Uygulanabilirlik Bildirgesi: Difference between revisions

From My Wiki
Jump to navigation Jump to search
Newer edit →

Ibrahim.kulah (talk | contribs)

11 edits
Created page with "{{DokümanBilgileri |dokuman_no=BGYS-PLN-001 |dokuman_turu=Plan / Bildirge |dokuman_adi=Uygulanabilirlik Bildirgesi |revizyon=00 |durum=Taslak |yayin_tarihi=11.08.2026 |yururluk_tarihi= |dokuman_sahibi=BGYS Sorumlusu |onaylayan= |gizlilik=Kurum İçi |dokuman_sinifi=Kontrollü Doküman }} = 1. AMAÇ = Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), kuruluşun Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanması gereken bilgi güvenliği kontro..."
 
No edit summary
Line 1: Line 1:
# UYGULANABİLİRLİK BİLDİRGESİ
## Statement of Applicability (SoA)
{{DokümanBilgileri
{{DokümanBilgileri
|dokuman_no=BGYS-PLN-001
|dokuman_no=BGYS-SOA-001
|dokuman_turu=Plan / Bildirge
|dokuman_turu=Uygulanabilirlik Bildirgesi
|dokuman_adi=Uygulanabilirlik Bildirgesi
|dokuman_adi=Uygulanabilirlik Bildirgesi (Statement of Applicability)
|revizyon=00
|revizyon=00
|durum=Taslak
|durum=Taslak
Line 13: Line 17:
}}
}}


= 1. AMAÇ =
= 1. KURULUŞ BİLGİLERİ =
 
'''Kuruluş:''' Monad Yazılım ve Danışmanlık A.Ş.
 
'''Doküman:''' Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA)
 
'''Standart:''' ISO/IEC 27001:2022
 
'''BGYS:''' Bilgi Güvenliği Yönetim Sistemi
 
'''Doküman No:''' BGYS-SOA-001
 
'''Revizyon:''' 00
 
'''Doküman Durumu:''' Taslak
 
= 2. AMAÇ =


Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA),
Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), Monad Yazılım ve Danışmanlık A.Ş. tarafından oluşturulan Bilgi Güvenliği Yönetim Sistemi (BGYS) kapsamında uygulanması gereken bilgi güvenliği kontrollerinin belirlenmesi, kontrollerin uygulanabilirlik durumunun değerlendirilmesi ve alınan kararların gerekçelendirilmesi amacıyla hazırlanmıştır.
kuruluşun Bilgi Güvenliği Yönetim Sistemi kapsamında uygulanması
gereken bilgi güvenliği kontrollerini, kontrollerin uygulanabilirlik
durumunu ve uygulanabilirlik kararlarının gerekçelerini belirlemek
amacıyla hazırlanmıştır.


= 2. KAPSAM =
Bu belge, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile ISO/IEC 27001:2022 Ek-A kontrolleri arasındaki ilişkiyi ortaya koyar.


Bu Uygulanabilirlik Bildirgesi, [[BGYS Kapsamı]] içerisinde tanımlanan
= 3. KAPSAM =
bilgi varlıklarını, süreçleri, bilgi sistemlerini, çalışanları,
tesisleri ve üçüncü tarafları kapsar.


= 3. REFERANSLAR =
Bu Uygulanabilirlik Bildirgesi, Monad Yazılım ve Danışmanlık A.Ş. tarafından belirlenen BGYS kapsamı içerisinde yer alan;
 
* Bilgi varlıklarını,
* Bilgi sistemlerini,
* Yazılım ve uygulama altyapılarını,
* Sunucu ve istemci sistemlerini,
* Ağ ve iletişim altyapısını,
* Veri tabanlarını,
* Çalışanları,
* Fiziksel çalışma ortamlarını,
* Tedarikçileri ve hizmet sağlayıcıları,
* Bilgi güvenliği süreçlerini
 
kapsar.
 
Bu belgenin kapsamı [[BGYS Kapsamı]] dokümanı ile birlikte değerlendirilir.
 
= 4. REFERANSLAR =


* ISO/IEC 27001:2022
* ISO/IEC 27001:2022
* Bilgi Güvenliği Risk Değerlendirme Metodolojisi
* ISO/IEC 27002:2022
* Bilgi Güvenliği Risk Değerlendirme Sonuçları
* [[BGYS Politikası]]
* Risk İşleme Planı
* [[Bilgi Güvenliği Risk Değerlendirme Metodolojisi]]
* BGYS Politikası
* [[Bilgi Güvenliği Risk Değerlendirmesi]]
* [[Risk İşleme Planı]]
* [[BGYS Kapsamı]]
* İlgili yasal ve düzenleyici yükümlülükler


= 4. UYGULANABİLİRLİK KRİTERLERİ =
= 5. UYGULANABİLİRLİK YAKLAŞIMI =


Kontroller aşağıdaki kriterler dikkate alınarak değerlendirilmiştir:
Monad Yazılım ve Danışmanlık A.Ş., ISO/IEC 27001:2022 Ek-A içerisinde yer alan kontrolleri; bilgi güvenliği riskleri, kuruluşun faaliyetleri, BGYS kapsamı, yasal ve düzenleyici yükümlülükler, sözleşmesel gereklilikler, bilgi varlıkları, teknolojik altyapı ve iş ihtiyaçları doğrultusunda değerlendirmektedir.


* Bilgi güvenliği risklerinin azaltılması
Bir kontrolün uygulanabilir olup olmadığı belirlenirken aşağıdaki hususlar dikkate alınır:
* Kuruluşun faaliyetleri ve iş süreçleri
* Yasal ve düzenleyici yükümlülükler
* Sözleşmesel yükümlülükler
* Bilgi varlıklarının niteliği
* Teknolojik altyapı
* Fiziksel çalışma ortamı
* Tedarikçi ve üçüncü taraf ilişkileri
* İş sürekliliği gereksinimleri


= 5. KONTROL DURUMLARI =
* Bilgi güvenliği risklerinin azaltılması gereksinimi,
* Kuruluşun faaliyetleri,
* BGYS kapsamı,
* Bilgi varlıklarının niteliği,
* Yasal ve düzenleyici yükümlülükler,
* Sözleşmesel yükümlülükler,
* Teknolojik altyapı,
* Fiziksel güvenlik gereksinimleri,
* İnsan kaynakları ve çalışan güvenliği,
* Tedarikçi ve üçüncü taraf ilişkileri,
* İş sürekliliği gereksinimleri.


{| class="wikitable"
Kontrollerin seçimi yalnızca ISO/IEC 27001 Ek-A listesine göre değil, kuruluşun risk değerlendirme ve risk işleme sonuçlarına göre gerçekleştirilir.
! Durum !! Açıklama
|-
| '''Uygulanıyor''' || Kontrol uygulanmış ve etkin şekilde işletilmektedir.
|-
| '''Kısmen Uygulanıyor''' || Kontrolün bir kısmı uygulanmış olup geliştirme çalışmaları devam etmektedir.
|-
| '''Planlandı''' || Kontrolün uygulanması planlanmıştır.
|-
| '''Uygulanmıyor''' || Kontrol uygulanmamaktadır ve gerekçesi belirtilmiştir.
|-
| '''Uygulanabilir Değil''' || Kuruluşun kapsamı ve faaliyetleri açısından kontrol uygulanabilir değildir.
|}


= 6. UYGULANABİLİRLİK DEĞERLENDİRMESİ =
= 6. KONTROL DURUMLARI =


== 6.1 A.5 Organizasyonel Kontroller ==
{| class="wikitable" style="width:100%;"
! Durum
 
| ! Açıklama                                                                                            |
| ----------------------------------------------------------------------------------------------------- |
| '''Uygulanıyor'''                                                                                    |
| Kontrol uygulanmış ve ilgili süreç içerisinde işletilmektedir.                                        |
| -                                                                                                    |
| '''Kısmen Uygulanıyor'''                                                                              |
| Kontrolün bir bölümü uygulanmış olup eksikliklerin giderilmesine yönelik çalışmalar devam etmektedir. |
| -                                                                                                    |
| '''Planlandı'''                                                                                      |
| Kontrol uygulanabilir olarak değerlendirilmiş ancak uygulama çalışması henüz tamamlanmamıştır.        |
| -                                                                                                    |
| '''Uygulanmıyor'''                                                                                    |
| Kontrol uygulanabilir olarak değerlendirilmiş ancak henüz uygulanmamaktadır.                          |
| -                                                                                                    |
| '''Uygulanabilir Değil'''                                                                            |
| Kontrol, BGYS kapsamı ve kuruluşun faaliyetleri açısından uygulanabilir olarak değerlendirilmemiştir. |
| }                                                                                                    |
 
