ISO 27001 iç denetim raporu bir lojistik firmasında yirmi bir bulguyla kapandı ve bulguların on dördü “kapatıldı” işaretiyle belgelendirme denetimine gönderildi. Dış denetçi ilk gün ayrıcalıklı hesap listesini istedi; listede altı ay önce ayrılmış iki sistem yöneticisi hâlâ duruyordu. Yetki gözden geçirme bulgusu için hazırlanan düzeltici faaliyet, tek seferlik bir temizlikten ibaretti; süreç değişmediği için aynı açık dış denetimde majör uygunsuzluğa dönüştü.

İç denetim bulgusunu kapatmak, kayıt üzerinde durum alanını değiştirmek değildir. Bulgunun neden oluştuğunu bulmak, tekrarını engelleyecek değişikliği yapmak ve bu değişikliğin işlediğini kanıtla göstermek gerekir. Aşağıda bulguların belgelendirme denetimine kadar geçen sürede hangi sırayla ve hangi kanıtlarla kapatılacağını anlatıyoruz.

Uygunsuzluk mu, gözlem mi, iyileştirme fırsatı mı

Kapatma stratejisi bulgunun türüne göre değişir. Hepsine aynı formu doldurmak zaman kaybıdır:

• Majör uygunsuzluk: Bir şartın tamamen karşılanmaması ya da sistemin bir bölümünün çökmesi. Belgelendirme öncesi mutlaka kapatılmalı, kök neden analizi ve etkinlik kanıtı istenir.
• Minör uygunsuzluk: Şart uygulanıyor ama tek noktada aksıyor. Kapatma planı ve makul termin genellikle yeterlidir.
• Gözlem: Henüz uygunsuzluk değil, eğilim. Kayda alınmalı; kapatılmazsa bir sonraki denetimde uygunsuzluğa dönüşme olasılığı yüksektir.
• İyileştirme fırsatı: Zorunluluk yok, ancak sistematik olarak reddedilirse yönetimin sürekli iyileştirme iddiası zayıflar.

Sınıflandırmayı iç denetim raporunu yazan kişi yapar, ancak sınıfın doğruluğunu güvenlik yöneticisi teyit etmelidir. Uygulamada bulguların hafif sınıflara kaydırılması yaygındır; bu, kısa vadede rapor tablosunu rahatlatır, dış denetimde ise hazırlıksız yakalanmaya yol açar. Ölçüt nettir: şart hiç uygulanmıyorsa ya da kontrolün çıktısı hiçbir kayıtla gösterilemiyorsa bulgu majördür.

Kök neden “personel dikkatsizliği” olamaz

Düzeltici faaliyet formlarında en sık yazılan kök neden, personelin dikkatsizliği veya eğitim eksikliğidir. Bu ifade neredeyse her zaman analizin durduğu yeri gösterir. Sistem, tek bir kişinin dikkatiyle ayakta duruyorsa asıl uygunsuzluk tasarımdadır.

Beş kez “neden” sorusunu sorarak ilerleyin. Örnek: sunucuda kritik yama altmış gün geçmiş.

1. Neden yama geçilmedi? Bakım penceresi açılmadı.
2. Neden açılmadı? Uygulama ekibi kesinti onayı vermedi.
3. Neden vermedi? Uygulamanın yeni sürümle uyumu test edilmemişti.
4. Neden test edilmemişti? Test ortamı üretimle aynı sürümde değil.
5. Neden aynı değil? Ortam yönetimi için sahiplik tanımlanmamış.

Kök neden, dikkatsizlik değil, sahipsiz test ortamıdır. Düzeltici faaliyet de buna göre yazılır: ortam sahipliği tanımlanır, sürüm eşitliği kontrol edilir, yama takvimi bu bağımlılığa göre kurulur. Bu ayrıştırmayı ekiplerin kendi başına yapması zordur; kurumsal siber güvenlik danışmanlığı alan kurumların denetim döngüsünde en hızlı iyileşen tarafı da genellikle kök neden disiplinidir.

Belgelendirme denetimine kalan süreye göre plan

Bulguları aynı anda kapatmaya çalışmak yerine takvimi geriye doğru kurun:

Adım adım bulgu kapatma akışı

1. Bulguyu tek cümleyle, şart maddesine referansla yeniden yazın. Belirsiz ifade kalırsa kapatma ölçütü de belirsiz olur.
2. Etkilenen kapsamı ölçün: bu açık kaç sistemde, kaç kullanıcıda, hangi süreçlerde var?
3. Anlık düzeltmeyi yapın ve düzeltici faaliyetten ayrı kaydedin. İkisi karıştırıldığında tekrar riski gizlenir.
4. Kök nedeni yazın ve bunu bir kişiye değil bir sürece bağlayın.
5. Düzeltici faaliyeti tanımlayın: ne değişecek, kim yapacak, hangi tarihte, hangi kaynakla.
6. Kapatma ölçütünü baştan yazın: hangi kanıt görüldüğünde bu bulgu kapanmış sayılacak?
7. Faaliyeti uygulayın ve kanıtı üretildiği anda toplayın; denetimden bir gün önce toplanan kanıt genellikle eksik çıkar.
8. Etkinliği örneklemle doğrulayın, sonucu kaydedin ve bulguyu kapatın.

Kanıt dosyası neye benzemeli

Denetçinin görmek istediği şey anlatı değil, izlenebilir kayıttır. Kanıt dosyasında şunlar bulunmalıdır:

• Değişiklik talebi veya onay kaydı, tarihiyle birlikte.
• Değişikliğin uygulandığını gösteren teknik çıktı: yapılandırma dökümü, sistem logu, rapor.
• Sürecin yeni halini gösteren güncel doküman ve yayım kaydı.
• Etkilenen personele yapılan duyuru ve katılım kaydı.
• Doğrulama sonucu: örneklem büyüklüğü, kontrol edilen kayıtlar, bulunan sapma sayısı.

