ISO 27001:2022 GAP Analizinde Sık Yapılan 5 Kritik Hata ve Çözüm Yolları

Bilgi Güvenliği Yönetim Sistemi (BGYS) kurulumunun veya ISO/IEC 27001:2022 revizyonuna geçişin en kritik aşaması GAP (Boşluk) Analizidir.

Doğru kurgulanmış bir GAP analizi; kurumun mevcut güvenlik seviyesi ile standardın gereksinimleri arasındaki mesafeyi netleştirir, bütçe israfını engeller ve denetim sürprizlerini ortadan kaldırır. Ancak sahadaki denetim ve danışmanlık tecrübelerimiz, birçok kurumun GAP analizi aşamasında benzer metodolojik hatalara düştüğünü göstermektedir.

İşte ISO 27001 GAP analizinde en sık karşılaşılan 5 hata ve bunları önlemenin yolları:

1. Hatayı Belgelemek: "Politikamız Var, O Halde Güvendeyiz" Yanılgısı

En yaygın yapılan hata, GAP analizini bir dokümantasyon kontrolü olarak görmektir. Birçok kurum, internetten indirdiği şablon bilgi güvenliği politikalarını imzalayarak o kontrolü "Tamamlandı" olarak işaretler.

Gerçek Denetçi Perspektifi:
Bir denetçi için politikanın varlığı yalnızca ilk adımdır. Önemli olan o politikanın sahada işletilip işletilmediğidir. Örneğin; A.8.8 Teknik Açıklıkların Yönetimi maddesi için yazılı bir "Zafiyet Yönetim Politikası" bulunması yeterli değildir. Denetçi; son 3 ayın zafiyet tarama raporlarını, kapatılan kritik CVE kayıtlarını ve SLA sürelerini görmek ister.

2. 2022 Revizyonu ile Gelen Yeni Kontrolleri Göz Ardı Etmek

ISO/IEC 27001:2022 revizyonu ile birlikte Ek-A kontrolleri 93'e indirilmiş ve 11 yeni kontrol sisteme dahil edilmiştir. Bu kontroller yalnızca teknolojik alanda değil; üç ana temaya dağılmıştır:

• Organizasyonel Kontroller: A.5.7 Tehdit İstihbaratı, A.5.23 Bulut Hizmetlerinde Güvenlik, A.5.30 BİT Hazırlığı (İş Sürekliliği).
• Fiziksel Kontroller: A.7.4 Fiziksel Güvenlik İzleme (Sensör ve CCTV izleme).
• Teknolojik Kontroller: A.8.9 Yapılandırma Yönetimi, A.8.10 Bilgi Silme, A.8.11 Veri Maskeleme, A.8.12 Veri Sızıntısı Önleme (DLP), A.8.16 Faaliyetlerin İzlenmesi, A.8.23 Web Filtreleme, A.8.28 Güvenli Kodlama.

Özellikle modern bulut mimarilerinde A.5.23 (Bulut Sorumluluk Modeli), A.8.9 (IaC Hardening) ve A.8.28 (Güvenli SDLC) kontrollerinin GAP analizinde yüzeysel geçilmesi, belgelendirme denetimlerinde doğrudan majör uygunsuzluğa yol açmaktadır.

3. Satıcı / Ürün Odaklı Çıkar Çatışmalarına Kapılmak

Piyasada güvenlik donanımı veya yazılım lisansı satan entegratörlerin danışmanlık vermesi, GAP analizinin tarafsızlığını zedeler. Entegratör danışmanlar, her güvenlik açığını kurumun yeni bir ticari lisans (EDR, DLP, SIEM) satın alması gereken bir ihtiyaç gibi konumlandırma eğilimindedir.

Oysa ISO 27001 bir ürün satın alma zorunluluğu getirmez; risk odaklı yönetim talep eder. Birçok kontrol; açık kaynak araçlarla, işletim sistemi sıkılaştırmalarıyla veya süreç optimizasyonlarıyla sıfır ek maliyetle çözülebilir. Danışmanlığın satıcı bağımsız (vendor-independent) olması bu nedenle hayati önem taşır.

4. Statik Bir Uygulanabilirlik Bildirgesi (SoA) Hazırlamak

Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), kurumun hangi kontrolleri uygulayacağını ve hangilerini neden hariç tuttuğunu belgelediği en kritik dokümandır.

ISO/IEC 27001 Madde 6.1.3 d uyarınca, bir kontrol hariç tutulurken gerekçenin risk değerlendirmesi sonuçlarına ve yasal yükümlülüklere dayandırılması zorunludur. "Bu departman bizde yok" veya "bu alanda çalışmıyoruz" şeklindeki tek cümlelik gerekçesiz hariç tutmalar denetimde kabul edilmez.

5. İç Tetkik Simülasyonunu Ertelemek

GAP analizi yapıldıktan sonra bulunan eksikliklerin giderilip giderilmediğini test etmek için bağımsız ve tarafsız bir iç tetkik simülasyonu şarttır. Birçok ekip Madde 9.2 İç Tetkik sürecini belgelendirme denetiminden bir hafta önceye sıkıştırmakta ve düzeltici faaliyetleri (DÖF) tamamlayamamaktadır.

Açık Kaynak Araç ve Kontrol Listesi

Kurumunuzda 93 kontrolün tamamını denetim soruları, gerekli kanıt türleri ve öz değerlendirme skalasıyla incelemek isterseniz hazırladığımız açık kaynaklı depodan yararlanabilirsiniz:

📂 GitHub: ISO 27001:2022 GAP Analizi ve BGYS Kontrol Listesi

Profesyonel Danışmanlık ve Denetim Hazırlığı

Kurumunuz için çıkar çatışmasından uzak, nesnel ve baş denetçi tecrübesiyle yönetilen profesyonel bir BGYS kurulumu veya geçiş süreci yürütmek isterseniz:

👉 Burak Ekşi — ISO 27001 Danışmanlığı ve GAP Analizi sayfamız üzerinden metodolojimizi inceleyebilir ve kurumunuza özel hazırlık teklifi alabilirsiniz.

Yazar Hakkında: Burak Ekşi, bilgi güvenliği, iç denetim ve risk yönetimi alanlarında bağımsız baş denetçi ve kıdemli danışman olarak hizmet vermektedir.