ISO 27001:2022 – Madde 4.1: Kuruluşu ve Bağlamını Anlamak
📌 Temel Tanım
ISO 27001:2022’nin 4.1 maddesi olan “Kuruluşu ve bağlamını anlamak”, bilgi güvenliği yönetim sisteminin (BGYS) etkin şekilde kurulabilmesi için kuruluşun stratejik bağlamının, yani iş yapma ortamının analiz edilmesini zorunlu kılar.
Kuruluş, bilgi güvenliği hedeflerine ulaşmasını etkileyebilecek içsel ve dışsal faktörleri belirlemelidir. Bu analiz, kuruluşun:
-
İlgili tarafları anlamasına,
-
Riskleri ve fırsatları belirlemesine,
-
BGYS kapsamını tanımlamasına doğrudan katkı sağlar.
🗂️ Belgeleme Gerekliliği
ISO 27001:2022 Madde 4.1, iç ve dış konuların belgelenmesini zorunlu kılmaz. Ancak, bu faktörlerin sistematik olarak değerlendirilmesi ve gerektiğinde kayıt altına alınması, denetimlerde açıklık ve tutarlılık sağlamak açısından tavsiye edilir.
Belgelemesi zorunlu olmayan örnek girdiler şunlar olabilir:
-
İçsel konuların listesi (örneğin: organizasyonel yapı, çalışan yetkinlikleri, mevcut BT altyapısı)
-
Dışsal konuların listesi (örneğin: yasal düzenlemeler, sektörel tehditler, tedarikçi ilişkileri)
🛠️ Uygulama Yöntemi
Kuruluşun bu maddeye uygun hareket edebilmesi için şu adımları izlemesi önerilir:
-
İçsel konuları belirleyin:
-
Kuruluşun organizasyonel yapısı
-
Kültürü, stratejileri, kaynakları ve teknolojik kabiliyetleri
-
-
Dışsal konuları belirleyin:
-
Hukuki, politik, ekonomik, sosyal ve teknolojik faktörler
-
Sektörel eğilimler ve tehdit ortamı
-
Yasal ve düzenleyici gereksinimler
-
-
Çıktı:
-
BGYS’nin oluşturulacağı çevresel bağlam netleştirilmiş olur.
-
Bu bağlam, risk analizi, kapsam belirleme ve politika oluşturma gibi süreçlerin temelini oluşturur.
-
🕵️♂️ Denetimlerde Ne Beklenir?
Belgelendirme denetiminde, Madde 4.1’e ilişkin olarak denetçiler şu unsurları inceler:
-
Kuruluşun iç ve dış konuları sistematik olarak tespit edip etmediği
-
Bu konuların bilgi güvenliğiyle nasıl ilişkilendirildiği
-
Konulara ilişkin farkındalığın yönetim ve ilgili personel tarafından sağlanıp sağlanmadığı
📌 Not: Konuların yazılı hale getirilmesi zorunlu olmasa da, denetçi bu bilginin varlığını organizasyon içindeki görüşmeler yoluyla doğrulayabilir. Yazılı hale getirmek, tutarlılığı ve sürdürülebilirliği artırır.
✅ Sonuç olarak, Madde 4.1, bilgi güvenliği yönetim sisteminin güçlü bir temel üzerine kurulması için kuruluşun iç ve dış çevresini iyi analiz etmesini şart koşar. Bu analiz sadece başlangıç değil, sürekli gözden geçirilmesi gereken dinamik bir süreçtir.
