ISO 27001 İç Denetim Nasıl Yapılır? Denetim Planı, Uygunsuzluk Yönetimi ve Belgelendirme Hazırlığı

ISO 27001 İç Denetim Nedir?

ISO/IEC 27001 iç denetimi, bir kuruluşun Bilgi Güvenliği Yönetim Sistemi'nin (BGYS) belirlenen gereksinimlere uygunluğunu, etkin şekilde uygulanıp uygulanmadığını ve sürdürülebilirliğini sistematik olarak değerlendirdiği bağımsız ve tarafsız denetim faaliyetidir.

ISO/IEC 27001:2022 standardının 9.2 maddesi, kuruluşların planlanan aralıklarla iç denetim gerçekleştirmesini gerektirir.

İç denetim yalnızca politika ve prosedürlerin mevcut olup olmadığını kontrol etmekten ibaret değildir.

Asıl amaç, tanımlanan bilgi güvenliği süreçlerinin gerçek operasyonlarda nasıl uygulandığını ve yönetim sisteminin beklenen sonuçları üretip üretmediğini değerlendirmektir.

Örneğin bir kuruluşta erişim kontrol politikası bulunabilir.

Ancak işten ayrılan çalışanların hesapları zamanında kapatılmıyorsa politika ile uygulama arasında önemli bir eksiklik vardır.

İç denetim bu tür farklılıkların tespit edilmesini sağlar.

Kısa cevap: ISO 27001 iç denetimi; BGYS kapsamındaki politika, süreç, risk yönetimi, güvenlik kontrolleri ve operasyonel uygulamaların belirlenen denetim kriterlerine göre kanıt temelli olarak değerlendirilmesidir.

1. ISO 27001 İç Denetim Neden Önemlidir?

Bilgi güvenliği yönetim sistemleri yalnızca dokümantasyonla sürdürülemez.

Kuruluşun güvenlik politikaları, risk değerlendirmeleri ve teknik kontrolleri zaman içerisinde değişebilir.

Yeni sistemler devreye alınabilir.

Çalışanlar görev değiştirebilir.

Bulut hizmetleri kullanılmaya başlanabilir.

Yeni tehditler ortaya çıkabilir.

Bu değişiklikler mevcut güvenlik kontrollerinin etkinliğini etkileyebilir.

İç denetim, yönetim sisteminin güncel koşullara uygunluğunu değerlendirmeye yardımcı olur.

İç denetimin temel amaçları

• BGYS'nin ISO/IEC 27001 gereksinimlerine uygunluğunu değerlendirmek.
• Kurumun kendi bilgi güvenliği kurallarına uyumu doğrulamak.
• Güvenlik kontrollerinin uygulanma durumunu incelemek.
• Risk yönetimi süreçlerinin etkinliğini değerlendirmek.
• Eksiklikleri ve uygunsuzlukları belirlemek.
• Düzeltici faaliyetleri başlatmak.
• Üst yönetime güvenilir değerlendirme sonuçları sunmak.
• Sürekli iyileştirmeyi desteklemek.

İç denetim, belgelendirme denetiminden önce yapılan son kontrol olarak görülmemelidir.

Kurumsal güvenlik yönetişiminin düzenli bir parçası olmalıdır.

2. ISO 27001 İç Denetim Zorunlu mudur?

Evet.

ISO/IEC 27001:2022 kapsamında iç denetim gerçekleştirilmesi bir yönetim sistemi gereksinimidir.

Ancak standart, bütün kuruluşlar için her yıl yalnızca bir kez denetim yapılmasını zorunlu tutmaz.

Kuruluşun planlanan aralıklarla iç denetim gerçekleştirmesi gerekir.

Denetim programı oluşturulurken süreçlerin önemi, kuruluşu etkileyen değişiklikler ve önceki denetim sonuçları dikkate alınmalıdır.

Örnek

Kritik ödeme sistemlerini yöneten bir kuruluş, belirli yüksek riskli süreçleri daha sık denetlemeyi tercih edebilir.

Daha düşük riskli ve istikrarlı süreçler için farklı denetim periyotları belirlenebilir.

Önemli ayrım

Yıllık iç denetim birçok kuruluşta kullanılan bir uygulamadır.

Ancak ISO/IEC 27001'in bütün kuruluşlar için zorunlu tuttuğu tek bir yıllık denetim takvimi bulunmaz.

Denetim sıklığı gerekçelendirilmiş ve planlanmış olmalıdır.

3. İç Denetim ile Belgelendirme Denetimi Arasındaki Fark

İç denetim ve belgelendirme denetimi farklı amaçlarla yürütülür.

Kriter	İç denetim	Belgelendirme denetimi
Amaç	Yönetim sisteminin uygunluğunu ve etkinliğini değerlendirmek	Belgelendirme gereksinimlerine uygunluğu değerlendirmek
Denetçi	Kurum içinden veya dışarıdan yetkin ve tarafsız denetçi	Belgelendirme kuruluşunun denetçisi
Planlama	Kuruluşun denetim programına göre	Belgelendirme sürecine göre
Sonuç	İç denetim raporu ve iyileştirme faaliyetleri	Belgelendirme kararı için denetim sonuçları
Kapsam	Denetim programında belirlenen alanlar	Belgelendirme kapsamı ve ilgili gereksinimler
Takip	Kuruluş tarafından yönetilir	Belgelendirme kuruluşunun süreçlerine tabidir

Dışarıdan bir danışmanın iç denetim gerçekleştirmesi mümkündür.

Ancak denetçi tarafsızlığı ve çıkar çatışmalarının yönetilmesi gerekir.

4. ISO/IEC 27001:2022 İç Denetim Gereksinimleri

ISO/IEC 27001:2022 standardının 9.2 maddesi iç denetim gereksinimlerini ele alır.

İç denetim süreci, BGYS'nin kuruluşun kendi gereksinimlerine ve standardın gereksinimlerine uygunluğunu değerlendirmelidir.

Ayrıca yönetim sisteminin etkin şekilde uygulanıp sürdürülmediği incelenmelidir.

Temel gereksinimler

Denetim programının planlanması.

Denetim sıklığının belirlenmesi.

Denetim yöntemlerinin tanımlanması.

Sorumlulukların belirlenmesi.

Denetim kriterlerinin oluşturulması.

Denetim kapsamının belirlenmesi.

Tarafsızlığın sağlanması.

Denetim sonuçlarının ilgili yönetime raporlanması.

Denetim programı ve sonuçlarına ilişkin dokümante edilmiş bilginin korunması.

Denetim programı ile denetim planı farkı

Denetim programı, belirli bir dönem boyunca gerçekleştirilecek denetimlerin genel düzenini ifade eder.

Denetim planı ise belirli bir denetimin kapsamını, tarihlerini, yöntemlerini ve faaliyetlerini açıklar.

