My Wiki - User contributions [en]

Uygulanabilirlik Bildirgesi

2026-08-11T13:58:22Z

Ibrahim.kulah: /* A.5 Organizasyonel Kontroller */

= MONAD YAZILIM VE DANIŞMANLIK A.Ş. =

<center>
'''BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ'''

'''UYGULANABİLİRLİK BİLDİRGESİ'''

''Statement of Applicability – SoA''
</center>

{| class="wikitable" style="width:100%;"
! style="width:25%;" | Doküman Bilgisi
! Değer
|-
| '''Kuruluş'''
| Monad Yazılım ve Danışmanlık A.Ş.
|-
| '''Doküman Adı'''
| Uygulanabilirlik Bildirgesi
|-
| '''Doküman No'''
| BGYS-SOA-001
|-
| '''Revizyon'''
| 00
|-
| '''Yayın Tarihi'''
| 11.08.2026
|-
| '''Doküman Durumu'''
| Taslak
|-
| '''Doküman Sahibi'''
| BGYS Sorumlusu
|-
| '''Onaylayan'''
| Üst Yönetim
|-
| '''Gizlilik Sınıfı'''
| Kurum İçi
|-
| '''Referans Standart'''
| ISO/IEC 27001:2022
|}

----

= 1. AMAÇ =

Bu Uygulanabilirlik Bildirgesi (Statement of Applicability – SoA), Monad Yazılım ve Danışmanlık A.Ş. Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanabilir bilgi güvenliği kontrollerinin belirlenmesi, kontrollerin uygulanabilirlik durumlarının değerlendirilmesi ve alınan kararların gerekçelendirilmesi amacıyla hazırlanmıştır.

SoA, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile ISO/IEC 27001:2022 Ek-A kontrolleri arasındaki ilişkiyi ortaya koyar.

Bu doküman aynı zamanda uygulanmakta olan kontrollerin ilgili politika, prosedür, süreç ve teknik kanıtlarla ilişkilendirilmesini sağlar.

= 2. KAPSAM =

Bu Uygulanabilirlik Bildirgesi, Monad Yazılım ve Danışmanlık A.Ş. tarafından tanımlanan BGYS kapsamı içerisinde bulunan bilgi varlıklarını, bilgi sistemlerini, yazılım ve uygulamaları, sunucu ve istemci sistemlerini, ağ altyapısını, çalışanları, fiziksel ortamları, tedarikçileri ve ilgili bilgi güvenliği süreçlerini kapsar.

SoA'nın kapsamı [[BGYS Kapsamı]] dokümanı ile birlikte değerlendirilir.

= 3. REFERANSLAR =

* ISO/IEC 27001:2022
* ISO/IEC 27002:2022
* [[Bilgi Güvenliği Politikası]]
* [[BGYS Kapsamı]]
* [[Risk Yönetimi Prosedürü]]
* [[Bilgi Güvenliği Risk Değerlendirmesi]]
* [[Risk İşleme Planı]]
* [[Varlık Yönetim Prosedürü]]
* [[İç Denetim Prosedürü]]
* [[Yönetimin Gözden Geçirmesi]]

= 4. UYGULANABİLİRLİK DEĞERLENDİRME YÖNTEMİ =

ISO/IEC 27001:2022 Ek-A kapsamında bulunan kontrollerin uygulanabilirliği aşağıdaki kriterler dikkate alınarak değerlendirilir:

* Bilgi güvenliği riskleri
* Risk değerlendirme sonuçları
* Risk işleme kararları
* Yasal ve düzenleyici yükümlülükler
* Sözleşmesel yükümlülükler
* Kuruluşun faaliyetleri
* BGYS kapsamı
* Bilgi varlıklarının niteliği
* Teknolojik altyapı
* Fiziksel güvenlik gereksinimleri
* İnsan kaynakları gereksinimleri
* Tedarikçi ve üçüncü taraf ilişkileri
* İş sürekliliği gereksinimleri

Bir kontrolün uygulanabilir olarak belirlenmesi, kontrolün kuruluş tarafından ilgili riskleri yönetmek amacıyla uygulanması gerektiğini ifade eder.

Bir kontrolün uygulanabilir olmadığı değerlendirilmesi halinde, bu kararın gerekçesi açık ve denetlenebilir şekilde kayıt altına alınır.

= 5. KONTROL DURUMLARI =

{| class="wikitable" style="width:100%;"
! Durum
! Açıklama
|-
| '''Uygulanıyor'''
| Kontrol uygulanmış ve ilgili süreç içerisinde işletilmektedir.
|-
| '''Kısmen Uygulanıyor'''
| Kontrolün bir bölümü uygulanmış olup eksikliklerin giderilmesine yönelik çalışmalar devam etmektedir.
|-
| '''Planlandı'''
| Kontrol uygulanabilir olarak belirlenmiş ancak uygulama çalışması henüz tamamlanmamıştır.
|-
| '''Uygulanmıyor'''
| Kontrol uygulanabilir olarak belirlenmiş ancak henüz uygulanmamaktadır.
|-
| '''Uygulanabilir Değil'''
| Kontrol, kuruluşun faaliyetleri, BGYS kapsamı ve riskleri açısından uygulanabilir olarak değerlendirilmemiştir.
|}

= 6. UYGULANABİLİRLİK BİLDİRGESİ =

== A.5 Organizasyonel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.5.1
| Bilgi güvenliği politikaları
| Evet
| Planlandı
| BGYS'nin temel yönetim gereksinimidir.
| [[BGYS-POL-001_Bilgi_Güvenliği_Politikası]]
|-
| A.5.2
| Bilgi güvenliği rolleri ve sorumlulukları
| Evet
| Planlandı
| Bilgi güvenliği görev ve sorumluluklarının belirlenmesi gereklidir.
| [[BGYS Organizasyonu]]
|-
| A.5.3
| Görevlerin ayrılığı
| Evet
| Planlandı
| Kritik görevlerde yetki çatışmalarının önlenmesi gereklidir.
| [[Yetki Matrisi]]
|-
| A.5.4
| Yönetim sorumlulukları
| Evet
| Planlandı
| Yönetimin bilgi güvenliği faaliyetlerini desteklemesi gereklidir.
| [[Yönetimin Gözden Geçirmesi]]
|-
| A.5.5
| Yetkili makamlarla iletişim
| Evet
| Planlandı
| Yasal ve güvenlik gereksinimleri kapsamında iletişim kanallarının belirlenmesi gereklidir.
| [[İletişim Prosedürü]]
|-
| A.5.6
| Özel ilgi gruplarıyla iletişim
| Evet
| Planlandı
| Bilgi güvenliği tehditleri ve gelişmelerinin takip edilmesi amacıyla uygulanır.
| [[Tehdit İstihbaratı Prosedürü]]
|-
| A.5.7
| Tehdit istihbaratı
| Evet
| Kısmen Uygulanıyor
| Bilgi güvenliği tehditlerinin takip edilmesi ve değerlendirilmesi gereklidir.
| Wazuh / güvenlik bildirimleri
|-
| A.5.8
| Proje yönetiminde bilgi güvenliği
| Evet
| Planlandı
| Yazılım geliştirme ve danışmanlık faaliyetlerinde bilgi güvenliği gereksinimlerinin dikkate alınması gereklidir.
| [[Proje Güvenliği Prosedürü]]
|-
| A.5.9
| Bilgi ve diğer ilişkili varlıkların envanteri
| Evet
| Kısmen Uygulanıyor
| Bilgi varlıklarının tanımlanması ve yönetilmesi gereklidir.
| [[Varlık Envanteri]]
|-
| A.5.10
| Bilgi ve diğer ilişkili varlıkların kabul edilebilir kullanımı
| Evet
| Planlandı
| Kurumsal bilgi varlıklarının güvenli kullanımının sağlanması gereklidir.
| [[Kabul Edilebilir Kullanım Politikası]]
|-
| A.5.11
| Varlıkların iadesi
| Evet
| Planlandı
| Personel ayrılışlarında kuruma ait varlıkların iade edilmesi gereklidir.
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]
|-
| A.5.12
| Bilginin sınıflandırılması
| Evet
| Planlandı
| Bilginin önem ve hassasiyetine göre korunması gereklidir.
| [[Bilgi Sınıflandırma Politikası]]
|-
| A.5.13
| Bilgi etiketleme
| Evet
| Planlandı
| Bilgi sınıflandırmalarının görünür ve anlaşılır şekilde uygulanması gereklidir.
| [[Bilgi Sınıflandırma Politikası]]
|-
| A.5.14
| Bilgi transferi
| Evet
| Kısmen Uygulanıyor
| Bilginin kurum içi ve kurum dışı aktarımının güvenli gerçekleştirilmesi gereklidir.
| [[Bilgi Transfer Prosedürü]]
|-
| A.5.15
| Erişim kontrolü
| Evet
| Kısmen Uygulanıyor
| Bilgi varlıklarına erişimin yetki ve görev temelinde sınırlandırılması gereklidir.
| [[Erişim Kontrol Politikası]] / Active Directory / FortiGate
|-
| A.5.16
| Kimlik yönetimi
| Evet
| Kısmen Uygulanıyor
| Kullanıcı hesaplarının yaşam döngüsünün kontrollü şekilde yönetilmesi gereklidir.
| [[Kimlik ve Hesap Yönetimi Prosedürü]]
|-
| A.5.17
| Kimlik doğrulama bilgileri
| Evet
| Kısmen Uygulanıyor
| Kimlik doğrulama bilgilerinin korunması gereklidir.
| [[Parola Politikası]]
|-
| A.5.18
| Erişim hakları
| Evet
| Kısmen Uygulanıyor
| Erişim haklarının görev ve yetki temelinde verilmesi gereklidir.
| [[Erişim Kontrol Prosedürü]]
|-
| A.5.19
| Tedarikçi ilişkilerinde bilgi güvenliği
| Evet
| Planlandı
| Tedarikçi kaynaklı bilgi güvenliği risklerinin yönetilmesi gereklidir.
| [[Tedarikçi Güvenliği Prosedürü]]
|-
| A.5.20
| Tedarikçi sözleşmelerinde bilgi güvenliği
| Evet
| Planlandı
| Bilgi güvenliği gereksinimlerinin sözleşmelere dahil edilmesi gereklidir.
| [[Tedarikçi Sözleşme Şablonu]]
|-
| A.5.21
| Bilgi ve iletişim teknolojileri tedarik zinciri
| Evet
| Planlandı
| Teknoloji tedarik zinciri risklerinin değerlendirilmesi gereklidir.
| [[Tedarikçi Risk Değerlendirmesi]]
|-
| A.5.22
| Tedarikçi hizmetlerinin izlenmesi
| Evet
| Planlandı
| Kritik tedarikçi hizmetlerinin güvenlik açısından izlenmesi gereklidir.
| [[Tedarikçi Yönetim Prosedürü]]
|-
| A.5.23
| Bulut hizmetleri için bilgi güvenliği
| Evet
| Kısmen Uygulanıyor
| Kurumsal bulut hizmetlerinin güvenli şekilde yönetilmesi gereklidir.
| [[Bulut Güvenliği Politikası]] / Cloudron
|-
| A.5.24
| Bilgi güvenliği olay yönetimi planlama
| Evet
| Planlandı
| Bilgi güvenliği olaylarına hazırlıklı olunması gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|-
| A.5.25
| Bilgi güvenliği olaylarının değerlendirilmesi
| Evet
| Planlandı
| Güvenlik olaylarının değerlendirilmesi ve sınıflandırılması gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|-
| A.5.26
| Bilgi güvenliği olaylarına müdahale
| Evet
| Planlandı
| Güvenlik olaylarına kontrollü ve zamanında müdahale edilmesi gereklidir.
| [[Olay Müdahale Prosedürü]]
|-
| A.5.27
| Bilgi güvenliği olaylarından öğrenilen dersler
| Evet
| Planlandı
| Olayların tekrarının önlenmesi ve sürekli iyileştirme amacıyla uygulanır.
| [[Düzeltici Faaliyet Prosedürü]]
|-
| A.5.28
| Bilgi güvenliği kanıtlarının toplanması
| Evet
| Planlandı
| Güvenlik olaylarına ilişkin kanıtların güvenilir şekilde korunması gereklidir.
| [[Olay Yönetimi Prosedürü]]
|-
| A.5.29
| İş sürekliliği sırasında bilgi güvenliği
| Evet
| Planlandı
| İş sürekliliği durumlarında bilgi güvenliği seviyesinin korunması gereklidir.
| [[İş Sürekliliği Planı]]
|-
| A.5.30
| ICT'nin iş sürekliliğine hazır olması
| Evet
| Kısmen Uygulanıyor
| Kritik bilgi sistemlerinin sürekliliğinin sağlanması gereklidir.
| [[BT İş Sürekliliği Planı]] / Yedekleme
|-
| A.5.31
| Yasal, düzenleyici ve sözleşmesel gereklilikler
| Evet
| Planlandı
| Kuruluşun tabi olduğu yasal ve sözleşmesel gerekliliklerin takip edilmesi gereklidir.
| [[Yasal ve Düzenleyici Gereklilikler]]
|-
| A.5.32
| Fikri mülkiyet hakları
| Evet
| Planlandı
| Yazılım ve fikri mülkiyet haklarının korunması gereklidir.
| [[Fikri Mülkiyet Politikası]]
|-
| A.5.33
| Kayıtların korunması
| Evet
| Planlandı
| Kurumsal kayıtların korunması ve gerektiğinde erişilebilir olması gereklidir.
| [[Kayıtların Yönetimi Prosedürü]]
|-
| A.5.34
| Kişisel verilerin gizliliği ve korunması
| Evet
| Kısmen Uygulanıyor
| KVKK kapsamında kişisel verilerin korunması yasal bir gerekliliktir.
| [[KVKK Politikası]]
|-
| A.5.35
| Bilgi güvenliğinin bağımsız gözden geçirilmesi
| Evet
| Planlandı
| BGYS'nin bağımsız olarak değerlendirilmesi gereklidir.
| [[İç Denetim Prosedürü]]
|-
| A.5.36
| Politika, kurallar ve standartlara uygunluk
| Evet
| Planlandı
| Bilgi güvenliği kurallarına uyumun kontrol edilmesi gereklidir.
| [[İç Denetim Prosedürü]]
|-
| A.5.37
| Dokümante edilmiş işletim prosedürleri
| Evet
| Kısmen Uygulanıyor
| Kritik BT operasyonlarının standartlaştırılması gereklidir.
| [[BT Operasyon Prosedürleri]]
|}

