Uygulanabilirlik bildirgesi (SoA), ISO 27001 madde 6.1.3’ün zorunlu kıldığı ve Ek A’daki 93 kontrolün her biri için uygulanıp uygulanmadığını, dahil etme veya hariç tutma gerekçesini ve uygulama durumunu gösteren dokümandır. SoA, risk işleme kararlarının özetidir; kontroller listeden seçilmez, risk değerlendirmesinin sonucunda belirlenir ve SoA ile Ek A karşılaştırılarak hiçbir gerekli kontrolün atlanmadığı doğrulanır.
Uygulanabilirlik bildirgesi (İngilizce Statement of Applicability, kısaca SoA), ISO 27001 belgelendirme denetimlerinde en çok incelenen dokümandır. Denetçi Aşama 1’de SoA’yı okur, Aşama 2’de ise SoA’da “uygulanıyor” yazan kontrollerin sahada gerçekten işleyip işlemediğini doğrular. Bu nedenle SoA, bilgi güvenliği yönetim sisteminizin bir tür “beyannamesi” gibi çalışır.
Bu rehberde SoA’nın ne olduğunu, ISO 27001:2022’nin neyi şart koştuğunu, nasıl bir yapıda hazırlanacağını, kontrollerin nasıl gerekçelendirileceğini ve denetimlerde en sık görülen hataları anlatıyoruz. Kontrollerin listesi için ISO 27001 Ek A kontrolleri yazımıza bakabilirsiniz.
Uygulanabilirlik Bildirgesi Nedir?
ISO/IEC 27001:2022 madde 6.1.3 d) uyarınca işletme, aşağıdaki bilgileri içeren bir uygulanabilirlik bildirgesi hazırlamak zorundadır:
- Gerekli kontroller (madde 6.1.3 b ve c’ye göre belirlenen),
- Bu kontrollerin dahil edilme gerekçesi,
- Gerekli kontrollerin uygulanıp uygulanmadığı,
- Ek A’daki kontrollerden hariç tutulanların hariç tutulma gerekçesi.
SoA’nın kaynağı risk işleme sürecidir. Önce riskler değerlendirilir, ardından her risk için işleme seçeneği belirlenir ve gerekli kontroller seçilir. Son olarak seçilen kontroller Ek A ile karşılaştırılarak gözden kaçan bir kontrol olup olmadığı kontrol edilir. Yani doğru sıra “Ek A’yı al, uyguladıklarını işaretle” değil, “riskleri değerlendir, gerekli kontrolleri belirle, Ek A ile karşılaştır”dır. Risk değerlendirmesinin nasıl yapılacağını ISO 27001 risk değerlendirmesi rehberimizde anlattık.
SoA neden bu kadar önemli?
- Belgeye yansır: ISO 27001 sertifikası, belgelendirme sırasında geçerli olan uygulanabilirlik bildirgesinin sürümüne atıf yapar. Bu nedenle SoA’nın sürüm kontrolü önemlidir.
- Denetimin haritasıdır: Aşama 2 denetim planı büyük ölçüde SoA’daki kontrollere göre hazırlanır.
- Müşterilere güvence verir: Kurumsal müşteriler, tedarikçi değerlendirmesinde sıklıkla SoA’nın paylaşılmasını ister.
ISO 27001:2022 Ek A’nın Yapısı
| Tema | Kontrol numaraları | Kontrol sayısı |
|---|---|---|
| Kurumsal kontroller | 5.1 – 5.37 | 37 |
| İnsan kontrolleri | 6.1 – 6.8 | 8 |
| Fiziksel kontroller | 7.1 – 7.14 | 14 |
| Teknolojik kontroller | 8.1 – 8.34 | 34 |
| Toplam | 93 |
Önerilen SoA Tablo Yapısı
Standart SoA için bir şablon vermez. Ancak denetimde kolay okunan ve bakımı kolay bir SoA, genellikle şu sütunları içerir:
| Sütun | İçerik |
|---|---|
| Kontrol no ve adı | Örneğin 5.15 Erişim kontrolü |
| Uygulanabilir mi? | Evet / Hayır |
| Dahil etme gerekçesi | Risk işleme (ilgili risk numaraları), yasal şart, sözleşme şartı, kurumsal tercih |
| Hariç tutma gerekçesi | Kontrolün neden gerekmediğinin açıklaması |
| Uygulama durumu | Uygulanıyor / Kısmen uygulanıyor / Planlandı (risk işleme planına atıf) |
| Uygulama referansı | Politika, prosedür, sistem veya kayıt referansı |
| Kontrol sahibi | Sorumlu rol veya birim |
Örnek satırlar
| Kontrol | Uygulanabilir | Gerekçe | Durum ve referans |
|---|---|---|---|
| 5.23 Bulut hizmetlerinin kullanımı için bilgi güvenliği | Evet | R-014, R-021 (bulut e-posta ve CRM üzerinde müşteri verisi); müşteri sözleşmesi şartı | Uygulanıyor; Bulut Hizmetleri Politikası Rev.2, tedarikçi değerlendirme kayıtları |
| 7.4 Fiziksel güvenlik izleme | Evet | R-030 (sunucu odasına yetkisiz erişim) | Uygulanıyor; kamera ve kartlı geçiş kayıtları |
| 8.28 Güvenli kodlama | Hayır | İşletme yazılım geliştirmiyor; kullanılan tüm uygulamalar hazır paket veya SaaS olarak temin ediliyor. Dış kaynaklı geliştirme 8.30 kapsamında değerlendirildi. | — |
| 8.12 Veri sızıntısının önlenmesi | Evet | R-008 (kişisel verilerin e-posta ile dışarı çıkması), KVKK | Kısmen uygulanıyor; DLP kuralları Aralık sonuna kadar devreye alınacak (RİP-05) |
Kapsamınızı, lokasyonlarınızı ve çalışan sayınızı paylaşın; TÜRKAK akreditasyonu kapsamında ISO 27001 denetim süresini ve 3 yıllık teklifimizi hazırlayalım.