= 7. ISO/IEC 27001:2022 EK-A KONTROLLERİ =
 
ISO/IEC 27001:2022 Ek-A kontrolleri dört ana başlık altında toplam 93 kontrolden oluşmaktadır:
 
* A.5 Organizasyonel Kontroller - 37 kontrol
* A.6 İnsan Kontrolleri - 8 kontrol
* A.7 Fiziksel Kontroller - 14 kontrol
* A.8 Teknolojik Kontroller - 34 kontrol
 
Her kontrol için uygulanabilirlik kararı, kararın gerekçesi, mevcut uygulama durumu ve ilgili doküman/kanıtlar kayıt altına alınır.
 
== 7.1 A.5 Organizasyonel Kontroller ==


{| class="wikitable sortable" style="width:100%;"
{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Kontrol Adı
! Kontrol
! Uygulanabilir
! Uygulanabilir
! Durum
! Durum
! Gerekçe
! Uygulanabilirlik / Hariç Tutma Gerekçesi
! İlgili Doküman
! İlgili Doküman / Süreç
! Kanıt
 
|-
| ! Kanıt / Sistem                                                                                                        |
| A.5.1
| ------------------------------------------------------------------------------------------------------------------------ |
| Bilgi güvenliği politikaları
| A.5.1                                                                                                                   |
| Evet
| Bilgi güvenliği politikaları                                                                                             |
| Uygulanıyor
| Evet                                                                                                                     |
| Kuruluşun bilgi güvenliği yönetimi için gereklidir.
|                                                                                                                         |
| [[BGYS-POL-001 Bilgi Güvenliği Politikası]]
| Monad Yazılım ve Danışmanlık A.Ş.'nin bilgi güvenliği yönetimi için gereklidir.                                         |
| Politika dokümanı
| [[BGYS Politikası]]                                                                                                     |
|-
| BGYS Portalı                                                                                                            |
| A.5.2
| -                                                                                                                       |
| Bilgi güvenliği rolleri ve sorumlulukları
| A.5.2                                                                                                                   |
| Evet
| Bilgi güvenliği rolleri ve sorumlulukları                                                                               |
| Planlandı
| Evet                                                                                                                     |
| Bilgi güvenliği sorumluluklarının tanımlanması gerekmektedir.
|                                                                                                                         |
| [[BGYS Organizasyonu]]
| Bilgi güvenliği görev ve sorumluluklarının açık şekilde tanımlanması gerekmektedir.                                     |
| Görev tanımları
| [[Görev ve Sorumluluklar]]                                                                                               |
|-
| Organizasyon şeması / görev tanımları                                                                                   |
| A.5.3
| -                                                                                                                       |
| Görevlerin ayrılığı
| A.5.3                                                                                                                   |
| Evet
| Görevlerin ayrılığı                                                                                                     |
|  
| Evet                                                                                                                    |
|  
|                                                                                                                          |
|  
| Kritik görevlerde yetki çatışmalarının ve tek kişiye bağımlılığın azaltılması amacıyla değerlendirilir.                  |
|  
| [[Yetki ve Görev Ayrılığı Prosedürü]]                                                                                    |
|}
| Yetki matrisi                                                                                                            |
| -                                                                                                                        |
| A.5.4                                                                                                                    |
| Yönetim sorumlulukları                                                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi güvenliği sorumluluklarının yönetim tarafından desteklenmesi gerekmektedir.                                        |
| [[BGYS Yönetim Prosedürü]]                                                                                              |
| Yönetim kararları                                                                                                        |
| -                                                                                                                        |
| A.5.5                                                                                                                    |
| Yetkili makamlarla iletişim                                                                                              |
| Evet                                                                                                                     |
|                                                                                                                          |
| Yasal ve düzenleyici gereklilikler kapsamında gerekli iletişim kanallarının belirlenmesi amacıyla uygulanır.            |
| [[Yasal ve Düzenleyici Gereklilikler]]                                                                                  |
| İletişim kayıtları                                                                                                      |
| -                                                                                                                        |
| A.5.6                                                                                                                    |
| Özel ilgi gruplarıyla iletişim                                                                                          |
| Değerlendirilecek                                                                                                        |
|                                                                                                                          |
| Kuruluşun faaliyetleri ve ihtiyaçları doğrultusunda değerlendirilir.                                                    |
|                                                                                                                          |
|                                                                                                                          |
| -                                                                                                                        |
| A.5.7                                                                                                                    |
| Tehdit istihbaratı                                                                                                      |
| Değerlendirilecek                                                                                                        |
|                                                                                                                          |
| Kuruluşun bilgi güvenliği riskleri ve siber tehditlere maruz kalma durumu dikkate alınarak değerlendirilir.              |
| [[Tehdit İstihbaratı Prosedürü]]                                                                                        |
| Wazuh / güvenlik bildirimleri                                                                                            |
| -                                                                                                                        |
| A.5.8                                                                                                                    |
| Proje yönetiminde bilgi güvenliği                                                                                        |
| Evet                                                                                                                    |
|                                                                                                                          |
| Yazılım geliştirme ve danışmanlık faaliyetlerinde bilgi güvenliği gereksinimlerinin dikkate alınması amacıyla uygulanır. |
| [[Proje Güvenliği Prosedürü]]                                                                                            |
| Proje kayıtları                                                                                                          |
| -                                                                                                                        |
| A.5.9                                                                                                                    |
| Bilgi ve diğer ilişkili varlıkların envanteri                                                                            |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi varlıklarının tanımlanması ve yönetilmesi amacıyla uygulanır.                                                      |
| [[Varlık Yönetim Prosedürü]]                                                                                            |
| Varlık envanteri                                                                                                        |
| -                                                                                                                        |
| A.5.10                                                                                                                  |
| Bilgi ve diğer ilişkili varlıkların kabul edilebilir kullanımı                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi varlıklarının uygun ve güvenli kullanımını sağlamak amacıyla uygulanır.                                            |
| [[Kabul Edilebilir Kullanım Politikası]]                                                                                |
| Kullanıcı taahhütnameleri                                                                                                |
| -                                                                                                                        |
| A.5.11                                                                                                                  |
| Varlıkların iadesi                                                                                                      |
| Evet                                                                                                                    |
|                                                                                                                          |
| Çalışan veya yüklenici ilişkisinin sona ermesi durumunda kurum varlıklarının iadesi gereklidir.                          |
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]                                                                                |
| Teslim/iade kayıtları                                                                                                    |
| -                                                                                                                        |
| A.5.12                                                                                                                  |
| Bilginin sınıflandırılması                                                                                              |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilginin hassasiyetine göre korunmasını sağlamak amacıyla uygulanır.                                                    |
| [[Bilgi Sınıflandırma Politikası]]                                                                                      |
| Sınıflandırma kayıtları                                                                                                  |
| -                                                                                                                        |
| A.5.13                                                                                                                  |
| Bilgi etiketleme                                                                                                        |
| Evet                                                                                                                    |
|                                                                                                                          |
| Sınıflandırılan bilgilerin uygun şekilde tanımlanması amacıyla uygulanır.                                                |
| [[Bilgi Sınıflandırma Politikası]]                                                                                      |
| Dokümanlar                                                                                                              |
| -                                                                                                                        |
| A.5.14                                                                                                                  |
| Bilgi transferi                                                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kurum içi ve kurum dışı bilgi transferlerinin güvenli şekilde gerçekleştirilmesi gereklidir.                            |
| [[Bilgi Transfer Prosedürü]]                                                                                            |
| E-posta / dosya transfer kayıtları                                                                                      |
| -                                                                                                                        |
| A.5.15                                                                                                                  |
| Erişim kontrolü                                                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi varlıklarına erişimin yetki ve ihtiyaç temelinde kontrol edilmesi gereklidir.                                      |
| [[Erişim Kontrol Politikası]]                                                                                            |
| AD / ESET / sistem kayıtları                                                                                            |
| -                                                                                                                        |
| A.5.16                                                                                                                  |
| Kimlik yönetimi                                                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kullanıcı kimliklerinin yaşam döngüsünün yönetilmesi gereklidir.                                                        |
| [[Kimlik ve Hesap Yönetimi Prosedürü]]                                                                                  |
| AD / kullanıcı kayıtları                                                                                                |
| -                                                                                                                        |
| A.5.17                                                                                                                  |
| Kimlik doğrulama bilgileri                                                                                              |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kimlik doğrulama bilgilerinin güvenli şekilde yönetilmesi gereklidir.                                                    |
| [[Parola Politikası]]                                                                                                    |
| AD / uygulama kayıtları                                                                                                  |
| -                                                                                                                        |
| A.5.18                                                                                                                  |
| Erişim hakları                                                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Erişim haklarının yetki ve görevler doğrultusunda verilmesi ve periyodik olarak gözden geçirilmesi gereklidir.          |
| [[Erişim Kontrol Prosedürü]]                                                                                            |
