ISO 27001 Madde 7.5: Belgelenmiş Bilgiler

ISO 27001’in 7.5 maddesi olan “Belgelenmiş Bilgiler”, bilgi güvenliği yönetim sisteminin (BGYS) bel kemiğini oluşturan önemli bir bölümdür. Aşağıda bu maddeyi, daha sade ve uygulanabilir bir çerçevede toparlayalım:

🔹 Temel Amaç

Belgeler ve kayıtlar, BGYS’in etkinliğini sağlamak ve kanıtlamak için gereklidir. 7.5 maddesi, bu bilgilerin:

• Doğru şekilde oluşturulmasını ve güncellenmesini

• Uygun şekilde kontrol edilmesini ve korunmasını

• Gerektiğinde erişilebilir olmasını şart koşar.

🔸 Alt Başlıklar

7.5.1 – Genel:
Belgelenmiş bilgiler, BGYS’in işleyişini sağlamak için gerekli olan her tür belge ve kaydı kapsar.

7.5.2 – Oluşturma ve Güncelleme:
Belgelerin aşağıdaki bilgileri içermesi gerekir:

• Tanımlayıcı başlık

• Belge numarası (varsa)

• Revizyon tarihi ve sürüm numarası

• Onaylayan kişi veya makam

7.5.3 – Kontrol:
Belgeler aşağıdaki yönlerden kontrol edilmelidir:

• Dağıtım ve erişim: Kimin ne zaman hangi belgeye erişebileceği açık olmalıdır.

• Saklama ve koruma: Fiziksel ve dijital olarak korunmalıdır.

• İmha: Artık kullanılmayan belgeler uygun şekilde imha edilmelidir.

📑 Gerekli Belgeler

Standardın gerektirdiği belgeler:

• Politika belgeleri (örneğin: Bilgi Güvenliği Politikası)

• Risk değerlendirme metodolojisi

• Risk işleme planı

• Varlık envanteri

• Yetkilendirme ve erişim kayıtları

• Gözden geçirme ve iç denetim kayıtları

Not: “Belge ve Kayıt Kontrol Prosedürü” yazılması zorunlu değildir ama iyi bir uygulamadır.

🛠️ Nasıl Uygulanır?

1. Mevcut durum analizi yapın: Belgeler nasıl tutuluyor? Nerede? Kim sorumlu?

2. Format ve versiyonlama tanımlayın.

3. İnceleme ve onay sürecini oluşturun.

4. Erişim yetkilendirmelerini belirleyin.

5. Eski belgeleri devre dışı bırakma süreci oluşturun.

6. Kayıtları saklama süresi ve sorumlusunu belirleyin.

✅ Denetim İçin Hazır Olun

Denetçi, aşağıdakileri görmeyi bekler:

• Gerekli belgelerin eksiksiz ve güncel olması

• Belgelerin revizyon geçmişi ve kimin onayladığı

• Belgelerin nasıl kontrol edildiğine dair kanıtlar (dağıtım, erişim, saklama, imha)

Eğer bu unsurlar belgelenmemişse ya da düzgün yönetilmiyorsa, bu bir uygunsuzluk olarak değerlendirilir.

ISO 27001 BGYS Nedir?