıdır. Bu nedenle denetimde “Ek A’yı uyguladık” demek yeterli değildir. Kontrollerin hangi risk değerlendirmesine dayanarak seçildiğini ve sistemin nasıl yönetildiğini de göstermeniz gerekir.
Bu rehberde ISO/IEC 27001:2022’nin her maddesini alt maddeleriyle açıklıyor, 2013 baskısına göre gelen değişiklikleri işaretliyor ve denetçinin her maddede hangi kanıtları aradığını anlatıyoruz. Ek A kontrollerinin listesi için ISO 27001 Ek A kontrolleri yazımıza bakabilirsiniz.
ISO 27001:2022’nin Yapısı
ISO 27001, ISO’nun tüm yönetim sistemi standartlarında kullanılan ortak yapıyı izler. İlk üç madde (kapsam, atıf yapılan standartlar, terimler) bilgilendirme amaçlıdır. 4–10. maddeler zorunlu şartları içerir. Standardın ekinde ise dört temaya ayrılmış 93 kontrol bulunur: kurumsal (37), insan (8), fiziksel (14) ve teknolojik (34) kontroller.
| Madde | Başlık | Temel çıktı |
|---|---|---|
| 4 | Kuruluşun bağlamı | İç ve dış hususlar, ilgili taraflar, BGYS kapsamı |
| 5 | Liderlik | Üst yönetim taahhüdü, bilgi güvenliği politikası, roller |
| 6 | Planlama | Risk değerlendirme ve risk işleme süreci, uygulanabilirlik bildirgesi, hedefler, değişikliklerin planlanması |
| 7 | Destek | Kaynak, yetkinlik, farkındalık, iletişim, dokümanlı bilgi |
| 8 | Operasyon | Operasyonel kontrol, periyodik risk değerlendirmesi, risk işleme planının uygulanması |
| 9 | Performans değerlendirme | İzleme ve ölçme, iç tetkik, yönetimin gözden geçirmesi |
| 10 | İyileştirme | Sürekli iyileştirme, uygunsuzluk ve düzeltici faaliyet |
Madde 4: Kuruluşun Bağlamı
4.1 Kuruluşu ve bağlamını anlamak: Bilgi güvenliği hedeflerini etkileyen iç ve dış hususlar belirlenir. Dış hususlar arasında yasal düzenlemeler (KVKK, sektörel düzenlemeler, Siber Güvenlik Kanunu), müşteri ve pazar beklentileri ve tehdit ortamı; iç hususlar arasında organizasyon yapısı, kullanılan teknolojiler ve kurum kültürü sayılabilir. 2024 yılında yayımlanan değişiklikle (ISO/IEC 27001:2022/Amd 1:2024) iklim değişikliğinin ilgili bir husus olup olmadığının da değerlendirilmesi istenir.
4.2 İlgili tarafların ihtiyaç ve beklentileri: Müşteriler, tedarikçiler, çalışanlar, düzenleyici kurumlar ve hissedarlar gibi tarafların bilgi güvenliğiyle ilgili şartları belirlenir. 2022 baskısıyla bu şartlardan hangilerinin BGYS üzerinden karşılanacağının da belirlenmesi şartı eklenmiştir.
4.3 BGYS kapsamının belirlenmesi: Kapsam; lokasyonları, süreçleri, bilgi varlıklarını, teknolojiyi ve dış arayüzleri (bulut hizmetleri, dış kaynaklı süreçler) netleştirmelidir. Kapsam belgede yazacak cümleyi doğrudan belirlediği için en kritik kararlardan biridir.
4.4 Bilgi güvenliği yönetim sistemi: 2022 baskısıyla, BGYS için gereken süreçlerin ve bunların etkileşimlerinin de belirlenmesi açıkça istenmektedir.
Denetçi ne arar? Kapsam dışında bırakılan alanların gerekçesini, dış arayüzlerin (örneğin barındırma hizmeti veren tedarikçinin) nasıl yönetildiğini ve ilgili taraf şartlarının risk değerlendirmesine yansıyıp yansımadığını.
