ISO 27001 uygulanabilirlik bildirgesi nedir? Risk analiziyle bağlantısı nasıl kurulur?

Uygulanabilirlik bildirgesi, bilgi güvenliği yönetim sisteminde seçilen kontrollerin kapsam ve gerekçelerini izlemeye yarayan dokümandır. Hazırlıkta önemli olan, bir listede “uygulanır” yazmasıyla yetinmeyip bu seçimin hangi risk ve uygulamayla ilişkili olduğunu gösterebilmektir. TSE’nin başvuru formu bildirgeyi, bilgi güvenliği politikaları ve risk analizi metodolojisiyle birlikte ister. SB-FR-001, D-30.

Önce bildirgenin ait olduğu kapsamı belirleyin

Kuruluşun tamamı, belirli hizmet veya belirli tesis kapsamında mı çalışıyorsunuz? Bildirgeye ait kapsamın başvuru formundaki hizmetlerle aynı olması gerekir. Farklı bir şirketin dosyasından kopyalanan kayıt, sizin kullandığınız sistemleri ve sorumlulukları açıklamayabilir.

TSE’nin BGYS açıklaması bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliğini; risklerin değerlendirilmesini ve kontrol tedbirlerini birlikte ele alır. TSE BGYS, Bilgi. Bu yaklaşımı kendi dosyanıza yansıtmak için önce süreç ve bilgi varlığı haritanızın gerçekten yürütülen işleri tarif ettiğini kontrol edin. Kurumun adını değiştirmek, başka kuruluşa ait risk değerlendirmesini size uygun hale getirmez.

Risk kararından uygulama kaydına bir bağlantı kurun

Pratik çalışma düzeninizde risk kaydı, ilgili kontrol, karar gerekçesi, uygulama durumu ve kanıtın yeri arasında bağlantı kurulabilir. Bu alanlar burada önerilen izleme düzenidir; standardın zorunlu metninin veya resmî bir TSE formunun kopyası değildir.

Örneğin uzaktan çalışanların erişimlerine ilişkin risk kaydı varsa, seçilen önlemin nerede uygulandığını ve nasıl kontrol edildiğini gösterebilmelisiniz. “Politikamız var” ifadesiyle teknik uygulamanın tamamlandığını aynı kabul etmeyin. Kanıt olarak kullanacağınız kayıt, kararın kapsadığı hizmet ve döneme ait olmalıdır.

İrlanda NCSC’nin açıklaması da ISO/IEC 27006-1’e atıfla bildirgenin, kontrollerin etkin uygulandığını değerlendirmeye imkan veren kanıtla desteklenmesini anlatır. Bu atıf Türkiye’deki başvurunuza İrlanda programı yükümlülüğü eklemez; belgedeki iddia ile uygulama kanıtı arasındaki ayrımı açıklamak içindir. NCSC, soru 7.

Uygulama durumunu gerçeğe uygun tutun

Henüz planlanan önlemi uygulanmış gibi işaretlemek, dosyayla operasyon arasında tutarsızlık yaratır. Eksik işin sorumlusu ve planı ayrı takip edilebilir. Bir kontrolün kapsam dışında bırakılmasına ilişkin gerekçeyi de sırf uygulanması zor olduğu için yazmayın; karar, standardın güncel şartları ve gerçek kapsam üzerinden değerlendirilmelidir.

Ücretli standardın kontrol listesini burada yeniden yayımlamıyoruz. Uygulanacak sürümün maddelerini yetkili kaynaktan inceleyin; eski sürümdeki listeyi değişiklikleri kontrol etmeden yeni başvuruya taşımayın. Dokümanın kendi sürüm ve onay kaydı da dosyada görünür olsun.

Başvuru öncesi tutarlılık kontrolü yapın

• Kapsam, risk metodolojisi ve bildirge aynı hizmetleri mi anlatıyor?
• Seçilen kontrolün gerekçesi izlenebiliyor mu?
• Uygulama durumu kanıtla destekleniyor mu?
• Değişen hizmetler sonrası dosya gözden geçirilmiş mi?

Bir güvenlik olayı, yeni tedarikçi veya hizmet değişikliği mevcut kararları etkileyebilir. Böyle durumlarda yalnızca dosya tarihini güncellemek yerine, hangi kararın değiştiğini ve nedenini kaydedin. Hazırlanan belgelerin varlığı, tek başına belgelendirme kararını garanti etmez.