Bu iki doküman birbirini tamamlar.

5. ISO 19011 İç Denetimde Nasıl Kullanılır?

ISO 19011, yönetim sistemlerinin denetlenmesine ilişkin rehber sunar.

ISO/IEC 27001 iç denetim süreçlerinin planlanmasında ve yürütülmesinde yararlı bir referanstır.

ISO 19011'in desteklediği alanlar

Denetim ilkeleri.

Denetim programı yönetimi.

Denetimin planlanması.

Denetim faaliyetlerinin yürütülmesi.

Kanıtların değerlendirilmesi.

Denetçi yetkinliği.

Denetim sonuçlarının raporlanması.

Temel denetim ilkeleri

Dürüstlük.

Adil sunum.

Mesleki özen.

Gizlilik.

Bağımsızlık.

Kanıta dayalı yaklaşım.

Risk bazlı yaklaşım.

Önemli nokta

ISO 19011 bir denetim rehberidir.

ISO/IEC 27001 belgelendirmesi için ayrı bir ISO 19011 belgesi alınması gerektiği anlamına gelmez.

6. ISO 27001 İç Denetim Programı Nasıl Hazırlanır?

Denetim programı, kuruluşun BGYS kapsamına ve risklerine uygun şekilde hazırlanmalıdır.

Denetim programında bulunabilecek bilgiler

Denetim dönemi.

Denetim hedefleri.

Denetlenecek süreçler.

Denetim kriterleri.

Denetim sıklığı.

Denetim yöntemleri.

Denetçi sorumlulukları.

Kaynak ihtiyaçları.

Önceki denetim bulguları.

Denetim sonuçlarının raporlanması.

Örnek yıllık program

Dönem	Denetim alanı	Örnek odak
1. çeyrek	BGYS yönetişimi	Politika, kapsam, hedefler
2. çeyrek	Risk yönetimi	Risk değerlendirme, SoA
3. çeyrek	Teknik güvenlik	Erişim, loglama, zafiyet
4. çeyrek	Operasyon ve iyileştirme	Olay yönetimi, düzeltici faaliyet

Bu tablo örnek bir programdır.

Programın bütünü, uygulanabilir ISO/IEC 27001 gereksinimlerini ve BGYS kapsamındaki ilgili süreçleri uygun şekilde ele almalıdır.

7. Risk Bazlı Denetim Planlaması Nedir?

Risk bazlı denetim planlaması, denetim kaynaklarının daha önemli risk alanlarına yönlendirilmesini sağlar.

Her süreç aynı düzeyde risk oluşturmaz.

Önceliklendirme kriterleri

İş sürecinin kritiklik seviyesi.

İşlenen veri türleri.

Geçmiş güvenlik olayları.

Önceki denetim bulguları.

Sistem değişiklikleri.

Tedarikçi bağımlılıkları.

Yasal yükümlülükler.

Teknik zafiyet durumu.

Örnek

İnternete açık müşteri uygulamasının erişim kontrolü, kritik bir denetim alanı olabilir.

Düşük riskli ve değişiklik yapılmamış bir iç süreç ise farklı sıklıkta denetlenebilir.

Ancak risk bazlı yaklaşım, standardın ilgili gereksinimlerinin sistematik biçimde göz ardı edilmesine gerekçe oluşturmaz.

8. İç Denetim Kapsamı Nasıl Belirlenir?

Denetim kapsamı, hangi organizasyonel birimlerin, süreçlerin, sistemlerin ve lokasyonların değerlendirileceğini tanımlar.

Örnek kapsam

Bilgi güvenliği yönetimi.

Risk yönetimi.

İnsan kaynakları güvenliği.

Varlık yönetimi.

Kimlik ve erişim yönetimi.

Ağ güvenliği.

Uygulama güvenliği.

Bulut hizmetleri.

Olay yönetimi.

İş sürekliliği.

Tedarikçi yönetimi.

Kapsam belirleme hatası

Kuruluşun BGYS kapsamına dahil olan kritik bir bulut hizmetinin denetim planında hiç değerlendirilmemesi önemli bir eksiklik oluşturabilir.

Bu nedenle denetim kapsamı BGYS kapsamı ve risklerle ilişkilendirilmelidir.

9. İç Denetçi Kim Olabilir?

İç denetçi, denetlediği alanı değerlendirebilecek bilgi ve beceriye sahip olmalıdır.

Gerekli yetkinlik alanları

ISO/IEC 27001 bilgisi.

Denetim yöntemleri.

Kanıt değerlendirme.

Risk yönetimi.

Bilgi güvenliği süreçleri.

Raporlama.

Tarafsızlık.

İç denetçi mutlaka şirket çalışanı mı olmalıdır?

Hayır.

İç denetim, kuruluşun uygun gördüğü yetkin dış denetçiler tarafından da gerçekleştirilebilir.

İç denetçi kendi çalışmasını denetleyebilir mi?

Denetim tarafsızlığını zedeleyecek şekilde kendi faaliyetlerini değerlendirmesi uygun değildir.

Özellikle küçük kuruluşlarda denetçi bağımsızlığının nasıl sağlanacağı planlanmalıdır.

10. İç Denetim Öncesinde Hangi Dokümanlar İncelenir?

Denetim başlamadan önce ilgili dokümanların değerlendirilmesi yararlı olur.

Örnek doküman listesi

BGYS kapsamı.

Bilgi güvenliği politikası.

Risk değerlendirme metodolojisi.

Risk envanteri.

Risk işleme planı.

SoA.

Bilgi güvenliği hedefleri.

Varlık envanteri.

Erişim kontrol prosedürü.

Olay müdahale prosedürü.

Yedekleme politikası.

Tedarikçi güvenliği kayıtları.

Önceki iç denetim raporları.

Düzeltici faaliyet kayıtları.

Yönetimin gözden geçirmesi kayıtları.

Önemli nokta

Doküman incelemesi denetimin yalnızca bir aşamasıdır.

Operasyonel kayıtlar, görüşmeler ve uygun teknik doğrulamalarla desteklenmelidir.

11. ISO 27001 İç Denetim Planı Örneği

Aşağıdaki örnek, orta ölçekli bir kuruluş için iki günlük denetim planını göstermektedir.

Gün	Saat	Denetim alanı
1	09.00–09.30	Açılış toplantısı
1	09.30–10.30	BGYS kapsamı ve yönetişim
1	10.30–12.00	Risk yönetimi ve SoA
1	13.00–14.30	Varlık ve erişim yönetimi
1	14.30–16.00	İnsan kaynakları ve tedarikçi güvenliği
1	16.00–17.00	Günlük bulguların değerlendirilmesi
2	09.00–10.30	Teknik güvenlik kontrolleri
2	10.30–12.00	Olay yönetimi ve izleme
2	13.00–14.00	Yedekleme ve iş sürekliliği
2	14.00–15.00	Performans değerlendirme ve iyileştirme
2	15.00–16.00	Bulguların doğrulanması
2	16.00–17.00	Kapanış toplantısı

Bu süreler örnektir.