Madde 5: Liderlik
5.1 Liderlik ve taahhüt: Üst yönetim, bilgi güvenliği politikası ve hedeflerinin işletmenin stratejisiyle uyumlu olmasını, BGYS şartlarının iş süreçlerine entegre edilmesini ve gerekli kaynakların sağlanmasını garanti eder.
5.2 Politika: Bilgi güvenliği politikası; hedefleri veya hedef belirleme çerçevesini, uygulanabilir şartları karşılama ve sürekli iyileştirme taahhütlerini içerir, dokümante edilir ve ilgili taraflara uygun şekilde iletilir.
5.3 Roller, sorumluluklar ve yetkiler: BGYS’nin uygunluğundan ve performansının üst yönetime raporlanmasından sorumlu kişiler atanır.
Madde 6: Planlama
ISO 27001’in en ayırt edici bölümüdür ve denetimlerin en çok zaman harcanan kısmıdır.
6.1.1 Genel: Bağlam ve ilgili taraflardan çıkan riskler ve fırsatlar belirlenir ve ele alınacak faaliyetler planlanır.
6.1.2 Bilgi güvenliği risk değerlendirmesi: Risk kabul kriterleri ve değerlendirme kriterleri tanımlanır. Değerlendirme, tekrarlandığında tutarlı, geçerli ve karşılaştırılabilir sonuçlar verecek şekilde tasarlanır. Gizlilik, bütünlük ve erişilebilirlik kaybına ilişkin riskler ile risk sahipleri belirlenir, olası sonuçlar ve olasılık analiz edilir, riskler önceliklendirilir. Uygulamanın nasıl yapılacağını ISO 27001 risk değerlendirmesi nasıl yapılır rehberimizde örnekle anlattık.
6.1.3 Bilgi güvenliği risk işleme: Her risk için işleme seçeneği (azaltma, kaçınma, transfer, kabul) belirlenir, gerekli kontroller seçilir ve Ek A ile karşılaştırılarak hiçbir gerekli kontrolün atlanmadığı doğrulanır. Bu karşılaştırmanın çıktısı uygulanabilirlik bildirgesidir (Statement of Applicability, SoA). Risk işleme planı hazırlanır ve risk sahiplerinin planı ve kalan riskleri onayladığı kayıt altına alınır. SoA’nın nasıl hazırlanacağını uygulanabilirlik bildirgesi rehberimizde adım adım anlattık.
6.2 Bilgi güvenliği hedefleri: Hedefler politikayla tutarlı, ölçülebilir (uygulanabildiği ölçüde) ve izlenen hedefler olmalı, dokümanlı bilgi olarak bulunmalıdır. Her hedef için ne yapılacağı, kaynak, sorumlu, termin ve sonuçların nasıl değerlendirileceği planlanır.
6.3 Değişikliklerin planlanması: 2022 baskısıyla eklenen bu madde, BGYS’de yapılacak değişikliklerin plansız değil, planlı bir şekilde yürütülmesini ister.
Denetçi ne arar? Risk metodolojisinin yazılı olduğunu, risk listesinin gerçek varlıkları ve süreçleri yansıttığını, SoA’daki her kontrol için dahil etme veya hariç tutma gerekçesinin bulunduğunu ve risk sahiplerinin kalan riskleri onayladığını.
Çalışan sayınızı, kapsamınızı ve lokasyon bilgilerinizi paylaşın; TÜRKAK akreditasyonu kapsamında ISO 27001 denetim süresini ve 3 yıllık teklifimizi hazırlayalım.
Madde 7: Destek
7.1 Kaynaklar ile BGYS için gereken insan, teknoloji ve bütçe sağlanır. 7.2 Yetkinlik maddesi, bilgi güvenliği performansını etkileyen kişilerin yetkinliğinin belirlenmesini ve kanıtlanmasını ister. 7.3 Farkındalık maddesi, tüm çalışanların politikayı, BGYS’ye katkılarını ve uymamanın sonuçlarını bilmesini şart koşar. Bu maddeler Ek A’daki insan kontrolleriyle (örneğin farkındalık eğitimi ve disiplin süreci) birlikte değerlendirilir.
