ISO 27001 Denetimlerinde En Sık Görülen Gerçek Hatalar

1. Doküman Var, Uygulama Yok

Politikalar yazılmıştır fakat çalışanlar içerikten habersizdir.

“Erişim kontrol politikası” klasörde durur, ama yetki onay süreci e-posta ile yürür.

2. Risk Analizinin Kopyala Yapıştır Olması

Risk değerlendirmesi özgün değildir.

Tehditler sektöre, varlıklara ve iş modeline göre değil, internetten alınmış şablonlara göre yazılmıştır.

Denetçi şunu sorar:

“Bu risk puanı neden 12?”

Cevap genelde sessizliktir.

3. Varlık Envanterinin Güncel Olmaması

Sunucular, SaaS uygulamaları, test ortamları envanterde yoktur.

Bulut kaynakları çoğu zaman unutulur.

Görünmeyen varlık, korunmayan varlıktır.

4. Erişim Yetkilerinin Düzenli Gözden Geçirilmemesi

Eski çalışan hesapları aktif kalır.

Departman değişikliklerinde yetkiler güncellenmez.

Rol bazlı erişim modeli kağıt üzerinde vardır ama pratikte bireysel istisnalarla doludur.

5. Loglama ve İzleme Eksikliği

Log toplama vardır ama:

1. 1. Aktif analiz yoktur
   2. Alarm eşikleri tanımlı değildir
   3. Olay müdahale süreci test edilmemiştir

Denetçi sorar: “Son 3 ayda kaç olay tespit ettiniz?”

Cevap genelde “olmadı” olur. Bu riskli bir cevaptır.

6. Tedarikçi Risk Yönetiminin Yetersizliği

Tedarikçi sözleşmelerinde güvenlik maddeleri eksiktir.

Üçüncü taraf SaaS hizmetleri risk değerlendirmesine dahil edilmemiştir.

Oysa veri çoğu zaman kurum dışında yaşar.

7. İş Sürekliliği Planının Test Edilmemesi

BCP ve DR planı yazılmıştır fakat hiç tatbikat yapılmamıştır.

RTO ve RPO değerleri teoriktir.

Test edilmemiş plan, kriz anında sürpriz üretir.

8. Farkındalık Eğitimlerinin Formalite Olması

Çalışanlar yılda bir video izler ve imza atar.

Phishing simülasyonu yapılmaz.

İnsan faktörü en büyük zayıflık olmaya devam eder.

9. Yönetim Gözden Geçirme Toplantılarının Yüzeysel Olması

Toplantılar yapılır ama:

1. 1. KPI’lar analiz edilmez
   2. İyileştirme aksiyonları takip edilmez
   3. Üst yönetim gerçek risk farkındalığı kazanmaz

ISMS, BT’nin projesi gibi kalır.

10. Sürekli İyileştirme Döngüsünün İşlememesi

PDCA döngüsü teoride vardır ama:

1. 1. İç denetim bulguları kapanmaz
   2. Düzeltici faaliyetler izlenmez
   3. Riskler güncellenmez

Sistem canlı değil, statiktir.

Sonuç

ISO 27001 denetimlerinde en büyük hata teknik eksiklik değildir.

En büyük hata, güvenliğin “belge üretme faaliyeti” sanılmasıdır.

Gerçek uyum;

süreç, insan ve teknoloji üçlüsünün birlikte çalışmasıdır.