1. Temel Gereklilikler

ISO 27001 Madde 9.1, Bilgi Güvenliği Yönetim Sistemi (BGYS) kapsamında:

• Bilgileri koruyan süreçlerin, prosedürlerin ve işlevlerin etkinliğini ve verimliliğini izlemeyi, ölçmeyi, analiz etmeyi ve değerlendirmeyi zorunlu kılar.

• ISMS performansına ilişkin kriterlerin oluşturulmasını ve bu kriterlere göre değerlendirme yapılmasını ister.

2. Zorunlu Belgeler

3. Uygulama Adımları

Şirketlerin Madde 9.1 gerekliliklerine uyum sağlayabilmesi için izlemesi gereken adımlar:

3.1 Neyin İzleneceği ve Ölçüleceği

• Tanımlayın: Hangi süreçler ve kontroller izlenecek?

  • Örnek: Olay Yönetimi Süreci

• Performans Ölçütleri: Ölçüm kriterleri oluşturun.

  • Örnek: Güvenlik olaylarının ortalama çözüm süresi.

3.2 Yöntemleri Tanımlayın

• İzleme ve Ölçme Yöntemleri belirlenmelidir:

  • İzleme: Olay yönetim yazılımı üzerinden olay raporlarının alınması.

  • Ölçme: Sayısal veriler ve istatistiksel raporların oluşturulması.

3.3 Sıklık ve Zamanlama Belirleyin

• İzleme ve ölçüm sıklığı tanımlanmalıdır:

  • İzleme: Gerçek zamanlı

  • Ölçüm: Haftalık raporlarla

3.4 Sorumlulukları Tanımlayın

• İzleme ve ölçme faaliyetlerini kimin gerçekleştireceği belirlenmelidir.

  • Örnek: Sistem Yöneticisi – BT olaylarının izlenmesi

3.5 Sonuçların Analizi ve Değerlendirmesi

• Sonuçların ne zaman analiz edileceği ve değerlendirileceği tanımlanmalıdır.

  • Örnek: Bilgi Güvenliği Sorumlusu tarafından haftalık analiz, aylık değerlendirme toplantıları.

4. Denetim Kanıtları

Denetim sırasında aşağıdaki kanıtların bulunması beklenir:

✅ İzlenecek ve ölçülecek unsurların tanımlandığı belge
✅ Uygun, karşılaştırılabilir, tekrarlanabilir ve geçerli yöntemler
✅ İzleme ve ölçmenin planlı aralıklarla yapıldığına dair kayıtlar
✅ Görevli ve sorumlu kişilerin açıkça belirlendiği kayıtlar
✅ Elde edilen sonuçların belgelendiği ve raporlandığı dökümanlar

Uyarı: Eksik veya tutarsız belgeler uygunsuzluk (nonconformity) olarak raporlanır.

📋 Özet Akış

✨ Ekstra Tavsiyeler

• Performans kriterleri mutlaka sayısal ölçümlerle desteklenmelidir.

• İzleme ve ölçüm faaliyetleriyle ilgili dijital log kayıtları ve raporlar düzenli arşivlenmelidir.

• İç denetim sırasında bu belgeler ve sonuçlar mutlaka hazır bulundurulmalıdır.

• Uyum, sadece belge oluşturmakla değil, belirlenen süreçlerin gerçekten işletilmesiyle sağlanır.

ISO 27001 BGYS Nedir?