7.4 İletişim maddesi neyin, ne zaman, kiminle ve nasıl iletileceğinin belirlenmesini ister. 7.5 Dokümanlı bilgi maddesi ise standardın istediği ve işletmenin gerekli gördüğü dokümanların oluşturulmasını, güncellenmesini ve kontrolünü düzenler. Zorunlu dokümanların tam listesi için ISO 27001 doküman listesi yazımıza bakabilirsiniz.
Madde 8: Operasyon
8.1 Operasyonel planlama ve kontrol: Süreçler için kriterler belirlenir ve süreçler bu kriterlere göre yürütülür. 2022 baskısıyla BGYS ile ilgili dış kaynaklı süreçlerin, ürünlerin ve hizmetlerin kontrol edilmesi açıkça vurgulanmıştır. Bulut hizmetleri, yazılım geliştirme taşeronları ve yönetilen güvenlik hizmetleri bu kapsamdadır.
8.2 Bilgi güvenliği risk değerlendirmesi: Risk değerlendirmesi planlı aralıklarla ve önemli değişiklikler önerildiğinde veya gerçekleştiğinde tekrarlanır.
8.3 Bilgi güvenliği risk işleme: Risk işleme planı uygulanır ve sonuçları kayıt altına alınır.
Denetçi ne arar? SoA’da “uygulanıyor” yazan kontrollerin sahada gerçekten çalıştığını: erişim yetkilerinin periyodik gözden geçirildiğini, yedeklerin geri yükleme testinin yapıldığını, güvenlik açıklarının takip edildiğini, tedarikçi sözleşmelerinde güvenlik şartlarının bulunduğunu.
Madde 9: Performans Değerlendirme
9.1 İzleme, ölçme, analiz ve değerlendirme: Neyin izleneceği, hangi yöntemle, ne zaman ve kim tarafından ölçüleceği ve sonuçların kim tarafından değerlendirileceği belirlenir. Örnek göstergeler: kritik açıkların kapanma süresi, farkındalık eğitimi tamamlama oranı, yedekleme başarı oranı, olay sayısı ve müdahale süresi.
9.2 İç tetkik: Planlı aralıklarla, tarafsız tetkikçilerle yürütülen tetkik programı. 2022 baskısında bu madde genel şartlar (9.2.1) ve tetkik programı (9.2.2) olarak ikiye ayrılmıştır. Kullanabileceğiniz sorular için ISO 27001 iç tetkik soru listesi yazımıza göz atabilirsiniz.
9.3 Yönetimin gözden geçirmesi: Üst yönetim; önceki gözden geçirmelerin aksiyonlarını, iç ve dış hususlardaki değişiklikleri, ilgili tarafların ihtiyaç ve beklentilerindeki değişiklikleri (2022 baskısıyla eklendi), performans geri bildirimlerini, risk değerlendirme sonuçlarını ve iyileştirme fırsatlarını değerlendirir.
Madde 10: İyileştirme
10.1 Sürekli iyileştirme: BGYS’nin uygunluğu, yeterliliği ve etkinliği sürekli iyileştirilir.
10.2 Uygunsuzluk ve düzeltici faaliyet: Uygunsuzluk tespit edildiğinde düzeltme yapılır, kök neden analiz edilir, benzer uygunsuzlukların başka yerde olup olmadığı araştırılır, düzeltici faaliyet uygulanır ve etkinliği gözden geçirilir. 2022 baskısında bu iki alt maddenin sırası değiştirilmiştir. Uygunsuzlukların nasıl sınıflandırıldığını majör ve minör uygunsuzluk rehberimizde anlattık.
2013’ten 2022’ye Madde Bazında Değişikliklerin Özeti
| Madde | 2022 baskısıyla gelen değişiklik |
|---|---|
| 4.2 | İlgili taraf şartlarından hangilerinin BGYS ile karşılanacağının belirlenmesi |
| 4.4 | Gerekli süreçlerin ve etkileşimlerinin belirlenmesi |
| 6.2 | Hedeflerin izlenmesi ve dokümanlı bilgi olarak bulunması |
| 6.3 | Değişikliklerin planlanması (yeni madde) |
| 8.1 | Süreç kriterlerinin belirlenmesi ve dış kaynaklı süreç, ürün ve hizmetlerin kontrolü |
| 9.3 | İlgili tarafların beklentilerindeki değişikliklerin gözden geçirme girdisi olması |
| Ek A | 114 kontrolün 93 kontrole indirilmesi, dört temaya ayrılması ve 11 yeni kontrol eklenmesi |
ISO 27001:2013’ten 2022 baskısına geçiş süresi 31 Ekim 2025’te sona erdi. Bugün düzenlenen ve geçerli olan akredite belgeler 2022 baskısına göredir. 2026 itibarıyla standardın yeni bir baskısı yayımlanmış değildir. Denetimler ISO/IEC 27001:2022 ve 2024 değişikliği esas alınarak yapılır.
