Müşteri sözleşmesinin yenileme metninde tek bir ek madde vardı: tedarikçi, on iki ay içinde ISO 27001 belgesi sunacak. Kalite ekibi ilk toplantıda rahatladı; doküman sistemi zaten kurulu, onay akışı işliyor, revizyon takibi var. Rahatlama, ikinci toplantıda bitti. Çünkü ISO 27001 doküman yönetimi mevcut yapıya yeni bir soru ekliyordu: hangi dokümanı kim görebilir? On yıldır "herkes her prosedürü okuyabilsin" mantığıyla kurulmuş bir sistemde bu sorunun cevabı yoktu.
Sözleşmeye 27001 şartı düştüğünde ne değişir?
Kalite tarafında doküman kontrolünün amacı yayılmadır; doğru sürümün doğru kişiye ulaşması istenir. Bilgi güvenliğinde ise amaç sınırlamadır; bilginin yalnızca ihtiyacı olana ulaşması istenir. İki mantık birbirine zıt görünse de aynı sistemde yaşayabilir, yeter ki doküman kartına iki alan eklensin: gizlilik sınıfı ve erişim rolü. Sistemi baştan kurmanız gerekmez; ISO 27001'in 7.5 maddesi, kalite tarafındaki 7.5 ile aynı şeyleri ister.
ISO 27001 doküman yönetimi tarafında eklenen katman şu üç işi getirir. Birincisi sınıflandırma, ikincisi rol bazlı erişim, üçüncüsü erişim kaydı. Bu üçü kurulduğunda 27001 dokümantasyonunun altyapısı hazırdır; geri kalanı içerik yazmaktır. Genel çerçeveyi görmek isterseniz standartlar sayfamızda hangi standardın hangi doküman beklentisini getirdiğini karşılaştırdık.
Zorunlu dokümanlar: liste sandığınızdan kısa
ISO 27001 doküman yönetimi için zorunlu liste uzun değil; asıl hacmi Ek A kontrollerini karşılamak için yazdığınız politika ve prosedürler oluşturur. Aşağıdaki tablo, zorunlu kalemleri madde numarasıyla, önerilen gizlilik sınıfıyla ve kimin erişmesi gerektiğiyle birlikte veriyor. Sınıf önerileri sahada işleyen kurgudan geliyor, kural değil başlangıç noktasıdır.
| Doküman / kayıt | Madde | Önerilen gizlilik sınıfı | Erişim |
|---|---|---|---|
| BGYS kapsamı | 4.3 | İç kullanım | Tüm çalışanlar |
| Bilgi güvenliği politikası | 5.2 | Açık | Çalışanlar ve tedarikçiler |
| Risk değerlendirme ve işleme süreci | 6.1.2, 6.1.3 | İç kullanım | BGYS ekibi, yöneticiler |
| Uygulanabilirlik Bildirgesi (SoA) | 6.1.3 d | Gizli | BGYS ekibi, üst yönetim, denetçi |
| Risk işleme planı ve sonuçları | 8.3 | Gizli | BGYS ekibi, ilgili süreç sahipleri |
| Varlık envanteri | Ek A, A.5.9 | Gizli | BT, BGYS ekibi |
| Erişim kontrol politikası | Ek A, A.5.15 | İç kullanım | Tüm çalışanlar |
| Olay kayıtları ve müdahale kayıtları | Ek A, A.5.24 | Çok gizli | Olay ekibi, üst yönetim |
| İç denetim programı ve raporları | 9.2 | Gizli | Denetçiler, yönetim |
| Uygunsuzluk ve düzeltici faaliyet kayıtları | 10.2 | İç kullanım | Süreç sahipleri |
Tabloyu ilk kez dolduranların yaptığı hata, her şeyi "gizli" işaretlemektir. Her şey gizliyse hiçbir şey gizli değildir; kullanıcı sürekli yetki talep eder, yöneticiler onaylamaktan bıkar ve altı ay sonra herkese geniş yetki verilir. Sınıflandırma, gerçekten kısıtlanması gereken kalemi ayırt edebildiğinizde işe yarar.
Sınıflandırmayı kimin yapacağını da baştan karara bağlayın. En doğru kişi dokümanı hazırlayandır; çünkü içeriği o bilir. Onaylayan ise sınıfı gözden geçirir. Bilgi güvenliği sorumlusunun her dokümanı tek tek sınıflandırmasını beklemek, kurulumu ilk aydan tıkayan bir yaklaşımdır ve pratikte hiçbir tesiste yürümez.
Gizlilik sınıflandırması: dört seviye yeter
Ek A'nın A.5.12 kontrolü bilginin sınıflandırılmasını, A.5.13 kontrolü ise etiketlenmesini ister. İkisi ayrı işlerdir: sınıflandırma sistemde tutulan bir özelliktir, etiketleme ise dokümanın üzerinde görünen ibaredir. Doküman şablonunuzun üstbilgisine sınıf alanını yerleştirin ve sistemden gelen değeri oraya bastırın. Böylece çıktısı alınan bir sayfa masada unutulduğunda bile ne olduğu anlaşılır.