== A.6 İnsan Kontrolleri ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.6.1
| Tarama
| Evet
| Planlandı
| Görevin niteliğine göre personel güvenilirliğinin değerlendirilmesi gereklidir.
| [[Personel Güvenliği Prosedürü]]
|-
| A.6.2
| İstihdam şartları ve koşulları
| Evet
| Planlandı
| Çalışanların bilgi güvenliği sorumluluklarının belirlenmesi gereklidir.
| [[Personel Güvenliği Prosedürü]]
|-
| A.6.3
| Bilgi güvenliği farkındalığı, eğitim ve öğretim
| Evet
| Planlandı
| Çalışanların bilgi güvenliği farkındalığının artırılması gereklidir.
| [[Bilgi Güvenliği Farkındalık Prosedürü]]
|-
| A.6.4
| Disiplin süreci
| Evet
| Planlandı
| Bilgi güvenliği ihlallerine yönelik disiplin sürecinin belirlenmesi gereklidir.
| [[Disiplin Prosedürü]]
|-
| A.6.5
| İstihdamın sona ermesi veya değişmesi sonrası sorumluluklar
| Evet
| Kısmen Uygulanıyor
| İşten ayrılışlarda erişimlerin kaldırılması ve varlıkların iadesi gereklidir.
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]
|-
| A.6.6
| Gizlilik veya gizlilik sözleşmeleri
| Evet
| Planlandı
| Gizli bilgilerin korunması gereklidir.
| [[Gizlilik ve KVKK Taahhütnamesi]]
|-
| A.6.7
| Uzaktan çalışma
| Evet
| Kısmen Uygulanıyor
| Uzaktan erişim ve çalışma sırasında bilgi güvenliği riskleri yönetilmelidir.
| [[Uzaktan Çalışma Politikası]] / VPN
|-
| A.6.8
| Bilgi güvenliği olaylarının raporlanması
| Evet
| Planlandı
| Çalışanların güvenlik olaylarını zamanında bildirmesi gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|}

== A.7 Fiziksel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.7.1
| Fiziksel güvenlik sınırları
| Evet
| Planlandı
| Bilgi işleme alanlarının fiziksel olarak korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.2
| Fiziksel giriş
| Evet
| Planlandı
| Yetkisiz kişilerin fiziksel alanlara erişiminin önlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.3
| Ofis, oda ve tesislerin güvenliği
| Evet
| Planlandı
| Bilgi işleme alanlarının güvenliğinin sağlanması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.4
| Fiziksel güvenlik izleme
| Evet
| Planlandı
| Kritik alanların fiziksel güvenliğinin izlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.5
| Fiziksel ve çevresel tehditlere karşı korunma
| Evet
| Planlandı
| Yangın, su, sıcaklık ve benzeri fiziksel tehditlere karşı korunma gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.6
| Güvenli alanlarda çalışma
| Evet
| Planlandı
| Güvenli alanlarda çalışma kurallarının belirlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.7
| Temiz masa ve temiz ekran
| Evet
| Planlandı
| Hassas bilgilerin yetkisiz kişilerce görülmesinin önlenmesi gereklidir.
| [[Temiz Masa ve Temiz Ekran Politikası]]
|-
| A.7.8
| Ekipman yerleşimi ve korunması
| Evet
| Planlandı
| Bilgi işleme ekipmanlarının fiziksel risklerden korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.9
| Kuruluş dışındaki varlıkların güvenliği
| Evet
| Planlandı
| Kurum dışındaki bilgi varlıklarının korunması gereklidir.
| [[Varlık Yönetim Prosedürü]]
|-
| A.7.10
| Depolama ortamları
| Evet
| Planlandı
| Veri depolama ortamlarının güvenliğinin sağlanması gereklidir.
| [[Depolama Ortamları Prosedürü]]
|-
| A.7.11
| Destekleyici hizmetler
| Evet
| Planlandı
| Kritik sistemlerin enerji ve destek hizmetlerine bağımlılığı yönetilmelidir.
| [[İş Sürekliliği Planı]]
|-
| A.7.12
| Kablolama güvenliği
| Evet
| Planlandı
| Ağ ve enerji kablolarının fiziksel olarak korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.13
| Ekipman bakımı
| Evet
| Planlandı
| Bilgi işleme ekipmanlarının güvenilir şekilde çalışması sağlanmalıdır.
| [[Bakım Yönetimi Prosedürü]]
|-
| A.7.14
| Ekipmanın güvenli imhası veya yeniden kullanımı
| Evet
| Planlandı
| Bilgi içeren ekipmanların imhası veya yeniden kullanımında bilgilerin korunması gereklidir.
| [[Varlık İmha Prosedürü]]
|}

== A.8 Teknolojik Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.8.1
| Kullanıcı uç cihazları
| Evet
| Kısmen Uygulanıyor
| Kurumsal istemci cihazlarının korunması gereklidir.
| [[Uç Nokta Güvenliği Politikası]] / ESET
|-
| A.8.2
| Ayrıcalıklı erişim hakları
| Evet
| Kısmen Uygulanıyor
| Yönetici yetkilerinin kontrollü kullanılması gereklidir.
| [[Ayrıcalıklı Erişim Prosedürü]]
|-
| A.8.3
| Bilgi erişim kısıtlaması
| Evet
| Kısmen Uygulanıyor
| Bilgiye erişimin görev ve yetki temelinde sınırlandırılması gereklidir.
| [[Erişim Kontrol Politikası]]
|-
| A.8.4
| Kaynak koduna erişim
| Evet
| Planlandı
| Yazılım geliştirme faaliyetleri kapsamında kaynak kodunun korunması gereklidir.
| [[Yazılım Geliştirme Güvenliği Prosedürü]]
|-
| A.8.5
| Güvenli kimlik doğrulama
| Evet
| Kısmen Uygulanıyor
| Sistemlerde güvenli kimlik doğrulama mekanizmalarının kullanılması gereklidir.
| [[Kimlik Doğrulama Politikası]]
|-
| A.8.6
| Kapasite yönetimi
| Evet
| Kısmen Uygulanıyor
| Bilgi sistemlerinin kapasitesinin izlenmesi ve planlanması gereklidir.
| [[Kapasite Yönetim Prosedürü]]
|-
| A.8.7
| Kötü amaçlı yazılımlara karşı koruma
| Evet
| Uygulanıyor
| Zararlı yazılım risklerinin azaltılması gereklidir.
| ESET Endpoint
|-
| A.8.8
| Teknik zafiyetlerin yönetimi
| Evet
| Kısmen Uygulanıyor
| Sistem zafiyetlerinin belirlenmesi, değerlendirilmesi ve giderilmesi gereklidir.
| Wazuh / Zafiyet Yönetimi
|-
| A.8.9
| Konfigürasyon yönetimi
| Evet
| Kısmen Uygulanıyor
| Kritik sistem konfigürasyonlarının kontrollü şekilde yönetilmesi gereklidir.
| [[Konfigürasyon Yönetimi Prosedürü]]
|-
| A.8.10
| Bilginin silinmesi
| Evet
| Planlandı
| Gereksiz veya kullanım süresi sona eren bilgilerin güvenli şekilde silinmesi gereklidir.
| [[Bilgi İmha Prosedürü]]
|-
| A.8.11
| Veri maskeleme
| Evet
| Planlandı
| Hassas ve kişisel verilerin korunması amacıyla değerlendirilir.
| [[Veri Maskeleme Prosedürü]]
|-
| A.8.12
| Veri sızıntısı önleme
| Evet
| Planlandı
| Hassas bilgilerin yetkisiz şekilde dışarı aktarılmasının önlenmesi gereklidir.
| [[Veri Sızıntısı Önleme Politikası]]
|-
| A.8.13
| Bilgi yedekleme
| Evet
| Kısmen Uygulanıyor
| Kritik bilgi ve sistemlerin kaybına karşı yedeklenmesi gereklidir.
| [[Yedekleme Prosedürü]]
| Yedekleme kayıtları
|-
| A.8.14
| Bilgi işleme tesislerinin yedekliliği
| Evet
| Kısmen Uygulanıyor
| Kritik hizmetlerin sürekliliği için gerekli yedeklilik sağlanmalıdır.
| [[İş Sürekliliği Planı]]
| HA / yedeklilik
|-
| A.8.15
| Günlükleme
| Evet
| Kısmen Uygulanıyor
| Güvenlik olaylarının tespit edilmesi ve incelenebilmesi için loglama gereklidir.
| Wazuh / FortiGate / Windows / Linux
|-
| A.8.16
| İzleme faaliyetleri
| Evet
| Kısmen Uygulanıyor
| Anormal faaliyetlerin ve güvenlik olaylarının tespit edilmesi gereklidir.
| Wazuh / Sistem İzleme
|-
| A.8.17
| Saat senkronizasyonu
| Evet
| Uygulanıyor
| Sistem kayıtlarının doğru zaman bilgisiyle ilişkilendirilebilmesi gereklidir.
| NTP / Sistem Konfigürasyonları
|-
| A.8.18
| Ayrıcalıklı yardımcı programların kullanımı
| Evet
| Planlandı
| Kritik sistemlerde ayrıcalıklı araçların kontrollü kullanılması gereklidir.
| [[Ayrıcalıklı Erişim Prosedürü]]
|-
| A.8.19
| Operasyonel sistemlere yazılım kurulumu
| Evet
| Kısmen Uygulanıyor
| Üretim sistemlerine yazılım kurulumu kontrollü yapılmalıdır.
| [[Değişiklik Yönetimi Prosedürü]]
|-
| A.8.20
| Ağ güvenliği
| Evet
| Uygulanıyor
| Kurumsal ağ altyapısının güvenliğinin sağlanması gereklidir.
| [[Ağ Güvenliği Politikası]] / FortiGate
|-
| A.8.21
| Ağ hizmetlerinin güvenliği
| Evet
| Uygulanıyor
| Ağ hizmetlerinin güvenlik gereksinimlerini karşılaması gereklidir.
| FortiGate / Ağ Cihazları
|-
| A.8.22
| Ağların ayrıştırılması
| Evet
| Kısmen Uygulanıyor
| Kritik sistemlerin uygun ağ segmentlerine ayrılması gereklidir.
| VLAN / FortiGate
|-
| A.8.23
| Web filtreleme
| Evet
| Kısmen Uygulanıyor
| Zararlı veya uygunsuz internet içeriklerine erişim riskinin azaltılması gereklidir.
| FortiGate
|-
| A.8.24
| Kriptografi kullanımı
| Evet
| Kısmen Uygulanıyor
| Hassas bilgilerin korunması amacıyla uygun şifreleme mekanizmalarının kullanılması gereklidir.
| [[Kriptografi Politikası]] / TLS
|-
| A.8.25
| Güvenli geliştirme yaşam döngüsü
| Evet
| Planlandı
| Yazılım geliştirme faaliyetlerinde güvenlik gereksinimlerinin yaşam döngüsüne dahil edilmesi gereklidir.
| [[Güvenli Yazılım Geliştirme Prosedürü]]
|-
| A.8.26
| Uygulama güvenliği gereksinimleri
| Evet
| Planlandı
| Uygulamaların güvenlik gereksinimlerinin belirlenmesi gereklidir.
| [[Uygulama Güvenliği Prosedürü]]
|-
| A.8.27
| Güvenli sistem mimarisi ve mühendislik prensipleri
| Evet
| Planlandı
| Bilgi sistemlerinin güvenli mimari prensiplerle tasarlanması gereklidir.
| [[Sistem Mimarisi Güvenlik Standardı]]
|-
| A.8.28
| Güvenli kodlama
| Evet
| Planlandı
| Yazılım geliştirme faaliyetlerinde güvenli kodlama prensiplerinin uygulanması gereklidir.
| [[Güvenli Kodlama Standardı]]
|-
| A.8.29
| Geliştirme ve kabul süreçlerinde güvenlik testleri
| Evet
| Planlandı
| Yazılım geliştirme ve yayın süreçlerinde güvenlik testlerinin gerçekleştirilmesi gereklidir.
| [[Yazılım Test ve Kabul Prosedürü]]
|-
| A.8.30
| Dış kaynaklı geliştirme
| Evet
| Planlandı
| Dış kaynaklı yazılım geliştirme faaliyetlerinde güvenlik gereksinimlerinin yönetilmesi gereklidir.
| [[Tedarikçi Yazılım Geliştirme Prosedürü]]
|-
| A.8.31
| Geliştirme, test ve üretim ortamlarının ayrılması
| Evet
| Kısmen Uygulanıyor
| Yazılım geliştirme ortamlarının üretim ortamından ayrılması gereklidir.
| [[Yazılım Geliştirme Prosedürü]]
|-
| A.8.32
| Değişiklik yönetimi
| Evet
| Kısmen Uygulanıyor
| Sistem ve uygulama değişikliklerinin kontrollü şekilde yönetilmesi gereklidir.
| [[Değişiklik Yönetimi Prosedürü]]
|-
| A.8.33
| Test bilgileri
| Evet
| Planlandı
| Test ortamlarında hassas ve kişisel verilerin korunması gereklidir.
| [[Test Verisi Yönetimi Prosedürü]]
|-
| A.8.34
| Denetim testleri sırasında bilgi sistemlerinin korunması
| Evet
| Planlandı
| Denetim ve test faaliyetlerinin üretim sistemlerine zarar vermemesi gereklidir.
| [[Denetim ve Test Prosedürü]]
|}

= 7. UYGULANABİLİR OLMAYAN KONTROLLER =

Aşağıdaki bölüm, risk değerlendirmesi ve BGYS kapsamı sonucunda uygulanabilir olmadığı belirlenen kontroller için kullanılır.

Bir kontrolün uygulanabilir olmadığına karar verilmesi halinde, kontrol numarası, karar gerekçesi ve ilgili risk değerlendirmesi kayıt altına alınır.

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Karar
! Gerekçe
! İlgili Risk
! Onay
|-
|
|
| Uygulanabilir Değil
|
|
|
|}

= 8. KONTROL KANITLARI =

Kontrollerin uygulanma durumunun doğrulanabilmesi amacıyla ilgili dokümanlar, kayıtlar ve teknik kanıtlar muhafaza edilir.

Örnek kanıtlar:

* Politika ve prosedürler
* Risk değerlendirme kayıtları
* Risk işleme planları
* Varlık envanteri
* Kullanıcı ve yetki kayıtları
* Active Directory kayıtları
* FortiGate konfigürasyonları
* ESET Endpoint kayıtları
* Wazuh kayıtları
* Windows sistem kayıtları
* Linux sistem kayıtları
* Sunucu konfigürasyonları
* Yedekleme kayıtları
* Eğitim kayıtları
* İç denetim raporları
* Güvenlik olay kayıtları
* Tedarikçi değerlendirme kayıtları
* Sözleşmeler
* Teknik test sonuçları

= 9. RİSK YÖNETİMİ İLE İLİŞKİ =

SoA kapsamında belirlenen kontroller, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme faaliyetleri ile ilişkilendirilir.

Kontrol seçimi ve uygulanabilirlik kararları;

* Bilgi varlıkları,
* Tehditler,
* Zafiyetler,
* Risk seviyeleri,
* Risk sahipleri,
* Risk işleme kararları

dikkate alınarak gerçekleştirilir.

Risk değerlendirmesinde önemli değişiklik meydana gelmesi halinde ilgili kontrolün uygulanabilirlik durumu yeniden değerlendirilir.

= 10. GÖZDEN GEÇİRME =

Uygulanabilirlik Bildirgesi aşağıdaki durumlarda gözden geçirilir:

* BGYS kapsamında önemli değişiklik yapılması,
* Yeni bilgi sistemi veya teknoloji devreye alınması,
* Yeni yasal veya sözleşmesel yükümlülük oluşması,
* Bilgi güvenliği risklerinde önemli değişiklik meydana gelmesi,
* Önemli bilgi güvenliği olayı meydana gelmesi,
* İç veya dış denetim sonucunda değişiklik gereksinimi oluşması,
* Yönetimin Gözden Geçirmesi sonucunda gerekli görülmesi.

