ISO 27001 Madde 7.4 – İletişim
ISO 27001:2022 Madde 7.4 (İletişim) ve Madde 7.5 (Belgelenmiş Bilgi) için gayet net ve kapsamlı açıklamalar yazmışsınız. Her iki maddenin de özünü çok iyi özetlemişsiniz. Dilerseniz bu içerikleri bir denetim rehberinde, eğitim sunumunda ya da BGYS dokümantasyon kılavuzunda kullanacak şekilde yapılandırabilirim. Aşağıda, iki maddeyi de sade, net ve profesyonel bir yapıya sokulmuş şekilde sunuyorum:
Temel Gereklilik
Bu madde, Bilgi Güvenliği Yönetim Sistemi (BGYS) kapsamında gerekli olan iç ve dış iletişimin planlanmasını gerektirir. Şirketin:
-
Neyi,
-
Kim tarafından,
-
Ne zaman,
-
Nasıl iletmesi gerektiği ve
-
İletinin kim tarafından alınması gerektiği açık şekilde tanımlanmalıdır.
Belgeleme Gerekliliği
-
Bu madde özel bir belge gerektirmez.
-
Ancak Afet Kurtarma Planı, Olay Yönetim Prosedürü gibi diğer belgelerde iletişim unsurlarının tanımlanması iyi uygulama olarak önerilir.
-
İletişim Planı hazırlanması zorunlu olmamakla birlikte, birçok kuruluş tarafından tercih edilmektedir.
Uygulama Önerileri
Kuruluşun aşağıdaki sorulara cevap vermesi gereklidir:
-
Ne tür bilgiler iletişim konusu olacak?
-
Bu iletişim hangi zamanlarda yapılacak?
-
Hangi taraflara ileti gönderilecek?
-
Hangi iletişim kanalları kullanılacak? (E-posta, intranet, toplantılar, vs.)
Denetim Kanıtı
Denetim sırasında aşağıdaki kanıtlar istenebilir:
-
İlgili tarafların tanımlandığına dair kayıtlar
-
İletilecek bilgilerin ve zamanlarının tanımlandığı dökümanlar
-
Kullanılan iletişim kanallarının açıklamaları
-
Yazılı iletişim örnekleri (e-posta, toplantı notları, duyurular)
ISO 27001 Madde 7.5 – Belgelenmiş Bilgi
Alt Maddeler
-
7.5.1 – Genel: Belgelenmiş bilgi, BGYS’nin etkin şekilde işletilmesi için gereklidir.
-
7.5.2 – Oluşturma ve Güncelleme: Belgeler oluşturulurken uygun biçim, onay, gözden geçirme gibi adımlar tanımlanmalıdır.
-
7.5.3 – Kontrol: Belgeler ve kayıtlar uygun şekilde kontrol edilmeli, bütünlük, erişim, saklama, imha süreçleri yönetilmelidir.
Zorunlu Belgeler
-
ISO 27001 kapsamında gerekli görülen belgeler mutlaka oluşturulmalıdır.
-
Belge ve Kayıt Kontrol Prosedürü hazırlanması zorunlu değildir, ancak önerilir.
Uygulama Önerileri
Belgeler için:
-
Format ve versiyon kontrolü belirlenmelidir.
-
Kimler tarafından hazırlanıp onaylanacağı açıkça tanımlanmalıdır.
-
Nerede saklanacağı ve kimlere dağıtılacağı belirlenmelidir.
-
Güncelleme ve eski sürümlerin imhası kontrol altına alınmalıdır.
Kayıtlar için:
-
Hangi kayıtların tutulacağı analiz edilmelidir.
-
Saklama yeri, sorumlu kişi, koruma ve saklama süresi tanımlanmalıdır.
Denetim Kanıtı
Denetçi şu kanıtları arar:
-
BGYS’nin yürütülmesi için gerekli belgelerin mevcut olup olmadığı
-
Belgelerin güncelleme ve kontrol mekanizmalarının işlerliği
-
Kayıtların düzenli tutulup tutulmadığı ve korunduğu
-
Son sürümlerin erişilebilir olup olmadığı
