Uygulanabilirlik Bildirgesi
Uygulanabilirlik Bildirgesi, bir ISO 27001 denetiminin karşısında yürütüldüğü dokümandır. Ana form başına, Ek A kontrolü başına bir satır taşır ve her satır dört soruyu cevaplar:
- Bu kontrol kapsamımıza uygulanıyor mu?
- Neden — ya da neden uygulanmıyor?
- Ne kadarı gerçekten yerine getirildi?
- Kim hesap veriyor ve neyle kanıtlanıyor?
Uygulanabilirlik Bildirgesi, ISO 27001 madde 6.1.3 d) tarafından zorunlu kılınır. Bir risk kayıt defterini belgelendirilebilir bir yönetim sistemine dönüştüren çıktı odur: yaptıklarınızın raporu değil, size neyin uygulandığına dair beyanınız.
Satırlar yazılmaz, üretilir
Bildirge kaleme alınmaz. Açılır — ve satırları oluşturan şey onu okumaktır.
Bir ana formun bildirgesini açmak iki şey yapar:
- Kataloğun son seferden bu yana kazandığı kontroller için satır oluşturur.
- Zaten var olan satırlarda kayıt defterinin önerisini yeniler.
Üç sonuç doğar ve üçü de kasıtlıdır:
- Yeni bir ana form oluşturulduğunda 93 satır yazılmaz. Ek A kataloğu düzenlenebilir ve büyüyecektir; satırları oluşturma anında yazmak onun bir anlık görüntüsünü dondurmak olurdu.
- Senkronizasyon işi yoktur. Hiçbir şey takvimle çalışmaz; dolayısıyla başarısızlığını kimsenin fark etmeyeceği zamanlanmış bir görev de yoktur.
- Elle satır ekleyemez veya silemezsiniz. Yeni düğmesi ve silme aksiyonu yoktur.
Elle düzenlemenin neden reddedildiği: elle eklenmiş bir satır, kontrolünü iki farklı cevapla iki kez yazdırırdı. Elle kaldırılmış bir satır sonraki açılışta geri gelirdi — ve o zamana kadar doküman, hangisi olduğunu söylemeden bir cevap eksik olurdu. Bir denetçinin baştan sona okuduğu bir dokümanda iki hata da kendini duyurmaz.
Açılışın yazdığı şey, var olmayan satırlara ve öneri kolonuna sınırlıdır. Birinin verdiği bir cevaba asla dokunmaz.
Satır
- Kontrol — Ek A kontrolü; kodu adının üzerinde gösterilir.
- Tema — organizasyonel, insan, fiziksel veya teknolojik.
- Uygulanabilir — sizin cevabınız. Aşağıya bakın.
- Önerilen uygulanabilirlik — kayıt defterinin ima ettiği. Aşağıya bakın.
- Dahil etme gerekçeleri — kontrolün neden kapsamda olduğu. Birkaçı geçerli olabilir; her biri kendi satırıdır.
- Dışlama gerekçesi — olmadığı yerde neden olmadığı.
- Uygulama durumu — uygulanmadı, kısmen uygulandı veya uygulandı.
- Sorumlular — kontrol için kimin hesap verdiği.
- Dokümanlar — kanıt: prosedürler, politikalar, kayıtlar.
Tek soru için iki kolon
Uygulanabilir organizasyonun cevabıdır. Önerilen uygulanabilirlik, risk kayıt defterinin ima ettiğidir — bu ana form altındaki en az bir riskin kontrolü tedavi olarak seçtiği durumda doğrudur.
Tek yerine iki kolondur ki:
- öneri bir kararı asla ezmesin, ve
- satır, ikisi uyuşmadığında bunu söyleyebilsin.
Bir riskin o zamandan beri seçtiği, ama hâlâ uygulanabilir değil olarak işaretli bir kontrol, tam olarak bir denetimin sorduğu çelişkidir.
Uyuşmazlık satırda işaretlenir ve liste buna göre filtrelenebilir. "Bir denetçinin soracağı satırları göster" bu ekranın var olma amacı olan sorudur ve bir belgelendirme ziyaretinden önce kullanılacak ilk filtredir.
Öneri neyi okur
Öneri yalnızca seçilen kontrolleri okur, mevcut olanları değil.
Halihazırda yerinde olan bir kontrol, standardın maddesinin bu kapsama uygulandığının kanıtı değildir — ilgisiz bir nedenle orada olabilir. Uygulanabilirliği ima eden şey, bir risk değerlendirmesinin onu tedavi olarak seçmiş olmasıdır.
Yerini bırakmış revizyonlar da dışlanır: önceki turun seçtiği ve bu turun bıraktığı bir kontrol artık bir gerekçe değildir.