Maddelerden Belgeye: Denetim Akışı
Belgelendirme denetiminin ilk aşamasında denetçi; kapsamı, risk metodolojisini, risk işleme planını, SoA’yı, iç tetkik ve yönetimin gözden geçirmesi kayıtlarını inceleyerek sistemin sahada denetlenmeye hazır olup olmadığına karar verir. İkinci aşamada ise maddelerin ve seçilen kontrollerin uygulamadaki karşılığını görüşmeler, kayıt incelemeleri ve teknik gözlemlerle doğrular. Sürecin tamamı ve süreleri için ISO 27001 belgesi sayfamıza ve ISO 27001 belgesi ne kadar sürer rehberimize göz atabilirsiniz.
Sık Sorulan Sorular
ISO 27001’de denetlenen maddeler hangileridir?
Belgelendirme denetiminde ISO/IEC 27001:2022’nin 4–10. maddelerindeki yönetim sistemi şartları ile risk işleme süreciyle seçilip uygulanabilirlik bildirgesine yazılan Ek A kontrolleri birlikte denetlenir. İlk üç madde bilgilendirme amaçlıdır.
ISO 27001 madde 6.1.3 neyi ister?
Madde 6.1.3; her risk için işleme seçeneğinin belirlenmesini, gerekli kontrollerin seçilip Ek A ile karşılaştırılmasını, uygulanabilirlik bildirgesinin hazırlanmasını, risk işleme planının oluşturulmasını ve risk sahiplerinin planı ve kalan riskleri onaylamasını ister.
Ek A kontrollerinin hepsini uygulamak zorunlu mu?
Hayır. Kontroller risk değerlendirmesi sonucuna göre seçilir. Ancak her kontrol için neden dahil edildiği veya neden hariç tutulduğu uygulanabilirlik bildirgesinde gerekçelendirilmelidir. Gerekçesiz hariç tutma denetimde bulgu konusu olur.
ISO 27001:2022 ile gelen yeni madde hangisidir?
Yönetim sistemi maddelerine eklenen yeni alt madde 6.3 Değişikliklerin planlanmasıdır. Ayrıca 4.2, 4.4, 6.2, 8.1 ve 9.3 maddelerinde ek şartlar getirilmiş, Ek A kontrolleri 93’e indirilerek dört temaya ayrılmıştır.
ISO 27001’in 2026 baskısı var mı?
Hayır. 2026 itibarıyla geçerli baskı ISO/IEC 27001:2022 ve iklim değişikliğiyle ilgili 2024 değişikliğidir. 2013 baskısından geçiş süresi 31 Ekim 2025’te sona ermiştir.
Risk değerlendirmesi ne sıklıkla tekrarlanmalı?
Madde 8.2’ye göre risk değerlendirmesi planlı aralıklarla ve önemli değişiklikler önerildiğinde veya gerçekleştiğinde tekrarlanmalıdır. Uygulamada çoğu işletme yılda en az bir kez ve her önemli değişiklikte gözden geçirme yapar.
İlgili Rehberler
- ISO 27001 Belgesi – TÜRKAK Akrediteli Bilgi Güvenliği Yönetim Sistemi
- ISO 27001 EK-A Kontrolleri
- ISO 27001 Doküman Listesi
- ISO 27001 Risk Değerlendirmesi Nasıl Yapılır? Metodoloji, Örnek Tablo ve Risk İşleme
- Uygulanabilirlik Bildirgesi (SoA) Nasıl Hazırlanır? ISO 27001:2022 İçin Adım Adım Rehber
- ISO 27001 İç Tetkik Soru Listesi