Bunların dışında SoA en az yılda bir kez gözden geçirilir.

= 11. ONAY =

{| class="wikitable" style="width:100%;"
! Görev
! Ad Soyad
! Tarih
! Onay
|-
| Hazırlayan
|
|
|
|-
| Kontrol Eden
|
|
|
|-
| Onaylayan
|
|
|
|}

= 12. REVİZYON GEÇMİŞİ =

{| class="wikitable" style="width:100%;"
! Revizyon
! Tarih
! Açıklama
! Hazırlayan
! Onaylayan
|-
| 00
| 11.08.2026
| İlk yayın
| BGYS Sorumlusu
|
|}

BGYS-POL-001 Bilgi Güvenliği Politikası

2026-08-11T13:52:35Z

Ibrahim.kulah:

= BGYS-POL-001 Bilgi Güvenliği Politikası =

<center>
'''MONAD YAZILIM VE DANIŞMANLIK A.Ş.'''

'''Bilgi Güvenliği Yönetim Sistemi (BGYS)'''

'''Bilgi Güvenliği Politikası'''
</center>

{| class="wikitable" style="width:100%;"
! Özellik
! Değer
|-
| Doküman No
| BGYS-POL-001
|-
| Revizyon
| 00
|-
| Yayın Tarihi
| 11.08.2026
|-
| Gizlilik
| Kurum İçi
|-
| Doküman Sahibi
| BGYS Sorumlusu
|-
| Onaylayan
| Genel Müdür
|}

== 1. Amaç ==

Bu politikanın amacı, Monad Yazılım ve Danışmanlık A.Ş. bünyesinde bulunan bilgi varlıklarının gizlilik, bütünlük ve erişilebilirlik ilkeleri doğrultusunda korunmasını sağlamak ve Bilgi Güvenliği Yönetim Sisteminin temel prensiplerini belirlemektir.

Şirketimiz bilgi güvenliğini sadece teknik bir konu olarak değil; yönetim, insan, süreç, fiziksel güvenlik ve teknoloji boyutlarıyla ele alır.

== 2. Kapsam ==

Bu politika aşağıdaki unsurları kapsar:

* Çalışanlar
* Yöneticiler
* Stajyerler
* Tedarikçiler
* İş ortakları
* Sunucular
* Bilgisayarlar
* Mobil cihazlar
* Ağ altyapısı
* Yazılımlar
* Veritabanları
* Bulut hizmetleri
* Dokümanlar
* Kişisel veriler
* Müşteri bilgileri

== 3. Bilgi Güvenliği İlkeleri ==

Monad Yazılım ve Danışmanlık A.Ş. aşağıdaki temel bilgi güvenliği prensiplerini benimser:

=== Gizlilik ===

Bilgiye yalnızca yetkili kişiler erişebilir.

=== Bütünlük ===

Bilginin doğruluğu ve değişmezliği korunur.

=== Erişilebilirlik ===

Yetkili kullanıcılar ihtiyaç duyduklarında bilgiye erişebilir.

== 4. Yönetimin Taahhüdü ==

Üst yönetim;

* BGYS'nin kurulmasını destekler.
* Gerekli kaynakları sağlar.
* Bilgi güvenliği hedeflerini belirler.
* Risk yönetimini destekler.
* Sürekli iyileştirme faaliyetlerini takip eder.

== 5. Risk Yönetimi ==

Bilgi güvenliği riskleri düzenli olarak değerlendirilir.

Riskler;

* Tanımlanır
* Analiz edilir
* Önceliklendirilir
* İşlenir
* İzlenir

Risk işleme faaliyetleri;

* [[Risk Değerlendirmesi]]
* [[Risk İşleme Planı]]
* [[Uygulanabilirlik Bildirgesi]]

dokümanları ile yönetilir.

== 6. Varlık Yönetimi ==

Şirket bilgi varlıkları:

* Envantere alınır.
* Sınıflandırılır.
* Sahipleri belirlenir.
* Koruma gereksinimleri tanımlanır.

Detaylar için:

[[Varlık Yönetim Prosedürü]]

== 7. Erişim Kontrolü ==

Bilgiye erişim;

* Yetki prensibine göre verilir.
* En az yetki prensibi uygulanır.
* Kullanıcı hesapları yönetilir.
* Parola kuralları uygulanır.
* Ayrıcalıklı hesaplar kontrol edilir.

== 8. Teknolojik Güvenlik ==

Şirket aşağıdaki güvenlik önlemlerini uygular:

* Güvenlik duvarı
* Antivirüs
* Günlükleme
* Yedekleme
* Güncelleme yönetimi
* Zafiyet yönetimi
* Şifreleme
* Ağ segmentasyonu
* VPN erişimi

== 9. Fiziksel Güvenlik ==

Bilgi işleme alanları;

* Yetkisiz erişime karşı korunur.
* Fiziksel güvenlik önlemleri uygulanır.
* Kritik ekipmanlar korunur.

== 10. İnsan Kaynakları Güvenliği ==

Çalışanlar:

* Bilgi güvenliği eğitimleri alır.
* Gizlilik kurallarına uyar.
* Güvenlik olaylarını bildirir.

== 11. Kişisel Verilerin Korunması ==

Monad Yazılım ve Danışmanlık A.Ş.;

* 6698 Sayılı KVKK
* İlgili mevzuat
* Sözleşmesel yükümlülükler

çerçevesinde kişisel verileri korur.

İlgili dokümanlar:

* [[KVKK Politikası]]
* [[Saklama ve İmha Politikası]]
* [[Aydınlatma Metni]]

== 12. Bilgi Güvenliği Olay Yönetimi ==

Bilgi güvenliği olayları;

* Bildirilir
* Kaydedilir
* İncelenir
* Müdahale edilir
* Kök neden analizi yapılır

== 13. İş Sürekliliği ==

Kritik hizmetlerin sürekliliğini sağlamak amacıyla:

* Yedekleme
* Felaket kurtarma
* İş sürekliliği planları

oluşturulur ve test edilir.

== 14. Uyum ==

Şirket aşağıdaki gereksinimlere uyum sağlamayı hedefler:

* ISO/IEC 27001
* KVKK
* Sözleşmeler
* Yasal yükümlülükler

== 15. Sürekli İyileştirme ==

Bilgi Güvenliği Yönetim Sistemi;

* İç denetimler
* Yönetimin gözden geçirmesi
* Düzeltici faaliyetler
* Risk değerlendirmeleri

aracılığıyla sürekli iyileştirilir.

== 16. İhlaller ve Yaptırımlar ==

Bu politika hükümlerine aykırı davranışlar;

* Disiplin süreçlerine
* Sözleşmesel yaptırımlara
* Yasal işlemlere

konu olabilir.

== 17. Gözden Geçirme ==

Bu politika;

* En az yılda bir kez,
* Önemli değişikliklerde,
* Güvenlik olaylarından sonra,

gözden geçirilir.

== 18. İlgili Dokümanlar ==

* [[BGYS Kapsamı]]
* [[Risk Yönetimi Prosedürü]]
* [[Uygulanabilirlik Bildirgesi]]
* [[Varlık Yönetim Prosedürü]]
* [[Erişim Kontrol Politikası]]
* [[Yedekleme Prosedürü]]
* [[KVKK Politikası]]
* [[İş Sürekliliği Planı]]

== 19. Revizyon Geçmişi ==

{| class="wikitable"
! Revizyon
! Tarih
! Açıklama
|-
| 00
| 11.08.2026
| İlk yayın
|}

Uygulanabilirlik Bildirgesi

2026-08-11T13:50:08Z

Ibrahim.kulah:

= MONAD YAZILIM VE DANIŞMANLIK A.Ş. =

<center>
'''BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ'''

'''UYGULANABİLİRLİK BİLDİRGESİ'''

''Statement of Applicability – SoA''
</center>

{| class="wikitable" style="width:100%;"
! style="width:25%;" | Doküman Bilgisi
! Değer
|-
| '''Kuruluş'''
| Monad Yazılım ve Danışmanlık A.Ş.
|-
| '''Doküman Adı'''
| Uygulanabilirlik Bildirgesi
|-
| '''Doküman No'''
| BGYS-SOA-001
|-
| '''Revizyon'''
| 00
|-
| '''Yayın Tarihi'''
| 11.08.2026
|-
| '''Doküman Durumu'''
| Taslak
|-
| '''Doküman Sahibi'''
| BGYS Sorumlusu
|-
| '''Onaylayan'''
| Üst Yönetim
|-
| '''Gizlilik Sınıfı'''
| Kurum İçi
|-
| '''Referans Standart'''
| ISO/IEC 27001:2022
|}

----

= 1. AMAÇ =

Bu Uygulanabilirlik Bildirgesi (Statement of Applicability – SoA), Monad Yazılım ve Danışmanlık A.Ş. Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanabilir bilgi güvenliği kontrollerinin belirlenmesi, kontrollerin uygulanabilirlik durumlarının değerlendirilmesi ve alınan kararların gerekçelendirilmesi amacıyla hazırlanmıştır.

SoA, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile ISO/IEC 27001:2022 Ek-A kontrolleri arasındaki ilişkiyi ortaya koyar.

Bu doküman aynı zamanda uygulanmakta olan kontrollerin ilgili politika, prosedür, süreç ve teknik kanıtlarla ilişkilendirilmesini sağlar.

= 2. KAPSAM =

Bu Uygulanabilirlik Bildirgesi, Monad Yazılım ve Danışmanlık A.Ş. tarafından tanımlanan BGYS kapsamı içerisinde bulunan bilgi varlıklarını, bilgi sistemlerini, yazılım ve uygulamaları, sunucu ve istemci sistemlerini, ağ altyapısını, çalışanları, fiziksel ortamları, tedarikçileri ve ilgili bilgi güvenliği süreçlerini kapsar.

SoA'nın kapsamı [[BGYS Kapsamı]] dokümanı ile birlikte değerlendirilir.

= 3. REFERANSLAR =

* ISO/IEC 27001:2022
* ISO/IEC 27002:2022
* [[Bilgi Güvenliği Politikası]]
* [[BGYS Kapsamı]]
* [[Risk Yönetimi Prosedürü]]
* [[Bilgi Güvenliği Risk Değerlendirmesi]]
* [[Risk İşleme Planı]]
* [[Varlık Yönetim Prosedürü]]
* [[İç Denetim Prosedürü]]
* [[Yönetimin Gözden Geçirmesi]]

= 4. UYGULANABİLİRLİK DEĞERLENDİRME YÖNTEMİ =

ISO/IEC 27001:2022 Ek-A kapsamında bulunan kontrollerin uygulanabilirliği aşağıdaki kriterler dikkate alınarak değerlendirilir:

* Bilgi güvenliği riskleri
* Risk değerlendirme sonuçları
* Risk işleme kararları
* Yasal ve düzenleyici yükümlülükler
* Sözleşmesel yükümlülükler
* Kuruluşun faaliyetleri
* BGYS kapsamı
* Bilgi varlıklarının niteliği
* Teknolojik altyapı
* Fiziksel güvenlik gereksinimleri
* İnsan kaynakları gereksinimleri
* Tedarikçi ve üçüncü taraf ilişkileri
* İş sürekliliği gereksinimleri

Bir kontrolün uygulanabilir olarak belirlenmesi, kontrolün kuruluş tarafından ilgili riskleri yönetmek amacıyla uygulanması gerektiğini ifade eder.

Bir kontrolün uygulanabilir olmadığı değerlendirilmesi halinde, bu kararın gerekçesi açık ve denetlenebilir şekilde kayıt altına alınır.

= 5. KONTROL DURUMLARI =

{| class="wikitable" style="width:100%;"
! Durum
! Açıklama
|-
| '''Uygulanıyor'''
| Kontrol uygulanmış ve ilgili süreç içerisinde işletilmektedir.
|-
| '''Kısmen Uygulanıyor'''
| Kontrolün bir bölümü uygulanmış olup eksikliklerin giderilmesine yönelik çalışmalar devam etmektedir.
|-
| '''Planlandı'''
| Kontrol uygulanabilir olarak belirlenmiş ancak uygulama çalışması henüz tamamlanmamıştır.
|-
| '''Uygulanmıyor'''
| Kontrol uygulanabilir olarak belirlenmiş ancak henüz uygulanmamaktadır.
|-
| '''Uygulanabilir Değil'''
| Kontrol, kuruluşun faaliyetleri, BGYS kapsamı ve riskleri açısından uygulanabilir olarak değerlendirilmemiştir.
|}