Dört seviye kullanın: açık, iç kullanım, gizli, çok gizli. Her seviyenin karşısına üç kural yazın; kim görebilir, çıktı alınabilir mi, kurum dışına gönderilebilir mi. Bu üç kural bir sayfaya sığar ve eğitimde de aynı sayfayı kullanırsınız. Beş ve üzeri seviye kullanan kurumlarda sınıflandırma hatalarının belirgin biçimde arttığını gördük.
Gizli bir doküman sisteme konur, sonra aynı dosyanın bir kopyası e-postayla dağıtılır ve kurulan bütün yetki düzeni bir ekte buharlaşır. Sistem yetkiyi kontrol eder, e-posta etmez. Kurulumun ilk haftasında şu kuralı koyun: sınıfı gizli ve üzeri olan dokümanlar sistem dışına ek dosya olarak gönderilemez, bağlantı paylaşılır. Bu tek kural, erişim kaydının anlamlı kalmasını sağlar.
Rol bazlı erişim nasıl kurulur?
Kişi bazlı yetki vermek ilk gün kolaydır, altıncı ayda yönetilemez hâle gelir. Doğru kurgu, yetkiyi göreve bağlamaktır: BGYS sorumlusu, BT yöneticisi, süreç sahibi, iç denetçi, çalışan. Kişi işten ayrıldığında yalnızca rol ataması kaldırılır, onlarca doküman tek tek elden geçirilmez. Ek A'nın A.5.15 kontrolü erişim kurallarının iş gereksinimine göre belirlenmesini ister; görev bazlı yapı bu ifadenin doğrudan karşılığıdır.
İkinci adım, yetki değişikliklerini de kayıt altına almaktır. "Bu kullanıcıya SoA erişimini kim, ne zaman, hangi onayla verdi" sorusuna cevap veremeyen bir sistem denetimde zorlanır. PaKalite'de rol tanımları ve yetki değişiklikleri aynı denetim izinde tutulur; doküman erişimi ile modül yetkisi tek yerden yönetilir.
SoA'yı doküman gibi yönetmek
Uygulanabilirlik Bildirgesi, 27001'in en çok bakılan çıktısıdır ve çoğu kurumda tek bir Excel dosyası olarak yaşar. Sorun şurada: SoA sürekli değişir. Bir kontrolün uygulanabilirliği değiştiğinde, gerekçe metni güncellendiğinde ya da risk işleme planı revize edildiğinde SoA da revize olmalıdır. Bunu doküman sisteminde tutarsanız revizyon geçmişi, onay ve gerekçe kaydı kendiliğinden oluşur.
Sahada işleyen düzen şu: SoA'yı gizli sınıfında tek bir kontrollü doküman yapın, her satırın karşısına ilgili politikanın doküman numarasını yazın. Denetçi bir kontrolü sorduğunda SoA'dan doküman numarasına, oradan yürürlükteki revizyona geçersiniz. Bu zincir kurulmuş olduğunda denetim süresi belirgin biçimde kısalır. Risk tarafının nasıl kurgulanacağını risk yönetimi sayfamızda ayrıca anlattık.
Belgelendirme denetiminde erişim kaydı şu biçimde istenir: bir doküman seçilir ve son 90 günün hareketleri sorulur. Ekranda görülmesi gereken satır şuna benzer: "18.04.2026 14:32 · a.yildiz · BGP-04 Erişim Kontrol Politikası rev.03 · görüntüleme". İndirme ve çıktı alma ayrı satır olarak görünmelidir. Yalnızca "son giriş tarihi" tutan sistemler bu soruyu karşılamaz.
Bir noktayı da baştan netleştirin: yetki matrisi ile doküman erişimi aynı ekrandan yönetilmelidir. İki ayrı yerde tutulduğunda kaçınılmaz olarak çelişirler; kullanıcı modülden çıkarılır ama dokümana erişimi kalır. Yılda iki kez yetki gözden geçirmesi yapın, çıktısını imzalatıp kayıt olarak saklayın. Bu gözden geçirme kaydı, denetimde erişim kontrolünün canlı işlediğini gösteren en pratik kanıttır.
Erişim kaydı ve günlüklerin korunması
Ek A'nın A.8.15 kontrolü günlük kayıtlarının üretilmesini, saklanmasını ve korunmasını ister. Doküman tarafında bunun anlamı sade: kim hangi dokümanı görüntüledi, indirdi, yazdırdı ve yetkisi ne zaman değişti. Bu kaydın kendisinin de değiştirilemez olması gerekir; kayıt üzerinde silme yetkisi olan bir yönetici hesabı varsa denetçi bunu sorar. A.5.33 kontrolü ayrıca kayıtların kaybolmaya, tahrifata ve yetkisiz erişime karşı korunmasını şart koşar.