Denetimin gerçek süresi kuruluşun büyüklüğüne, kapsamına, karmaşıklığına ve denetim hedeflerine bağlıdır.

12. ISO 27001 Açılış Toplantısı Nasıl Yapılır?

Açılış toplantısı, denetimin başlangıcında gerçekleştirilen koordinasyon faaliyetidir.

Görüşülebilecek konular

Denetimin amacı.

Kapsam.

Kriterler.

Denetim yöntemi.

Denetim takvimi.

Görüşülecek personel.

Kanıt erişimi.

Gizlilik gereksinimleri.

İletişim yöntemi.

Örnek açılış açıklaması

“Bu iç denetimin amacı, BGYS süreçlerinin belirlenen gereksinimlere uygunluğunu ve uygulama etkinliğini değerlendirmektir. Değerlendirmeler dokümanlar, kayıtlar, görüşmeler ve uygun örneklemeler üzerinden yürütülecektir.”

Açılış toplantısında denetimin cezalandırma amacı taşımadığı, nesnel değerlendirme ve iyileştirmeyi hedeflediği açıklanabilir.

13. Denetim Kanıtı Nedir?

Denetim kanıtı, denetim kriterleriyle ilgili ve doğrulanabilir bilgidir.

Kanıtlar dokümanlardan, kayıtlardan, gözlemlerden, görüşmelerden veya teknik incelemelerden elde edilebilir.

Örnek kanıtlar

Politika dokümanı.

Sistem yapılandırması.

Yetki matrisi.

Log kayıtları.

Yedekleme raporu.

Güvenlik test sonucu.

Olay müdahale kaydı.

Eğitim katılım kaydı.

Örnek

Bir kurum bütün çalışanlarda MFA uygulandığını ifade edebilir.

Denetçi, uygun kullanıcı örneklemleri ve MFA kapsam raporları üzerinden bu iddiayı doğrulayabilir.

Kritik nokta

Sözlü açıklamalar değerli bilgi sağlayabilir.

Ancak önemli uygunluk kararları mümkün olduğunda doğrulanabilir kanıtlarla desteklenmelidir.

14. Denetimde Örnekleme Nasıl Yapılır?

İç denetimde bütün işlemlerin ve kayıtların tek tek incelenmesi her zaman mümkün değildir.

Bu nedenle uygun örnekleme yöntemleri kullanılabilir.

Örnek

Kuruluşta 500 kullanıcı hesabı bulunuyor.

Denetçi tüm hesapları tek tek incelemek yerine risk bazlı örnekleme yapabilir.

Örneklem grupları

Yönetici hesapları.

Yeni açılan hesaplar.

İşten ayrılan personel.

Görev değiştiren çalışanlar.

Tedarikçi hesapları.

Kritik sistem kullanıcıları.

Dikkat edilmesi gerekenler

Örnekleme yöntemi gerekçelendirilebilir olmalıdır.

Örneklem sonuçları değerlendirilirken kapsam ve sınırlılıklar dikkate alınmalıdır.

Tek bir uygun kayıt, bütün sürecin eksiksiz çalıştığını kanıtlamaz.

15. ISO 27001 Madde 4 – Kuruluşun Bağlamı Nasıl Denetlenir?

ISO/IEC 27001 Madde 4, kuruluşun bağlamı ve BGYS kapsamıyla ilgilidir.

Denetim soruları

Kuruluşun iç ve dış hususları belirlendi mi?

İlgili taraflar tanımlandı mı?

Bilgi güvenliğiyle ilgili gereksinimler değerlendirildi mi?

BGYS kapsamı açık mı?

Kapsam sınırları gerekçelendirildi mi?

BGYS süreçleri oluşturuldu mu?

Örnek uygunsuzluk

BGYS kapsamında yer alan kritik bir dış kaynak hizmetinin ilgili taraf ve bağımlılık değerlendirmelerinde ele alınmaması.

Kanıtlar

Bağlam analizi.

İlgili taraf analizi.

BGYS kapsam dokümanı.

Süreç haritaları.

16. ISO 27001 Madde 5 – Liderlik Nasıl Denetlenir?

Üst yönetimin bilgi güvenliği yönetim sistemine katılımı önemlidir.

Denetim soruları

Bilgi güvenliği politikası onaylandı mı?

Bilgi güvenliği hedefleri destekleniyor mu?

Gerekli kaynaklar değerlendiriliyor mu?

Roller ve sorumluluklar tanımlandı mı?

Bilgi güvenliği gereksinimleri iş süreçlerine entegre ediliyor mu?

Örnek

Bilgi güvenliği politikası hazırlanmış ancak üst yönetim tarafından uygun şekilde onaylanmamış olabilir.

Bu durum ilgili gereksinimlere göre değerlendirilmelidir.

Önemli nokta

Üst yönetim sorumluluğu yalnızca bir belgeyi imzalamak değildir.

Yönetim sisteminin etkinliğini destekleyen kararlar ve faaliyetler de değerlendirilmelidir.

17. ISO 27001 Madde 6 – Planlama Nasıl Denetlenir?

Madde 6, riskler, fırsatlar, bilgi güvenliği risk değerlendirmesi, risk işleme ve hedeflerle ilişkilidir.

Denetim soruları

Risk değerlendirme metodolojisi tanımlandı mı?

Risk kabul kriterleri belirlendi mi?

Risk sahipleri tanımlandı mı?

Risk değerlendirmeleri gerçekleştirildi mi?

Risk işleme planı hazırlandı mı?

SoA oluşturuldu mu?

Bilgi güvenliği hedefleri ölçülebilir şekilde tanımlandı mı?

Örnek uygunsuzluk

Risk envanterinde kritik seviyede belirlenen risk için işleme kararı ve ilgili planın bulunmaması.

Denetim kanıtları

Risk metodolojisi.

Risk kayıtları.

Risk işleme planı.

SoA.

Bilgi güvenliği hedefleri.

18. ISO 27001 Madde 7 – Destek Nasıl Denetlenir?

Madde 7 kaynaklar, yetkinlik, farkındalık, iletişim ve dokümante edilmiş bilgi konularını kapsar.

Denetim soruları

Gerekli kaynaklar sağlandı mı?

Personelin yetkinliği değerlendirildi mi?

Bilgi güvenliği farkındalığı oluşturuldu mu?

İletişim süreçleri tanımlandı mı?

Dokümanlar uygun şekilde kontrol ediliyor mu?

