Çok Katmanlı ISO 27001 Süreci !

4. İcracılar: Kurum ve Yönetim

Peki bu faaliyetleri kim icra edecektir? Standart zaman zaman “Kurum..”, zaman zaman da “Yönetim..” “..aşağıdaki faaliyetleri gerçekleştirir” ifadesini kullanmaktadır. Yönetim kurumun dışında yer alan bir unsur olamayacağına göre “Yönetim” ifadesinden “Sadece Yönetim”, “Kurum” ifadesinden ise “Kurum içinde yönetim tarafından görevlendirilmiş birimler ve gerekiyorsa yönetim temsilcisi” anlaşılmalıdır. (2. Şekil)

Standart, “5 Yönetim Sorumluluğu” başlığı altında yönetimin sürecin tamamında devrede olduğunu çeşitli faaliyetler aracılığı ile ispat etmesi gerektiğini ifade ederek “Kurum” ve “Yönetim” kavramlarını yukarıdaki gibi tanımlamamızı sağlamaktadır.
Özetle “Yönetim”, tüm süreç boyunca devrede kalmakta, çeşitli adımlarda faaliyetler icra ederek veya kaynak sağlayarak BGYS sürecine katkıda bulunmaktadır.

“Kurum” ve “Yönetim” faaliyetlerine ilave olarak standartta dikkat çeken bir faaliyet türü de dokümantasyon ve kayıt çalışmalarıdır. Bu konu “4.3 Dokümantasyon ihtiyaçları” başlığı altında işlenmektedir. Bu başlık altında üretilmesi zorunlu olan dokümanların PUKÖ döngüsünün hangi faaliyetleri ile ilişkili olarak geliştirileceği ve dokümanlarla ilgili olarak yönetimin üstüne düşenler açıklanmaktadır.

5. Kurum, Yönetim ve Dokümantasyon faaliyetleri

PUKÖ döngüsünde mevcut herhangi bir kurum faaliyeti için bu faaliyete paralel olarak gerçekleştirilmesi gereken bir yönetim faaliyeti ve faaliyetlerin çoğu için oluşturulması gereken doküman veya kayıtlar mevcuttur. Örnek olarak “4.2.1.c Risk değerlendirme yaklaşımının tanımlanması” faaliyetini inceleyelim. Bu faaliyet ile ilgili olarak yönetimin 5.1.f başlığında belirtilen “Riskleri kabul etme ölçütlerini ve kabul edilebilir risk seviyelerini belirleme” faaliyetini gerçekleştirmesi beklenmektedir. Aynı faaliyetle ilgili olarak 4.3.1.d başlığında “Risk değerlendirme metodolojisi tanımı”nın doküman olarak oluşturulması gerektiği belirtilmektedir. (3. Şekil)

6. Yönetim ve dokümantasyonun oluşturduğu paralel döngüler

Standardın “4.2 BGYS’nin kurulması ve yönetilmesi” başlığı, esasen “PUKÖ döngüsü”nün tamamını içermekte, BGYS süreci çerçevesinde gerçekleştirilecek kurum faaliyetlerine değinirken yönetim faaliyetlerine ve dokümantasyona da göndermeler yapmaktadır. (Kurum faaliyetlerinin bir kısmı ise – “6 İç tetkik” ve “8 BGYS’nin iyileştirilmesi” – daha sonra detaylandırılmıştır.)
Ardından gelen 4.3 başlığı süreç boyunca üretilecek dokümanlara değinmekte, 5 ve 7 numaralı başlıklar ise yönetim faaliyetlerini açıklamaktadır.
Bu bölümlerin içerikleri PUKÖ döngüsüne eşlik eden yönetim ve dokümantasyon döngülerini tanımlamaktadır. Bu üç paralel döngünün bir araya gelmesiyle çok katmanlı BGYS süreci oluşmaktadır (4. Şekil).