| Yetki matrisi / erişim kayıtları                                                                                        |
| -                                                                                                                        |
| A.5.19                                                                                                                  |
| Tedarikçi ilişkilerinde bilgi güvenliği                                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Tedarikçilerle paylaşılan bilgi ve sistemlerin korunması gereklidir.                                                    |
| [[Tedarikçi Güvenliği Prosedürü]]                                                                                        |
| Tedarikçi kayıtları                                                                                                      |
| -                                                                                                                        |
| A.5.20                                                                                                                  |
| Tedarikçi sözleşmelerinde bilgi güvenliği                                                                                |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi güvenliği gereksinimlerinin sözleşmelere yansıtılması amacıyla uygulanır.                                          |
| [[Tedarikçi Yönetim Prosedürü]]                                                                                          |
| Sözleşmeler                                                                                                              |
| -                                                                                                                        |
| A.5.21                                                                                                                  |
| Bilgi ve iletişim teknolojileri tedarik zincirinde bilgi güvenliği                                                      |
| Değerlendirilecek                                                                                                        |
|                                                                                                                          |
| Kullanılan teknoloji ve hizmet sağlayıcılarına göre değerlendirilir.                                                    |
|                                                                                                                          |
|                                                                                                                          |
| -                                                                                                                        |
| A.5.22                                                                                                                  |
| Tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi                                            |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kritik hizmet sağlayıcılarının güvenlik performansının izlenmesi amacıyla uygulanır.                                    |
| [[Tedarikçi Yönetim Prosedürü]]                                                                                          |
| Tedarikçi değerlendirmeleri                                                                                              |
| -                                                                                                                        |
| A.5.23                                                                                                                  |
| Bulut hizmetleri için bilgi güvenliği                                                                                    |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kuruluş tarafından bulut hizmetlerinin kullanılması durumunda güvenlik gereksinimlerinin yönetilmesi amacıyla uygulanır. |
| [[Bulut Güvenliği Politikası]]                                                                                          |
| Cloudron / bulut hizmetleri                                                                                              |
| -                                                                                                                        |
| A.5.24                                                                                                                  |
| Bilgi güvenliği olay yönetimi planlama ve hazırlık                                                                      |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi güvenliği olaylarına müdahale kapasitesinin oluşturulması gereklidir.                                              |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]                                                                              |
| Olay kayıtları                                                                                                          |
| -                                                                                                                        |
| A.5.25                                                                                                                  |
| Bilgi güvenliği olaylarının değerlendirilmesi ve karar verilmesi                                                        |
| Evet                                                                                                                    |
|                                                                                                                          |
| Güvenlik olaylarının değerlendirilmesi ve sınıflandırılması gereklidir.                                                  |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]                                                                              |
| Olay kayıtları                                                                                                          |
| -                                                                                                                        |
| A.5.26                                                                                                                  |
| Bilgi güvenliği olaylarına müdahale                                                                                      |
| Evet                                                                                                                    |
|                                                                                                                          |
| Tespit edilen olaylara zamanında ve kontrollü müdahale edilmesi gereklidir.                                              |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]                                                                              |
| Olay kayıtları                                                                                                          |
| -                                                                                                                        |
| A.5.27                                                                                                                  |
| Bilgi güvenliği olaylarından öğrenilen dersler                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| Olayların tekrarının önlenmesi ve sürekli iyileştirme amacıyla uygulanır.                                                |
| [[Düzeltici Faaliyet Prosedürü]]                                                                                        |
| Olay değerlendirmeleri                                                                                                  |
| -                                                                                                                        |
| A.5.28                                                                                                                  |
| Bilgi güvenliği kanıtlarının toplanması                                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Olay ve incelemelerde kullanılabilecek kanıtların güvenilir şekilde korunması gereklidir.                                |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]                                                                              |
| Loglar / olay kayıtları                                                                                                  |
| -                                                                                                                        |
| A.5.29                                                                                                                  |
| İş sürekliliği sırasında bilgi güvenliği                                                                                |
| Evet                                                                                                                    |
|                                                                                                                          |
| İş sürekliliği durumlarında bilgi güvenliği seviyesinin korunması gereklidir.                                            |
| [[İş Sürekliliği Planı]]                                                                                                |
| İş sürekliliği testleri                                                                                                  |
| -                                                                                                                        |
| A.5.30                                                                                                                  |
| ICT'nin iş sürekliliğine hazır olması                                                                                    |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kritik bilgi sistemlerinin iş sürekliliği gereksinimlerini karşılayacak şekilde hazır olması gereklidir.                |
| [[BT İş Sürekliliği Planı]]                                                                                              |
| Yedekleme / test kayıtları                                                                                              |
| -                                                                                                                        |
| A.5.31                                                                                                                  |
| Yasal, düzenleyici, mevzuat ve sözleşme gereklilikleri                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kuruluşun uyması gereken yasal ve sözleşmesel yükümlülüklerin takip edilmesi gereklidir.                                |
| [[Yasal ve Düzenleyici Gereklilikler]]                                                                                  |
| Mevzuat kayıtları                                                                                                        |
| -                                                                                                                        |
| A.5.32                                                                                                                  |
| Fikri mülkiyet hakları                                                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Yazılım ve kurumsal içeriklerin fikri mülkiyet haklarının korunması gereklidir.                                          |
| [[Fikri Mülkiyet Politikası]]                                                                                            |
| Lisans kayıtları                                                                                                        |
| -                                                                                                                        |
| A.5.33                                                                                                                  |
| Kayıtların korunması                                                                                                    |
| Evet                                                                                                                    |
|                                                                                                                          |
| Yasal, operasyonel ve bilgi güvenliği kayıtlarının korunması gereklidir.                                                |
| [[Kayıtların Yönetimi Prosedürü]]                                                                                        |
| Kayıt arşivi                                                                                                            |
| -                                                                                                                        |
| A.5.34                                                                                                                  |
| Kişisel verilerin ve PII'nin gizliliği ve korunması                                                                      |
| Evet                                                                                                                    |
|                                                                                                                          |
| KVKK kapsamındaki kişisel verilerin korunması gereklidir.                                                                |
| [[KVKK Politikası]]                                                                                                      |
| KVKK kayıtları                                                                                                          |
| -                                                                                                                        |
| A.5.35                                                                                                                  |
| Bilgi güvenliğinin bağımsız gözden geçirilmesi                                                                          |
| Evet                                                                                                                    |
|                                                                                                                          |
| BGYS'nin bağımsız olarak değerlendirilmesi amacıyla uygulanır.                                                          |
| [[İç Denetim Prosedürü]]                                                                                                |
| İç denetim raporları                                                                                                    |
| -                                                                                                                        |
| A.5.36                                                                                                                  |
| Politika, kurallar ve standartlara uygunluk                                                                              |
| Evet                                                                                                                    |
|                                                                                                                          |
| Bilgi güvenliği politika ve kurallarına uyumun kontrol edilmesi gereklidir.                                              |
| [[İç Denetim Prosedürü]]                                                                                                |
| Denetim kayıtları                                                                                                        |
| -                                                                                                                        |
| A.5.37                                                                                                                  |
| Dokümante edilmiş işletim prosedürleri                                                                                  |
| Evet                                                                                                                    |
|                                                                                                                          |
| Kritik bilgi sistemlerinin işletim süreçlerinin standartlaştırılması gereklidir.                                        |
| [[Operasyon Prosedürleri]]                                                                                              |
| Prosedürler / kayıtlar                                                                                                  |
| }                                                                                                                       |