Saklama süresini de tanımlayın. Erişim günlüklerini sonsuza kadar tutmak ne gerekli ne de doğru; kişisel veri barındırdıkları için gereğinden uzun saklanmaları başka bir risk üretir. Çoğu kurumda on iki ay makul bir süredir, olay soruşturmasına konu olan kayıtlar ise soruşturma kapanana kadar dondurulur.
Farkındalık eğitimi ve okundu kaydı
Ek A'nın A.6.3 kontrolü çalışanların bilgi güvenliği farkındalık eğitimi almasını ister ve bu eğitimin kaydı denetimde ilk sorulan kalemlerdendir. Bilgi güvenliği politikasını yayımlamak yetmez; her çalışanın okuduğuna dair kaydın bulunması gerekir. Doküman sisteminde bu zaten var olan bir işlevdir. Politika revize edildiğinde okundu kaydını sıfırlayın ve tebliğ turunu yeniden başlatın.
Yeni işe girenler için de bir kural koyun: işe giriş oryantasyonunda bilgi güvenliği politikası ve kabul edilebilir kullanım kuralları tebliğ edilmeden kullanıcı hesabı açılmasın. Bu tek adım, denetimde en çok bulgu üreten "yeni personelin farkındalık eğitimi eksik" satırını ortadan kaldırır.
Dış kaynaklı dokümanlar ve tedarikçi belgeleri
Madde 7.5.3 yalnızca sizin ürettiğiniz dokümanları değil, dışarıdan gelen ve gerekli gördüğünüz dokümanları da kontrol altına almanızı ister. Bilgi güvenliğinde bu kalem şişkindir: müşteri gizlilik sözleşmeleri, tedarikçi güvenlik taahhütleri, bulut hizmetlerinin şartları, penetrasyon testi raporları. Bunları e-posta eklerinde tutmak yaygın ama denetimde en zorlandığınız yer burasıdır; çünkü hangi sürümün geçerli olduğu belli değildir.
Ek A'nın A.5.19 ve A.5.20 kontrolleri tedarikçi ilişkilerinde bilgi güvenliğini ve sözleşmelerde güvenlik şartlarının yer almasını ister. Pratik kurulum şu: dış kaynaklı her belge için ayrı bir doküman türü açın, geçerlilik tarihi alanı ekleyin ve bitiş tarihinden 60 gün önce sorumlusuna uyarı düşsün. Böylece süresi dolmuş bir gizlilik sözleşmesiyle çalışmaya devam etme riski ortadan kalkar. Tedarikçi tarafındaki genel düzen için tedarikçi yönetimi sayfamıza da bakabilirsiniz.
İlk 90 günde ne yapılır?
Belge hedefi olan ekiplere önerdiğimiz sıra şu. İlk üç hafta: kapsam yazılır, roller tanımlanır, sınıflandırma şeması onaylanır ve doküman kartına iki yeni alan eklenir. Dördüncü haftadan altıncı haftaya: mevcut tüm dokümanlar sınıflandırılır. Bu iş sıkıcıdır ama hızlıdır; 300 dokümanlık bir sistemde iki kişiyle üç günde biter, çünkü çoğu doküman iç kullanım sınıfına düşer.
Yedinci haftadan itibaren varlık envanteri, risk değerlendirme ve SoA gelir; bu üçü birlikte ilerler ve en çok zaman alan kısımdır. Son iki hafta farkındalık eğitimi ve tebliğ turu için ayrılır. Bu takvimde en sık kaçırılan adım, iç denetimin planlanmasıdır; belgelendirme denetimine girmeden önce en az bir tam iç denetim turunu tamamlamış olmanız gerekir ve o denetimin bulguları da kapanmış olmalıdır.
Kalite sisteminden ayrı mı, aynı sistemde mi?
Ayrı sistem kurmak ilk bakışta güvenli görünür ama iki doküman kontrol prosedürü, iki onay akışı ve iki iç denetim programı demektir. 27001'in 7.5 maddesi ile ISO 9001'in 7.5 maddesi aynı şeyi istediğine göre, ikisini ayırmanın gerekçesi kalmıyor. Uygun yol, mevcut yapıya gizlilik sınıfı ve rol katmanını eklemek. Standartlar arası madde eşleştirmesini tek sistemde entegre yönetim yazımızda tablo hâlinde bulabilirsiniz.
ISO 27001 doküman yönetimi kurulumunda sırayı da şaşırmayın: önce sınıflandırma şemasını ve rolleri tanımlayın, sonra mevcut dokümanları sınıflandırın, en son yeni politika ve prosedürleri yazın. Tersten giden ekipler yüzlerce yeni doküman üretip sonra bunları sınıflandıramaz hâle geliyor. Belgelendirme öncesi provanın nasıl kurulduğunu denetim sayfamızda ayrıca ele aldık.