ISO 27001:2022 İç Denetim Soru Listesi ve BGYS Uygulama Rehberi
Kurumsal verilerin korunması ve siber tehditlere karşı dayanıklılık sağlanması, modern iş dünyasında bir tercih olmaktan çıkıp zorunluluk haline gelmiştir. Bilgi Güvenliği Yönetim Sistemi (BGYS) kurulumunun uluslararası standardı olan ISO 27001, kurumların bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik ilkeleri çerçevesinde korumasını sağlar. Ancak bir yönetim sistemini kurmak kadar, sistemin etkinliğini düzenli olarak ölçmek de kritik öneme sahiptir. İşte bu noktada ISO 27001:2022 iç denetim soru listesi devreye girer.
Bu yazımızda, güncel ISO/IEC 27001:2022 standardına uygun iç tetkik süreçlerini nasıl yürüteceğinizi inceleyecek ve denetimlerinizde doğrudan kullanabileceğiniz kapsamlı kontrol listesini paylaşacağız.
BGYS İç Denetimi (İç Tetkik) Nedir ve Neden Yapılır?
ISO 27001 iç denetimi (standardın 9.2 maddesi), kurumun kendi Bilgi Güvenliği süreçlerini bağımsız ve tarafsız bir gözle kontrol etmesidir. İç denetimin temel amacı sadece belgelendirme denetimine hazırlanmak değil; sistemdeki zafiyetleri, uygunsuzlukları ve iyileştirme fırsatlarını dış denetçilerden veya siber saldırganlardan önce tespit etmektir.
Etkin bir BGYS iç denetimi kurumunuza şunları kazandırır:
- Kurumsal bilgi güvenliği politikalarının sahada gerçekten uygulanıp uygulanmadığını doğrulama,
- Risk değerlendirme ve risk işleme planlarının güncelliğini test etme,
- ISO 27001:2022 geçişiyle birlikte gelen yeni Ek-A (Annex A) kontrollerine uyumu ölçme,
- Yönetimin Gözden Geçirmesi (YGG) toplantısına somut ve ölçülebilir veriler sunma.
ISO 27001:2022 Versiyonunda İç Denetim Yapısı Nasıl Değişti?
2022 revizyonu ile birlikte Bilgi Güvenliği Yönetim Sistemi kontrolleri sadeleştirilmiş ve modern teknoloji ihtiyaçlarına göre güncellenmiştir. Eski versiyonda 14 ana başlık altında yer alan 114 kontrol, ISO 27001:2022 ile birlikte 4 ana tema ve 93 kontrol altında toplanmıştır.
Hazırladığımız iç denetim soru listesi, hem standardın ana maddelerini (Madde 4 – Madde 10) hem de aşağıdaki 4 yeni Ek-A kontrol kategorisini kapsamaktadır:
| Kontrol Kategorisi | Kapsam ve Odak Noktası | Kontrol Sayısı |
| 1. Organizasyonel Kontroller (Madde 5) | Politikalar, roller, tehdit istihbaratı, bulut hizmetleri güvenliği ve tedarikçi ilişkileri. | 37 Kontrol |
| 2. İnsan Kontrolleri (Madde 6) | İK güvenliği, gizlilik sözleşmeleri, bilgi güvenliği farkındalık eğitimleri ve uzaktan çalışma. | 8 Kontrol |
| 3. Fiziksel Kontroller (Madde 7) | Fiziksel güvenlik sınırları, çalışma alanları, ekipman güvenliği ve temiz masa/temiz ekran. | 14 Kontrol |
| 4. Teknolojik Kontroller (Madde 8) | Erişim kontrolü, kriptografi, veri sızıntısı önleme (DLP), veri maskeleme, yedekleme ve güvenli kodlama. | 34 Kontrol |
Adım Adım BGYS İç Denetim Süreci
Paylaştığımız ISO 27001 iç denetim soru listesi dokümanını kullanırken şu 4 adımı takip ederek denetim verimliliğini en üst düzeye çıkarabilirsiniz:
- Denetim Planlaması: Yıllık iç denetim planını oluşturun. Denetlenecek departmanları, süreç sahiplerini ve tarafsızlık ilkesine uygun iç denetçileri belirleyin.
- Doküman İncelemesi ve Saha Denetimi: Soru listesindeki maddeleri tek tek sorgulayın. Sadece “Evet/Hayır” demekle yetinmeyin; objektif kanıtları (log kayıtları, eğitim tutanakları, yedekleme test raporları, Uygulanabilirlik Bildirgesi – SoA) mutlaka inceleyin ve kayıt altına alın.
- Uygunsuzlukların Raporlanması: Tespit edilen eksiklikleri majör/minör uygunsuzluk veya gözlem (iyileştirme alanı) olarak sınıflandırın ve Düzeltici Faaliyet (DÖF) süreçlerini başlatın.
- Kapanış ve YGG Girdisi: Denetim sonuçlarını raporlayarak üst yönetime (YGG toplantısında) sunun.
[📥 İNDİRME / TABLO ALANI: ISO 27001:2022 İç Denetim Soru Listesi (Excel / PDF) bağlantınızı veya tablonuzu tam olarak bu bölüme yerleştirin.]
Sıkça Sorulan Sorular (SSS)
ISO 27001 iç denetimi yılda kaç kez yapılmalıdır? ISO 27001 standardı “planlanmış aralıklarla” yapılmasını şart koşar. Genel kabul gören uygulama, tüm BGYS süreçlerinin yılda en az 1 kez iç denetimden geçirilmesidir. Ancak kritik bilgi güvenliği süreçlerinde veya sistemde büyük değişiklikler olduğunda bu sıklık artırılabilir.
ISO 27001 iç denetimini kimler yapabilir? İç denetimi, ISO 27001:2022 standardı ve iç tetkikçilik eğitimi almış sertifikalı personeller veya dış kaynaklı bilgi güvenliği danışmanları yapabilir. En önemli kural, denetçinin kendi işini veya kendi sorumlu olduğu departmanı denetleyememesidir (bağımsızlık ilkesi).
İç denetim soru listesi Uygulanabilirlik Bildirgesi (SoA) ile uyumlu olmak zorunda mı? Evet. Kurumunuzun Uygulanabilirlik Bildirgesi’nde (Statement of Applicability) kapsam dışı bıraktığı Ek-A kontrolleri varsa, iç denetim soru listesinde bu maddelerin neden hariç tutulduğunun gerekçesi kontrol edilmeli, kapsama dahil edilen tüm maddeler ise sahada denetlenmelidir.
ISO 27001:2022 kapsamında soru listesini aşağıdaki bağlantıdan indirebilirsiniz.