Örnek uygunsuzluk

Kritik güvenlik görevini yürüten personel için gerekli yetkinlik kriterlerinin belirlenmemesi ve yetkinliğin doğrulanamaması.

Kanıtlar

Görev tanımları.

Yetkinlik kayıtları.

Eğitim kayıtları.

Doküman kontrol kayıtları.

İletişim planları.

19. ISO 27001 Madde 8 – Operasyon Nasıl Denetlenir?

Madde 8, BGYS'nin operasyonel uygulanmasıyla ilişkilidir.

Denetim soruları

Risk değerlendirmeleri planlanan aralıklarla yapılıyor mu?

Önemli değişikliklerde riskler yeniden değerlendiriliyor mu?

Risk işleme planları uygulanıyor mu?

Operasyonel süreçler kontrol altında mı?

Örnek

Kuruluş yeni bir bulut hizmetini devreye almış ancak bu değişikliğin bilgi güvenliği risklerine etkisini değerlendirmemiş olabilir.

Kanıtlar

Güncel risk kayıtları.

Değişiklik kayıtları.

Risk işleme sonuçları.

Kontrol uygulama kayıtları.

20. ISO 27001 Madde 9 – Performans Değerlendirme Nasıl Denetlenir?

Madde 9, izleme, ölçme, analiz, değerlendirme, iç denetim ve yönetimin gözden geçirmesi gereksinimlerini kapsar.

Denetim soruları

Bilgi güvenliği performansı izleniyor mu?

Ölçüm yöntemleri belirlenmiş mi?

İç denetim programı uygulanıyor mu?

Denetim sonuçları raporlanıyor mu?

Yönetimin gözden geçirmesi gerçekleştiriliyor mu?

Örnek

Kuruluş bilgi güvenliği hedefleri belirlemiş ancak bu hedeflerin gerçekleşme durumunu değerlendirmemiş olabilir.

Kanıtlar

KPI raporları.

İç denetim raporları.

Yönetimin gözden geçirmesi kayıtları.

Performans değerlendirme sonuçları.

21. ISO 27001 Madde 10 – İyileştirme Nasıl Denetlenir?

Madde 10, sürekli iyileştirme ve uygunsuzluklara yönelik düzeltici faaliyet süreçlerini kapsar.

Denetim soruları

Uygunsuzluklar kayıt altına alınıyor mu?

Uygunsuzluklara müdahale ediliyor mu?

Nedenler değerlendiriliyor mu?

Düzeltici faaliyetler uygulanıyor mu?

Faaliyetlerin etkinliği gözden geçiriliyor mu?

Örnek

Bir erişim kontrol uygunsuzluğu kapatılmış olabilir.

Ancak aynı sorun farklı sistemlerde tekrar ediyorsa kök nedenin yeterince ele alınmadığı değerlendirilebilir.

22. ISO 27001 Ek A Kontrolleri Nasıl Denetlenir?

Ek A kontrollerinin değerlendirilmesinde SoA önemli bir referanstır.

Denetim yaklaşımı

Kontrolün gerekliliği değerlendirilir.

SoA'daki uygulama durumu incelenir.

İlgili politika ve prosedürler gözden geçirilir.

Operasyonel kanıtlar değerlendirilir.

Gerekirse teknik doğrulama yapılır.

Örnek

Kontrol: A.8.13 – Bilgi yedekleme.

Denetim sorusu: Kritik sistemlerin yedekleri alınıyor mu?

Ek soru: Yedeklerin geri yüklenebilirliği doğrulanıyor mu?

Kanıt: Yedekleme raporları ve geri yükleme testleri.

Kritik ayrım

Ek A kontrolünü denetlemek, yalnızca ilgili politika dokümanının varlığını doğrulamak değildir.

Kontrolün gerçek uygulama durumunun değerlendirilmesi gerekir.

23. Teknik Güvenlik Kontrollerinin Denetlenmesi

Teknik kontrollerin denetiminde sistem kayıtları ve yapılandırmalar değerlendirilebilir.

Örnek alanlar

Active Directory.

Firewall.

VPN.

Sunucu güvenliği.

Bulut IAM.

Veritabanı güvenliği.

Uç nokta güvenliği.

Loglama.

Yedekleme.

Uygulama güvenliği.

Örnek denetim

Alan: Active Directory.

Kontrol hedefi: Ayrıcalıklı hesapların sınırlandırılması.

Kanıt: Domain Admins üyelik listesi.

Değerlendirme: Üyelerin görevleri ve yetki gerekçeleri incelenir.

Önemli nokta

İç denetim, kapsamlı sızma testinin otomatik eşdeğeri değildir.

Gerekli durumlarda teknik testler denetim kanıtlarını destekleyebilir.

24. ISO 27001 Uygunsuzluk Nedir?

Uygunsuzluk, belirlenmiş bir gereksinimin karşılanmaması durumudur.

Gereksinim ISO/IEC 27001 standardından, kuruluşun kendi politikalarından veya uygulanabilir diğer kriterlerden kaynaklanabilir.

Örnek

Kuruluşun erişim kontrol prosedüründe işten ayrılan personelin hesaplarının belirli süre içerisinde kapatılması tanımlanmış olsun.

Denetimde birden fazla hesabın bu süre geçmesine rağmen aktif kaldığı tespit edilsin.

Bu durum ilgili denetim kriterlerine göre uygunsuzluk olarak değerlendirilebilir.

Uygunsuzluk kaydı

İlgili kriter.

Tespit edilen durum.

Nesnel kanıt.

Etkilenen süreç.

Uygunsuzluk açıklaması.

Uygunsuzluk sınıflandırması.

25. Majör ve Minör Uygunsuzluk Arasındaki Fark

Majör ve minör uygunsuzluk sınıflandırması özellikle belgelendirme denetimlerinde kullanılan bir yaklaşımdır.

İç denetimlerde de kuruluşun belirlediği metodolojiye göre kullanılabilir.

Majör uygunsuzluk

Yönetim sisteminin amaçlanan sonuçları gerçekleştirme kabiliyetine ilişkin önemli şüphe oluşturan veya önemli bir gereksinimin sistematik biçimde karşılanmadığını gösteren durumlar majör olarak değerlendirilebilir.

Minör uygunsuzluk

Yönetim sisteminin genel etkinliğini önemli ölçüde zedelemeyen, daha sınırlı nitelikteki uygunsuzluklar minör olarak değerlendirilebilir.

Örnek karşılaştırma

Durum	Olası değerlendirme
Risk değerlendirme sürecinin hiç uygulanmaması	Majör olabilir
BGYS genelinde iç denetim gereksiniminin karşılanmaması	Majör olabilir
Tekil bir kayıtta sınırlı dokümantasyon eksikliği	Minör olabilir
Sistematik erişim kontrol eksikliği	Majör olabilir
Bir eğitim kaydında sınırlı eksiklik	Minör olabilir

Önemli: Bu sınıflandırmalar otomatik değildir. Bulguların kapsamı, etkisi, sistematikliği ve ilgili denetim kuralları dikkate alınmalıdır.

