ISO 27001:2022 – Madde 4: Kuruluşun Bağlamı
ISO 27001:2022 standardının 4. maddesi olan “Kuruluşun Bağlamı”, bilgi güvenliği yönetim sisteminin (BGYS) temellerinin atıldığı bölümdür. Bu madde, kuruluşun faaliyet ortamının (bağlamının) kapsamlı şekilde anlaşılmasını ve bilgi güvenliği yönetim sisteminin bu bağlam doğrultusunda şekillendirilmesini zorunlu kılar.
Bu bağlamda, kuruluş; iç ve dış etkenleri analiz etmeli, ilgili tarafları ve bunların beklentilerini değerlendirmeli ve BGYS kapsamını bu verilere dayanarak net biçimde tanımlamalıdır.
Madde 4, aşağıdaki dört alt başlıkla yapılandırılmıştır:
4.1 – Kuruluşun ve Bağlamının Anlaşılması
Kuruluş, bilgi güvenliği yönetim sistemini kurarken ve sürdürürken; stratejik yönünü, faaliyetlerini etkileyebilecek iç ve dış konuları (politik, teknolojik, yasal, rekabetçi vb.) belirlemelidir. Bu analiz, BGYS’nin amaçlarına ulaşmasına katkı sağlayacak tüm etkenleri kapsamalıdır.
4.2 – İlgili Tarafların İhtiyaç ve Beklentilerinin Anlaşılması
Kuruluş, bilgi güvenliğiyle bağlantılı olan tüm ilgili tarafları (müşteriler, çalışanlar, tedarikçiler, düzenleyici otoriteler vb.) tanımlamalı ve bu tarafların bilgi güvenliğiyle ilgili ihtiyaç ve beklentilerini analiz etmelidir. Bu süreçte özellikle, yasal, düzenleyici ve sözleşmeye dayalı yükümlülükler belirlenmeli ve hangilerinin uyumluluk yükümlülüğü oluşturduğu netleştirilmelidir.
4.3 – BGYS Kapsamının Belirlenmesi
Kuruluş, bilgi güvenliği yönetim sisteminin kapsamını ve sınırlarını, aşağıdaki unsurları dikkate alarak açık şekilde tanımlamalıdır:
-
Tanımlanan iç ve dış konular,
-
İlgili tarafların beklentileri,
-
Kuruluşun gerçekleştirdiği faaliyetler,
-
Bilgi güvenliğiyle bağlantılı diğer taraflarla olan arayüzler ve bağımlılıklar.
Kapsamın belirlenmesi, sistemin uygulanacağı alanların netleştirilmesi açısından kritik öneme sahiptir.
4.4 – Bilgi Güvenliği Yönetim Sisteminin Kurulması ve Sürdürülmesi
Kuruluş, bu madde kapsamında bir BGYS kurmalı, uygulamalı, sürdürmeli ve sürekli iyileştirmelidir. BGYS; birbirleriyle etkileşimli süreçlerden oluşmalı, performansı izlenmeli, kontrol edilmeli ve bilgi güvenliğini sağlamak için dinamik bir yapı olarak yönetilmelidir.
🔐 Özetle, Madde 4, BGYS’nin temellerini oluşturan kurumsal analizleri içerir. Bu madde doğru uygulanmadan, sistemin geri kalanının sürdürülebilir şekilde inşa edilmesi mümkün değildir.
