ISO/IEC 27001:2022 geçiş takviminde son dönem

ISO/IEC 27001:2022'ye geçiş için IAF MD 26 ile tanımlanan süre 36 aydı ve bu pencere kapandı: geçişi yapılmamış ISO/IEC 27001:2013 belgelerinin 31 Ekim 2025'ten sonra süresinin dolması ya da geri çekilmesi gerekiyordu.

Yani bugün geçerli bir bilgi güvenliği yönetim sistemi belgesi ISO/IEC 27001:2022'ye göre düzenlenmiş olmak zorunda. 2013 sürümüne atıf yapan bir belge güncel bir uygunluk kanıtı sayılmıyor.

Takvimin ara durakları da vardı: akreditasyon kuruluşlarının 2022 sürümünü değerlendirmeye hazır olması ve belgelendirme kuruluşlarının ilk belgelendirme ile yeniden belgelendirmeyi yalnızca 2022 sürümüne yapmaya başlaması bu sürecin parçasıydı.

Süresi dolmuş bir belgeyi "geçişle" kurtarmak mümkün değil; süreç yeni bir belgelendirme olarak yürüyor. Bu, gözetim denetimi değil tam bir denetim döngüsü demek ve takvim olarak daha uzun.

Bu arada ticari taraf işlemeye devam ediyor: güncel olmayan bir belgeyi geçerliymiş gibi sunmak müşteri durum tespitinde başarısızlık, sözleşme uyuşmazlığı ve tedarikçi değerlendirmesinde sorun üretiyor.

2022 revizyonu Ek A kontrollerini yeniden düzenledi: kontroller dört tema altında toplandı ve yeni kontroller eklendi. Uygulanabilirlik beyanının (SoA) bu yeni yapıya göre yeniden kurulması gerekiyor.

Pratikte en çok zorlayan kısım, mevcut kontrollerin yeni numaralandırmaya eşlenmesi değil; yeni eklenen kontroller için gerçekten işleyen bir uygulama kurmak. Eşleme bir tablo işi, uygulama bir süreç işi.

Bir bilgi güvenliği yönetim sistemi belgesi, kuruluşun hiç ihlal yaşamayacağını göstermez; kuruluşun bilgi varlıklarını bildiğini, risklerini değerlendirdiğini ve seçtiği kontrolleri işlettiğini gösterir.

Sistemin çekirdeği risk değerlendirmesi ve kontrol seçimidir. Standardın ekindeki kontrol listesi bir zorunluluk listesi değildir: kuruluş risk değerlendirmesinin sonucuna göre hangi kontrollerin uygulanacağına karar verir ve uygulamadığı kontrollerin gerekçesini yazar.

Bu gerekçelendirme belgesi denetimin en çok incelenen kalemidir: bir kontrolün uygulanmaması kusur değildir, gerekçesiz bırakılması kusurdur.

Geçiş süresinin son döneminde iki risk birlikte devreye girer: denetçi takvimi sıkışır ve bulunan bir uygunsuzluğun kapatılması için kalan süre azalır. İkisi birleştiğinde belgenin geçerliliği kesintiye uğrayabilir.

Bu yüzden son dönemde yapılacak iş yeni bir çalışma başlatmak değil, önce mevcut durumun net olarak tespit edilmesidir: hangi maddeler karşılanıyor, hangi kayıtlar eksik, denetim randevusu ne zaman alınabilir.

Kontrol setinin yeniden düzenlenmesi geçişin en görünür işidir: kontroller yeni gruplandırmaya göre eşlenir ve uygulanabilirlik bildirimi bu yapıya göre yenilenir. Bu, teknik olarak bir eşleme işidir; kontrollerin kendisinin baştan kurulması gerekmez.