= 6. UYGULANABİLİRLİK BİLDİRGESİ =

== A.5 Organizasyonel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.5.1
| Bilgi güvenliği politikaları
| Evet
| Planlandı
| BGYS'nin temel yönetim gereksinimidir.
| [[Bilgi Güvenliği Politikası]]
|-
| A.5.2
| Bilgi güvenliği rolleri ve sorumlulukları
| Evet
| Planlandı
| Bilgi güvenliği görev ve sorumluluklarının belirlenmesi gereklidir.
| [[BGYS Organizasyonu]]
|-
| A.5.3
| Görevlerin ayrılığı
| Evet
| Planlandı
| Kritik görevlerde yetki çatışmalarının önlenmesi gereklidir.
| [[Yetki Matrisi]]
|-
| A.5.4
| Yönetim sorumlulukları
| Evet
| Planlandı
| Yönetimin bilgi güvenliği faaliyetlerini desteklemesi gereklidir.
| [[Yönetimin Gözden Geçirmesi]]
|-
| A.5.5
| Yetkili makamlarla iletişim
| Evet
| Planlandı
| Yasal ve güvenlik gereksinimleri kapsamında iletişim kanallarının belirlenmesi gereklidir.
| [[İletişim Prosedürü]]
|-
| A.5.6
| Özel ilgi gruplarıyla iletişim
| Evet
| Planlandı
| Bilgi güvenliği tehditleri ve gelişmelerinin takip edilmesi amacıyla uygulanır.
| [[Tehdit İstihbaratı Prosedürü]]
|-
| A.5.7
| Tehdit istihbaratı
| Evet
| Kısmen Uygulanıyor
| Bilgi güvenliği tehditlerinin takip edilmesi ve değerlendirilmesi gereklidir.
| Wazuh / güvenlik bildirimleri
|-
| A.5.8
| Proje yönetiminde bilgi güvenliği
| Evet
| Planlandı
| Yazılım geliştirme ve danışmanlık faaliyetlerinde bilgi güvenliği gereksinimlerinin dikkate alınması gereklidir.
| [[Proje Güvenliği Prosedürü]]
|-
| A.5.9
| Bilgi ve diğer ilişkili varlıkların envanteri
| Evet
| Kısmen Uygulanıyor
| Bilgi varlıklarının tanımlanması ve yönetilmesi gereklidir.
| [[Varlık Envanteri]]
|-
| A.5.10
| Bilgi ve diğer ilişkili varlıkların kabul edilebilir kullanımı
| Evet
| Planlandı
| Kurumsal bilgi varlıklarının güvenli kullanımının sağlanması gereklidir.
| [[Kabul Edilebilir Kullanım Politikası]]
|-
| A.5.11
| Varlıkların iadesi
| Evet
| Planlandı
| Personel ayrılışlarında kuruma ait varlıkların iade edilmesi gereklidir.
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]
|-
| A.5.12
| Bilginin sınıflandırılması
| Evet
| Planlandı
| Bilginin önem ve hassasiyetine göre korunması gereklidir.
| [[Bilgi Sınıflandırma Politikası]]
|-
| A.5.13
| Bilgi etiketleme
| Evet
| Planlandı
| Bilgi sınıflandırmalarının görünür ve anlaşılır şekilde uygulanması gereklidir.
| [[Bilgi Sınıflandırma Politikası]]
|-
| A.5.14
| Bilgi transferi
| Evet
| Kısmen Uygulanıyor
| Bilginin kurum içi ve kurum dışı aktarımının güvenli gerçekleştirilmesi gereklidir.
| [[Bilgi Transfer Prosedürü]]
|-
| A.5.15
| Erişim kontrolü
| Evet
| Kısmen Uygulanıyor
| Bilgi varlıklarına erişimin yetki ve görev temelinde sınırlandırılması gereklidir.
| [[Erişim Kontrol Politikası]] / Active Directory / FortiGate
|-
| A.5.16
| Kimlik yönetimi
| Evet
| Kısmen Uygulanıyor
| Kullanıcı hesaplarının yaşam döngüsünün kontrollü şekilde yönetilmesi gereklidir.
| [[Kimlik ve Hesap Yönetimi Prosedürü]]
|-
| A.5.17
| Kimlik doğrulama bilgileri
| Evet
| Kısmen Uygulanıyor
| Kimlik doğrulama bilgilerinin korunması gereklidir.
| [[Parola Politikası]]
|-
| A.5.18
| Erişim hakları
| Evet
| Kısmen Uygulanıyor
| Erişim haklarının görev ve yetki temelinde verilmesi gereklidir.
| [[Erişim Kontrol Prosedürü]]
|-
| A.5.19
| Tedarikçi ilişkilerinde bilgi güvenliği
| Evet
| Planlandı
| Tedarikçi kaynaklı bilgi güvenliği risklerinin yönetilmesi gereklidir.
| [[Tedarikçi Güvenliği Prosedürü]]
|-
| A.5.20
| Tedarikçi sözleşmelerinde bilgi güvenliği
| Evet
| Planlandı
| Bilgi güvenliği gereksinimlerinin sözleşmelere dahil edilmesi gereklidir.
| [[Tedarikçi Sözleşme Şablonu]]
|-
| A.5.21
| Bilgi ve iletişim teknolojileri tedarik zinciri
| Evet
| Planlandı
| Teknoloji tedarik zinciri risklerinin değerlendirilmesi gereklidir.
| [[Tedarikçi Risk Değerlendirmesi]]
|-
| A.5.22
| Tedarikçi hizmetlerinin izlenmesi
| Evet
| Planlandı
| Kritik tedarikçi hizmetlerinin güvenlik açısından izlenmesi gereklidir.
| [[Tedarikçi Yönetim Prosedürü]]
|-
| A.5.23
| Bulut hizmetleri için bilgi güvenliği
| Evet
| Kısmen Uygulanıyor
| Kurumsal bulut hizmetlerinin güvenli şekilde yönetilmesi gereklidir.
| [[Bulut Güvenliği Politikası]] / Cloudron
|-
| A.5.24
| Bilgi güvenliği olay yönetimi planlama
| Evet
| Planlandı
| Bilgi güvenliği olaylarına hazırlıklı olunması gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|-
| A.5.25
| Bilgi güvenliği olaylarının değerlendirilmesi
| Evet
| Planlandı
| Güvenlik olaylarının değerlendirilmesi ve sınıflandırılması gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|-
| A.5.26
| Bilgi güvenliği olaylarına müdahale
| Evet
| Planlandı
| Güvenlik olaylarına kontrollü ve zamanında müdahale edilmesi gereklidir.
| [[Olay Müdahale Prosedürü]]
|-
| A.5.27
| Bilgi güvenliği olaylarından öğrenilen dersler
| Evet
| Planlandı
| Olayların tekrarının önlenmesi ve sürekli iyileştirme amacıyla uygulanır.
| [[Düzeltici Faaliyet Prosedürü]]
|-
| A.5.28
| Bilgi güvenliği kanıtlarının toplanması
| Evet
| Planlandı
| Güvenlik olaylarına ilişkin kanıtların güvenilir şekilde korunması gereklidir.
| [[Olay Yönetimi Prosedürü]]
|-
| A.5.29
| İş sürekliliği sırasında bilgi güvenliği
| Evet
| Planlandı
| İş sürekliliği durumlarında bilgi güvenliği seviyesinin korunması gereklidir.
| [[İş Sürekliliği Planı]]
|-
| A.5.30
| ICT'nin iş sürekliliğine hazır olması
| Evet
| Kısmen Uygulanıyor
| Kritik bilgi sistemlerinin sürekliliğinin sağlanması gereklidir.
| [[BT İş Sürekliliği Planı]] / Yedekleme
|-
| A.5.31
| Yasal, düzenleyici ve sözleşmesel gereklilikler
| Evet
| Planlandı
| Kuruluşun tabi olduğu yasal ve sözleşmesel gerekliliklerin takip edilmesi gereklidir.
| [[Yasal ve Düzenleyici Gereklilikler]]
|-
| A.5.32
| Fikri mülkiyet hakları
| Evet
| Planlandı
| Yazılım ve fikri mülkiyet haklarının korunması gereklidir.
| [[Fikri Mülkiyet Politikası]]
|-
| A.5.33
| Kayıtların korunması
| Evet
| Planlandı
| Kurumsal kayıtların korunması ve gerektiğinde erişilebilir olması gereklidir.
| [[Kayıtların Yönetimi Prosedürü]]
|-
| A.5.34
| Kişisel verilerin gizliliği ve korunması
| Evet
| Kısmen Uygulanıyor
| KVKK kapsamında kişisel verilerin korunması yasal bir gerekliliktir.
| [[KVKK Politikası]]
|-
| A.5.35
| Bilgi güvenliğinin bağımsız gözden geçirilmesi
| Evet
| Planlandı
| BGYS'nin bağımsız olarak değerlendirilmesi gereklidir.
| [[İç Denetim Prosedürü]]
|-
| A.5.36
| Politika, kurallar ve standartlara uygunluk
| Evet
| Planlandı
| Bilgi güvenliği kurallarına uyumun kontrol edilmesi gereklidir.
| [[İç Denetim Prosedürü]]
|-
| A.5.37
| Dokümante edilmiş işletim prosedürleri
| Evet
| Kısmen Uygulanıyor
| Kritik BT operasyonlarının standartlaştırılması gereklidir.
| [[BT Operasyon Prosedürleri]]
|}

== A.6 İnsan Kontrolleri ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.6.1
| Tarama
| Evet
| Planlandı
| Görevin niteliğine göre personel güvenilirliğinin değerlendirilmesi gereklidir.
| [[Personel Güvenliği Prosedürü]]
|-
| A.6.2
| İstihdam şartları ve koşulları
| Evet
| Planlandı
| Çalışanların bilgi güvenliği sorumluluklarının belirlenmesi gereklidir.
| [[Personel Güvenliği Prosedürü]]
|-
| A.6.3
| Bilgi güvenliği farkındalığı, eğitim ve öğretim
| Evet
| Planlandı
| Çalışanların bilgi güvenliği farkındalığının artırılması gereklidir.
| [[Bilgi Güvenliği Farkındalık Prosedürü]]
|-
| A.6.4
| Disiplin süreci
| Evet
| Planlandı
| Bilgi güvenliği ihlallerine yönelik disiplin sürecinin belirlenmesi gereklidir.
| [[Disiplin Prosedürü]]
|-
| A.6.5
| İstihdamın sona ermesi veya değişmesi sonrası sorumluluklar
| Evet
| Kısmen Uygulanıyor
| İşten ayrılışlarda erişimlerin kaldırılması ve varlıkların iadesi gereklidir.
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]
|-
| A.6.6
| Gizlilik veya gizlilik sözleşmeleri
| Evet
| Planlandı
| Gizli bilgilerin korunması gereklidir.
| [[Gizlilik ve KVKK Taahhütnamesi]]
|-
| A.6.7
| Uzaktan çalışma
| Evet
| Kısmen Uygulanıyor
| Uzaktan erişim ve çalışma sırasında bilgi güvenliği riskleri yönetilmelidir.
| [[Uzaktan Çalışma Politikası]] / VPN
|-
| A.6.8
| Bilgi güvenliği olaylarının raporlanması
| Evet
| Planlandı
| Çalışanların güvenlik olaylarını zamanında bildirmesi gereklidir.
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]
|}

== A.7 Fiziksel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.7.1
| Fiziksel güvenlik sınırları
| Evet
| Planlandı
| Bilgi işleme alanlarının fiziksel olarak korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.2
| Fiziksel giriş
| Evet
| Planlandı
| Yetkisiz kişilerin fiziksel alanlara erişiminin önlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.3
| Ofis, oda ve tesislerin güvenliği
| Evet
| Planlandı
| Bilgi işleme alanlarının güvenliğinin sağlanması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.4
| Fiziksel güvenlik izleme
| Evet
| Planlandı
| Kritik alanların fiziksel güvenliğinin izlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.5
| Fiziksel ve çevresel tehditlere karşı korunma
| Evet
| Planlandı
| Yangın, su, sıcaklık ve benzeri fiziksel tehditlere karşı korunma gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.6
| Güvenli alanlarda çalışma
| Evet
| Planlandı
| Güvenli alanlarda çalışma kurallarının belirlenmesi gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.7
| Temiz masa ve temiz ekran
| Evet
| Planlandı
| Hassas bilgilerin yetkisiz kişilerce görülmesinin önlenmesi gereklidir.
| [[Temiz Masa ve Temiz Ekran Politikası]]
|-
| A.7.8
| Ekipman yerleşimi ve korunması
| Evet
| Planlandı
| Bilgi işleme ekipmanlarının fiziksel risklerden korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.9
| Kuruluş dışındaki varlıkların güvenliği
| Evet
| Planlandı
| Kurum dışındaki bilgi varlıklarının korunması gereklidir.
| [[Varlık Yönetim Prosedürü]]
|-
| A.7.10
| Depolama ortamları
| Evet
| Planlandı
| Veri depolama ortamlarının güvenliğinin sağlanması gereklidir.
| [[Depolama Ortamları Prosedürü]]
|-
| A.7.11
| Destekleyici hizmetler
| Evet
| Planlandı
| Kritik sistemlerin enerji ve destek hizmetlerine bağımlılığı yönetilmelidir.
| [[İş Sürekliliği Planı]]
|-
| A.7.12
| Kablolama güvenliği
| Evet
| Planlandı
| Ağ ve enerji kablolarının fiziksel olarak korunması gereklidir.
| [[Fiziksel Güvenlik Prosedürü]]
|-
| A.7.13
| Ekipman bakımı
| Evet
| Planlandı
| Bilgi işleme ekipmanlarının güvenilir şekilde çalışması sağlanmalıdır.
| [[Bakım Yönetimi Prosedürü]]
|-
| A.7.14
| Ekipmanın güvenli imhası veya yeniden kullanımı
| Evet
| Planlandı
| Bilgi içeren ekipmanların imhası veya yeniden kullanımında bilgilerin korunması gereklidir.
| [[Varlık İmha Prosedürü]]
|}