Konuya ilişkin ana rehber: Yönetim sistemi başvuru formu ve ekleri.

Bir kontrol kaydının izini nasıl sürebilirsiniz?

Örnek olarak ayrılan çalışanın uygulama erişiminin kapatılmasını ele alın. Bildirgede ilgili kontrolün uygulandığı yazıyorsa, hangi uygulamaların kapsamda olduğunu ve uygulamadaki işlemi gösteren kaydın nerede bulunduğunu açıklayabilmelisiniz. Bir politikanın bulunması, her ayrılan çalışanın erişiminin gerçekten kapatıldığını tek başına göstermez.

Bu örnek standardın kontrol metni değildir ve belirli bir yazılım satın alma zorunluluğu getirmez. Kurum içi hazırlıkta kararın gerekçesi, işi yapan sorumlu, uygulama durumu ve kanıtın yeri birbirine bağlanabilir. Hassas çalışan kayıtlarını bildirgenin kamuya açık ekine dönüştürmek gerekmez; incelemeye sunulacak kanıtın yöntemi ayrıca belirlenebilir.

Uygulanmayan ile henüz uygulanmamış aynı şey değildir

Bir kontrolün kapsamla ilişkisi değerlendirilerek dışarıda bırakılması ile uygulanması planlandığı hâlde tamamlanmamış olması farklı kayıtlardır. İlkinde gerekçenin dayanağı, ikincisinde açık işin durumu anlaşılır olmalıdır. Henüz başlamamış bir uygulamayı dosya daha düzgün görünsün diye tamamlanmış yazmayın.

Önerilen takip düzeninde şu sorular kullanılabilir:

• Karar hangi hizmet, süreç veya tesis için geçerli?
• Kararın gerekçesi hangi risk değerlendirmesiyle bağlantılı?
• Uygulama fiilen nerede ve kim tarafından yürütülüyor?
• Gösterilen kanıt hangi döneme ve kapsama ait?
• Açık iş varsa sorumlusu ve güncel durumu ne?
• Son değişiklik önceki kararı nasıl etkiledi?

Bu sorular zorunlu TSE sütun adları değildir. Kullanılan standardın güncel şartlarını uygularken dosyanın gerçek işleyişle tutarlılığını kontrol etmeye yarayan editoryal önerilerdir.

Etkinlik kanıtı ile doküman varlığını ayırın

İrlanda NCSC'nin soru 7'de ISO/IEC 27006-1:2024'e yaptığı atıf, bildirgenin kontrollerin uygulanmasını ve etkinliğini değerlendirmeye olanak veren kanıtla desteklenmesini anlatır. Bu atıf, Türkiye'deki kuruluşunuza İrlanda'nın CyFun veya NIS2 program koşullarını eklemez. Burada kullanılan fikir, belgede yazan kararın gerçek uygulamayla desteklenmesidir. NCSC, soru 7

Örneğin bir kontrol için yalnız eğitim planı varsa, eğitim henüz verilmemiş olabilir. Gerçekleşen çalışmayı ve onun değerlendirilmesini planlanan faaliyetten ayrı tutun. Bu örnek belirli bir kanıt türünün her başvuruya zorunlu olduğu anlamına gelmez; sunulan kaydın neyi ispatladığını doğru adlandırmak içindir.

Bilişime özel başvuru formundaki yeri

9 Şubat 2026/19 tarihli SB-BTYS-FR-001 formunun C-1 bölümünde uygulanabilirlik bildirgesi, diğer sistem dokümanlarıyla birlikte listelenir. Genel SB-FR-001'deki D-30 atfı da aynı dosya hazırlığı içinde değerlendirilebilir; hangi formun sizin başvurunuzda kullanılacağını kodu ve sürümüyle belirleyin. Bilişim başvuru formu, C-1, sayfa 6; Genel başvuru formu, D-30

Yeni tesis, dış hizmet sağlayıcısı veya uygulama eklendiğinde yalnız bildirgenin tarihini değiştirmeyin. Etkilenen kapsam, risk kararı ve uygulama kayıtlarını birlikte gözden geçirin. TSE'nin bilişim başvuru prosedürü de kapsam genişletme ve diğer değişiklik işlemlerini ayrıca ele alır; eski kapsamın yeni faaliyeti kendiliğinden içerdiği varsayılmamalıdır. SB-BTYS-PR-001, sayfa 5