Teknik bulguların savunma tarafındaki karşılığı

Bulguların bir kısmı doküman değil kabiliyet eksikliğine işaret eder: yanal hareketin (lateral movement) tespit edilememesi, ayrıcalıklı hesap kullanımının izlenmemesi, olay müdahale planının hiç denenmemiş olması. Bu tür bulgular yeni bir prosedür yazarak kapanmaz.

Kapatmanın doğru yolu, ilgili MITRE ATT&CK tekniklerini seçip savunmanın bu tekniklere verdiği yanıtı ölçmektir. Belirli bir sistemdeki zafiyetler için bir-iki haftalık sızma testi yeterli olurken, tespit ve müdahale kabiliyetinin sınanması gerektiğinde iki-altı haftaya yayılan bir red team hizmetiyle keşiften raporlamaya uzanan tam bir saldırı zinciri çalıştırılır. Çıkan MTTD (ortalama tespit süresi) ve MTTR (ortalama yanıt süresi) değerleri, bulgunun kapandığını gösteren en güçlü kanıttır.

“Kapattım” demek neden yetmez

Etkinlik doğrulaması, düzeltici faaliyetin gerçekten tekrarı önleyip önlemediğini gösterir. Doğrulamayı faaliyeti uygulayan kişi değil, bağımsız biri yapmalıdır. Ölçüt basit tutulabilir: değişiklikten sonraki dönemde alınan örneklemde sapma sıfır ya da kabul eşiğinin altındaysa bulgu kapanır. Örneklem tarihi, değişiklik tarihinden sonra olmalıdır; öncesine ait kanıt doğrulama sayılmaz.

Belgelendirme öncesi tipik tuzaklar

• Tüm bulgular için aynı termin tarihinin yazılması; plan gerçekçi görünmez.
• Politikanın güncellenip uygulamanın değişmemesi. Denetçi dokümanı değil, uygulamayı örnekler.
• Yönetim gözden geçirmesinin bulgu kapanışlarından önce yapılması; gündemde güncel durum yer almaz.
• İç denetçinin kendi sorumlu olduğu süreci denetlemesi. Tarafsızlık sorunu tek başına bulgu doğurur.
• Kanıtların kişisel klasörlerde dağınık durması; denetim gününde erişilemeyen kanıt yok sayılır.
• Tedarikçi kaynaklı bulguların ertelenmesi. Dış hizmet sağlayıcıya bağlı bir açık, sözleşme ve gözetim kaydıyla yönetilmiyorsa sorumluluk yine kurumda kalır.

Bu tuzakların çoğu, kapatma çalışmasının denetim tarihine sıkıştırılmasından doğar. Bulgu kayıtlarını haftalık kısa bir toplantıda gözden geçirmek, terminleri kaymadan görmek için genellikle yeterlidir; gündemde yalnızca gecikmiş ve doğrulama bekleyen satırlar konuşulur.

Sık sorulan sorular

Belgelendirme denetimine kaç bulgu açıkken girilebilir?

Sayıdan çok tür ve plan önemlidir. Majör uygunsuzluklar kapatılmış olmalıdır. Minör bulgular, gerçekçi termini ve sorumlusu olan bir planla açık kalabilir; denetçi bu durumda sistemin bulguyu yönetebildiğini görmek ister.

İç denetimi kendi personelimiz yapabilir mi?

Evet, ancak denetçi kendi çalıştığı süreci denetleyemez. Küçük kuruluşlarda çapraz denetim düzeni kurulur: bir birimin sorumlusu başka birimi denetler. Tarafsızlık sağlanamıyorsa dışarıdan bağımsız bir denetçiyle çalışmak daha güvenlidir.

Düzeltici faaliyet ile düzeltme arasındaki fark nedir?

Düzeltme, mevcut sapmayı ortadan kaldırır; örneğin ayrılan personelin hesabını siler. Düzeltici faaliyet, aynı sapmanın tekrarını engeller; örneğin işten çıkış sürecine hesap kapatma adımını ve haftalık mutabakat kontrolünü ekler. Denetçi ikisini de görmek ister.

Bulgu kapatma kanıtı olarak ekran görüntüsü kabul edilir mi?

Tarih, sistem adı ve ilgili alanlar görünüyorsa kabul edilir. Ancak tek başına ekran görüntüsüne dayanan bir kanıt seti zayıftır; mümkün olduğunda sistemden alınan rapor, log kaydı veya değişiklik kaydıyla desteklenmelidir.

Aynı bulgu bir sonraki denetimde tekrar çıkarsa ne olur?

Tekrarlayan bulgu, kök neden analizinin yüzeysel kaldığının işaretidir ve genellikle daha ağır sınıflandırılır. Bu durumda faaliyeti yeniden yazmak yerine analizi baştan yapın; çoğu tekrar, sorumluluğun ya da otomasyonun eksikliğinden kaynaklanır.

Sonuç

Bulgu kapatmanın ölçüsü, kayıttaki durum alanı değil, aynı hatanın bir daha üretilememesidir. Bulguyu şart maddesine bağlayın, kök nedeni sürece indirin, kanıtı üretildiği anda toplayın ve etkinliği bağımsız bir gözle doğrulayın; belgelendirme denetimine bu disiplinle giren kurumlar sertifikayı almakla kalmaz, bir sonraki yıl gözetim denetimine çok daha az bulguyla girer.

Bilgilendirme: Bu içerik genel bilgilendirme amaçlıdır; kurumunuzun risk profiline özel değerlendirme için uzman desteği alınmalıdır.