TS ISO/IEC 27007

TS ISO/IEC 27007, bir bilgi güvenliği yönetim sistemi (BGYS/ISMS) denetiminin nasıl planlanacağı, yürütüleceği ve denetçi yetkinliğinin nasıl ele alınacağı konusunda kılavuz sağlar. Konusu, bir kuruluşun bilgi güvenliği yönetimini değerlendirmeye yönelik denetim yaklaşımıdır; özellikle iç ve dış denetimler ile denetim programının yönetimi üzerinde durur.

BGYS denetiminde odaklanan temel unsurlar

Bu standart, ISO 19011’de yer alan denetim kılavuzunu tamamlayan bir ek rehber niteliğindedir. Genel teknik bağlamda BGYS denetimleri, politika ve süreçlerin varlığını kontrol etmenin ötesinde, risk temelli yönetim yaklaşımının gerçekten işletilip işletilmediğini, kontrollerin amaca uygun çalışıp çalışmadığını ve denetim bulgularının güvenilir kanıtlara dayandırılıp dayandırılmadığını anlamaya yardımcı olur. Bilgi güvenliği, siber güvenlik ve gizlilik koruması alanlarının kesiştiği ortamlarda bu tür denetimler, yönetişim, operasyon ve uyumluluk beklentilerini aynı çerçevede ele almayı kolaylaştırır.

Denetim programı ve denetçi yetkinliği

• Denetim programının yönetimi: denetimlerin planlanması, önceliklendirilmesi ve koordinasyonu.
• Denetimlerin yürütülmesi: kanıt toplama, değerlendirme ve sonuçların raporlanması.
• Denetçi yetkinliği: BGYS denetimlerinde görev alacak kişilerin bilgi, beceri ve deneyimi için rehberlik.
• Uygulama alanı: bir BGYS’yi iç denetim veya dış denetim kapsamında anlamak ya da denetlemek isteyenler için kullanılabilir.

Bu belge, bir kuruluşun bilgi güvenliği yönetim sistemini nasıl kuracağına değil, o sistemin denetiminin nasıl ele alınacağına odaklanır. Bu ayrım önemlidir: BGYS standardı güvenlik yönetim çerçevesini tanımlar; TS ISO/IEC 27007 ise bu çerçevenin denetlenmesinde kullanılacak yöntemsel rehberliği destekler.