SOC 2 politika şablonları ve NIS2 Madde 21 önlemleri kaydı
SOC 2 ve NIS2 büyük ölçüde aynı yazılı politikaları ister: erişim kontrolü, olay müdahalesi, yedekleme, tedarikçiler, değişiklik yönetimi ve şifreleme. ISO 27001 kiti bunları yanıtlarınızdan bir kez yazar (belgeler İngilizce, Almanca, İspanyolca, Fransızca, Lehçe veya İtalyanca) ve her politikayı SOC 2 kriterleriyle, ISO/IEC 27001 Ek A kontrolleriyle ve NIS2 Madde 21 fıkra 2'nin bentleriyle eşleştirir.
25 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
AICPA: 2017 Trust Services Criteria (2022'de revize edilen odak noktalarıyla), İngilizce
25 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı
Kısaca SOC 2
SOC 2 bir sertifika değil, bir rapordur: bağımsız bir ABD yeminli mali müşavirlik (CPA) şirketi, bir hizmet kuruluşunun kontrollerini AICPA'nın Güven Hizmetleri Kriterlerine (Trust Services Criteria) göre inceler ve raporu düzenler. Tip 1 rapor kontrollerin belirli bir tarihteki tasarımını, Tip 2 rapor ayrıca bir dönem boyunca nasıl işlediğini kapsar. Güvenlik (CC1 ila CC9 ortak kriterleri) her zaman kapsamdadır; kullanılabilirlik, gizlilik, işleme bütünlüğü ve mahremiyet, hizmet gerektirdiğinde eklenir.
Kısaca NIS2 Madde 21
(AB) 2022/2555 sayılı Direktifin 21. maddesine göre temel ve önemli kuruluşlar, siber güvenlik risklerini yönetmek için uygun ve orantılı teknik, operasyonel ve organizasyonel önlemler alır. 2. fıkra bu önlemlerin en az neleri içerdiğini sayar:
- (a) risk analizi ve bilgi sistemi güvenliği politikaları;
- (b) olayların ele alınması;
- (c) yedekleme yönetimi, felaket kurtarma ve kriz yönetimi gibi iş sürekliliği;
- (d) tedarik zinciri güvenliği;
- (e) güvenlik açıklarının ele alınması ve açıklanması dahil, sistemlerin edinimi, geliştirilmesi ve bakımında güvenlik;
- (f) önlemlerin etkinliğini değerlendiren politika ve prosedürler;
- (g) temel siber hijyen uygulamaları ve siber güvenlik eğitimi;
- (h) kriptografi ve uygun olduğunda şifreleme;
- (i) insan kaynakları güvenliği, erişim kontrolü ve varlık yönetimi;
- (j) uygun olduğunda çok faktörlü veya sürekli kimlik doğrulama ve güvenli iletişim.
Madde 23, önemli olayların CSIRT'e veya yetkili makama bildirilmesini ekler: olayın öğrenilmesinden itibaren 24 saat içinde erken uyarı, 72 saat içinde olay bildirimi ve bildirimden en geç bir ay sonra nihai rapor. Bir kuruluşun temel veya önemli kuruluş olup olmadığına, Direktifi iç hukuka aktaran ulusal kanun karar verir.
Kitin yazdığı dosyalar
| Dosyalar | İçerik |
|---|---|
| 07 ila 13 | Yedi politika: kabul edilebilir kullanım, erişim kontrolü, değişiklik yönetimi, olay müdahalesi, tedarikçi güvenliği, yedekleme ve iş sürekliliği, kriptografi. Her birinde amaç, kapsam, kurallar, sorumlu, istisnalar, gözden geçirme aralığı ve ilgili SOC 2 kriterleri, Ek A kontrolleri ve NIS2 bentlerinin tablosu bulunur. |
| 14 | SOC 2 kriterleri çalışma sayfası: kriterler numarasıyla ve kendi konu adlarımızla, güvenlik ve işaretlediğiniz kategoriler için; kontrolleriniz ve denetçinin inceleyebileceği kanıt için sütunlarla; CSV olarak da. |
| 15 | NIS2 Madde 21 önlemleri kaydı: on bendin her biri belgenin dilinde AB Resmî Gazetesi'nden alıntılanır, ilgili kit dosyaları ve Uygulanabilirlik Beyanınıza göre Ek A kontrollerinin durumu gösterilir; ardından Madde 23 fıkra 4'ün süreleri gelir. Her bendin altında, (AB) 2024/2690 sayılı Uygulama Tüzüğü'nün ilgili maddelerini ISO/IEC 27001:2022 ile eşleştiren ENISA tablosu (sürüm 1.2, CC BY 4.0) yer alır. |
| 00 ila 06 | Önce okunacak açıklama dosyası ve ISO 27001 çekirdeği: kapsam, bilgi güvenliği politikası, risk değerlendirmesi ve risk kaydı, risk işleme planı, Ek A'daki 93 kontrolün Uygulanabilirlik Beyanı, hedefler. |
Bu dosyaların tümü, bir kuruluş için ISO 27001 başlangıç kiti tek seferlik satın alındığında gelir.
Hangi politika neyi kapsar
| Politika | SOC 2 kriterleri | ISO/IEC 27001 Ek A | NIS2 Madde 21 fıkra 2 |
|---|---|---|---|
| Kabul edilebilir kullanım politikası | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | (g), (i) |
| Erişim kontrolü politikası | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | (i), (j) |
| Değişiklik yönetimi politikası | CC8.1 | 8.8, 8.25, 8.31, 8.32 | (e) |
| Olay müdahale politikası | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | (b) |
| Tedarikçi güvenliği politikası | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | (d) |
| Yedekleme ve iş sürekliliği politikası | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | (c) |
| Kriptografi politikası | CC6.1, CC6.7 | 8.24 | (h) |
Bu atıflar, her politikanın nerede yardımcı olduğuna dair kendi yorumumuzdur; bir denetçinin eşleştirmesi değildir ve bir kriterin veya önlemin karşılandığını göstermez.
Kitin yapmadıkları
AICPA kriterlerinin veya ISO/IEC 27001'in metnini içermez: kriterler ve kontroller numarası ve kendi sözlerimizle belirtilir. Kontrollerinizi incelemez, SOC 2 raporu düzenlemez, NIS2'nin size uygulanıp uygulanmadığına karar vermez ve olayları sizin yerinize bildirmez. Dosyalardaki her boşluk TO COMPLETE (seçilen belge dilinde) olarak işaretlenir. Belgeler yalnızca İngilizce, Almanca, İspanyolca, Fransızca, Lehçe ve İtalyancadır.
Yazdığınız hiçbir şey tarayıcınızdan çıkmaz; dosyalar cihazınızda oluşturulur. Bunlar şablondur, hukuki tavsiye değildir.
Kaynaklar
- AICPA: 2017 Trust Services Criteria (2022'de revize edilen odak noktalarıyla), İngilizce
- (AB) 2022/2555 sayılı Direktif (NIS2), Madde 21 ve 23 (İngilizce)
- Komisyonun (AB) 2024/2690 sayılı Uygulama Tüzüğü: bulut, veri merkezi, yönetilen hizmet, DNS ve listelenen diğer sağlayıcılar için teknik ve metodolojik gereklilikler (İngilizce)