== A.8 Teknolojik Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman / Kanıt
|-
| A.8.1
| Kullanıcı uç cihazları
| Evet
| Kısmen Uygulanıyor
| Kurumsal istemci cihazlarının korunması gereklidir.
| [[Uç Nokta Güvenliği Politikası]] / ESET
|-
| A.8.2
| Ayrıcalıklı erişim hakları
| Evet
| Kısmen Uygulanıyor
| Yönetici yetkilerinin kontrollü kullanılması gereklidir.
| [[Ayrıcalıklı Erişim Prosedürü]]
|-
| A.8.3
| Bilgi erişim kısıtlaması
| Evet
| Kısmen Uygulanıyor
| Bilgiye erişimin görev ve yetki temelinde sınırlandırılması gereklidir.
| [[Erişim Kontrol Politikası]]
|-
| A.8.4
| Kaynak koduna erişim
| Evet
| Planlandı
| Yazılım geliştirme faaliyetleri kapsamında kaynak kodunun korunması gereklidir.
| [[Yazılım Geliştirme Güvenliği Prosedürü]]
|-
| A.8.5
| Güvenli kimlik doğrulama
| Evet
| Kısmen Uygulanıyor
| Sistemlerde güvenli kimlik doğrulama mekanizmalarının kullanılması gereklidir.
| [[Kimlik Doğrulama Politikası]]
|-
| A.8.6
| Kapasite yönetimi
| Evet
| Kısmen Uygulanıyor
| Bilgi sistemlerinin kapasitesinin izlenmesi ve planlanması gereklidir.
| [[Kapasite Yönetim Prosedürü]]
|-
| A.8.7
| Kötü amaçlı yazılımlara karşı koruma
| Evet
| Uygulanıyor
| Zararlı yazılım risklerinin azaltılması gereklidir.
| ESET Endpoint
|-
| A.8.8
| Teknik zafiyetlerin yönetimi
| Evet
| Kısmen Uygulanıyor
| Sistem zafiyetlerinin belirlenmesi, değerlendirilmesi ve giderilmesi gereklidir.
| Wazuh / Zafiyet Yönetimi
|-
| A.8.9
| Konfigürasyon yönetimi
| Evet
| Kısmen Uygulanıyor
| Kritik sistem konfigürasyonlarının kontrollü şekilde yönetilmesi gereklidir.
| [[Konfigürasyon Yönetimi Prosedürü]]
|-
| A.8.10
| Bilginin silinmesi
| Evet
| Planlandı
| Gereksiz veya kullanım süresi sona eren bilgilerin güvenli şekilde silinmesi gereklidir.
| [[Bilgi İmha Prosedürü]]
|-
| A.8.11
| Veri maskeleme
| Evet
| Planlandı
| Hassas ve kişisel verilerin korunması amacıyla değerlendirilir.
| [[Veri Maskeleme Prosedürü]]
|-
| A.8.12
| Veri sızıntısı önleme
| Evet
| Planlandı
| Hassas bilgilerin yetkisiz şekilde dışarı aktarılmasının önlenmesi gereklidir.
| [[Veri Sızıntısı Önleme Politikası]]
|-
| A.8.13
| Bilgi yedekleme
| Evet
| Kısmen Uygulanıyor
| Kritik bilgi ve sistemlerin kaybına karşı yedeklenmesi gereklidir.
| [[Yedekleme Prosedürü]]
| Yedekleme kayıtları
|-
| A.8.14
| Bilgi işleme tesislerinin yedekliliği
| Evet
| Kısmen Uygulanıyor
| Kritik hizmetlerin sürekliliği için gerekli yedeklilik sağlanmalıdır.
| [[İş Sürekliliği Planı]]
| HA / yedeklilik
|-
| A.8.15
| Günlükleme
| Evet
| Kısmen Uygulanıyor
| Güvenlik olaylarının tespit edilmesi ve incelenebilmesi için loglama gereklidir.
| Wazuh / FortiGate / Windows / Linux
|-
| A.8.16
| İzleme faaliyetleri
| Evet
| Kısmen Uygulanıyor
| Anormal faaliyetlerin ve güvenlik olaylarının tespit edilmesi gereklidir.
| Wazuh / Sistem İzleme
|-
| A.8.17
| Saat senkronizasyonu
| Evet
| Uygulanıyor
| Sistem kayıtlarının doğru zaman bilgisiyle ilişkilendirilebilmesi gereklidir.
| NTP / Sistem Konfigürasyonları
|-
| A.8.18
| Ayrıcalıklı yardımcı programların kullanımı
| Evet
| Planlandı
| Kritik sistemlerde ayrıcalıklı araçların kontrollü kullanılması gereklidir.
| [[Ayrıcalıklı Erişim Prosedürü]]
|-
| A.8.19
| Operasyonel sistemlere yazılım kurulumu
| Evet
| Kısmen Uygulanıyor
| Üretim sistemlerine yazılım kurulumu kontrollü yapılmalıdır.
| [[Değişiklik Yönetimi Prosedürü]]
|-
| A.8.20
| Ağ güvenliği
| Evet
| Uygulanıyor
| Kurumsal ağ altyapısının güvenliğinin sağlanması gereklidir.
| [[Ağ Güvenliği Politikası]] / FortiGate
|-
| A.8.21
| Ağ hizmetlerinin güvenliği
| Evet
| Uygulanıyor
| Ağ hizmetlerinin güvenlik gereksinimlerini karşılaması gereklidir.
| FortiGate / Ağ Cihazları
|-
| A.8.22
| Ağların ayrıştırılması
| Evet
| Kısmen Uygulanıyor
| Kritik sistemlerin uygun ağ segmentlerine ayrılması gereklidir.
| VLAN / FortiGate
|-
| A.8.23
| Web filtreleme
| Evet
| Kısmen Uygulanıyor
| Zararlı veya uygunsuz internet içeriklerine erişim riskinin azaltılması gereklidir.
| FortiGate
|-
| A.8.24
| Kriptografi kullanımı
| Evet
| Kısmen Uygulanıyor
| Hassas bilgilerin korunması amacıyla uygun şifreleme mekanizmalarının kullanılması gereklidir.
| [[Kriptografi Politikası]] / TLS
|-
| A.8.25
| Güvenli geliştirme yaşam döngüsü
| Evet
| Planlandı
| Yazılım geliştirme faaliyetlerinde güvenlik gereksinimlerinin yaşam döngüsüne dahil edilmesi gereklidir.
| [[Güvenli Yazılım Geliştirme Prosedürü]]
|-
| A.8.26
| Uygulama güvenliği gereksinimleri
| Evet
| Planlandı
| Uygulamaların güvenlik gereksinimlerinin belirlenmesi gereklidir.
| [[Uygulama Güvenliği Prosedürü]]
|-
| A.8.27
| Güvenli sistem mimarisi ve mühendislik prensipleri
| Evet
| Planlandı
| Bilgi sistemlerinin güvenli mimari prensiplerle tasarlanması gereklidir.
| [[Sistem Mimarisi Güvenlik Standardı]]
|-
| A.8.28
| Güvenli kodlama
| Evet
| Planlandı
| Yazılım geliştirme faaliyetlerinde güvenli kodlama prensiplerinin uygulanması gereklidir.
| [[Güvenli Kodlama Standardı]]
|-
| A.8.29
| Geliştirme ve kabul süreçlerinde güvenlik testleri
| Evet
| Planlandı
| Yazılım geliştirme ve yayın süreçlerinde güvenlik testlerinin gerçekleştirilmesi gereklidir.
| [[Yazılım Test ve Kabul Prosedürü]]
|-
| A.8.30
| Dış kaynaklı geliştirme
| Evet
| Planlandı
| Dış kaynaklı yazılım geliştirme faaliyetlerinde güvenlik gereksinimlerinin yönetilmesi gereklidir.
| [[Tedarikçi Yazılım Geliştirme Prosedürü]]
|-
| A.8.31
| Geliştirme, test ve üretim ortamlarının ayrılması
| Evet
| Kısmen Uygulanıyor
| Yazılım geliştirme ortamlarının üretim ortamından ayrılması gereklidir.
| [[Yazılım Geliştirme Prosedürü]]
|-
| A.8.32
| Değişiklik yönetimi
| Evet
| Kısmen Uygulanıyor
| Sistem ve uygulama değişikliklerinin kontrollü şekilde yönetilmesi gereklidir.
| [[Değişiklik Yönetimi Prosedürü]]
|-
| A.8.33
| Test bilgileri
| Evet
| Planlandı
| Test ortamlarında hassas ve kişisel verilerin korunması gereklidir.
| [[Test Verisi Yönetimi Prosedürü]]
|-
| A.8.34
| Denetim testleri sırasında bilgi sistemlerinin korunması
| Evet
| Planlandı
| Denetim ve test faaliyetlerinin üretim sistemlerine zarar vermemesi gereklidir.
| [[Denetim ve Test Prosedürü]]
|}

= 7. UYGULANABİLİR OLMAYAN KONTROLLER =

Aşağıdaki bölüm, risk değerlendirmesi ve BGYS kapsamı sonucunda uygulanabilir olmadığı belirlenen kontroller için kullanılır.

Bir kontrolün uygulanabilir olmadığına karar verilmesi halinde, kontrol numarası, karar gerekçesi ve ilgili risk değerlendirmesi kayıt altına alınır.

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Alanı
! Karar
! Gerekçe
! İlgili Risk
! Onay
|-
|
|
| Uygulanabilir Değil
|
|
|
|}

= 8. KONTROL KANITLARI =

Kontrollerin uygulanma durumunun doğrulanabilmesi amacıyla ilgili dokümanlar, kayıtlar ve teknik kanıtlar muhafaza edilir.

Örnek kanıtlar:

* Politika ve prosedürler
* Risk değerlendirme kayıtları
* Risk işleme planları
* Varlık envanteri
* Kullanıcı ve yetki kayıtları
* Active Directory kayıtları
* FortiGate konfigürasyonları
* ESET Endpoint kayıtları
* Wazuh kayıtları
* Windows sistem kayıtları
* Linux sistem kayıtları
* Sunucu konfigürasyonları
* Yedekleme kayıtları
* Eğitim kayıtları
* İç denetim raporları
* Güvenlik olay kayıtları
* Tedarikçi değerlendirme kayıtları
* Sözleşmeler
* Teknik test sonuçları

= 9. RİSK YÖNETİMİ İLE İLİŞKİ =

SoA kapsamında belirlenen kontroller, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme faaliyetleri ile ilişkilendirilir.

Kontrol seçimi ve uygulanabilirlik kararları;

* Bilgi varlıkları,
* Tehditler,
* Zafiyetler,
* Risk seviyeleri,
* Risk sahipleri,
* Risk işleme kararları

dikkate alınarak gerçekleştirilir.

Risk değerlendirmesinde önemli değişiklik meydana gelmesi halinde ilgili kontrolün uygulanabilirlik durumu yeniden değerlendirilir.

= 10. GÖZDEN GEÇİRME =

Uygulanabilirlik Bildirgesi aşağıdaki durumlarda gözden geçirilir:

* BGYS kapsamında önemli değişiklik yapılması,
* Yeni bilgi sistemi veya teknoloji devreye alınması,
* Yeni yasal veya sözleşmesel yükümlülük oluşması,
* Bilgi güvenliği risklerinde önemli değişiklik meydana gelmesi,
* Önemli bilgi güvenliği olayı meydana gelmesi,
* İç veya dış denetim sonucunda değişiklik gereksinimi oluşması,
* Yönetimin Gözden Geçirmesi sonucunda gerekli görülmesi.

Bunların dışında SoA en az yılda bir kez gözden geçirilir.

= 11. ONAY =

{| class="wikitable" style="width:100%;"
! Görev
! Ad Soyad
! Tarih
! Onay
|-
| Hazırlayan
|
|
|
|-
| Kontrol Eden
|
|
|
|-
| Onaylayan
|
|
|
|}

= 12. REVİZYON GEÇMİŞİ =

{| class="wikitable" style="width:100%;"
! Revizyon
! Tarih
! Açıklama
! Hazırlayan
! Onaylayan
|-
| 00
| 11.08.2026
| İlk yayın
| BGYS Sorumlusu
|
|}

Uygulanabilirlik Bildirgesi

2026-08-11T13:47:10Z

Ibrahim.kulah:

# UYGULANABİLİRLİK BİLDİRGESİ

## Statement of Applicability (SoA)

{{DokümanBilgileri
|dokuman_no=BGYS-SOA-001
|dokuman_turu=Uygulanabilirlik Bildirgesi
|dokuman_adi=Uygulanabilirlik Bildirgesi (Statement of Applicability)
|revizyon=00
|durum=Taslak
|yayin_tarihi=11.08.2026
|yururluk_tarihi=
|dokuman_sahibi=BGYS Sorumlusu
|onaylayan=
|gizlilik=Kurum İçi
|dokuman_sinifi=Kontrollü Doküman
}}

= 1. KURULUŞ BİLGİLERİ =

'''Kuruluş:''' Monad Yazılım ve Danışmanlık A.Ş.

'''Doküman:''' Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA)

'''Standart:''' ISO/IEC 27001:2022

'''BGYS:''' Bilgi Güvenliği Yönetim Sistemi

'''Doküman No:''' BGYS-SOA-001

'''Revizyon:''' 00

'''Doküman Durumu:''' Taslak

= 2. AMAÇ =

Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), Monad Yazılım ve Danışmanlık A.Ş. tarafından oluşturulan Bilgi Güvenliği Yönetim Sistemi (BGYS) kapsamında uygulanması gereken bilgi güvenliği kontrollerinin belirlenmesi, kontrollerin uygulanabilirlik durumunun değerlendirilmesi ve alınan kararların gerekçelendirilmesi amacıyla hazırlanmıştır.

Bu belge, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile ISO/IEC 27001:2022 Ek-A kontrolleri arasındaki ilişkiyi ortaya koyar.

= 3. KAPSAM =

Bu Uygulanabilirlik Bildirgesi, Monad Yazılım ve Danışmanlık A.Ş. tarafından belirlenen BGYS kapsamı içerisinde yer alan;

* Bilgi varlıklarını,
* Bilgi sistemlerini,
* Yazılım ve uygulama altyapılarını,
* Sunucu ve istemci sistemlerini,
* Ağ ve iletişim altyapısını,
* Veri tabanlarını,
* Çalışanları,
* Fiziksel çalışma ortamlarını,
* Tedarikçileri ve hizmet sağlayıcıları,
* Bilgi güvenliği süreçlerini

kapsar.

Bu belgenin kapsamı [[BGYS Kapsamı]] dokümanı ile birlikte değerlendirilir.

= 4. REFERANSLAR =

* ISO/IEC 27001:2022
* ISO/IEC 27002:2022
* [[BGYS Politikası]]
* [[Bilgi Güvenliği Risk Değerlendirme Metodolojisi]]
* [[Bilgi Güvenliği Risk Değerlendirmesi]]
* [[Risk İşleme Planı]]
* [[BGYS Kapsamı]]
* İlgili yasal ve düzenleyici yükümlülükler

= 5. UYGULANABİLİRLİK YAKLAŞIMI =

Monad Yazılım ve Danışmanlık A.Ş., ISO/IEC 27001:2022 Ek-A içerisinde yer alan kontrolleri; bilgi güvenliği riskleri, kuruluşun faaliyetleri, BGYS kapsamı, yasal ve düzenleyici yükümlülükler, sözleşmesel gereklilikler, bilgi varlıkları, teknolojik altyapı ve iş ihtiyaçları doğrultusunda değerlendirmektedir.

Bir kontrolün uygulanabilir olup olmadığı belirlenirken aşağıdaki hususlar dikkate alınır:

* Bilgi güvenliği risklerinin azaltılması gereksinimi,
* Kuruluşun faaliyetleri,
* BGYS kapsamı,
* Bilgi varlıklarının niteliği,
* Yasal ve düzenleyici yükümlülükler,
* Sözleşmesel yükümlülükler,
* Teknolojik altyapı,
* Fiziksel güvenlik gereksinimleri,
* İnsan kaynakları ve çalışan güvenliği,
* Tedarikçi ve üçüncü taraf ilişkileri,
* İş sürekliliği gereksinimleri.

Kontrollerin seçimi yalnızca ISO/IEC 27001 Ek-A listesine göre değil, kuruluşun risk değerlendirme ve risk işleme sonuçlarına göre gerçekleştirilir.

= 6. KONTROL DURUMLARI =

{| class="wikitable" style="width:100%;"
! Durum

| ! Açıklama |
| ----------------------------------------------------------------------------------------------------- |
| '''Uygulanıyor''' |
| Kontrol uygulanmış ve ilgili süreç içerisinde işletilmektedir. |
| - |
| '''Kısmen Uygulanıyor''' |
| Kontrolün bir bölümü uygulanmış olup eksikliklerin giderilmesine yönelik çalışmalar devam etmektedir. |
| - |
| '''Planlandı''' |
| Kontrol uygulanabilir olarak değerlendirilmiş ancak uygulama çalışması henüz tamamlanmamıştır. |
| - |
| '''Uygulanmıyor''' |
| Kontrol uygulanabilir olarak değerlendirilmiş ancak henüz uygulanmamaktadır. |
| - |
| '''Uygulanabilir Değil''' |
| Kontrol, BGYS kapsamı ve kuruluşun faaliyetleri açısından uygulanabilir olarak değerlendirilmemiştir. |
| } |

= 7. ISO/IEC 27001:2022 EK-A KONTROLLERİ =

ISO/IEC 27001:2022 Ek-A kontrolleri dört ana başlık altında toplam 93 kontrolden oluşmaktadır:

* A.5 Organizasyonel Kontroller - 37 kontrol
* A.6 İnsan Kontrolleri - 8 kontrol
* A.7 Fiziksel Kontroller - 14 kontrol
* A.8 Teknolojik Kontroller - 34 kontrol

Her kontrol için uygulanabilirlik kararı, kararın gerekçesi, mevcut uygulama durumu ve ilgili doküman/kanıtlar kayıt altına alınır.