== 6.2 A.6 İnsan Kontrolleri ==
== 7.2 A.6 İnsan Kontrolleri ==


{| class="wikitable sortable" style="width:100%;"
{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Kontrol Adı
! Kontrol
! Uygulanabilir
! Uygulanabilir
! Durum
! Durum
! Gerekçe
! Gerekçe
! İlgili Doküman
! İlgili Doküman
! Kanıt
|-
| A.6.1
| Personel güvenlik soruşturması / taraması
| Evet
|
|
|
|
|}


== 6.3 A.7 Fiziksel Kontroller ==
| ! Kanıt                                                                                                  |
| --------------------------------------------------------------------------------------------------------- |
| A.6.1                                                                                                    |
| Tarama                                                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Görev ve erişim seviyelerine uygun personel güvenlik kontrollerinin değerlendirilmesi amacıyla uygulanır. |
| [[İşe Alım ve Personel Güvenliği Prosedürü]]                                                              |
| Personel kayıtları                                                                                        |
| -                                                                                                        |
| A.6.2                                                                                                    |
| İstihdam şartları ve koşulları                                                                            |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi güvenliği sorumluluklarının çalışanlara aktarılması gereklidir.                                    |
| [[Personel Güvenliği Prosedürü]]                                                                          |
| İş sözleşmeleri                                                                                          |
| -                                                                                                        |
| A.6.3                                                                                                    |
| Bilgi güvenliği farkındalığı, eğitim ve öğretim                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Çalışanların bilgi güvenliği farkındalığının artırılması gereklidir.                                      |
| [[Bilgi Güvenliği Farkındalık Prosedürü]]                                                                |
| Eğitim kayıtları                                                                                          |
| -                                                                                                        |
| A.6.4                                                                                                    |
| Disiplin süreci                                                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi güvenliği kurallarının ihlali durumunda uygulanacak süreçlerin belirlenmesi gereklidir.            |
| [[Disiplin Prosedürü]]                                                                                    |
| Disiplin kayıtları                                                                                        |
| -                                                                                                        |
| A.6.5                                                                                                    |
| İstihdamın sona ermesi veya değişmesi sonrası sorumluluklar                                              |
| Evet                                                                                                      |
|                                                                                                          |
| Çalışan ayrılışlarında erişimlerin kaldırılması ve varlıkların iadesi gereklidir.                        |
| [[İşe Giriş ve İşten Ayrılış Prosedürü]]                                                                  |
| Ayrılış kayıtları                                                                                        |
| -                                                                                                        |
| A.6.6                                                                                                    |
| Gizlilik veya gizlilik sözleşmeleri                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Gizli bilgilerin korunması amacıyla uygulanır.                                                            |
| [[Gizlilik ve KVKK Taahhütnamesi]]                                                                        |
| NDA / taahhütnameler                                                                                      |
| -                                                                                                        |
| A.6.7                                                                                                    |
| Uzaktan çalışma                                                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Uzaktan erişim ve çalışma sırasında bilgi güvenliği risklerinin yönetilmesi gereklidir.                  |
| [[Uzaktan Çalışma Politikası]]                                                                            |
| VPN / erişim kayıtları                                                                                    |
| -                                                                                                        |
| A.6.8                                                                                                    |
| Bilgi güvenliği olaylarının raporlanması                                                                  |
| Evet                                                                                                      |
|                                                                                                          |
| Çalışanların güvenlik olaylarını zamanında bildirmesi gereklidir.                                        |
| [[Bilgi Güvenliği Olay Yönetimi Prosedürü]]                                                              |
| Olay bildirimleri                                                                                        |
| }                                                                                                        |
 
== 7.3 A.7 Fiziksel Kontroller ==


{| class="wikitable sortable" style="width:100%;"
{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Kontrol Adı
! Kontrol
! Uygulanabilir
! Uygulanabilir
! Durum
! Durum
! Gerekçe
! Gerekçe
! İlgili Doküman
! İlgili Doküman
! Kanıt
|-
| A.7.1
| Fiziksel güvenlik sınırları
| Evet
|
|
|
|
|}


== 6.4 A.8 Teknolojik Kontroller ==
| ! Kanıt                                                                                          |
| ------------------------------------------------------------------------------------------------ |
| A.7.1                                                                                            |
| Fiziksel güvenlik sınırları                                                                      |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi işleme alanlarının fiziksel olarak korunması gereklidir.                                  |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Fiziksel güvenlik kontrolleri                                                                    |
| -                                                                                                |
| A.7.2                                                                                            |
| Fiziksel giriş                                                                                  |
| Evet                                                                                            |
|                                                                                                  |
| Yetkisiz kişilerin fiziksel alanlara erişiminin önlenmesi gereklidir.                            |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Giriş kayıtları                                                                                  |
| -                                                                                                |
| A.7.3                                                                                            |
| Ofis, oda ve tesislerin güvenliği                                                                |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi işleme alanlarının korunması amacıyla uygulanır.                                          |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Fiziksel kontroller                                                                              |
| -                                                                                                |
| A.7.4                                                                                            |
| Fiziksel güvenlik izleme                                                                        |
| Evet                                                                                            |
|                                                                                                  |
| Kritik alanların fiziksel güvenliğinin izlenmesi gereklidir.                                    |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Kamera / alarm kayıtları                                                                        |
| -                                                                                                |
| A.7.5                                                                                            |
| Fiziksel ve çevresel tehditlere karşı korunma                                                    |
| Evet                                                                                            |
|                                                                                                  |
| Yangın, su baskını, sıcaklık ve benzeri risklere karşı korunma gereklidir.                      |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Kontrol kayıtları                                                                                |
| -                                                                                                |
| A.7.6                                                                                            |
| Güvenli alanlarda çalışma                                                                        |
| Evet                                                                                            |
|                                                                                                  |
| Güvenli alanlarda çalışma kurallarının belirlenmesi gereklidir.                                  |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Kontrol kayıtları                                                                                |
| -                                                                                                |
| A.7.7                                                                                            |
| Temiz masa ve temiz ekran                                                                        |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi varlıklarının yetkisiz erişime karşı korunması gereklidir.                                |
| [[Temiz Masa ve Temiz Ekran Politikası]]                                                        |
| Farkındalık kayıtları                                                                            |
| -                                                                                                |
| A.7.8                                                                                            |
| Ekipman yerleşimi ve korunması                                                                  |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi işleme ekipmanlarının fiziksel risklerden korunması gereklidir.                            |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Fiziksel kontroller                                                                              |
| -                                                                                                |
| A.7.9                                                                                            |
| Kuruluş dışındaki varlıkların güvenliği                                                          |
| Evet                                                                                            |
|                                                                                                  |
| Kuruluş dışına çıkarılan bilgi varlıklarının korunması gereklidir.                              |
| [[Varlık Yönetim Prosedürü]]                                                                    |
| Varlık kayıtları                                                                                |
| -                                                                                                |
| A.7.10                                                                                          |
| Depolama ortamları                                                                              |
| Evet                                                                                            |
|                                                                                                  |
| Veri depolama ortamlarının güvenliğinin sağlanması gereklidir.                                  |
| [[Depolama Ortamları Prosedürü]]                                                                |
| Depolama kayıtları                                                                              |
| -                                                                                                |
| A.7.11                                                                                          |
| Destekleyici hizmetler                                                                          |
| Evet                                                                                            |
|                                                                                                  |
| Kritik bilgi sistemlerinin enerji ve benzeri destekleyici hizmetlere bağımlılığı yönetilmelidir. |
| [[İş Sürekliliği Prosedürü]]                                                                    |
| UPS / enerji kayıtları                                                                          |
| -                                                                                                |
| A.7.12                                                                                          |
| Kablolama güvenliği                                                                              |
| Evet                                                                                            |
|                                                                                                  |
| Ağ ve enerji kablolarının fiziksel olarak korunması gereklidir.                                  |
| [[Fiziksel Güvenlik Prosedürü]]                                                                  |
| Fiziksel kontroller                                                                              |
| -                                                                                                |
| A.7.13                                                                                          |
| Ekipman bakımı                                                                                  |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi işleme ekipmanlarının güvenilir şekilde çalışmasının sürdürülmesi gereklidir.              |
| [[Bakım Yönetimi Prosedürü]]                                                                    |
| Bakım kayıtları                                                                                  |
| -                                                                                                |
| A.7.14                                                                                          |
| Ekipmanın güvenli imhası veya yeniden kullanımı                                                  |
| Evet                                                                                            |
|                                                                                                  |
| Bilgi içeren ekipmanların elden çıkarılması sırasında bilgilerin korunması gereklidir.          |
| [[Varlık İmha Prosedürü]]                                                                        |
| İmha kayıtları                                                                                  |
| }                                                                                                |
 
