BT ve Yazılım Ekipleri İçin ISO 27001 Denetiminde Nesnel Kanıt Toplama Rehberi (ISO 19011)

Yazılım geliştiriciler ve sistem mühendisleri için ISO 27001 denetimleri çoğu zaman sıkıcı bir bürokrasi veya geliştirme hızını kesen bir "evrak işi" gibi algılanır.

Ancak ISO/IEC 27001 standardının 2022 revizyonu ile birlikte denetim dünyası kökten değişti. Denetçiler artık internetten indirilmiş statik PDF politikalarıyla ilgilenmiyor; doğrudan GitHub PR loglarını, Terraform konfigürasyonlarını, CI/CD hatlarını ve AWS CloudTrail kayıtlarını görmek istiyor.

Bu rehberde, uluslararası ISO 19011 (Yönetim Sistemleri Denetim Rehberi) ilkelerine göre bir denetçinin sahada ne aradığını, "nesnel kanıt" (objective evidence) kavramını ve teknik ekiplerin denetime nasıl hazırlanması gerektiğini inceliyoruz.

1. ISO 19011 Kuralı: "Nesnel Kanıt" Nedir?

ISO 19011 Madde 3.8 uyarınca nesnel kanıt: Gözlem, ölçme, test veya doğrulanabilir kayıtlarla varlığı kanıtlanan veridir.

Bir denetçi için:

• ❌ "Biz zaten kod incelemesi yapıyoruz, herkes dikkat eder." bir kanıt değildir.
• ✅ GitHub branch protection kuralının açık olduğunu gösteren ekran görüntüsü, son 30 günde ana dala (main branch) atılan PR'lardaki zorunlu onay logları ve squash-merge kayıtları nesnel kanıttır.

2. Dört Temel BT Alanında Denetçi Ne Sorar & Ne İster?

A. Kaynak Kod Güvenliği ve Branch Koruması (Ek-A 8.28)

• Denetçinin Sorusu: "Geliştiriciler doğrudan production/main dalına kod push edebiliyor mu? Kod inceleme (PR review) zorunlu mu?"
• Beklenen Kanıt:
  • Repodaki Branch Protection kuralları (en az 1 bağımsız reviewer onayı şartı).
  • Son 3 aya ait 5 rastgele PR incelemesi: Kim açtı, kim onayladı, onaylayan kişi yazarın kendisi mi?
  • Kod havuzunda gizli anahtar (secret) taramasının (gitleaks, trufflehog vb.) pre-commit veya CI kancasında çalıştığına dair loglar.

B. CI/CD Hattı ve Zafiyet Yönetimi (Ek-A 8.8)

• Denetçinin Sorusu: "Kullandığınız açık kaynak kütüphanelerin (dependency) güvenlik açıklarını nasıl takip ediyorsunuz?"
• Beklenen Kanıt:
  • CI/CD hattına entegre edilmiş SCA/SAST araçları (Dependabot, Snyk, Trivy).
  • Tespit edilen kritik açıklıkların Jira/ServiceNow biletleri ve SLA takibi (örneğin Kritik açıklar için 7 gün kuralı).

C. Altyapı ve Konfigürasyon Yönetimi (Ek-A 8.9)

• Denetçinin Sorusu: "Bulut kaynakları ve sunucular elle mi açılıyor, standart hardening şablonu var mı?"
• Beklenen Kanıt:
  • Altyapının Kod Olarak Yönetimi (IaC - Terraform / OpenTofu).
  • tfsec veya checkov ile altyapı kodunun derleme aşamasında taranması (örneğin 0.0.0.0/0 port açılmasının otomatik engellenmesi).
  • Konfigürasyon sapmalarının (drift) izlenmesi.

D. Erişim Yetkileri ve Ayrılan Personel (Ek-A 5.15 & 5.18)

• Denetçinin Sorusu: "Şirketten ayrılan bir yazılımcının AWS, GitHub ve VPN erişimleri ne kadar sürede kapatılıyor?"
• Beklenen Kanıt:
  • İK işten çıkış tarihi ile Active Directory / SSO hesap kapatma logunun zaman damgası (timestamp) karşılaştırması.
  • Production veritabanlarına doğrudan erişim yerine geçici, denetlenen ve yetkilendirilen (bastion / teleport / IAM role) mekanizma kayıtları.

3. Denetim Sırasında Hayat Kurtaran 3 Altın Kural

1. Yalnızca Sorulan Soruya Cevap Verin: Denetçinin sormadığı sistemleri veya geliştirme aşamasındaki deneysel projeleri gereksiz yere anlatmayın.
2. Spekülasyon Yapmayın: Bilmediğiniz bir teknik ayrıntı sorulduğunda "Şu an tam logu hatırlamıyorum, sistem kayıtlarına bakıp 10 dakika içinde sunalım" demek, tahmini yanlış bilgi vermekten bin kat daha profesyoneldir.
3. Sahte / Tarihsiz Kanıt Üretmeyin: Denetim sabahı alelacele oluşturulan Excel listeleri veya geriye dönük sahte toplantı tutanakları kıdemli bir denetçi tarafından anında fark edilir ve doğrudan Majör Uygunsuzluk bulgusuna yol açar.

🛠️ Açık Kaynak Denetçi ve Vaka Çalışma Kiti

ISO 27001 denetimlerinde karşılaşılan gerçek senaryoları ve uygunsuzluk (NCR) yazım kurallarını incelemek isterseniz, GitHub üzerinde yayımladığımız açık kaynaklı kiti inceleyebilirsiniz:

📂 GitHub: ISO 27001 Denetim Vakaları ve Uygunsuzluk Şablonları

🎓 Profesyonel Baş Denetçi Eğitimi ve Kariyer

Sistemlerinizi yalnızca denetime hazırlamakla kalmayıp; ISO 19011 ve ISO/IEC 17021-1 uyarınca 3. taraf bağımsız belgelendirme denetimlerini yönetecek uluslararası baş denetçi yetkinliği kazanmak isterseniz:

👉 Burak Ekşi — ISO 27001 Baş Denetçi Eğitimi (CQI ve IRCA Onaylı) | İstanbul & Çevrim İçi programımıza katılarak küresel geçerliliğe sahip sertifikasyon sürecini başlatabilirsiniz.