26. Gözlem ve İyileştirme Fırsatı Nedir?

Denetim sırasında her tespit uygunsuzluk olmak zorunda değildir.

Gözlem

Gelecekte risk oluşturabilecek veya dikkat edilmesi gereken bir durumu ifade edebilir.

İyileştirme fırsatı

Mevcut süreçlerin daha etkili veya verimli hale getirilmesine yönelik öneridir.

Örnek

Kurumda erişim gözden geçirmeleri uygun şekilde yapılıyor olabilir.

Ancak süreç tamamen manuel yürütüldüğünden hata olasılığı yüksektir.

Denetçi otomasyon kullanımını iyileştirme fırsatı olarak belirtebilir.

Kritik nokta

Bir gereksinimin karşılanmadığı durum, yalnızca uygunsuzluk kaydı açmamak amacıyla gözlem olarak sınıflandırılmamalıdır.

27. Uygunsuzluk Raporu Nasıl Yazılır?

Uygunsuzluk raporları açık, nesnel ve doğrulanabilir olmalıdır.

Örnek uygunsuzluk kaydı

Bulgu ID: NC-2026-001

Denetim alanı: Kimlik ve erişim yönetimi.

Kriter: Kuruluşun erişim kapatma prosedürü.

Tespit: İncelenen işten ayrılma kayıtlarından üçünde ilgili kullanıcı hesaplarının prosedürde belirtilen süre içerisinde kapatılmadığı görülmüştür.

Kanıt: Hesap durum kayıtları ve işten ayrılma tarihleri.

Risk: Yetkisiz erişim olasılığının artması.

Sınıflandırma: Kuruluşun uygunsuzluk metodolojisine göre belirlenecek.

Yanlış ifade

“BT ekibi erişim güvenliğine dikkat etmiyor.”

Daha uygun ifade

“İncelenen örneklemde prosedürde tanımlanan hesap kapatma süresinin karşılanmadığı tespit edilmiştir.”

Denetim raporunda kişisel yorumlar yerine nesnel kanıtlar kullanılmalıdır.

28. Kök Neden Analizi Nasıl Yapılır?

Kök neden analizi, uygunsuzluğun neden ortaya çıktığını anlamaya yönelik çalışmadır.

Örnek uygunsuzluk

İşten ayrılan çalışanların hesapları zamanında kapatılmıyor.

Yüzeysel açıklama

“BT ekibi unutmuş.”

Bu açıklama yeterli olmayabilir.

Kök neden değerlendirmesi

İnsan kaynakları ve BT arasında otomatik bildirim bulunmuyor olabilir.

Sorumluluklar açık tanımlanmamış olabilir.

Hesap kapatma süreci manuel yürütülüyor olabilir.

İşlem tamamlanma kontrolü bulunmuyor olabilir.

Kullanılabilecek yöntemler

5 Neden Analizi.

Balık Kılçığı Diyagramı.

Süreç analizi.

Hata türü değerlendirmesi.

Amaç

Yalnızca görülen hatayı düzeltmek değil, aynı hatanın tekrar etmesine neden olan koşulları ele almaktır.

29. Düzeltme ile Düzeltici Faaliyet Arasındaki Fark

Bu iki kavram birbirinden ayrılmalıdır.

Düzeltme, tespit edilen uygunsuzluğun mevcut sonucunu gidermeye yönelik işlemdir.

Düzeltici faaliyet, uygunsuzluğun nedenini ortadan kaldırarak tekrarını önlemeyi hedefler.

Örnek

Uygunsuzluk: İşten ayrılan çalışanın hesabı aktif.

Düzeltme: Hesabın kapatılması.

Düzeltici faaliyet: İnsan kaynakları ve kimlik yönetimi arasında kontrollü bir hesap kapatma iş akışının oluşturulması.

Doğrulama

Yeni süreç uygulanır.

Belirli bir dönem sonra örnek hesaplar incelenir.

Hesapların zamanında kapatıldığı doğrulanır.

Bu doğrulama düzeltici faaliyetin etkinliğini değerlendirmeye yardımcı olur.

30. Düzeltici Faaliyet Planı Örneği

Alan	Örnek
Bulgu ID	NC-2026-001
Uygunsuzluk	Hesapların zamanında kapatılmaması
Kök neden	Manuel bildirim sürecindeki eksiklik
Düzeltme	Açık hesapların kapatılması
Düzeltici faaliyet	Otomatik işten ayrılma iş akışı
Sorumlu	BT ve İnsan Kaynakları
Hedef tarih	Kurum tarafından belirlenecek
Doğrulama	Yeni ayrılan personel örneklemi
Etkinlik kriteri	Tanımlanan kapatma süresine uyum
Durum	Açık / Uygulandı / Doğrulandı

Önemli nokta

Düzeltici faaliyet yalnızca sorumlunun “tamamlandı” demesiyle kapatılmamalıdır.

Faaliyetin uygulanması ve etkinliği uygun şekilde değerlendirilmelidir.

31. Düzeltici Faaliyetlerin Etkinliği Nasıl Doğrulanır?

Etkinlik doğrulaması, yapılan iyileştirmenin uygunsuzluğun tekrarını önlemeye yardımcı olup olmadığını değerlendirir.

Örnek doğrulama yöntemleri

Yeni kayıtların incelenmesi.

Teknik kontrol testleri.

Süreç gözlemleri.

Yetki gözden geçirmeleri.

İlgili performans göstergeleri.

Tekrar denetim.

Örnek

Kurum erişim kapatma sürecini otomatik hale getirdi.

Denetçi daha sonraki işten ayrılma kayıtlarını değerlendirir.

Hesap kapatma süreleri incelenir.

İstisnalar araştırılır.

Kritik nokta

Bir kontrolün uygulanması ile etkin çalışması farklı konulardır.

Her ikisinin de değerlendirilmesi gerekebilir.

32. ISO 27001 İç Denetim Raporu Nasıl Hazırlanır?

İç denetim raporu, gerçekleştirilen denetimin sonuçlarını ilgili yönetime anlaşılır biçimde sunmalıdır.

Önerilen rapor yapısı

Denetim başlığı.

Denetim tarihi.

Denetim amacı.

Denetim kapsamı.

Denetim kriterleri.

Denetim ekibi.

Denetlenen süreçler.

Denetim yöntemi.

İncelenen kanıtların özeti.

Uygunluk değerlendirmesi.

Uygunsuzluklar.

Gözlemler.

İyileştirme fırsatları.

Genel sonuç.

Takip faaliyetleri.