== 7.1 A.5 Organizasyonel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Uygulanabilir
! Durum
! Uygulanabilirlik / Hariç Tutma Gerekçesi
! İlgili Doküman / Süreç

| ! Kanıt / Sistem |
| ------------------------------------------------------------------------------------------------------------------------ |
| A.5.1 |
| Bilgi güvenliği politikaları |
| Evet |
| |
| Monad Yazılım ve Danışmanlık A.Ş.'nin bilgi güvenliği yönetimi için gereklidir. |
| [[BGYS Politikası]] |
| BGYS Portalı |
| - |
| A.5.2 |
| Bilgi güvenliği rolleri ve sorumlulukları |
| Evet |
| |
| Bilgi güvenliği görev ve sorumluluklarının açık şekilde tanımlanması gerekmektedir. |
| [[Görev ve Sorumluluklar]] |
| Organizasyon şeması / görev tanımları |
| - |
| A.5.3 |
| Görevlerin ayrılığı |
| Evet |
| |
| Kritik görevlerde yetki çatışmalarının ve tek kişiye bağımlılığın azaltılması amacıyla değerlendirilir. |
| [[Yetki ve Görev Ayrılığı Prosedürü]] |
| Yetki matrisi |
| - |
| A.5.4 |
| Yönetim sorumlulukları |
| Evet |
| |
| Bilgi güvenliği sorumluluklarının yönetim tarafından desteklenmesi gerekmektedir. |
| [[BGYS Yönetim Prosedürü]] |
| Yönetim kararları |
| - |
| A.5.5 |
| Yetkili makamlarla iletişim |
| Evet |
| |
| Yasal ve düzenleyici gereklilikler kapsamında gerekli iletişim kanallarının belirlenmesi amacıyla uygulanır. |
| [[Yasal ve Düzenleyici Gereklilikler]] |
| İletişim kayıtları |
| - |
| A.5.6 |
| Özel ilgi gruplarıyla iletişim |
| Değerlendirilecek |
| |
| Kuruluşun faaliyetleri ve ihtiyaçları doğrultusunda değerlendirilir. |
| |
| |
| - |
| A.5.7 |
| Tehdit istihbaratı |
| Değerlendirilecek |
| |
| Kuruluşun bilgi güvenliği riskleri ve siber tehditlere maruz kalma durumu dikkate alınarak değerlendirilir. |
| [[Tehdit İstihbaratı Prosedürü]] |
| Wazuh / güvenlik bildirimleri |
| - |
| A.5.8 |
| Proje yönetiminde bilgi güvenliği |
| Evet |
| |
| Yazılım geliştirme ve danışmanlık faaliyetlerinde bilgi güvenliği gereksinimlerinin dikkate alınması amacıyla uygulanır. |
| [[Proje Güvenliği Prosedürü]] |
| Proje kayıtları |
| - |
| A.5.9 |
| Bilgi ve diğer ilişkili varlıkların envanteri |
| Evet |
| |
| Bilgi varlıklarının tanımlanması ve yönetilmesi amacıyla uygulanır. |
| [[Varlık Yönetim Prosedürü]] |
| Varlık envanteri |
| - |
| A.5.10 |
| Bilgi ve diğer ilişkili varlıkların kabul edilebilir kullanımı |
| Evet |
| |
| Bilgi varlıklarının uygun ve güvenli kullanımını sağlamak amacıyla uygulanır. |
| [[Kabul Edilebilir Kullanım Politikası]] |
| Kullanıcı taahhütnameleri |
| - |
| A.5.11 |
| Varlıkların iadesi |
| Evet |
| |
| Çalışan veya yüklenici ilişkisinin sona ermesi durumunda kurum varlıklarının iadesi gereklidir. |
| [[İşe Giriş ve İşten Ayrılış Prosedürü]] |
| Teslim/iade kayıtları |
| - |
| A.5.12 |
| Bilginin sınıflandırılması |
| Evet |
| |
| Bilginin hassasiyetine göre korunmasını sağlamak amacıyla uygulanır. |
| [[Bilgi Sınıflandırma Politikası]] |
| Sınıflandırma kayıtları |
| - |
| A.5.13 |
| Bilgi etiketleme |
| Evet |
| |
| Sınıflandırılan bilgilerin uygun şekilde tanımlanması amacıyla uygulanır. |
| [[Bilgi Sınıflandırma Politikası]] |
| Dokümanlar |
| - |
| A.5.14 |
| Bilgi transferi |
| Evet |
| |
| Kurum içi ve kurum dışı bilgi transferlerinin güvenli şekilde gerçekleştirilmesi gereklidir. |
| [[Bilgi Transfer Prosedürü]] |
| E-posta / dosya transfer kayıtları |
| - |
| A.5.15 |
| Erişim kontrolü |
| Evet |
| |
| Bilgi varlıklarına erişimin yetki ve ihtiyaç temelinde kontrol edilmesi gereklidir. |
| [[Erişim Kontrol Politikası]] |
| AD / ESET / sistem kayıtları |
| - |
| A.5.16 |
| Kimlik yönetimi |
| Evet |
| |
| Kullanıcı kimliklerinin yaşam döngüsünün yönetilmesi gereklidir. |
| [[Kimlik ve Hesap Yönetimi Prosedürü]] |
| AD / kullanıcı kayıtları |
| - |
| A.5.17 |
| Kimlik doğrulama bilgileri |
| Evet |
| |
| Kimlik doğrulama bilgilerinin güvenli şekilde yönetilmesi gereklidir. |
| [[Parola Politikası]] |
| AD / uygulama kayıtları |
| - |
| A.5.18 |
| Erişim hakları |
| Evet |
| |
| Erişim haklarının yetki ve görevler doğrultusunda verilmesi ve periyodik olarak gözden geçirilmesi gereklidir. |
| [[Erişim Kontrol Prosedürü]] |
| Yetki matrisi / erişim kayıtları |
| - |
| A.5.19 |
| Tedarikçi ilişkilerinde bilgi güvenliği |
| Evet |
| |
| Tedarikçilerle paylaşılan bilgi ve sistemlerin korunması gereklidir. |
| [[Tedarikçi Güvenliği Prosedürü]] |
| Tedarikçi kayıtları |
| - |
| A.5.20 |
| Tedarikçi sözleşmelerinde bilgi güvenliği |
| Evet |
| |
| Bilgi güvenliği gereksinimlerinin sözleşmelere yansıtılması amacıyla uygulanır. |
| [[Tedarikçi Yönetim Prosedürü]] |
| Sözleşmeler |
| - |
| A.5.21 |
| Bilgi ve iletişim teknolojileri tedarik zincirinde bilgi güvenliği |
| Değerlendirilecek |
| |
| Kullanılan teknoloji ve hizmet sağlayıcılarına göre değerlendirilir. |
| |
| |
| - |
| A.5.22 |
| Tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi |
| Evet |
| |
| Kritik hizmet sağlayıcılarının güvenlik performansının izlenmesi amacıyla uygulanır. |
| [[Tedarikçi Yönetim Prosedürü]] |
| Tedarikçi değerlendirmeleri |
| - |
| A.5.23 |
| Bulut hizmetleri için bilgi güvenliği |
| Evet |
| |
| Kuruluş tarafından bulut hizmetlerinin kullanılması durumunda güvenlik gereksinimlerinin yönetilmesi amacıyla uygulanır. |
| [[Bulut Güvenliği Politikası]] |
| Cloudron / bulut hizmetleri |
| - |
| A.5.24 |
| Bilgi güvenliği olay yönetimi planlama ve hazırlık |
| Evet |
| |
| Bilgi güvenliği olaylarına müdahale kapasitesinin oluşturulması gereklidir. |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]] |
| Olay kayıtları |
| - |
| A.5.25 |
| Bilgi güvenliği olaylarının değerlendirilmesi ve karar verilmesi |
| Evet |
| |
| Güvenlik olaylarının değerlendirilmesi ve sınıflandırılması gereklidir. |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]] |
| Olay kayıtları |
| - |
| A.5.26 |
| Bilgi güvenliği olaylarına müdahale |
| Evet |
| |
| Tespit edilen olaylara zamanında ve kontrollü müdahale edilmesi gereklidir. |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]] |
| Olay kayıtları |
| - |
| A.5.27 |
| Bilgi güvenliği olaylarından öğrenilen dersler |
| Evet |
| |
| Olayların tekrarının önlenmesi ve sürekli iyileştirme amacıyla uygulanır. |
| [[Düzeltici Faaliyet Prosedürü]] |
| Olay değerlendirmeleri |
| - |
| A.5.28 |
| Bilgi güvenliği kanıtlarının toplanması |
| Evet |
| |
| Olay ve incelemelerde kullanılabilecek kanıtların güvenilir şekilde korunması gereklidir. |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]] |
| Loglar / olay kayıtları |
| - |
| A.5.29 |
| İş sürekliliği sırasında bilgi güvenliği |
| Evet |
| |
| İş sürekliliği durumlarında bilgi güvenliği seviyesinin korunması gereklidir. |
| [[İş Sürekliliği Planı]] |
| İş sürekliliği testleri |
| - |
| A.5.30 |
| ICT'nin iş sürekliliğine hazır olması |
| Evet |
| |
| Kritik bilgi sistemlerinin iş sürekliliği gereksinimlerini karşılayacak şekilde hazır olması gereklidir. |
| [[BT İş Sürekliliği Planı]] |
| Yedekleme / test kayıtları |
| - |
| A.5.31 |
| Yasal, düzenleyici, mevzuat ve sözleşme gereklilikleri |
| Evet |
| |
| Kuruluşun uyması gereken yasal ve sözleşmesel yükümlülüklerin takip edilmesi gereklidir. |
| [[Yasal ve Düzenleyici Gereklilikler]] |
| Mevzuat kayıtları |
| - |
| A.5.32 |
| Fikri mülkiyet hakları |
| Evet |
| |
| Yazılım ve kurumsal içeriklerin fikri mülkiyet haklarının korunması gereklidir. |
| [[Fikri Mülkiyet Politikası]] |
| Lisans kayıtları |
| - |
| A.5.33 |
| Kayıtların korunması |
| Evet |
| |
| Yasal, operasyonel ve bilgi güvenliği kayıtlarının korunması gereklidir. |
| [[Kayıtların Yönetimi Prosedürü]] |
| Kayıt arşivi |
| - |
| A.5.34 |
| Kişisel verilerin ve PII'nin gizliliği ve korunması |
| Evet |
| |
| KVKK kapsamındaki kişisel verilerin korunması gereklidir. |
| [[KVKK Politikası]] |
| KVKK kayıtları |
| - |
| A.5.35 |
| Bilgi güvenliğinin bağımsız gözden geçirilmesi |
| Evet |
| |
| BGYS'nin bağımsız olarak değerlendirilmesi amacıyla uygulanır. |
| [[İç Denetim Prosedürü]] |
| İç denetim raporları |
| - |
| A.5.36 |
| Politika, kurallar ve standartlara uygunluk |
| Evet |
| |
| Bilgi güvenliği politika ve kurallarına uyumun kontrol edilmesi gereklidir. |
| [[İç Denetim Prosedürü]] |
| Denetim kayıtları |
| - |
| A.5.37 |
| Dokümante edilmiş işletim prosedürleri |
| Evet |
| |
| Kritik bilgi sistemlerinin işletim süreçlerinin standartlaştırılması gereklidir. |
| [[Operasyon Prosedürleri]] |
| Prosedürler / kayıtlar |
| } |

== 7.2 A.6 İnsan Kontrolleri ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman

| ! Kanıt |
| --------------------------------------------------------------------------------------------------------- |
| A.6.1 |
| Tarama |
| Evet |
| |
| Görev ve erişim seviyelerine uygun personel güvenlik kontrollerinin değerlendirilmesi amacıyla uygulanır. |
| [[İşe Alım ve Personel Güvenliği Prosedürü]] |
| Personel kayıtları |
| - |
| A.6.2 |
| İstihdam şartları ve koşulları |
| Evet |
| |
| Bilgi güvenliği sorumluluklarının çalışanlara aktarılması gereklidir. |
| [[Personel Güvenliği Prosedürü]] |
| İş sözleşmeleri |
| - |
| A.6.3 |
| Bilgi güvenliği farkındalığı, eğitim ve öğretim |
| Evet |
| |
| Çalışanların bilgi güvenliği farkındalığının artırılması gereklidir. |
| [[Bilgi Güvenliği Farkındalık Prosedürü]] |
| Eğitim kayıtları |
| - |
| A.6.4 |
| Disiplin süreci |
| Evet |
| |
| Bilgi güvenliği kurallarının ihlali durumunda uygulanacak süreçlerin belirlenmesi gereklidir. |
| [[Disiplin Prosedürü]] |
| Disiplin kayıtları |
| - |
| A.6.5 |
| İstihdamın sona ermesi veya değişmesi sonrası sorumluluklar |
| Evet |
| |
| Çalışan ayrılışlarında erişimlerin kaldırılması ve varlıkların iadesi gereklidir. |
| [[İşe Giriş ve İşten Ayrılış Prosedürü]] |
| Ayrılış kayıtları |
| - |
| A.6.6 |
| Gizlilik veya gizlilik sözleşmeleri |
| Evet |
| |
| Gizli bilgilerin korunması amacıyla uygulanır. |
| [[Gizlilik ve KVKK Taahhütnamesi]] |
| NDA / taahhütnameler |
| - |
| A.6.7 |
| Uzaktan çalışma |
| Evet |
| |
| Uzaktan erişim ve çalışma sırasında bilgi güvenliği risklerinin yönetilmesi gereklidir. |
| [[Uzaktan Çalışma Politikası]] |
| VPN / erişim kayıtları |
| - |
| A.6.8 |
| Bilgi güvenliği olaylarının raporlanması |
| Evet |
| |
| Çalışanların güvenlik olaylarını zamanında bildirmesi gereklidir. |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]] |
| Olay bildirimleri |
| } |

== 7.3 A.7 Fiziksel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman

| ! Kanıt |
| ------------------------------------------------------------------------------------------------ |
| A.7.1 |
| Fiziksel güvenlik sınırları |
| Evet |
| |
| Bilgi işleme alanlarının fiziksel olarak korunması gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Fiziksel güvenlik kontrolleri |
| - |
| A.7.2 |
| Fiziksel giriş |
| Evet |
| |
| Yetkisiz kişilerin fiziksel alanlara erişiminin önlenmesi gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Giriş kayıtları |
| - |
| A.7.3 |
| Ofis, oda ve tesislerin güvenliği |
| Evet |
| |
| Bilgi işleme alanlarının korunması amacıyla uygulanır. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Fiziksel kontroller |
| - |
| A.7.4 |
| Fiziksel güvenlik izleme |
| Evet |
| |
| Kritik alanların fiziksel güvenliğinin izlenmesi gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Kamera / alarm kayıtları |
| - |
| A.7.5 |
| Fiziksel ve çevresel tehditlere karşı korunma |
| Evet |
| |
| Yangın, su baskını, sıcaklık ve benzeri risklere karşı korunma gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Kontrol kayıtları |
| - |
| A.7.6 |
| Güvenli alanlarda çalışma |
| Evet |
| |
| Güvenli alanlarda çalışma kurallarının belirlenmesi gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Kontrol kayıtları |
| - |
| A.7.7 |
| Temiz masa ve temiz ekran |
| Evet |
| |
| Bilgi varlıklarının yetkisiz erişime karşı korunması gereklidir. |
| [[Temiz Masa ve Temiz Ekran Politikası]] |
| Farkındalık kayıtları |
| - |
| A.7.8 |
| Ekipman yerleşimi ve korunması |
| Evet |
| |
| Bilgi işleme ekipmanlarının fiziksel risklerden korunması gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Fiziksel kontroller |
| - |
| A.7.9 |
| Kuruluş dışındaki varlıkların güvenliği |
| Evet |
| |
| Kuruluş dışına çıkarılan bilgi varlıklarının korunması gereklidir. |
| [[Varlık Yönetim Prosedürü]] |
| Varlık kayıtları |
| - |
| A.7.10 |
| Depolama ortamları |
| Evet |
| |
| Veri depolama ortamlarının güvenliğinin sağlanması gereklidir. |
| [[Depolama Ortamları Prosedürü]] |
| Depolama kayıtları |
| - |
| A.7.11 |
| Destekleyici hizmetler |
| Evet |
| |
| Kritik bilgi sistemlerinin enerji ve benzeri destekleyici hizmetlere bağımlılığı yönetilmelidir. |
| [[İş Sürekliliği Prosedürü]] |
| UPS / enerji kayıtları |
| - |
| A.7.12 |
| Kablolama güvenliği |
| Evet |
| |
| Ağ ve enerji kablolarının fiziksel olarak korunması gereklidir. |
| [[Fiziksel Güvenlik Prosedürü]] |
| Fiziksel kontroller |
| - |
| A.7.13 |
| Ekipman bakımı |
| Evet |
| |
| Bilgi işleme ekipmanlarının güvenilir şekilde çalışmasının sürdürülmesi gereklidir. |
| [[Bakım Yönetimi Prosedürü]] |
| Bakım kayıtları |
| - |
| A.7.14 |
| Ekipmanın güvenli imhası veya yeniden kullanımı |
| Evet |
| |
| Bilgi içeren ekipmanların elden çıkarılması sırasında bilgilerin korunması gereklidir. |
| [[Varlık İmha Prosedürü]] |
| İmha kayıtları |
| } |

