01Standardın gereklilikleri

ISO/IEC 27001:2022’de değerlendirilecek iki bölüm vardır. 4’ten 10’a kadar maddeler yönetim sistemi gerekliliklerini belirler: kapsam, liderlik, risk değerlendirme ve işleme, destek, operasyon, izleme ve iyileştirme. Ek A, dört temada 93 kontrol listeler: kurumsal (37), insan (8), fiziksel (14) ve teknolojik (34). Hangi kontrollerin uygulanacağına Uygulanabilirlik Bildirgesi’nde (SoA) siz karar verirsiniz.

2024 tarihli bir değişiklik, iklim değişikliğinin kuruluşunuzun bağlamında (madde 4.1) ve ilgili taraflar için (4.2) ilgili bir konu olup olmadığını değerlendirme gerekliliğini ekledi.

02Boşluk analizi nasıl yapılır

• BGYS kapsamını ve sınırlarını belirleyin.
• 4–10. maddelerin her gerekliliğini kanıtıyla kontrol edip derecelendirin.
• Risk değerlendirme yönteminizi ve güncel bir risk kaydı olup olmadığını inceleyin.
• Ek A kontrollerini gözden geçirip SoA’yı hazırlayın veya güncelleyin.
• Boşlukları sorumluları ve tarihleri olan önceliklendirilmiş bir işleme planına dönüştürün.

03Yaygın boşluklar

• 6.1.2–6.1.3: tekrarlanabilir bir risk değerlendirmesi yok ya da riskler kontrollerle ilişkilendirilmemiş.
• SoA’da hariç tutulan kontrollerin gerekçeleri eksik.
• 7.5: belgelenmiş bilgiler kontrol altında değil.
• 9.2–9.3: iç tetkik programı veya yönetimin gözden geçirmesi yok.
• 2022 sürümünde eklenen Ek A 5.23 (bulut hizmetleri) ve 8.28 (güvenli kodlama) ele alınmamış.

04Burada neden gizli bir araç önemli

Bir güvenlik boşluk analizi kendi başına hassastır: zayıf noktalarınızı listeler. Paperwing’in boşluk değerlendirmesi tarayıcınızda çalışır ve her şeyi yerel olarak saklar; bulgularınız asla yüklenmez. Raporu ve şifreli bir yedeği dışa aktarabilirsiniz.

Sıkça sorulan sorular

ISO boşluk analizi rehberleri

• ISO 9001 boşluk analizi
• ISO 14001 boşluk analizi
• ISO 45001 boşluk analizi