== 7.4 A.8 Teknolojik Kontroller ==


{| class="wikitable sortable" style="width:100%;"
{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Kontrol Adı
! Kontrol
! Uygulanabilir
! Uygulanabilir
! Durum
! Durum
! Gerekçe
! Gerekçe
! İlgili Doküman
! İlgili Doküman
! Kanıt
|-
| A.8.1
| Kullanıcı uç cihazları
| Evet
|
|
|
|
|}


= 7. UYGULANMAYAN KONTROLLER =
| ! Kanıt                                                                                                  |
| --------------------------------------------------------------------------------------------------------- |
| A.8.1                                                                                                    |
| Kullanıcı uç cihazları                                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Kurum tarafından kullanılan istemci cihazlarının güvenliğinin sağlanması gereklidir.                      |
| [[Uç Nokta Güvenliği Politikası]]                                                                        |
| ESET / Windows                                                                                            |
| -                                                                                                        |
| A.8.2                                                                                                    |
| Ayrıcalıklı erişim hakları                                                                                |
| Evet                                                                                                      |
|                                                                                                          |
| Yönetici hesaplarının kontrol altında tutulması gereklidir.                                              |
| [[Erişim Kontrol Prosedürü]]                                                                              |
| AD / Linux / sistem kayıtları                                                                            |
| -                                                                                                        |
| A.8.3                                                                                                    |
| Bilgi erişim kısıtlaması                                                                                  |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgiye erişimin görev ve yetki temelinde sınırlandırılması gereklidir.                                  |
| [[Erişim Kontrol Politikası]]                                                                            |
| Yetki kayıtları                                                                                          |
| -                                                                                                        |
| A.8.4                                                                                                    |
| Kaynak koduna erişim                                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Yazılım geliştirme faaliyetleri kapsamında kaynak kodunun korunması gereklidir.                          |
| [[Yazılım Geliştirme Güvenliği Prosedürü]]                                                                |
| Git / repository kayıtları                                                                                |
| -                                                                                                        |
| A.8.5                                                                                                    |
| Güvenli kimlik doğrulama                                                                                  |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi sistemlerinde güvenli kimlik doğrulama mekanizmalarının kullanılması gereklidir.                    |
| [[Kimlik Doğrulama Politikası]]                                                                          |
| Sistem kayıtları                                                                                          |
| -                                                                                                        |
| A.8.6                                                                                                    |
| Kapasite yönetimi                                                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi sistemlerinin kapasite ihtiyaçlarının izlenmesi gereklidir.                                        |
| [[Kapasite Yönetim Prosedürü]]                                                                            |
| Monitoring kayıtları                                                                                      |
| -                                                                                                        |
| A.8.7                                                                                                     |
| Kötü amaçlı yazılımlara karşı koruma                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Zararlı yazılımlara karşı uç nokta ve sunucu sistemlerinin korunması gereklidir.                          |
| [[Kötü Amaçlı Yazılım Koruma Politikası]]                                                                |
| ESET                                                                                                      |
| -                                                                                                        |
| A.8.8                                                                                                    |
| Teknik zafiyetlerin yönetimi                                                                              |
| Evet                                                                                                      |
|                                                                                                          |
| Sistemlerde bulunan teknik zafiyetlerin belirlenmesi ve giderilmesi gereklidir.                          |
| [[Zafiyet Yönetimi Prosedürü]]                                                                            |
| Wazuh / zafiyet taramaları                                                                                |
| -                                                                                                        |
| A.8.9                                                                                                    |
| Konfigürasyon yönetimi                                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Kritik sistem konfigürasyonlarının kontrollü şekilde yönetilmesi gereklidir.                              |
| [[Konfigürasyon Yönetimi Prosedürü]]                                                                      |
| Sistem konfigürasyonları                                                                                  |
| -                                                                                                        |
| A.8.10                                                                                                    |
| Bilginin silinmesi                                                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Kullanım süresi sona eren veya silinmesi gereken bilgilerin güvenli şekilde kaldırılması gereklidir.      |
| [[Bilgi İmha Prosedürü]]                                                                                  |
| İmha kayıtları                                                                                            |
| -                                                                                                        |
| A.8.11                                                                                                    |
| Veri maskeleme                                                                                            |
| Değerlendirilecek                                                                                        |
|                                                                                                          |
| Kişisel ve hassas verilerin işlenme şekline göre uygulanabilirliği değerlendirilir.                      |
| [[Veri Maskeleme Prosedürü]]                                                                              |
| Uygulama kayıtları                                                                                        |
| -                                                                                                        |
| A.8.12                                                                                                    |
| Veri sızıntısı önleme                                                                                    |
| Değerlendirilecek                                                                                        |
|                                                                                                          |
| Kuruluşun veri sınıflandırması ve bilgi sızıntısı riskleri doğrultusunda değerlendirilir.                |
| [[Veri Sızıntısı Önleme Politikası]]                                                                      |
| ESET / DLP kontrolleri                                                                                    |
| -                                                                                                        |
| A.8.13                                                                                                    |
| Bilgi yedekleme                                                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Kritik bilgi ve sistemlerin kaybına karşı yedekleme yapılması gereklidir.                                |
| [[Yedekleme Prosedürü]]                                                                                  |
| Yedekleme kayıtları                                                                                      |
| -                                                                                                        |
| A.8.14                                                                                                    |
| Bilgi işleme tesislerinin yedekliliği                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Kritik hizmetlerin sürekliliği için yedeklilik ihtiyaçları değerlendirilir.                              |
| [[İş Sürekliliği Planı]]                                                                                  |
| HA / yedeklilik kayıtları                                                                                |
| -                                                                                                        |
| A.8.15                                                                                                    |
| Günlükleme                                                                                                |
| Evet                                                                                                      |
|                                                                                                          |
| Güvenlik olaylarının tespit edilmesi ve incelenebilmesi için loglama yapılması gereklidir.                |
| [[Log Yönetimi Prosedürü]]                                                                                |
| Wazuh / FortiGate / Windows / Linux                                                                      |
| -                                                                                                        |
| A.8.16                                                                                                    |
| İzleme faaliyetleri                                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi sistemlerinde anormal faaliyetlerin tespit edilmesi amacıyla uygulanır.                            |
| [[İzleme ve Alarm Yönetimi Prosedürü]]                                                                    |
| Wazuh / monitoring                                                                                        |
| -                                                                                                        |
| A.8.17                                                                                                    |
| Saat senkronizasyonu                                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Sistem kayıtlarının doğru zaman bilgisiyle ilişkilendirilebilmesi gereklidir.                            |
| [[Sistem Yönetim Prosedürü]]                                                                              |
| NTP kayıtları                                                                                            |
| -                                                                                                        |
| A.8.18                                                                                                    |
| Ayrıcalıklı yardımcı programların kullanımı                                                              |
| Evet                                                                                                      |
|                                                                                                          |
| Kritik sistemlerde ayrıcalıklı araçların kontrollü kullanılması gereklidir.                              |
| [[Ayrıcalıklı Erişim Prosedürü]]                                                                          |
| Sistem kayıtları                                                                                          |
| -                                                                                                        |