Uygulanabilirlik Bildirgesi Hazırlama Adımları
- Kapsamı ve varlık envanterini netleştirin: SoA, BGYS kapsamındaki süreçler, lokasyonlar ve varlıklar için hazırlanır. Kapsam belirsizse kontrollerin uygulanabilirliği de belirsiz kalır.
- Risk değerlendirmesini tamamlayın: Varlıklar, tehditler ve açıklıklar üzerinden riskleri belirleyin ve risk kabul kriterlerine göre önceliklendirin.
- Risk işleme kararlarını verin: Her risk için azaltma, kaçınma, transfer veya kabul seçeneğini belirleyin ve azaltılacak riskler için gerekli kontrolleri seçin.
- Yasal ve sözleşmesel şartları ekleyin: KVKK, sektörel düzenlemeler, Bilgi ve İletişim Güvenliği Rehberi veya müşteri sözleşmelerinden doğan kontrol gereksinimlerini listeye ekleyin.
- Ek A ile karşılaştırın: 93 kontrolün her birini tek tek gözden geçirin ve seçtiğiniz kontrollerle eşleştirin. Gözden kaçan bir kontrol varsa riskleri yeniden değerlendirin.
- Gerekçeleri yazın: Her kontrol için neden dahil edildiğini (risk numarası, yasal şart, sözleşme) veya neden hariç tutulduğunu somut biçimde yazın.
- Uygulama durumunu ve referansları belirleyin: Her kontrolün mevcut durumunu ve kanıtın bulunduğu doküman, sistem veya kaydı belirtin. Henüz uygulanmayan kontrolleri risk işleme planına bağlayın.
- Onaylayın ve sürüm kontrolü yapın: SoA’yı risk sahipleri ve üst yönetimin onayına sunun; her değişiklikte sürüm numarasını güncelleyin.
Hariç Tutma Gerekçeleri Nasıl Yazılmalı?
Denetçilerin en çok sorguladığı nokta, hariç tutulan kontrollerin gerekçesidir. Kabul edilebilir bir gerekçe, kontrolün neden gerekmediğini işletmenin gerçek koşullarına dayanarak açıklar:
- Zayıf gerekçe: “Uygulanabilir değil.” / “İhtiyaç yok.” / “Küçük bir işletmeyiz.”
- Güçlü gerekçe: “İşletme yazılım geliştirmiyor; kullanılan tüm uygulamalar SaaS olarak temin ediliyor ve tedarikçi güvenliği 5.19–5.23 kapsamında yönetiliyor.”
Bazı kontrollerin hariç tutulması neredeyse hiçbir işletmede savunulamaz. Bilgi güvenliği politikaları (5.1), roller ve sorumluluklar (5.2), varlık envanteri (5.9), erişim kontrolü (5.15), bilgi güvenliği olay yönetimi (5.24–5.28), farkındalık eğitimi (6.3), kötü amaçlı yazılımlara karşı koruma (8.7), yedekleme (8.13) ve kayıt tutma (8.15) bu gruba örnektir. Tamamen uzaktan çalışan bir işletme bile fiziksel kontrollerin tamamını hariç tutamaz; çalışanların ev ortamındaki ekipman ve bilgi güvenliği ile cihazların imhası gibi konular yine değerlendirilmelidir.
Sık Yapılan 7 Hata
- Risk değerlendirmesinden bağımsız SoA: Tüm kontroller “evet” işaretlenmiş, ancak hiçbirinin risk numarasına bağlantısı yok.
- Hazır şablonun kopyalanması: Başka bir işletmenin SoA’sının adı değiştirilerek kullanılması; referanslar gerçek dokümanlarla uyuşmuyor.
- 2013 baskısına göre kalan SoA: 114 kontrollü eski yapı güncellenmemiş. 2013 baskısından geçiş süresi 31 Ekim 2025’te sona erdiği için bu durum doğrudan uygunsuzluktur.
