ISO 27001 İç Denetiminde En Çok Sorulan Sorular

ISO 27001 Bilgi Güvenliği Yönetim Sistemi, kuruluşların bilgi varlıklarını korumak, güvenlik risklerini yönetmek ve bilgi güvenliği süreçlerini sistematik hale getirmek amacıyla uygulanan uluslararası bir standarttır. Bu sistemin etkin şekilde çalışıp çalışmadığını değerlendirmek için belirli aralıklarla iç denetimler gerçekleştirilir.

ISO 27001 iç denetimi, kuruluşun bilgi güvenliği yönetim sisteminin standardın gerekliliklerine ve kurum içerisinde belirlenen süreçlere uygun şekilde uygulanıp uygulanmadığını değerlendirmek amacıyla yapılır. İç denetim sürecinde politikalar, prosedürler, teknik kontroller, çalışan uygulamaları, risk yönetimi ve kayıtlar birlikte incelenir.

İç denetimler yalnızca eksiklikleri tespit etmek için yapılmaz. Aynı zamanda bilgi güvenliği süreçlerinin geliştirilmesi, olası risklerin erken fark edilmesi ve belgelendirme denetimine daha hazırlıklı olunması açısından önemli bir yönetim aracıdır.

ISO 27001 İç Denetiminde Hangi Konular Kontrol Edilir?

ISO 27001 iç denetimlerinde kontrol edilen konular kuruluşun faaliyet alanına, bilgi varlıklarına ve belirlenen kapsamına göre değişiklik gösterebilir. Ancak genel olarak aşağıdaki başlıklar değerlendirme kapsamına alınır:

Bilgi güvenliği politikaları
Risk değerlendirme süreçleri
Bilgi varlığı envanteri
Erişim yetkilendirme yönetimi
Kullanıcı hesapları
Yedekleme süreçleri
Sistem güvenliği kontrolleri
Olay yönetimi
Çalışan farkındalık eğitimleri
Tedarikçi güvenliği
Fiziksel güvenlik önlemleri
İç denetim ve iyileştirme kayıtları

Denetçi, yalnızca dokümanların mevcut olup olmadığını kontrol etmez; uygulamaların kayıtlarla desteklenip desteklenmediğini de değerlendirir.

ISO 27001 İç Denetiminde En Çok Sorulan Sorular

ISO 27001 denetiminde en çok sorulan soruları aşağıda derledik ve detaylı bir şekilde açıkladık.

Bilgi güvenliği politikası oluşturuldu mu?

İç denetimlerde ilk incelenen konulardan biri bilgi güvenliği politikasıdır. Kuruluşun bilgi güvenliğine yaklaşımı, temel prensipleri ve çalışanlardan beklentileri bu politika içerisinde tanımlanmalıdır.

Politikanın güncel olması, çalışanlara duyurulması ve yönetim tarafından desteklenmesi önemlidir.

Bilgi güvenliği riskleri nasıl belirleniyor?

ISO 27001 kapsamında kuruluşların bilgi güvenliği risklerini belirlemesi ve değerlendirmesi gerekir. İç denetimde risk değerlendirme metodolojisi, belirlenen riskler, risk seviyeleri ve alınan önlemler incelenebilir.

Denetçi şu konuları değerlendirebilir:

Kritik bilgi varlıkları belirlenmiş mi?
Risk değerlendirme kriterleri tanımlanmış mı?
Risklere yönelik aksiyonlar oluşturulmuş mu?
Risk değerlendirmeleri belirli aralıklarla güncelleniyor mu?

Bilgi varlıkları envanteri tutuluyor mu?

Bilgi güvenliği yönetiminde hangi varlıkların korunması gerektiğinin bilinmesi temel konulardan biridir. Bu nedenle kuruluşların bilgi varlıklarını tanımlaması ve takip etmesi beklenir.

Varlık envanterinde;

Sunucular
Bilgisayar sistemleri
Yazılımlar
Veritabanları
Dokümanlar
Bulut hizmetleri
Müşteri verileri

gibi bilgi varlıkları yer alabilir.