Örnek yönetici özeti

“Gerçekleştirilen BGYS iç denetiminde risk yönetimi, erişim kontrolü, olay yönetimi ve performans değerlendirme süreçleri incelenmiştir. Belirlenen uygunsuzluklar için sorumlular atanmış ve düzeltici faaliyetlerin takip edilmesi planlanmıştır.”

Raporda gereksiz teknik ayrıntıların yanında karar alınmasını sağlayacak bilgiler de bulunmalıdır.

33. İç Denetim Kapanış Toplantısı Nasıl Yapılır?

Kapanış toplantısı denetim sonuçlarının ilgili taraflarla paylaşılması amacıyla gerçekleştirilir.

Görüşülebilecek konular

Denetim kapsamı.

Denetim yöntemleri.

Olumlu uygulamalar.

Uygunsuzluklar.

Gözlemler.

İyileştirme fırsatları.

Raporlama takvimi.

Düzeltici faaliyet süreci.

Önemli yaklaşım

Denetim bulguları kişilere yönelik eleştiri olarak değil, süreç ve gereksinim ilişkisi üzerinden açıklanmalıdır.

Bulguların dayandığı kanıtlar anlaşılır olmalıdır.

Görüş ayrılıkları uygun şekilde kayıt altına alınabilir.

34. Yönetimin Gözden Geçirmesi Nedir?

Yönetimin gözden geçirmesi, üst yönetimin BGYS'nin uygunluğunu, yeterliliğini ve etkinliğini planlanan aralıklarla değerlendirdiği yönetim faaliyetidir.

ISO/IEC 27001:2022 standardının 9.3 maddesi kapsamında ele alınır.

Değerlendirilebilecek konular

Önceki yönetim kararları.

İç ve dış hususlardaki değişiklikler.

İlgili taraf gereksinimleri.

Bilgi güvenliği performansı.

Hedeflerin gerçekleşme durumu.

Risk değerlendirme sonuçları.

Risk işleme durumu.

İç denetim sonuçları.

Uygunsuzluklar.

İyileştirme fırsatları.

Çıktılar

İyileştirme kararları.

BGYS değişiklik ihtiyaçları.

Kaynak gereksinimleri.

Önemli nokta

Yönetimin gözden geçirmesi yalnızca toplantı tutanağı oluşturmak amacıyla yapılmamalıdır.

Alınan kararlar ve takip faaliyetleri açık olmalıdır.

35. ISO 27001 Belgelendirme Süreci Nasıl İşler?

ISO/IEC 27001 belgelendirme süreci, belgelendirme kuruluşunun uyguladığı ilgili kurallara göre yürütülür.

Genellikle ilk belgelendirme sürecinde iki aşamalı denetim yaklaşımı kullanılır.

Aşama 1 – Stage 1

Yönetim sistemi hazırlığının ve ilgili dokümante edilmiş bilgilerin değerlendirilmesine odaklanır.

Aşama 2 – Stage 2

Yönetim sisteminin uygulanması ve etkinliği daha ayrıntılı değerlendirilir.

Belgelendirme kararı

Denetim sonuçları, uygunsuzlukların durumu ve ilgili belgelendirme kuralları dikkate alınarak karar verilir.

Sonraki süreç

Gözetim denetimleri.

Yeniden belgelendirme.

Önemli ayrım

Belgelendirme kuruluşunun akreditasyon durumu ve belgenin kapsamı ayrıca doğrulanmalıdır.

36. Stage 1 Denetiminde Neler İncelenir?

Stage 1, kuruluşun Stage 2 denetimine hazırlığını değerlendirmeye yardımcı olur.

Örnek değerlendirme alanları

BGYS kapsamı.

Bilgi güvenliği politikası.

Risk değerlendirme yaklaşımı.

Risk işleme planı.

SoA.

Bilgi güvenliği hedefleri.

İç denetim ve yönetim gözden geçirme süreçleri.

Kuruluşun faaliyetleri ve lokasyonları.

Önemli nokta

Stage 1'in amacı yalnızca belgelerin varlığını saymak değildir.

Yönetim sisteminin sonraki denetim aşamasına hazırlığı değerlendirilir.

37. Stage 2 Denetiminde Neler İncelenir?

Stage 2, BGYS'nin gerçek uygulama durumuna ve etkinliğine odaklanır.

Örnek alanlar

Risk yönetimi uygulamaları.

Erişim kontrolü.

Varlık yönetimi.

Tedarikçi güvenliği.

Güvenlik olay yönetimi.

Yedekleme.

İnsan kaynakları güvenliği.

Teknik güvenlik kontrolleri.

Performans ölçümü.

Düzeltici faaliyetler.

Örnek

Kurumda zafiyet yönetimi prosedürü bulunabilir.

Stage 2 kapsamında bu prosedürün gerçekten uygulanıp uygulanmadığı, tespit edilen zafiyetlerin nasıl değerlendirildiği ve iyileştirmelerin nasıl takip edildiği incelenebilir.

38. ISO 27001 Belgelendirme Öncesi En Sık Yapılan Hatalar

1. BGYS kapsamının belirsiz olması

Kapsam sınırları ve bağımlılıklar açık tanımlanmalıdır.

2. Risk analizinin güncel olmaması

Önemli değişiklikler risk değerlendirmesine yansıtılmalıdır.

3. SoA ile uygulamaların uyuşmaması

Kontrol uygulama durumları gerçeği yansıtmalıdır.

4. İç denetimin yalnızca formalite olarak yapılması

Denetim nesnel kanıtlara dayanmalıdır.

5. Yönetimin gözden geçirmesinin yetersiz olması

Gerekli girdiler ve çıktılar değerlendirilmelidir.

6. Düzeltici faaliyetlerin kapatılmaması

Uygunsuzlukların nedenleri ve etkinlik doğrulaması ele alınmalıdır.

7. Çalışanların süreçlerden haberdar olmaması

Farkındalık ve sorumluluklar açık olmalıdır.

8. Teknik kontrollerin doğrulanmaması

Politikalarla sistem uygulamaları tutarlı olmalıdır.

9. Denetim kanıtlarının dağınık olması

Kanıtlar kontrollü ve erişilebilir şekilde yönetilmelidir.

10. Belgelendirmeyi tek hedef olarak görmek

BGYS'nin sürdürülebilirliği ve risk azaltma etkisi esas alınmalıdır.

39. ISO 27001 İç Denetiminde Teknik Testler Nasıl Kullanılır?

Teknik testler, belirli kontrol uygulamalarının doğrulanmasına yardımcı olabilir.

Örnek testler

Firewall yapılandırma incelemesi.

Active Directory güvenlik analizi.

Sunucu güvenlik yapılandırma kontrolü.

Bulut IAM değerlendirmesi.

Zafiyet taraması.

Kaynak kod güvenlik analizi.