- “Uygulanıyor” yazan ama kanıtı olmayan kontroller: Örneğin erişim yetkilerinin periyodik gözden geçirildiği yazılı ama hiçbir gözden geçirme kaydı yok.
- Gerekçesiz hariç tutmalar: Yalnızca “uygulanabilir değil” yazılmış satırlar.
- Planlanan kontrollerin takipsiz kalması: “Planlandı” durumundaki kontroller risk işleme planında yer almıyor veya terminleri geçmiş.
- Sürüm kontrolünün olmaması: Denetimde sunulan SoA ile sertifikada atıf yapılan sürüm farklı.
Ek A Dışındaki Kontroller
ISO 27001, Ek A’nın kapsamlı olmadığını ve gerektiğinde ek kontrollerin eklenebileceğini açıkça belirtir. Bulut hizmeti veren işletmeler ISO/IEC 27017, kişisel veri işleyenler ISO/IEC 27701 kontrollerini; kamu kurumlarına hizmet verenler ise Bilgi ve İletişim Güvenliği Rehberi tedbirlerini SoA’ya ek satırlar olarak ekleyebilir. Bu, tek bir doküman üzerinden birden fazla şart setine uyumu yönetmeyi kolaylaştırır. Rehberle ilişki için Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001 yazımıza bakabilirsiniz.
SoA Ne Zaman Güncellenmeli?
- Risk değerlendirmesi yenilendiğinde,
- Kapsam değiştiğinde (yeni lokasyon, yeni hizmet, yeni sistem),
- Yeni bir yasal veya sözleşmesel şart ortaya çıktığında,
- Planlanan bir kontrol uygulamaya alındığında,
- Önemli bir bilgi güvenliği olayından sonra.
SoA, ISO 27001 doküman listesi içindeki zorunlu dokümanlardan biridir. Maddelerin tamamını görmek için ISO 27001 standart maddeleri yazımıza, belgelendirme sürecinin tamamı için ise ISO 27001 belgesi sayfamıza göz atabilirsiniz.
Sık Sorulan Sorular
Uygulanabilirlik bildirgesi (SoA) nedir?
Uygulanabilirlik bildirgesi, ISO 27001 madde 6.1.3 d) uyarınca hazırlanan ve Ek A’daki her kontrol için uygulanıp uygulanmadığını, dahil etme veya hariç tutma gerekçesini ve uygulama durumunu gösteren zorunlu dokümandır.
SoA’da tüm Ek A kontrollerinin uygulanması zorunlu mu?
Hayır. Kontroller risk değerlendirmesi, yasal şartlar ve sözleşmeler esas alınarak seçilir. Ancak 93 kontrolün tamamı SoA’da yer almalı ve hariç tutulan her kontrol için somut bir gerekçe yazılmalıdır.
SoA ile risk işleme planı arasındaki fark nedir?
Risk işleme planı, riskleri azaltmak için yapılacak faaliyetleri, sorumluları ve terminleri gösterir. SoA ise hangi kontrollerin gerekli olduğunu, neden seçildiğini veya hariç tutulduğunu ve uygulama durumunu özetler. Henüz uygulanmamış kontroller risk işleme planına bağlanmalıdır.
SoA belgede yer alır mı?
ISO 27001 sertifikası, belgelendirme sırasında geçerli olan uygulanabilirlik bildirgesinin sürümüne atıf yapar. Bu nedenle SoA’nın sürüm kontrolü ve değişikliklerin belgelendirme kuruluşuna bildirilmesi önemlidir.
ISO 27001:2013’e göre hazırlanmış SoA kullanılabilir mi?
Hayır. ISO 27001:2013’ten 2022 baskısına geçiş süresi 31 Ekim 2025’te sona erdi. SoA, 93 kontrollü ve dört temalı 2022 Ek A yapısına göre hazırlanmalıdır.
SoA’ya Ek A dışında kontrol eklenebilir mi?
Evet. ISO 27001, gerektiğinde Ek A dışındaki kontrollerin de eklenebileceğini belirtir. ISO/IEC 27017, ISO/IEC 27701 veya Bilgi ve İletişim Güvenliği Rehberi tedbirleri ek satırlar olarak SoA’ya eklenebilir.
İlgili Rehberler
- ISO 27001 EK-A Kontrolleri
- ISO 27001 Risk Değerlendirmesi Nasıl Yapılır? Metodoloji, Örnek Tablo ve Risk İşleme
- ISO 27001:2022 Standart Maddeleri: 4–10. Maddeler, 2022 Değişiklikleri ve Denetim Kanıtları
- ISO 27001 Doküman Listesi
- ISO 27001 Belgesi – TÜRKAK Akrediteli Bilgi Güvenliği Yönetim Sistemi
- Bilgi ve İletişim Güvenliği Rehberi ve ISO 27001: Farklar, Örtüşmeler ve Birlikte Uyum Rehberi