İçeriğe geç
AB Kuralları Bulucu
Türkçe (Dil)

Sizin için doldurulmuş ISO 27001 şablonları: Uygulanabilirlik Beyanı, risk kaydı ve politika

ISO/IEC 27001:2022 uyarınca bir bilgi güvenliği yönetim sistemi (BGYS) birkaç temel belgeye dayanır: kapsam, politika, risk değerlendirmesi ve işleme planı, Uygulanabilirlik Beyanı ve hedefler. Soruları bir kez yanıtlayın; set bunları İngilizce, Almanca, İspanyolca, Fransızca, Lehçe veya İtalyanca Word dosyaları olarak yazar, her risk düzeyini hesaplar ve Ek A'nın 93 kontrolünün tamamını kararlarınızla listeler.

25 Ekim 2026 tarihinde kaynaklarla karşılaştırıldı

Kuruluş
Bağlam ve kapsam
Neyi kapsadığı, örneğin: Acme rezervasyon platformunun geliştirilmesi, barındırılması ve desteği.
Her satıra bir tane.
Her satıra bir tane. Hiçbir şey dışarıda bırakılmadıysa boş bırakın.
Kapsam dışındaki veya başkalarınca yürütülen ve dayandığı faaliyetler, örneğin bulut barındırma veya bordro. Her satıra bir tane.
Kuruluş içinde güvenliği etkileyenler, örneğin küçük bir BT ekibi veya eski bir sistem. Her satıra bir tane.
Dış etkenler, örneğin NIS2 kuralları, müşteri talepleri, sektörünüze yönelik saldırılar. Her satıra bir tane.
2024 tarihli Tadil 1, her kuruluştan buna karar vermesini ister; örneğin sel riski olan bir veri merkezi için evet.
Her satıra bir tane, örneğin Müşteriler: sözleşmelerdeki güvenlik hükümleri; Kişisel Verileri Koruma Kurumu: KVKK.
Bilgi güvenliği politikası
Ad ve görev.
Örneğin genel müdür.
Her satıra bir tane, örneğin Erişim kontrolü, Yedekleme, Kabul edilebilir kullanım, Uzaktan çalışma.
1 ile 36 arasında bir tam sayı; genellikle 12.
SOC 2 ve NIS2

Kit ayrıca yedi konuya özgü politika, bir SOC 2 kriterleri çalışma sayfası ve bir NIS2 Madde 21 önlemleri kaydı içerir. Güvenlik çalışma sayfasında her zaman yer alır; raporunuzun kapsayacağı diğer SOC 2 kategorilerini işaretleyin.

Riskler

Düzeyi (olasılık × etki) bu sayıya kadar olan riskler kabul edilebilir, örneğin 8.
Risk R1
Örneğin müşteri veritabanı.
Örneğin çalınmış bir yönetici parolası, ikinci faktör yok.

Risk düzeyi: olasılığı ve etkiyi puanlayın

Aşağıdaki listeden numaralar, örneğin 5.17, 8.5.

Uygulanabilirlik Beyanı: 93 kontrol

Her kontrol için: dahil mi hariç mi, neden ve uygulanıyor mu. Yukarıdaki bir riskte adı geçen kontrol o riskle gerekçelendirilir.

93 kontrolden 0 tanesine karar verildi.

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

Hedefler

Hedef 1
Örneğin tüm yönetici hesaplarında çok faktörlü oturum açma.
Nasıl anlayacağınız, örneğin yönetici hesaplarının %100'ü.
Belgelerin dili

Yazdığınız hiçbir şey bir yere gönderilmez. İşletme bilgileriniz bir sonraki sefer için bu tarayıcıda kalır.

Dosyalarda neler var

  • iç ve dış hususlar, 1:2024 Tadili'nin iklim değişikliği sorusu, ilgili taraflar ve gereklilikleri, yerleşkeler, dışarıda bırakılanlar ve arayüzlerle BGYS kapsamı (madde 4.1 ila 4.3);
  • üst yönetimin taahhütleri, roller ve konuya özgü politikalarınızla bilgi güvenliği politikası (5.2);
  • risk değerlendirmesi: yöntem, 1 ila 5 ölçekleri, kabul düzeyiniz ve her risk için olasılık × etki hesaplanmış kayıt (6.1.2);
  • seçenek, Ek A kontrolleri, eylem, kim ve ne zaman ile her risk sahibinin onayı için bir sütun içeren risk işleme planı (6.1.3);
  • Uygulanabilirlik Beyanı: Ek A'nın 93 kontrolünün tamamı, dahil veya hariç, gerekçe (bir kontrolün işlediği riskler sizin için doldurulur) ve uygulanıp uygulanmadığı (6.1.3 d), ayrıca elektronik tablo için CSV dosyası olarak;
  • ölçüt, kaynaklar, sahip ve tarihle bilgi güvenliği hedefleri (6.2) ve standardın bu dosyaların ötesinde istediklerini listeleyen bir beni oku dosyası.

Setin yaptığı kontroller

Bir risk düzeyi yalnızca 1 ila 5 arasındaki tam puanlardan hesaplanır; başka her şey tamamlanacak olarak işaretlenir. Ek A'da olmayan bir kontrol numarası tahmin edilmez, reddedildi olarak gösterilir. Risklerinizden birinin dayandığı bir kontrolü hariç tutarsanız bu, formda ve Uygulanabilirlik Beyanında işaretlenir. Hiçbir şey sessizce boş bırakılmaz: her boşlukta TO COMPLETE yazar.

ISO 27001 ve NIS2

NIS2 Direktifi (AB) 2022/2555, ISO/IEC 27001 belgelendirmesi gerektirmez. Madde 21, temel ve önemli kuruluşların, uygulanabildiğinde ilgili Avrupa ve uluslararası standartları dikkate alarak risk yönetimi tedbirleri almasını gerektirir ve Madde 25, üye devletlerden bunların kullanımını teşvik etmesini ister. Bir risk değerlendirmesi, bir politika ve bir Uygulanabilirlik Beyanı, bu tedbirlerin nasıl seçildiğini göstermenin yaygın bir yoludur. Kitin politikaları SOC 2 ve Madde 21 ile nasıl eşleştirdiği: SOC 2 ve NIS2 politikaları.

Setin yapmadıkları

Standardın metnini içermez: kontrol adları bizim kısa sözcüklerimizdir ve gereklilikleri okumak için kendi ISO/IEC 27001 kopyanıza ihtiyacınız vardır. Her kontrolün arkasındaki prosedürleri yazmaz, iç denetiminizi veya yönetimin gözden geçirmesini yürütmez ya da hiçbir şeyi belgelendirmez: yalnızca akredite bir belgelendirme kuruluşunun denetimi bir sertifikaya götürür. Belgeler İngilizce, Almanca, İspanyolca, Fransızca, Lehçe ve İtalyancadır.

Yazdığınız hiçbir şey tarayıcınızdan çıkmaz; dosyalar cihazınızda oluşturulur. Şablonlardır, hukuki danışmanlık değildir.

Kaynaklar