== 7.4 A.8 Teknolojik Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman

| ! Kanıt |
| --------------------------------------------------------------------------------------------------------- |
| A.8.1 |
| Kullanıcı uç cihazları |
| Evet |
| |
| Kurum tarafından kullanılan istemci cihazlarının güvenliğinin sağlanması gereklidir. |
| [[Uç Nokta Güvenliği Politikası]] |
| ESET / Windows |
| - |
| A.8.2 |
| Ayrıcalıklı erişim hakları |
| Evet |
| |
| Yönetici hesaplarının kontrol altında tutulması gereklidir. |
| [[Erişim Kontrol Prosedürü]] |
| AD / Linux / sistem kayıtları |
| - |
| A.8.3 |
| Bilgi erişim kısıtlaması |
| Evet |
| |
| Bilgiye erişimin görev ve yetki temelinde sınırlandırılması gereklidir. |
| [[Erişim Kontrol Politikası]] |
| Yetki kayıtları |
| - |
| A.8.4 |
| Kaynak koduna erişim |
| Evet |
| |
| Yazılım geliştirme faaliyetleri kapsamında kaynak kodunun korunması gereklidir. |
| [[Yazılım Geliştirme Güvenliği Prosedürü]] |
| Git / repository kayıtları |
| - |
| A.8.5 |
| Güvenli kimlik doğrulama |
| Evet |
| |
| Bilgi sistemlerinde güvenli kimlik doğrulama mekanizmalarının kullanılması gereklidir. |
| [[Kimlik Doğrulama Politikası]] |
| Sistem kayıtları |
| - |
| A.8.6 |
| Kapasite yönetimi |
| Evet |
| |
| Bilgi sistemlerinin kapasite ihtiyaçlarının izlenmesi gereklidir. |
| [[Kapasite Yönetim Prosedürü]] |
| Monitoring kayıtları |
| - |
| A.8.7 |
| Kötü amaçlı yazılımlara karşı koruma |
| Evet |
| |
| Zararlı yazılımlara karşı uç nokta ve sunucu sistemlerinin korunması gereklidir. |
| [[Kötü Amaçlı Yazılım Koruma Politikası]] |
| ESET |
| - |
| A.8.8 |
| Teknik zafiyetlerin yönetimi |
| Evet |
| |
| Sistemlerde bulunan teknik zafiyetlerin belirlenmesi ve giderilmesi gereklidir. |
| [[Zafiyet Yönetimi Prosedürü]] |
| Wazuh / zafiyet taramaları |
| - |
| A.8.9 |
| Konfigürasyon yönetimi |
| Evet |
| |
| Kritik sistem konfigürasyonlarının kontrollü şekilde yönetilmesi gereklidir. |
| [[Konfigürasyon Yönetimi Prosedürü]] |
| Sistem konfigürasyonları |
| - |
| A.8.10 |
| Bilginin silinmesi |
| Evet |
| |
| Kullanım süresi sona eren veya silinmesi gereken bilgilerin güvenli şekilde kaldırılması gereklidir. |
| [[Bilgi İmha Prosedürü]] |
| İmha kayıtları |
| - |
| A.8.11 |
| Veri maskeleme |
| Değerlendirilecek |
| |
| Kişisel ve hassas verilerin işlenme şekline göre uygulanabilirliği değerlendirilir. |
| [[Veri Maskeleme Prosedürü]] |
| Uygulama kayıtları |
| - |
| A.8.12 |
| Veri sızıntısı önleme |
| Değerlendirilecek |
| |
| Kuruluşun veri sınıflandırması ve bilgi sızıntısı riskleri doğrultusunda değerlendirilir. |
| [[Veri Sızıntısı Önleme Politikası]] |
| ESET / DLP kontrolleri |
| - |
| A.8.13 |
| Bilgi yedekleme |
| Evet |
| |
| Kritik bilgi ve sistemlerin kaybına karşı yedekleme yapılması gereklidir. |
| [[Yedekleme Prosedürü]] |
| Yedekleme kayıtları |
| - |
| A.8.14 |
| Bilgi işleme tesislerinin yedekliliği |
| Evet |
| |
| Kritik hizmetlerin sürekliliği için yedeklilik ihtiyaçları değerlendirilir. |
| [[İş Sürekliliği Planı]] |
| HA / yedeklilik kayıtları |
| - |
| A.8.15 |
| Günlükleme |
| Evet |
| |
| Güvenlik olaylarının tespit edilmesi ve incelenebilmesi için loglama yapılması gereklidir. |
| [[Log Yönetimi Prosedürü]] |
| Wazuh / FortiGate / Windows / Linux |
| - |
| A.8.16 |
| İzleme faaliyetleri |
| Evet |
| |
| Bilgi sistemlerinde anormal faaliyetlerin tespit edilmesi amacıyla uygulanır. |
| [[İzleme ve Alarm Yönetimi Prosedürü]] |
| Wazuh / monitoring |
| - |
| A.8.17 |
| Saat senkronizasyonu |
| Evet |
| |
| Sistem kayıtlarının doğru zaman bilgisiyle ilişkilendirilebilmesi gereklidir. |
| [[Sistem Yönetim Prosedürü]] |
| NTP kayıtları |
| - |
| A.8.18 |
| Ayrıcalıklı yardımcı programların kullanımı |
| Evet |
| |
| Kritik sistemlerde ayrıcalıklı araçların kontrollü kullanılması gereklidir. |
| [[Ayrıcalıklı Erişim Prosedürü]] |
| Sistem kayıtları |
| - |
| A.8.19 |
| Operasyonel sistemlere yazılım kurulumu |
| Evet |
| |
| Üretim sistemlerine yazılım kurulumu kontrollü şekilde yapılmalıdır. |
| [[Değişiklik Yönetimi Prosedürü]] |
| Değişiklik kayıtları |
| - |
| A.8.20 |
| Ağ güvenliği |
| Evet |
| |
| Kuruluş ağ altyapısının yetkisiz erişim ve tehditlere karşı korunması gereklidir. |
| [[Ağ Güvenliği Politikası]] |
| FortiGate |
| - |
| A.8.21 |
| Ağ hizmetlerinin güvenliği |
| Evet |
| |
| Ağ hizmetlerinin güvenlik gereksinimlerini karşılaması gereklidir. |
| [[Ağ Güvenliği Politikası]] |
| FortiGate / ağ cihazları |
| - |
| A.8.22 |
| Ağların ayrıştırılması |
| Evet |
| |
| Kritik sistemlerin ve ağ bölgelerinin uygun şekilde ayrıştırılması gereklidir. |
| [[Ağ Güvenliği Politikası]] |
| VLAN / firewall |
| - |
| A.8.23 |
| Web filtreleme |
| Değerlendirilecek |
| |
| İnternet erişim ihtiyaçları ve zararlı içerik riskleri doğrultusunda değerlendirilir. |
| [[İnternet Erişim Politikası]] |
| FortiGate |
| - |
| A.8.24 |
| Kriptografi kullanımı |
| Evet |
| |
| Hassas bilgilerin korunması amacıyla uygun kriptografik mekanizmaların kullanılması gereklidir. |
| [[Kriptografi Politikası]] |
| TLS / şifreleme |
| - |
| A.8.25 |
| Güvenli geliştirme yaşam döngüsü |
| Evet |
| |
| Yazılım geliştirme faaliyetleri nedeniyle uygulanması gereklidir. |
| [[Güvenli Yazılım Geliştirme Prosedürü]] |
| Geliştirme kayıtları |
| - |
| A.8.26 |
| Uygulama güvenliği gereksinimleri |
| Evet |
| |
| Geliştirilen ve kullanılan uygulamalarda güvenlik gereksinimlerinin belirlenmesi gereklidir. |
| [[Uygulama Güvenliği Prosedürü]] |
| Gereksinim kayıtları |
| - |
| A.8.27 |
| Güvenli sistem mimarisi ve mühendislik prensipleri |
| Evet |
| |
| Bilgi sistemlerinin güvenli mimari prensiplerle tasarlanması gereklidir. |
| [[Sistem Mimarisi ve Güvenlik Standardı]] |
| Mimari dokümanlar |
| - |
| A.8.28 |
| Güvenli kodlama |
| Evet |
| |
| Yazılım geliştirme faaliyetlerinde güvenli kodlama prensiplerinin uygulanması gereklidir. |
| [[Güvenli Kodlama Standardı]] |
| Kod inceleme kayıtları |
| - |
| A.8.29 |
| Geliştirme ve kabul süreçlerinde güvenlik testleri |
| Evet |
| |
| Yazılım geliştirme ve yayın süreçlerinde güvenlik testlerinin yapılması gereklidir. |
| [[Yazılım Test ve Kabul Prosedürü]] |
| Test kayıtları |
| - |
| A.8.30 |
| Dış kaynaklı geliştirme |
| Değerlendirilecek |
| |
| Dış kaynaklı yazılım geliştirme faaliyetlerinin kapsamına göre değerlendirilir. |
| [[Tedarikçi Yazılım Geliştirme Prosedürü]] |
| Sözleşmeler / kod incelemeleri |
| - |
| A.8.31 |
| Geliştirme, test ve üretim ortamlarının ayrılması |
| Evet |
| |
| Yazılım geliştirme faaliyetlerinde ortamların birbirinden ayrılması bilgi güvenliği açısından gereklidir. |
| [[Yazılım Geliştirme Prosedürü]] |
| Ortam konfigürasyonları |
| - |
| A.8.32 |
| Değişiklik yönetimi |
| Evet |
| |
| Bilgi sistemlerinde gerçekleştirilen değişikliklerin kontrollü şekilde yönetilmesi gereklidir. |
| [[Değişiklik Yönetimi Prosedürü]] |
| Değişiklik kayıtları |
| - |
| A.8.33 |
| Test bilgilerinin kullanımı |
| Evet |
| |
| Test ortamlarında gerçek ve hassas verilerin kontrollü kullanılmasını sağlamak amacıyla uygulanır. |
| [[Test Verisi Yönetimi Prosedürü]] |
| Test kayıtları |
| - |
| A.8.34 |
| Denetim testleri sırasında bilgi sistemlerinin korunması |
| Evet |
| |
| Denetim ve test faaliyetlerinin üretim sistemlerine olumsuz etkisinin önlenmesi gereklidir. |
| [[Denetim ve Test Prosedürü]] |
| Denetim kayıtları |
| } |

= 8. UYGULANMAYAN / HARİÇ TUTULAN KONTROLLER =

ISO/IEC 27001:2022 Ek-A kapsamında uygulanabilir olmadığı değerlendirilen kontroller aşağıdaki tabloda gerekçeleriyle birlikte kayıt altına alınır.

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Adı
! Uygulanabilirlik
! Hariç Tutma Gerekçesi
! Risk Değerlendirmesi

| ! Onay |
| ------ |
| |
| |
| Hayır |
| |
| |
| |
| } |

'''Not:''' Herhangi bir kontrolün kapsam dışında bırakılması halinde, kontrolün neden uygulanabilir olmadığı açık, ölçülebilir ve kuruluşun kapsamı/riskleri ile tutarlı şekilde gerekçelendirilmelidir.

= 9. RİSK YÖNETİMİ İLE İLİŞKİ =

Uygulanabilirlik kararları, Monad Yazılım ve Danışmanlık A.Ş.'nin bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile birlikte değerlendirilir.

Kontrollerin uygulanabilirliği aşağıdaki kaynaklarla ilişkilendirilir:

* Bilgi varlıkları
* Riskler
* Risk sahipleri
* Risk işleme seçenekleri
* Risk işleme planları
* Uygulanan güvenlik kontrolleri
* İlgili politika ve prosedürler
* Teknik ve operasyonel kanıtlar

= 10. KONTROLLERİN UYGULAMA KANITLARI =

Uygulanabilirliği kabul edilen kontrollerin etkinliğinin gösterilmesi amacıyla ilgili kayıt ve kanıtlar BGYS Portalı içerisinde veya tanımlanmış kurumsal sistemlerde muhafaza edilir.

Kanıt örnekleri:

* Politika ve prosedürler
* Sistem konfigürasyonları
* Log kayıtları
* Wazuh kayıtları
* ESET kayıtları
* FortiGate kayıtları
* Windows ve Linux sistem kayıtları
* Yedekleme kayıtları
* Eğitim kayıtları
* Denetim raporları
* Risk değerlendirme kayıtları
* Toplantı tutanakları
* Sözleşmeler
* Teknik test sonuçları

= 11. GÖZDEN GEÇİRME =

Uygulanabilirlik Bildirgesi;

* BGYS kapsamında önemli bir değişiklik meydana geldiğinde,
* Bilgi güvenliği risklerinde önemli değişiklik olduğunda,
* Yeni sistem veya teknoloji devreye alındığında,
* Yeni yasal veya sözleşmesel yükümlülük oluştuğunda,
* Bilgi güvenliği olayı meydana geldiğinde,
* İç veya dış denetim sonucunda gerekli görüldüğünde,
* Yönetimin Gözden Geçirmesi kapsamında gerekli görüldüğünde

gözden geçirilir.

Bunun dışında SoA en az yılda bir kez gözden geçirilir.

= 12. ONAY =

{| class="wikitable" style="width:100%;"
! Görev
! Ad Soyad
! Tarih

| ! Onay |
| ------------ |
| Hazırlayan |
| |
| |
| |
| - |
| Kontrol Eden |
| |
| |
| |
| - |
| Onaylayan |
| |
| |
| |
| } |

= 13. REVİZYON GEÇMİŞİ =

{| class="wikitable" style="width:100%;"
! Revizyon
! Tarih
! Açıklama
! Hazırlayan

| ! Onaylayan |
| ------------------ |
| 00 |
| 11.08.2026 |
| İlk yayın - Taslak |
| BGYS Sorumlusu |
| |
| } |

Uygulanabilirlik Bildirgesi

2026-08-11T13:45:10Z

Ibrahim.kulah: Created page with "{{DokümanBilgileri |dokuman_no=BGYS-PLN-001 |dokuman_turu=Plan / Bildirge |dokuman_adi=Uygulanabilirlik Bildirgesi |revizyon=00 |durum=Taslak |yayin_tarihi=11.08.2026 |yururluk_tarihi= |dokuman_sahibi=BGYS Sorumlusu |onaylayan= |gizlilik=Kurum İçi |dokuman_sinifi=Kontrollü Doküman }} = 1. AMAÇ = Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), kuruluşun Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanması gereken bilgi güvenliği kontro..."