Şekilde de görüldüğü gibi
- Yönetim faaliyetleri üst katmanı,
- Kurum faaliyetleri orta katmanı,
- Dokümantasyon ve kayıtlar ise alt katmanı oluşturmaktadır.
Bu aşamada ekleri hariç 13 sayfadan ibaret olan ISO 27001 standardının hangi katmana ne kadar yer ayırdığına ve bunların sırasına da bir göz atalım. (5. Şekil ve 2. Tablo) Daha detaylı bilgi için bu makalenin ekinde bulunan ISO 27001 standardının “İçindekiler” bölümünü inceleyebilirsiniz.

Şekil – 5: Sıra ve sayfa sayısına göre ISO 27001 başlıkları

Tablo – 2: Kurum faaliyetleri, yönetim faaliyetleri ve dokümantasyonun standart alt başlıkları ile ilişkisi

Yukarıdaki şekilde kırmızı ve turuncu tonlarla belirtilen bölümler yönetim, mavinin tonlarıyla belirtilen bölümler kurum, yeşil bölümler ise dokümantasyon katmanına ait faaliyetlere değinmektedir.

BGYS sürecinin her aşamasında üç katmanda birden faaliyet yürütüldüğünü söylemek mümkün olmasa da çoğunlukla mümkündür. Örneğin yönetim katmanının katkısının bazı aşamalarda kaynak tedarik etmekten ibaret olduğunu, diğer bazı aşamalar için ise standardın doküman talep etmediğini söylemek mümkündür. Buna rağmen sürecin tamamınında her üç katmanda da yerine getirilmesi gereken sorumlulukların bulunduğu, dolayısıyla 4. Şekil’de resmedilen çok katmanlı BGYS döngüsünün bilgi güvenliği sürecine ilişkin hayli gerçekçi bir model oluşturduğu kanısındayız.

Çok katmanlı yapıların hemen hepsinde olduğu gibi burada da üst katmanın çıktısı bir alttaki katmanın girdisini oluşturmakta, kurum faaliyetlerinin sonucunda oluşan dokümantasyon ise çoğunlukla sürecin bir sonraki faaliyeti için girdi olmaktadır.

Örnek olarak tekrar 3. Şekle dönecek olursak,
Bir yönetim faaliyeti olan kabul edilebilir risk seviyesinin belirlenmesi (5.1.f), kurum faaliyeti olan risk değerlendirme yaklaşımının belirlenmesine (4.2.1.c) girdi oluşturmakta, bu faaliyet sonucunda dokümantasyon katmanında yer alan risk metodoloji belgesi (4.3.1.d) üretilmektedir. Bu doküman, sürecin bir sonraki faaliyeti olan risk analizi çalışmaları (4.2.1.d-f) için girdi oluşturmaktadır.

7. Katmanlar arası senkronizasyon ve BGYS süreç özeti

Standartta bulunan tüm göndermelerin incelenmesi ile farklı katmanlardaki faaliyetlerin ilişkilendirilmesi ve katmanlar arası senkronizasyonun sağlanması mümkün olabilir. Böylece 5. şekilde ve 2. tabloda görüldüğü üzere standartta karışık olarak yer alan BGYS sürecinin tüm katman ve faaliyetlerini tek şekilde özetlemek mümkün olacaktır. (Bu özet şekil-7’de gösterilmiştir.) Ancak önce bunu nasıl yapacağımızı açıklayalım. 6. Şekil esasen 4. Şeklin detaylandırılmaya başlanmış versiyonu olmakla birlikte yer darlığı yüzünden 4. şekildeki derinlik ve çok katmanlı yapı duygusunu verememektedir.

Standartta yer alan tüm faaliyetlerin detaylı BGYS döngüsüne yerleştirilmesi ile hem süreçte yer alan faaliyetlerin tamamı, hem de bu faaliyetler arasındaki ilişkiler gözler önüne serilmektedir. (7. Şekil)

8. Sonuç

Yönetim desteği ve dokümantasyon ISO 27001 standardında tarif edilen BGYS sürecinin olmazsa olmazlarındandır. Süreci oluşturan faaliyetlerin yönetim ve dokümantasyon boyutlarının da sürece paralel ve vazgeçilmez katmanlar olarak algılanması BGYS’nin başarı ile uygulanma şansını arttıracaktır.