| A.8.19                                                                                                    |
| Operasyonel sistemlere yazılım kurulumu                                                                  |
| Evet                                                                                                      |
|                                                                                                          |
| Üretim sistemlerine yazılım kurulumu kontrollü şekilde yapılmalıdır.                                      |
| [[Değişiklik Yönetimi Prosedürü]]                                                                        |
| Değişiklik kayıtları                                                                                      |
| -                                                                                                        |
| A.8.20                                                                                                    |
| Ağ güvenliği                                                                                              |
| Evet                                                                                                      |
|                                                                                                          |
| Kuruluş ağ altyapısının yetkisiz erişim ve tehditlere karşı korunması gereklidir.                        |
| [[Ağ Güvenliği Politikası]]                                                                              |
| FortiGate                                                                                                |
| -                                                                                                        |
| A.8.21                                                                                                    |
| Ağ hizmetlerinin güvenliği                                                                                |
| Evet                                                                                                      |
|                                                                                                          |
| Ağ hizmetlerinin güvenlik gereksinimlerini karşılaması gereklidir.                                        |
| [[Ağ Güvenliği Politikası]]                                                                              |
| FortiGate / ağ cihazları                                                                                  |
| -                                                                                                        |
| A.8.22                                                                                                    |
| Ağların ayrıştırılması                                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Kritik sistemlerin ve ağ bölgelerinin uygun şekilde ayrıştırılması gereklidir.                            |
| [[Ağ Güvenliği Politikası]]                                                                              |
| VLAN / firewall                                                                                          |
| -                                                                                                        |
| A.8.23                                                                                                    |
| Web filtreleme                                                                                            |
| Değerlendirilecek                                                                                        |
|                                                                                                          |
| İnternet erişim ihtiyaçları ve zararlı içerik riskleri doğrultusunda değerlendirilir.                    |
| [[İnternet Erişim Politikası]]                                                                            |
| FortiGate                                                                                                |
| -                                                                                                        |
| A.8.24                                                                                                    |
| Kriptografi kullanımı                                                                                    |
| Evet                                                                                                      |
|                                                                                                          |
| Hassas bilgilerin korunması amacıyla uygun kriptografik mekanizmaların kullanılması gereklidir.          |
| [[Kriptografi Politikası]]                                                                                |
| TLS / şifreleme                                                                                          |
| -                                                                                                        |
| A.8.25                                                                                                    |
| Güvenli geliştirme yaşam döngüsü                                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Yazılım geliştirme faaliyetleri nedeniyle uygulanması gereklidir.                                        |
| [[Güvenli Yazılım Geliştirme Prosedürü]]                                                                  |
| Geliştirme kayıtları                                                                                      |
| -                                                                                                        |
| A.8.26                                                                                                    |
| Uygulama güvenliği gereksinimleri                                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Geliştirilen ve kullanılan uygulamalarda güvenlik gereksinimlerinin belirlenmesi gereklidir.              |
| [[Uygulama Güvenliği Prosedürü]]                                                                          |
| Gereksinim kayıtları                                                                                      |
| -                                                                                                        |
| A.8.27                                                                                                    |
| Güvenli sistem mimarisi ve mühendislik prensipleri                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi sistemlerinin güvenli mimari prensiplerle tasarlanması gereklidir.                                  |
| [[Sistem Mimarisi ve Güvenlik Standardı]]                                                                |
| Mimari dokümanlar                                                                                        |
| -                                                                                                        |
| A.8.28                                                                                                    |
| Güvenli kodlama                                                                                          |
| Evet                                                                                                      |
|                                                                                                          |
| Yazılım geliştirme faaliyetlerinde güvenli kodlama prensiplerinin uygulanması gereklidir.                |
| [[Güvenli Kodlama Standardı]]                                                                            |
| Kod inceleme kayıtları                                                                                    |
| -                                                                                                        |
| A.8.29                                                                                                    |
| Geliştirme ve kabul süreçlerinde güvenlik testleri                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Yazılım geliştirme ve yayın süreçlerinde güvenlik testlerinin yapılması gereklidir.                      |
| [[Yazılım Test ve Kabul Prosedürü]]                                                                      |
| Test kayıtları                                                                                            |
| -                                                                                                        |
| A.8.30                                                                                                    |
| Dış kaynaklı geliştirme                                                                                  |
| Değerlendirilecek                                                                                        |
|                                                                                                          |
| Dış kaynaklı yazılım geliştirme faaliyetlerinin kapsamına göre değerlendirilir.                          |
| [[Tedarikçi Yazılım Geliştirme Prosedürü]]                                                                |
| Sözleşmeler / kod incelemeleri                                                                            |
| -                                                                                                        |
| A.8.31                                                                                                    |
| Geliştirme, test ve üretim ortamlarının ayrılması                                                        |
| Evet                                                                                                      |
|                                                                                                          |
| Yazılım geliştirme faaliyetlerinde ortamların birbirinden ayrılması bilgi güvenliği açısından gereklidir. |
| [[Yazılım Geliştirme Prosedürü]]                                                                          |
| Ortam konfigürasyonları                                                                                  |
| -                                                                                                        |
| A.8.32                                                                                                    |
| Değişiklik yönetimi                                                                                      |
| Evet                                                                                                      |
|                                                                                                          |
| Bilgi sistemlerinde gerçekleştirilen değişikliklerin kontrollü şekilde yönetilmesi gereklidir.            |
| [[Değişiklik Yönetimi Prosedürü]]                                                                        |
| Değişiklik kayıtları                                                                                      |
| -                                                                                                        |
| A.8.33                                                                                                    |
| Test bilgilerinin kullanımı                                                                              |
| Evet                                                                                                      |
|                                                                                                          |
| Test ortamlarında gerçek ve hassas verilerin kontrollü kullanılmasını sağlamak amacıyla uygulanır.        |
| [[Test Verisi Yönetimi Prosedürü]]                                                                        |
| Test kayıtları                                                                                            |
| -                                                                                                        |
| A.8.34                                                                                                    |
| Denetim testleri sırasında bilgi sistemlerinin korunması                                                  |
| Evet                                                                                                      |
|                                                                                                          |
| Denetim ve test faaliyetlerinin üretim sistemlerine olumsuz etkisinin önlenmesi gereklidir.               |
| [[Denetim ve Test Prosedürü]]                                                                            |
| Denetim kayıtları                                                                                        |
| }                                                                                                        |


Uygulanabilir olmadığı değerlendirilen kontroller aşağıdaki tabloda
= 8. UYGULANMAYAN / HARİÇ TUTULAN KONTROLLER =
gerekçeleriyle birlikte belirtilmiştir.
 
ISO/IEC 27001:2022 Ek-A kapsamında uygulanabilir olmadığı değerlendirilen kontroller aşağıdaki tabloda gerekçeleriyle birlikte kayıt altına alınır.


{| class="wikitable sortable" style="width:100%;"
{| class="wikitable sortable" style="width:100%;"
! Kontrol
! Kontrol
! Uygulanabilir
! Kontrol Adı
! Uygulanabilirlik
! Hariç Tutma Gerekçesi
! Hariç Tutma Gerekçesi
! Risk Değerlendirmesi
! Risk Değerlendirmesi
|-
|
| Hayır
|
|
|}


= 8. RİSK YÖNETİMİ İLE İLİŞKİ =
| ! Onay |
| ------ |
|        |
|        |
| Hayır  |
|        |
|        |
|        |
| }      |
 
'''Not:''' Herhangi bir kontrolün kapsam dışında bırakılması halinde, kontrolün neden uygulanabilir olmadığı açık, ölçülebilir ve kuruluşun kapsamı/riskleri ile tutarlı şekilde gerekçelendirilmelidir.
 