Yedek geri yükleme testi.

Loglama kontrolü.

Örnek

SoA'da teknik zafiyet yönetimi kontrolünün uygulandığı belirtiliyor.

Denetçi zafiyet tarama sonuçlarını inceler.

Kritik bulguların nasıl önceliklendirildiğini değerlendirir.

Kapatılan bulguların doğrulama kayıtlarını kontrol eder.

Kritik nokta

Teknik testler yetkilendirilmiş, kontrollü ve uygun kapsamda yürütülmelidir.

Üretim ortamında kesinti oluşturabilecek işlemler ayrıca planlanmalıdır.

40. SOC ve SIEM İç Denetimde Nasıl Değerlendirilir?

SOC ve SIEM uygulamaları güvenlik izleme süreçlerinin değerlendirilmesinde önemli olabilir.

Denetim alanları

Log kaynaklarının kapsamı.

Kritik olay senaryoları.

Alarm yönetimi.

Olay sınıflandırma.

Müdahale prosedürleri.

Kayıtların korunması.

Eskalasyon süreçleri.

Örnek

Kritik yönetici hesaplarının başarısız oturum denemeleri SIEM üzerinden izleniyor olabilir.

Denetçi ilgili logların gerçekten alındığını, tespit kurallarının uygunluğunu ve alarm süreçlerinin işlediğini değerlendirebilir.

Önemli nokta

SIEM ürününün kurulu olması tek başına etkili güvenlik izleme anlamına gelmez.

Log kapsamı, kullanım senaryoları ve operasyonel müdahale süreçleri önemlidir.

41. İç Denetim Bulguları Risk Envanterine Nasıl Aktarılır?

Denetim bulguları risk değerlendirme sürecine girdi sağlayabilir.

Örnek

Denetimde kritik sistemlerde MFA eksikliği tespit edildi.

Bulgu: MFA uygulanmayan ayrıcalıklı hesaplar.

Risk senaryosu: Yetkisiz yönetici erişimi.

Risk değerlendirmesi: Mevcut koşullara göre yapılır.

Risk işleme: MFA uygulanması ve erişim sınırlandırılması.

Doğrulama: MFA kapsam raporu ve uygun testler.

Kritik ayrım

Her denetim bulgusu otomatik olarak ayrı bir risk kaydı oluşturmak zorunda değildir.

Mevcut risk kayıtları güncellenebilir veya yeni risk senaryoları tanımlanabilir.

42. İç Denetim Performansı Nasıl Ölçülür?

İç denetim sürecinin etkinliği ölçülebilir göstergelerle takip edilebilir.

Örnek KPI'lar

Planlanan denetimlerin tamamlanma oranı.

Denetim raporu yayımlama süresi.

Açık uygunsuzluk sayısı.

Hedef tarihi aşan düzeltici faaliyetler.

Tekrarlayan uygunsuzluk oranı.

Düzeltici faaliyet etkinlik doğrulama oranı.

Kritik süreçlerin denetim kapsamı.

Önemli nokta

Uygunsuzluk sayısının düşük olması tek başına denetim kalitesinin yüksek olduğunu göstermez.

Denetim kapsamı ve kanıtların yeterliliği de değerlendirilmelidir.

43. ISO 27001 İç Denetimi İçin 30 Günlük Hazırlık Planı

Gün 1–5: Denetim Hazırlığı

BGYS kapsamının incelenmesi.

Denetim programının değerlendirilmesi.

Denetim ekibinin belirlenmesi.

Denetim kriterlerinin tanımlanması.

Gün 6–10: Doküman İncelemesi

Politikalar.

Risk değerlendirmeleri.

SoA.

Kontrol kayıtları.

Önceki denetim sonuçları.

Gün 11–20: Denetim Faaliyetleri

Görüşmeler.

Kanıt incelemeleri.

Teknik doğrulamalar.

Bulguların kayıt altına alınması.

Gün 21–25: Raporlama

Uygunsuzlukların değerlendirilmesi.

Denetim raporunun hazırlanması.

Kapanış toplantısı.

Gün 26–30: İyileştirme Planlaması

Kök neden analizleri.

Düzeltici faaliyet planları.

Sorumlulukların belirlenmesi.

Takip takviminin oluşturulması.

Bu plan örnektir.

Bütün düzeltici faaliyetlerin 30 gün içerisinde tamamlanacağı anlamına gelmez.

44. ISO 27001 İç Denetim Kontrol Listesi

Yönetim sistemi

• BGYS kapsamı güncel mi?
• İlgili taraf gereksinimleri değerlendirildi mi?
• Bilgi güvenliği politikası onaylı mı?
• Roller ve sorumluluklar tanımlandı mı?
• Bilgi güvenliği hedefleri belirlendi mi?

Risk yönetimi

• Risk değerlendirme metodolojisi mevcut mu?
• Risk kabul kriterleri tanımlandı mı?
• Risk değerlendirmeleri güncel mi?
• Risk sahipleri belirlendi mi?
• Risk işleme planı mevcut mu?
• SoA güncel mi?

Teknik güvenlik

• Kritik varlık envanteri güncel mi?
• Ayrıcalıklı erişimler değerlendiriliyor mu?
• MFA kapsamı doğrulanıyor mu?
• Zafiyet yönetimi uygulanıyor mu?
• Güvenlik logları değerlendiriliyor mu?
• Yedek geri yükleme testleri yapılıyor mu?

İnsan ve süreç

• Çalışan farkındalığı sağlanıyor mu?
• İşten ayrılma erişimleri kapatılıyor mu?
• Tedarikçi riskleri değerlendiriliyor mu?
• Güvenlik olayları kayıt altına alınıyor mu?

İyileştirme

• İç denetim sonuçları raporlandı mı?
• Uygunsuzluklar takip ediliyor mu?
• Kök neden analizleri yapılıyor mu?
• Düzeltici faaliyetlerin etkinliği doğrulanıyor mu?
• Yönetimin gözden geçirmesi gerçekleştirildi mi?

Bu liste denetim hazırlığı için örnek bir yardımcı araçtır; standardın bütün gereksinimlerinin yerini almaz.

45. SECURESYS ISO 27001 İç Denetim ve Belgelendirme Hazırlığı Danışmanlığı

SECURESYS, bilgi güvenliği yönetim sistemlerinin değerlendirilmesinde teknik güvenlik kontrolleriyle yönetim sistemi gereksinimlerini birlikte ele alan bir yaklaşım sunar.

BGYS mevcut durum analizi

ISO/IEC 27001:2022 gereksinimlerine göre mevcut süreçler ve dokümanlar değerlendirilir.

İç denetim planlaması

Denetim kapsamı, kriterleri, yöntemleri ve kanıt ihtiyaçlarının belirlenmesi desteklenir.