Dahil etme ve dışlama gerekçeleri
ISO 27001 kontrol başına bir gerekçe ister ve bir kontrol birden fazla nedenle kapsamda olabilir; dolayısıyla her neden tek bir kolondaki bir bayrak değil, bir satırdır:
| Gerekçe | Anlamı |
|---|---|
| Risk değerlendirmesi | Bir risk değerlendirmesi bu kontrolü tedavisi olarak adlandırdı. |
| Yasal gereklilik | Bir yasa veya mevzuat gerektiriyor. |
| Sözleşmesel gereklilik | Bir müşteri veya tedarikçi sözleşmesi gerektiriyor. |
| İş gerekliliği | Yukarıdakiler olmaksızın işin kendisi gerektiriyor. |
Bir kontrolün uygulanmadığı yerde dışlama gerekçesi serbest metin bir cümledir. Denetçilerin en dikkatle okuduğu alan budur — gerekçesi belirtilmemiş bir dışlama bir bulgudur ve gerekçesi kayıt defteriyle çelişen bir dışlama daha kötüsüdür.
Uygulama durumu
| Durum | Anlamı |
|---|---|
| Uygulanmadı | Uygulanabilir beyan edildi, ama henüz hiçbir şey yapılmadı. |
| Kısmen uygulandı | Kapsamın bir kısmında yerinde ya da yerinde ama eksik. |
| Uygulandı | Ana formun kapsadığı kapsamın tamamında yerinde. |
Bir denetçinin ilk okuduğu şey budur ve sistemin görebildiği hiçbir şeyden türetilmez; organizasyon tarafından beyan edilir. Bildirgenin bir rapor değil bir kayıt olmasının nedeni budur: sistem, risklerin hangi kontrolleri seçtiğini bilir, ama bir kontrolün gerçekten çalışıp çalışmadığını yalnızca bir insan bilir.
İlgili riskler
Her satıra, arkasında hangi risklerin olduğu sorulabilir. O liste her seferinde kayıt defterinden sorularak türetilir, asla saklanmaz.
Her riskin kontrol için verdiği gerekçeyi getirir: satırın altına yazdırılan cümle. O gerekçe, riskin kendi seçilen kontrol satırında yaşar; bu yüzden bildirgeye değil riske aittir.
Ekranlar
Kayıt defteri gibi iki kademeli: ana formu seçin, sonra o formun bildirgesini okuyun. Tam olarak bir ana formu görüntüleyebiliyorsanız seçici atlanır.
Kolonlar bir denetçinin baştan sona okuduğu kolonlardır — kontrol, teması, uygulanıp uygulanmadığı ve yanında çelişki işareti, uygulama durumu ve dışlama gerekçesi.
Satırın kendi formunda akışın aksiyonları değil, düz bir Kaydet vardır. Bir bildirge satırının durum makinesi yoktur: cevap değiştiğinde güncellenen, süreklilik taşıyan bir cevaptır.
Bu, modülde olağan biçimde kaydeden tek ekrandır. Diğer her yerde yazma işlemleri akışın aksiyonlarından geçer.
Bildirgenin komşularına yaptığı
Bildirge var olduğunda iki silme işlemi rette dönüşür:
| Silemezsiniz | Şu durumda |
|---|---|
| Bir ana form | Bir bildirgesi varsa. |
| Bir Ek A kontrolü | Herhangi bir bildirge onun için hesap veriyorsa. |
İkisi de satırların üretilmiş olması nedeniyle önemlidir. Kimse bir bildirgeyi önce temizlenecek bir şey olarak düşünmez — bu yüzden ret, bir veritabanı hatası yerine korumadan bir cümleyle gelir.
Bildirgeyle çalışmak
- Bilgi Güvenliği Risk Yönetimi → Uygulanabilirlik Bildirgesi'ni açın ve ana formu seçin.
- Önce öneri çelişkisine göre filtreleyin. Bir denetçinin sorgulayacağı satırlar onlardır.
- Uygulanabilir olup durumu uygulanmadı olan satırlar üzerinde ilerleyin — standardın kendi sırasıyla uygulama iş listeniz odur.
- Her dışlamanın, sesli olarak savunacağınız bir gerekçesi olduğunu kontrol edin.
- Kontroller yerine geldikçe sorumluları adlandırın ve doküman ekleyin.
Bildirgeyi kayıt defteri tamamlanmadan önce, erkenden açın. 93 satırı, modülün ürettiği en kullanışlı uygulama kontrol listesidir — ve öneri kolonu riskler değerlendirildikçe kendini dolduracaktır, dolayısıyla doküman kayıt defterinin daha fazlası tamamlandıkça daha doğru hâle gelir.