= 9. RİSK YÖNETİMİ İLE İLİŞKİ =
 
Uygulanabilirlik kararları, Monad Yazılım ve Danışmanlık A.Ş.'nin bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile birlikte değerlendirilir.
 
Kontrollerin uygulanabilirliği aşağıdaki kaynaklarla ilişkilendirilir:
 
* Bilgi varlıkları
* Riskler
* Risk sahipleri
* Risk işleme seçenekleri
* Risk işleme planları
* Uygulanan güvenlik kontrolleri
* İlgili politika ve prosedürler
* Teknik ve operasyonel kanıtlar


Kontrollerin uygulanabilirlik kararları, kuruluşun bilgi güvenliği
= 10. KONTROLLERİN UYGULAMA KANITLARI =
risk değerlendirmesi ve risk işleme sonuçları dikkate alınarak
belirlenmiştir.


İlgili kontroller [[Risk Değerlendirmesi]] ve [[Risk İşleme Planı]]
Uygulanabilirliği kabul edilen kontrollerin etkinliğinin gösterilmesi amacıyla ilgili kayıt ve kanıtlar BGYS Portalı içerisinde veya tanımlanmış kurumsal sistemlerde muhafaza edilir.
ile ilişkilendirilmiştir.


= 9. SONUÇ =
Kanıt örnekleri:


Bu Uygulanabilirlik Bildirgesi, BGYS kapsamındaki bilgi güvenliği
* Politika ve prosedürler
risklerinin kabul edilebilir seviyeye indirilmesi amacıyla
* Sistem konfigürasyonları
belirlenen kontrolleri göstermektedir.
* Log kayıtları
* Wazuh kayıtları
* ESET kayıtları
* FortiGate kayıtları
* Windows ve Linux sistem kayıtları
* Yedekleme kayıtları
* Eğitim kayıtları
* Denetim raporları
* Risk değerlendirme kayıtları
* Toplantı tutanakları
* Sözleşmeler
* Teknik test sonuçları


Belge, risk değerlendirmeleri, kuruluşun faaliyetleri, teknolojik
= 11. GÖZDEN GEÇİRME =
altyapısı, yasal yükümlülükleri ve BGYS değişiklikleri doğrultusunda
periyodik olarak gözden geçirilir.


= 10. ONAY =
Uygulanabilirlik Bildirgesi;
 
* BGYS kapsamında önemli bir değişiklik meydana geldiğinde,
* Bilgi güvenliği risklerinde önemli değişiklik olduğunda,
* Yeni sistem veya teknoloji devreye alındığında,
* Yeni yasal veya sözleşmesel yükümlülük oluştuğunda,
* Bilgi güvenliği olayı meydana geldiğinde,
* İç veya dış denetim sonucunda gerekli görüldüğünde,
* Yönetimin Gözden Geçirmesi kapsamında gerekli görüldüğünde
 
gözden geçirilir.
 
Bunun dışında SoA en az yılda bir kez gözden geçirilir.
 
= 12. ONAY =


{| class="wikitable" style="width:100%;"
{| class="wikitable" style="width:100%;"
Line 205: Line 1,000:
! Ad Soyad
! Ad Soyad
! Tarih
! Tarih
! İmza / Onay
 
|-
| ! Onay       |
| Hazırlayan
| ------------ |
|  
| Hazırlayan   |
|  
|              |
|  
|              |
|-
|              |
| Kontrol Eden
| -           |
|  
| Kontrol Eden |
|  
|              |
|  
|              |
|-
|              |
| Onaylayan
| -           |
|  
| Onaylayan   |
|  
|              |
|  
|              |
|}
|              |
| }           |
 
= 13. REVİZYON GEÇMİŞİ =
 
{| class="wikitable" style="width:100%;"
! Revizyon
! Tarih
! Açıklama
! Hazırlayan
 
| ! Onaylayan        |
| ------------------ |
| 00                |
| 11.08.2026        |
| İlk yayın - Taslak |
| BGYS Sorumlusu    |
|                    |
| }                  |

Revision as of 13:47, 11 August 2026

  1. UYGULANABİLİRLİK BİLDİRGESİ
    1. Statement of Applicability (SoA)

Template loop detected: Template:DokümanBilgileri

1. KURULUŞ BİLGİLERİ

Kuruluş: Monad Yazılım ve Danışmanlık A.Ş.

Doküman: Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA)

Standart: ISO/IEC 27001:2022

BGYS: Bilgi Güvenliği Yönetim Sistemi

Doküman No: BGYS-SOA-001

Revizyon: 00

Doküman Durumu: Taslak

2. AMAÇ

Bu Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA), Monad Yazılım ve Danışmanlık A.Ş. tarafından oluşturulan Bilgi Güvenliği Yönetim Sistemi (BGYS) kapsamında uygulanması gereken bilgi güvenliği kontrollerinin belirlenmesi, kontrollerin uygulanabilirlik durumunun değerlendirilmesi ve alınan kararların gerekçelendirilmesi amacıyla hazırlanmıştır.

Bu belge, kuruluşun bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile ISO/IEC 27001:2022 Ek-A kontrolleri arasındaki ilişkiyi ortaya koyar.

3. KAPSAM

Bu Uygulanabilirlik Bildirgesi, Monad Yazılım ve Danışmanlık A.Ş. tarafından belirlenen BGYS kapsamı içerisinde yer alan;

  • Bilgi varlıklarını,
  • Bilgi sistemlerini,
  • Yazılım ve uygulama altyapılarını,
  • Sunucu ve istemci sistemlerini,
  • Ağ ve iletişim altyapısını,
  • Veri tabanlarını,
  • Çalışanları,
  • Fiziksel çalışma ortamlarını,
  • Tedarikçileri ve hizmet sağlayıcıları,
  • Bilgi güvenliği süreçlerini

kapsar.

Bu belgenin kapsamı BGYS Kapsamı dokümanı ile birlikte değerlendirilir.

4. REFERANSLAR

5. UYGULANABİLİRLİK YAKLAŞIMI

Monad Yazılım ve Danışmanlık A.Ş., ISO/IEC 27001:2022 Ek-A içerisinde yer alan kontrolleri; bilgi güvenliği riskleri, kuruluşun faaliyetleri, BGYS kapsamı, yasal ve düzenleyici yükümlülükler, sözleşmesel gereklilikler, bilgi varlıkları, teknolojik altyapı ve iş ihtiyaçları doğrultusunda değerlendirmektedir.

Bir kontrolün uygulanabilir olup olmadığı belirlenirken aşağıdaki hususlar dikkate alınır:

  • Bilgi güvenliği risklerinin azaltılması gereksinimi,
  • Kuruluşun faaliyetleri,
  • BGYS kapsamı,
  • Bilgi varlıklarının niteliği,
  • Yasal ve düzenleyici yükümlülükler,
  • Sözleşmesel yükümlülükler,
  • Teknolojik altyapı,
  • Fiziksel güvenlik gereksinimleri,
  • İnsan kaynakları ve çalışan güvenliği,
  • Tedarikçi ve üçüncü taraf ilişkileri,
  • İş sürekliliği gereksinimleri.

Kontrollerin seçimi yalnızca ISO/IEC 27001 Ek-A listesine göre değil, kuruluşun risk değerlendirme ve risk işleme sonuçlarına göre gerçekleştirilir.

6. KONTROL DURUMLARI

Durum

7. ISO/IEC 27001:2022 EK-A KONTROLLERİ

ISO/IEC 27001:2022 Ek-A kontrolleri dört ana başlık altında toplam 93 kontrolden oluşmaktadır:

  • A.5 Organizasyonel Kontroller - 37 kontrol
  • A.6 İnsan Kontrolleri - 8 kontrol
  • A.7 Fiziksel Kontroller - 14 kontrol
  • A.8 Teknolojik Kontroller - 34 kontrol

Her kontrol için uygulanabilirlik kararı, kararın gerekçesi, mevcut uygulama durumu ve ilgili doküman/kanıtlar kayıt altına alınır.