Risk yönetimi değerlendirmesi

Risk değerlendirme metodolojisi, risk envanteri, risk işleme planı ve SoA arasındaki tutarlılık incelenir.

Teknik kontrol doğrulaması

Ağ, sistem, uygulama, bulut ve erişim güvenliği alanlarında uygun teknik değerlendirmeler gerçekleştirilebilir.

Uygunsuzluk yönetimi

Tespit edilen eksikliklerin kayıt altına alınması, kök neden analizi ve düzeltici faaliyet planlaması desteklenir.

Belgelendirme hazırlığı

Stage 1 ve Stage 2 denetimleri öncesinde hazırlık ve eksiklik değerlendirmeleri yapılabilir.

Sürekli iyileştirme

Denetim sonuçlarının güvenlik hedefleri ve kurumsal risk yönetimiyle ilişkilendirilmesi desteklenir.

SECURESYS yaklaşımında iç denetim, yalnızca ISO/IEC 27001 belgesine hazırlık faaliyeti değil; güvenlik kontrollerinin etkinliğini ölçen ve kurumsal dayanıklılığı geliştiren bir değerlendirme sürecidir.

Sık Sorulan Sorular (SSS)

1. ISO 27001 iç denetim nedir?

BGYS'nin belirlenen gereksinimlere uygunluğunu ve etkinliğini değerlendirmek amacıyla gerçekleştirilen sistematik ve tarafsız denetim faaliyetidir.

2. ISO 27001 iç denetimi zorunlu mudur?

Evet. ISO/IEC 27001:2022 Madde 9.2 kapsamında iç denetim gerçekleştirilmesi gerekir.

3. ISO 27001 iç denetimi yılda bir kez mi yapılmalıdır?

Standart bütün kuruluşlar için aynı yıllık sıklığı zorunlu tutmaz. Denetimler planlanan aralıklarla yapılmalıdır.

4. ISO 27001 iç denetimini kim yapabilir?

Gerekli yetkinliğe sahip ve denetim tarafsızlığını sağlayan kurum içi veya dışı denetçiler gerçekleştirebilir.

5. İç denetçi sertifikası zorunlu mudur?

Standart belirli bir ticari eğitim veya sertifikayı bütün iç denetçiler için zorunlu tutmaz. Yetkinlik ve tarafsızlık gereklidir.

6. İç denetim ile dış denetim arasındaki fark nedir?

İç denetim kuruluşun yönetim sistemi değerlendirmesidir. Belgelendirme denetimi bağımsız belgelendirme kuruluşu tarafından yürütülür.

7. ISO 27001 iç denetim raporunda neler bulunmalıdır?

Amaç, kapsam, kriterler, yöntem, kanıtlar, bulgular, sonuçlar ve takip faaliyetleri gibi bilgiler bulunabilir.

8. Majör uygunsuzluk nedir?

Yönetim sisteminin gereksinimleri karşılama veya amaçlanan sonuçları üretme kabiliyetine ilişkin önemli eksiklikleri ifade edebilir.

9. Minör uygunsuzluk nedir?

Daha sınırlı nitelikte ve yönetim sisteminin genel etkinliğini önemli ölçüde zedelemeyen uygunsuzlukları ifade edebilir.

10. ISO 27001 uygunsuzluk nasıl kapatılır?

Uygunsuzluğa müdahale edilir, nedenler değerlendirilir, gerekli düzeltici faaliyetler uygulanır ve etkinlikleri doğrulanır.

11. Kök neden analizi nedir?

Uygunsuzluğun ortaya çıkmasına neden olan temel koşulların belirlenmesine yönelik değerlendirmedir.

12. Düzeltme ile düzeltici faaliyet arasındaki fark nedir?

Düzeltme mevcut uygunsuzluğu giderir. Düzeltici faaliyet uygunsuzluğun nedenini ele alarak tekrarını önlemeyi hedefler.

13. Stage 1 denetimi nedir?

Belgelendirme sürecinde yönetim sistemi hazırlığının değerlendirildiği ilk denetim aşamasıdır.

14. Stage 2 denetimi nedir?

Yönetim sisteminin uygulanması ve etkinliğinin ayrıntılı değerlendirildiği belgelendirme denetimi aşamasıdır.

15. ISO 27001 iç denetiminde sızma testi gerekir mi?

Her iç denetimde sızma testi yapılması zorunlu değildir. Teknik test ihtiyacı denetim hedeflerine, risklere ve ilgili gereksinimlere göre belirlenir.

16. ISO 27001 iç denetimi uzaktan yapılabilir mi?

Uygun koşullarda uzaktan denetim yöntemleri kullanılabilir. Kanıtların yeterliliği ve denetim hedeflerinin karşılanması önemlidir.

17. İç denetim sonuçları yönetime sunulmalı mı?

Evet. Denetim sonuçları ilgili yönetime raporlanmalıdır.

18. Yönetimin gözden geçirmesi zorunlu mudur?

Evet. ISO/IEC 27001:2022 Madde 9.3 kapsamında yönetimin gözden geçirmesi gereksinimleri bulunur.

19. ISO 27001 belgesi kaç yıl geçerlidir?

Akredite belgelendirme uygulamalarında sertifikasyon döngüsü genel olarak üç yıldır. Gözetim ve yeniden belgelendirme gereksinimleri ilgili kurallara tabidir.

20. ISO 27001 iç denetim danışmanlığı ne sağlar?

Denetim planlama, kontrol değerlendirme, kanıt inceleme, uygunsuzluk yönetimi ve belgelendirme hazırlığı çalışmalarına destek sağlar.

Sonuç: ISO 27001 İç Denetimi Güvenlik Olgunluğunu Nasıl Artırır?

ISO/IEC 27001 iç denetimi, bilgi güvenliği yönetim sisteminin gerçek uygulama durumunu değerlendiren önemli bir yönetim mekanizmasıdır.

Başarılı bir iç denetim için kapsam ve kriterler açıkça belirlenmelidir.

Denetçiler yetkin ve tarafsız olmalıdır.

Değerlendirmeler nesnel kanıtlara dayanmalıdır.

Risk yönetimi ve SoA arasındaki ilişki incelenmelidir.

Teknik güvenlik kontrolleri uygun yöntemlerle doğrulanmalıdır.

Uygunsuzluklar açık biçimde kayıt altına alınmalıdır.

Kök nedenler değerlendirilmelidir.

Düzeltici faaliyetlerin etkinliği doğrulanmalıdır.

Denetim sonuçları üst yönetim kararlarına girdi sağlamalıdır.

Etkili bir ISO 27001 iç denetimi, yalnızca eksiklikleri tespit etmekle kalmaz; kuruluşun güvenlik süreçlerini daha ölçülebilir, sürdürülebilir ve risk odaklı hale getirmesine katkı sağlar.