Denetim sırasında bu listenin güncelliği ve varlık sahiplerinin belirlenip belirlenmediği kontrol edilebilir.

Kullanıcı erişimleri nasıl yönetiliyor?

Yetkisiz erişimlerin önlenmesi ISO 27001 kapsamında önemli bir kontrol alanıdır. İç denetimlerde kullanıcı hesaplarının açılması, değiştirilmesi ve kapatılması süreçleri incelenebilir.

Denetçiler şu soruları yöneltebilir:

Kullanıcı yetkileri nasıl belirleniyor?
Ayrılan personellerin erişimleri zamanında kapatılıyor mu?
Yönetici hesapları kontrol altında mı?
Yetki kontrolleri düzenli yapılıyor mu?

Erişim yönetiminin görev tanımlarıyla uyumlu olması bilgi güvenliğinin temel unsurlarından biridir.

Yedekleme süreçleri kontrol ediliyor mu?

ISO 27001 iç denetimlerinde veri kaybına karşı alınan önlemler de değerlendirilir. Kuruluşun kritik verileri için yedekleme politikalarının bulunması ve bu süreçlerin uygulanması önemlidir.

Denetim sırasında;

Yedekleme planları
Yedekleme kayıtları
Geri dönüş testleri
Yedeklerin saklama koşulları

incelenebilir.

Sadece yedek alınması yeterli değildir; gerektiğinde verilerin geri getirilebildiğinin doğrulanması da önem taşır.

Çalışanlara bilgi güvenliği eğitimi veriliyor mu?

Bilgi güvenliği süreçlerinde çalışan farkındalığı önemli bir rol oynar. Bu nedenle ISO 27001 iç denetimlerinde çalışan eğitim kayıtları değerlendirilebilir.

Kontrol edilebilecek kayıtlar arasında:

Eğitim katılım listeleri
Eğitim içerikleri
Farkındalık çalışmaları
Yeni çalışan bilgilendirmeleri

bulunabilir.

Çalışanların parola güvenliği, oltalama saldırıları, veri koruma ve bilgi paylaşımı konularında bilinçlendirilmesi güvenlik seviyesini destekler.

Güvenlik olayları nasıl yönetiliyor?

ISO 27001, bilgi güvenliği olaylarının belirlenmesi, değerlendirilmesi ve yönetilmesine yönelik süreçlerin oluşturulmasını gerektirir.

İç denetimlerde aşağıdaki konular incelenebilir:

Güvenlik olayı kayıtları
Müdahale süreçleri
Olay sonrası değerlendirmeler
Düzeltici faaliyet kayıtları

Kuruluşların yaşanan güvenlik olaylarından ders çıkararak süreçlerini geliştirmesi beklenir.

Tedarikçi güvenliği değerlendiriliyor mu?

Kuruluşlar hizmet aldığı dış kaynak sağlayıcıların bilgi güvenliği üzerindeki etkilerini değerlendirmelidir. Bu nedenle tedarikçi yönetimi ISO 27001 iç denetimlerinde kontrol edilen alanlardan biridir.

Özellikle;

Bulut hizmet sağlayıcıları
Yazılım hizmetleri
Veri merkezi hizmetleri
Dış kaynak BT hizmetleri

gibi alanlarda güvenlik kriterleri değerlendirilir.

ASB Kalite Belgelendirme ile ISO 27001 Süreçlerinde Profesyonel Destek

ASB Kalite Belgelendirme, kuruluşların ISO 27001 Bilgi Güvenliği Yönetim Sistemi süreçlerinde profesyonel destek sağlayarak belgelendirme hazırlıklarının daha planlı yürütülmesine katkı sağlar. Risk analizleri, dokümantasyon çalışmaları, mevcut durum değerlendirmeleri ve denetim hazırlıkları konusunda işletmelere rehberlik eder. Bilgi Güvenliği Yönetim Sistemi belgesinin yanı sıra ISO 9001 belgesi de almak istiyorsanız, ASB bu sürecinizde profesyonel destek sağlayacaktır.