7.1 A.5 Organizasyonel Kontroller

Kontrol Kontrol Uygulanabilir Durum Uygulanabilirlik / Hariç Tutma Gerekçesi İlgili Doküman / Süreç BGYS Politikası | Görev ve Sorumluluklar | Yetki ve Görev Ayrılığı Prosedürü | BGYS Yönetim Prosedürü | Yasal ve Düzenleyici Gereklilikler | Tehdit İstihbaratı Prosedürü | Proje Güvenliği Prosedürü | Varlık Yönetim Prosedürü | Kabul Edilebilir Kullanım Politikası | İşe Giriş ve İşten Ayrılış Prosedürü | Bilgi Sınıflandırma Politikası | Bilgi Sınıflandırma Politikası | Bilgi Transfer Prosedürü | Erişim Kontrol Politikası | Kimlik ve Hesap Yönetimi Prosedürü | Parola Politikası | Erişim Kontrol Prosedürü | Tedarikçi Güvenliği Prosedürü | Tedarikçi Yönetim Prosedürü | Tedarikçi Yönetim Prosedürü | Bulut Güvenliği Politikası | Bilgi Güvenliği Olay Yönetimi Prosedürü | Bilgi Güvenliği Olay Yönetimi Prosedürü | Bilgi Güvenliği Olay Yönetimi Prosedürü | Düzeltici Faaliyet Prosedürü | Bilgi Güvenliği Olay Yönetimi Prosedürü | İş Sürekliliği Planı | BT İş Sürekliliği Planı | Yasal ve Düzenleyici Gereklilikler | Fikri Mülkiyet Politikası | Kayıtların Yönetimi Prosedürü | KVKK Politikası | İç Denetim Prosedürü | İç Denetim Prosedürü | Operasyon Prosedürleri |

7.2 A.6 İnsan Kontrolleri

Kontrol Kontrol Uygulanabilir Durum Gerekçe İlgili Doküman İşe Alım ve Personel Güvenliği Prosedürü | Personel Güvenliği Prosedürü | Bilgi Güvenliği Farkındalık Prosedürü | Disiplin Prosedürü | İşe Giriş ve İşten Ayrılış Prosedürü | Gizlilik ve KVKK Taahhütnamesi | Uzaktan Çalışma Politikası | Bilgi Güvenliği Olay Yönetimi Prosedürü |

7.3 A.7 Fiziksel Kontroller

Kontrol Kontrol Uygulanabilir Durum Gerekçe İlgili Doküman Fiziksel Güvenlik Prosedürü | Fiziksel Güvenlik Prosedürü | Fiziksel Güvenlik Prosedürü | Fiziksel Güvenlik Prosedürü | Fiziksel Güvenlik Prosedürü | Fiziksel Güvenlik Prosedürü | Temiz Masa ve Temiz Ekran Politikası | Fiziksel Güvenlik Prosedürü | Varlık Yönetim Prosedürü | Depolama Ortamları Prosedürü | İş Sürekliliği Prosedürü | Fiziksel Güvenlik Prosedürü | Bakım Yönetimi Prosedürü | Varlık İmha Prosedürü |

7.4 A.8 Teknolojik Kontroller

Kontrol Kontrol Uygulanabilir Durum Gerekçe İlgili Doküman Uç Nokta Güvenliği Politikası | Erişim Kontrol Prosedürü | Erişim Kontrol Politikası | Yazılım Geliştirme Güvenliği Prosedürü | Kimlik Doğrulama Politikası | Kapasite Yönetim Prosedürü | Kötü Amaçlı Yazılım Koruma Politikası | Zafiyet Yönetimi Prosedürü | Konfigürasyon Yönetimi Prosedürü | Bilgi İmha Prosedürü | Veri Maskeleme Prosedürü | Veri Sızıntısı Önleme Politikası | Yedekleme Prosedürü | İş Sürekliliği Planı | Log Yönetimi Prosedürü | İzleme ve Alarm Yönetimi Prosedürü | Sistem Yönetim Prosedürü | Ayrıcalıklı Erişim Prosedürü | Değişiklik Yönetimi Prosedürü | Ağ Güvenliği Politikası | Ağ Güvenliği Politikası | Ağ Güvenliği Politikası | İnternet Erişim Politikası | Kriptografi Politikası | Güvenli Yazılım Geliştirme Prosedürü | Uygulama Güvenliği Prosedürü | Sistem Mimarisi ve Güvenlik Standardı | Güvenli Kodlama Standardı | Yazılım Test ve Kabul Prosedürü | Tedarikçi Yazılım Geliştirme Prosedürü | Yazılım Geliştirme Prosedürü | Değişiklik Yönetimi Prosedürü | Test Verisi Yönetimi Prosedürü | Denetim ve Test Prosedürü |

8. UYGULANMAYAN / HARİÇ TUTULAN KONTROLLER

ISO/IEC 27001:2022 Ek-A kapsamında uygulanabilir olmadığı değerlendirilen kontroller aşağıdaki tabloda gerekçeleriyle birlikte kayıt altına alınır.

Kontrol Kontrol Adı Uygulanabilirlik Hariç Tutma Gerekçesi Risk Değerlendirmesi

Not: Herhangi bir kontrolün kapsam dışında bırakılması halinde, kontrolün neden uygulanabilir olmadığı açık, ölçülebilir ve kuruluşun kapsamı/riskleri ile tutarlı şekilde gerekçelendirilmelidir.

9. RİSK YÖNETİMİ İLE İLİŞKİ

Uygulanabilirlik kararları, Monad Yazılım ve Danışmanlık A.Ş.'nin bilgi güvenliği risk değerlendirmesi ve risk işleme sonuçları ile birlikte değerlendirilir.

Kontrollerin uygulanabilirliği aşağıdaki kaynaklarla ilişkilendirilir:

  • Bilgi varlıkları
  • Riskler
  • Risk sahipleri
  • Risk işleme seçenekleri
  • Risk işleme planları
  • Uygulanan güvenlik kontrolleri
  • İlgili politika ve prosedürler
  • Teknik ve operasyonel kanıtlar

10. KONTROLLERİN UYGULAMA KANITLARI

Uygulanabilirliği kabul edilen kontrollerin etkinliğinin gösterilmesi amacıyla ilgili kayıt ve kanıtlar BGYS Portalı içerisinde veya tanımlanmış kurumsal sistemlerde muhafaza edilir.

Kanıt örnekleri:

  • Politika ve prosedürler
  • Sistem konfigürasyonları
  • Log kayıtları
  • Wazuh kayıtları
  • ESET kayıtları
  • FortiGate kayıtları
  • Windows ve Linux sistem kayıtları
  • Yedekleme kayıtları
  • Eğitim kayıtları
  • Denetim raporları
  • Risk değerlendirme kayıtları
  • Toplantı tutanakları
  • Sözleşmeler
  • Teknik test sonuçları

11. GÖZDEN GEÇİRME

Uygulanabilirlik Bildirgesi;

  • BGYS kapsamında önemli bir değişiklik meydana geldiğinde,
  • Bilgi güvenliği risklerinde önemli değişiklik olduğunda,
  • Yeni sistem veya teknoloji devreye alındığında,
  • Yeni yasal veya sözleşmesel yükümlülük oluştuğunda,
  • Bilgi güvenliği olayı meydana geldiğinde,
  • İç veya dış denetim sonucunda gerekli görüldüğünde,
  • Yönetimin Gözden Geçirmesi kapsamında gerekli görüldüğünde

gözden geçirilir.

Bunun dışında SoA en az yılda bir kez gözden geçirilir.

12. ONAY

Görev Ad Soyad Tarih

13. REVİZYON GEÇMİŞİ

Revizyon Tarih Açıklama Hazırlayan
Retrieved from "https://bgysportal.cloudron.monadyazilim.net/index.php?title=Uygulanabilirlik_Bildirgesi&oldid=10"