ISO 27001 için evrensel bir “X haftada biter” süresi yoktur. Hazırlık süresi en çok kapsamın büyüklüğü, mevcut kontrol olgunluğu, kanıt kalitesi ve sahiplik kapasitesine bağlıdır. Sertifikasyon kuruluşunun takvimi de toplam süreyi etkiler.
Süreyi uzatan faktörler
- ISMS kapsamının sürekli değişmesi
- Asset/data/vendor envanterinin eksik olması
- Risk değerlendirmesinin formal olmaması
- Kontrollerin var fakat kanıtlarının dağınık olması
- Policy owner ve control owner’ların belirsizliği
- Joiner/mover/leaver, access review, change ve incident süreçlerinde tekrarlanabilir kayıt olmaması
- İç denetim ve management review’un son dakikaya bırakılması
Pratik fazlar
1. Kapsam ve gap görünümü
Sistem sınırı, paydaşlar, mevcut politika/kanıt ve temel riskler görünür hale getirilir.
2. Risk ve kontrol sahipliği
Risk değerlendirmesi, treatment, SoA yaklaşımı, politika ve kontrol sahipleri netleştirilir.
3. Kontrollerin işletilmesi ve kanıt
Kontrollerin sadece tasarlanması değil belirli bir ritimde çalışması ve kanıt üretmesi gerekir.
4. İç doğrulama
İç denetim, yönetimin gözden geçirmesi, uygunsuzluk/düzeltici faaliyetler ve eksik evidence kapanışı yapılır.
5. Sertifikasyon planı
Sertifikasyon kuruluşu kapsam, stage 1/stage 2 ve uygun takvimi yönetir. Bu bölüm bağımsız sertifikasyon kuruluşunun sürecidir; danışmanın sertifika garantisi vermesi doğru değildir.
ISO 27001 hazırlık değerlendirmesi ile başlangıç gap’lerini ölçün; ISO 27001 danışmanlığı kanıt ve roadmap modelini açıklar.
Sonraki adım
İçeriği yalnızca okumak yerine ilgili ücretsiz değerlendirmeyi çalıştırın, eksik kanıtları çıkarın ve sonra hizmet kapsamını karar ihtiyacına göre belirleyin.
Sık sorulan sorular
Bu rehber şirket özelinde danışmanlık yerine geçer mi?
Hayır. Genel karar çerçevesi sunar; kapsam, regülasyon, sözleşme ve risk bağlamı şirket özelinde değerlendirilmelidir.
İlk adım ne olmalı?
Mevcut baskıyı, karar sahibini, kanıt boşluğunu ve 30–90 günlük hedef çıktıyı yazılı hale getirin.
Kaynaklar
Bu içerik eğitim amaçlıdır. Hukuki görüş, resmi denetim sonucu veya uyumluluk garantisi değildir.