{{DokümanBilgileri
|dokuman_no=BGYS-PLN-001
|dokuman_turu=Plan / Bildirge
|dokuman_adi=Uygulanabilirlik Bildirgesi
|revizyon=00
|durum=Taslak
|yayin_tarihi=11.08.2026
|yururluk_tarihi=
|dokuman_sahibi=BGYS Sorumlusu
|onaylayan=
|gizlilik=Kurum İçi
|dokuman_sinifi=Kontrollü Doküman
}}

= 1. AMAÇ =

Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA),
kuruluşun Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanması
gereken bilgi güvenliği kontrollerini, kontrollerin uygulanabilirlik
durumunu ve uygulanabilirlik kararlarının gerekçelerini belirlemek
amacıyla hazırlanmıştır.

= 2. KAPSAM =

Bu Uygulanabilirlik Bildirgesi, [[BGYS Kapsamı]] içerisinde tanımlanan
bilgi varlıklarını, süreçleri, bilgi sistemlerini, çalışanları,
tesisleri ve üçüncü tarafları kapsar.

= 3. REFERANSLAR =

* ISO/IEC 27001:2022
* Bilgi Güvenliği Risk Değerlendirme Metodolojisi
* Bilgi Güvenliği Risk Değerlendirme Sonuçları
* Risk İşleme Planı
* BGYS Politikası

= 4. UYGULANABİLİRLİK KRİTERLERİ =

Kontroller aşağıdaki kriterler dikkate alınarak değerlendirilmiştir:

* Bilgi güvenliği risklerinin azaltılması
* Kuruluşun faaliyetleri ve iş süreçleri
* Yasal ve düzenleyici yükümlülükler
* Sözleşmesel yükümlülükler
* Bilgi varlıklarının niteliği
* Teknolojik altyapı
* Fiziksel çalışma ortamı
* Tedarikçi ve üçüncü taraf ilişkileri
* İş sürekliliği gereksinimleri

= 5. KONTROL DURUMLARI =

{| class="wikitable"
! Durum !! Açıklama
|-
| '''Uygulanıyor''' || Kontrol uygulanmış ve etkin şekilde işletilmektedir.
|-
| '''Kısmen Uygulanıyor''' || Kontrolün bir kısmı uygulanmış olup geliştirme çalışmaları devam etmektedir.
|-
| '''Planlandı''' || Kontrolün uygulanması planlanmıştır.
|-
| '''Uygulanmıyor''' || Kontrol uygulanmamaktadır ve gerekçesi belirtilmiştir.
|-
| '''Uygulanabilir Değil''' || Kuruluşun kapsamı ve faaliyetleri açısından kontrol uygulanabilir değildir.
|}

= 6. UYGULANABİLİRLİK DEĞERLENDİRMESİ =

== 6.1 A.5 Organizasyonel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Adı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman
! Kanıt
|-
| A.5.1
| Bilgi güvenliği politikaları
| Evet
| Uygulanıyor
| Kuruluşun bilgi güvenliği yönetimi için gereklidir.
| [[BGYS-POL-001 Bilgi Güvenliği Politikası]]
| Politika dokümanı
|-
| A.5.2
| Bilgi güvenliği rolleri ve sorumlulukları
| Evet
| Planlandı
| Bilgi güvenliği sorumluluklarının tanımlanması gerekmektedir.
| [[BGYS Organizasyonu]]
| Görev tanımları
|-
| A.5.3
| Görevlerin ayrılığı
| Evet
|
|
|
|
|}

== 6.2 A.6 İnsan Kontrolleri ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Adı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman
! Kanıt
|-
| A.6.1
| Personel güvenlik soruşturması / taraması
| Evet
|
|
|
|
|}

== 6.3 A.7 Fiziksel Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Adı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman
! Kanıt
|-
| A.7.1
| Fiziksel güvenlik sınırları
| Evet
|
|
|
|
|}

== 6.4 A.8 Teknolojik Kontroller ==

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol Adı
! Uygulanabilir
! Durum
! Gerekçe
! İlgili Doküman
! Kanıt
|-
| A.8.1
| Kullanıcı uç cihazları
| Evet
|
|
|
|
|}

= 7. UYGULANMAYAN KONTROLLER =

Uygulanabilir olmadığı değerlendirilen kontroller aşağıdaki tabloda
gerekçeleriyle birlikte belirtilmiştir.

{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Uygulanabilir
! Hariç Tutma Gerekçesi
! Risk Değerlendirmesi
|-
|
| Hayır
|
|
|}

= 8. RİSK YÖNETİMİ İLE İLİŞKİ =

Kontrollerin uygulanabilirlik kararları, kuruluşun bilgi güvenliği
risk değerlendirmesi ve risk işleme sonuçları dikkate alınarak
belirlenmiştir.

İlgili kontroller [[Risk Değerlendirmesi]] ve [[Risk İşleme Planı]]
ile ilişkilendirilmiştir.

= 9. SONUÇ =

Bu Uygulanabilirlik Bildirgesi, BGYS kapsamındaki bilgi güvenliği
risklerinin kabul edilebilir seviyeye indirilmesi amacıyla
belirlenen kontrolleri göstermektedir.

Belge, risk değerlendirmeleri, kuruluşun faaliyetleri, teknolojik
altyapısı, yasal yükümlülükleri ve BGYS değişiklikleri doğrultusunda
periyodik olarak gözden geçirilir.

= 10. ONAY =

{| class="wikitable" style="width:100%;"
! Görev
! Ad Soyad
! Tarih
! İmza / Onay
|-
| Hazırlayan
|
|
|
|-
| Kontrol Eden
|
|
|
|-
| Onaylayan
|
|
|
|}

Main Page

2026-08-11T13:44:09Z

Ibrahim.kulah:

= BGYS Portalı =

'''Bilgi Güvenliği, KVKK ve Kurumsal Dokümantasyon Merkezi'''

== 🔐 BGYS ==

* [[BGYS-POL-001 Bilgi Güvenliği Politikası]]
* [[BGYS Kapsamı]]
* [[BGYS Organizasyonu]]

== 📋 Politikalar ==

* [[BGYS-POL-001 Bilgi Güvenliği Politikası]]

== 📑 Prosedürler ==

* [[Erişim Kontrol Prosedürü]]
* [[Yedekleme Prosedürü]]
* [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]

== 🔒 KVKK ==

* [[KVKK Politikası]]
* [[Kişisel Veri İşleme Envanteri]]
* [[Aydınlatma Metinleri]]

== ⚠️ Risk Yönetimi ==

* [[Risk Yönetimi Metodolojisi]]
* [[Risk Değerlendirmesi]]
* [[Risk Kayıtları]]

== 📚 ISO 27001 ==

* [[ISO 27001 - Madde 4]]
* [[ISO 27001 - Madde 5]]
* [[ISO 27001 - Madde 6]]
* [[ISO 27001 - Madde 7]]
* [[ISO 27001 - Madde 8]]
* [[ISO 27001 - Madde 9]]
* [[ISO 27001 - Madde 10]]
* [[ISO 27001 - Ek-A Kontrolleri]]

/index.php?title=BGYS-POL-001 Bilgi Güvenliği Politikası&action=edit

2026-08-11T13:43:16Z

Ibrahim.kulah: Ibrahim.kulah moved page /index.php?title=BGYS-POL-001 Bilgi Güvenliği Politikası&action=edit to BGYS-POL-001 Bilgi Güvenliği Politikası

#REDIRECT [[BGYS-POL-001 Bilgi Güvenliği Politikası]]

BGYS-POL-001 Bilgi Güvenliği Politikası

2026-08-11T13:43:16Z

Ibrahim.kulah: Ibrahim.kulah moved page /index.php?title=BGYS-POL-001 Bilgi Güvenliği Politikası&action=edit to BGYS-POL-001 Bilgi Güvenliği Politikası

Template:DokümanBilgileri

2026-08-11T13:10:39Z

Ibrahim.kulah: Created page with "{{DokümanBilgileri |dokuman_no=BGYS-POL-001 |dokuman_adi=Bilgi Güvenliği Politikası |dokuman_turu=Politika |revizyon=00 |yayin_tarihi=11.08.2026 |yururluk_tarihi=15.08.2026 |dokuman_sahibi=Bilgi İşlem |onaylayan=Genel Müdür |durum=Yürürlükte |gizlilik=Kurum İçi }}"

{{DokümanBilgileri
|dokuman_no=BGYS-POL-001
|dokuman_adi=Bilgi Güvenliği Politikası
|dokuman_turu=Politika
|revizyon=00
|yayin_tarihi=11.08.2026
|yururluk_tarihi=15.08.2026
|dokuman_sahibi=Bilgi İşlem
|onaylayan=Genel Müdür
|durum=Yürürlükte
|gizlilik=Kurum İçi
}}

BGYS-PRO-002 Yedekleme Prosedürü

2026-08-11T13:07:36Z

Ibrahim.kulah: Created page with "asdasdasdsada"

asdasdasdsada

BGYS-PRO-001 Erişim Kontrol Prosedürü

2026-08-11T13:06:00Z

Ibrahim.kulah: Created page with "{{DokümanBilgileri |dokuman_no=BGYS-POL-001 |dokuman_turu=Politika |dokuman_adi=Bilgi Güvenliği Politikası |revizyon=00 |durum=Taslak |yayin_tarihi=11.08.2026 |yururluk_tarihi= |dokuman_sahibi=Bilgi İşlem |onaylayan= |gizlilik=Kurum İçi |dokuman_sinifi=Kontrollü Doküman }} = 1. AMAÇ = Bu politikanın amacı, kurum bünyesinde bulunan bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğinin korunmasını sağlamak, bilgi güvenliği risklerini y..."

{{DokümanBilgileri
|dokuman_no=BGYS-POL-001
|dokuman_turu=Politika
|dokuman_adi=Bilgi Güvenliği Politikası
|revizyon=00
|durum=Taslak
|yayin_tarihi=11.08.2026
|yururluk_tarihi=
|dokuman_sahibi=Bilgi İşlem
|onaylayan=
|gizlilik=Kurum İçi
|dokuman_sinifi=Kontrollü Doküman
}}

= 1. AMAÇ =

Bu politikanın amacı, kurum bünyesinde bulunan bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğinin korunmasını sağlamak, bilgi güvenliği risklerini yönetmek ve bilgi güvenliği ile ilgili sorumlulukları belirlemektir.

= 2. KAPSAM =

Bu politika;

* Kurum çalışanlarını,
* Bilgi sistemlerini,
* Bilgi varlıklarını,
* Sunucu ve istemci sistemlerini,
* Ağ ve iletişim altyapısını,
* Uygulamaları,
* Elektronik ve fiziksel bilgi ortamlarını

kapsar.

= 3. BİLGİ GÜVENLİĞİ TEMEL İLKELERİ =

Kurum bilgi güvenliği faaliyetlerini aşağıdaki temel ilkeler doğrultusunda yürütür:

;Gizlilik
:Bilginin yalnızca yetkili kişi ve sistemler tarafından erişilebilir olması.

;Bütünlük
:Bilginin yetkisiz veya hatalı şekilde değiştirilmesinin önlenmesi.

;Erişilebilirlik
:Bilgi ve bilgi sistemlerinin ihtiyaç duyulduğunda yetkili kullanıcılar tarafından erişilebilir olması.

= 4. SORUMLULUKLAR =

== 4.1 Üst Yönetim ==

* Bilgi güvenliği politikasını onaylar.
* BGYS'nin uygulanması için gerekli kaynakları sağlar.
* Bilgi güvenliği hedeflerini destekler.

== 4.2 BGYS Sorumlusu ==

* BGYS'nin uygulanmasını ve sürekliliğini takip eder.
* Risk değerlendirme çalışmalarını koordine eder.
* İç denetim faaliyetlerini takip eder.
* Bilgi güvenliği olaylarını ve düzeltici faaliyetleri takip eder.

== 4.3 Bilgi İşlem Birimi ==

* Bilgi sistemlerinin güvenli işletilmesini sağlar.
* Erişim kontrollerini uygular.
* Yedekleme ve geri dönüş süreçlerini yürütür.
* Sistem kayıtlarının ve logların yönetimini sağlar.
* Teknik güvenlik kontrollerini uygular.

== 4.4 Çalışanlar ==

Tüm çalışanlar;

* Bilgi güvenliği politika ve prosedürlerine uymak,
* Kendilerine verilen kullanıcı hesaplarını korumak,
* Bilgi güvenliği olaylarını bildirmek,
* Yetkisiz erişim girişimlerinden kaçınmak

ile sorumludur.

= 5. BİLGİ GÜVENLİĞİ POLİTİKASI =

Kurum;

* Bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı,
* Bilgi güvenliği risklerini belirlemeyi ve yönetmeyi,
* Bilgi güvenliği mevzuat ve yükümlülüklerine uymayı,
* Yetkisiz erişimleri önlemeyi,
* Bilgi güvenliği olaylarını tespit etmeyi ve yönetmeyi,
* Bilgi güvenliği farkındalığını artırmayı,
* İş sürekliliğini desteklemeyi,
* Bilgi güvenliği yönetim sistemini sürekli iyileştirmeyi

taahhüt eder.

= 6. YASAL VE DÜZENLEYİCİ YÜKÜMLÜLÜKLER =

Kurum faaliyetleri kapsamında uygulanması gereken yasal ve düzenleyici gereklilikler takip edilir.

Bunlar arasında;

* ISO/IEC 27001
* 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
* İlgili yönetmelik ve tebliğler
* Sözleşmesel yükümlülükler
* Kuruma uygulanabilir diğer yasal gereklilikler

bulunmaktadır.

= 7. İLGİLİ DOKÜMANLAR =

* [[BGYS-PRO-001 Erişim Kontrol Prosedürü]]
* [[BGYS-PRO-002 Yedekleme Prosedürü]]
* [[Risk Yönetimi Prosedürü]]

= 8. İLGİLİ ISO 27001 MADDELERİ =

* Madde 5 - Liderlik
* Madde 6 - Planlama
* Madde 7 - Destek
* Madde 8 - Operasyon
* Madde 9 - Performans değerlendirme
* Madde 10 - İyileştirme

= 9. REVİZYON GEÇMİŞİ =

{| class="wikitable" style="width:100%;"
! Revizyon
! Tarih
! Açıklama
! Hazırlayan
! Onaylayan
|-
| 00
| 11.08.2026
| İlk yayın
| Bilgi İşlem
|
|}

BGYS-POL-001 Bilgi Güvenliği Politikası

2026-08-11T13:05:28Z

Ibrahim.kulah: Created page with "{{DokümanBilgileri |dokuman_no=BGYS-POL-001 |dokuman_turu=Politika |dokuman_adi=Bilgi Güvenliği Politikası |revizyon=00 |durum=Taslak |yayin_tarihi=11.08.2026 |yururluk_tarihi= |dokuman_sahibi=Bilgi İşlem |onaylayan= |gizlilik=Kurum İçi |dokuman_sinifi=Kontrollü Doküman }} == 1. AMAÇ == Bu politikanın amacı, kurum bünyesinde bulunan bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğinin korunmasını sağlamaktır. == 2. KAPSAM == Bu poli..."