Dağıtım Yönetimi Denetim Gereklilikleri

Kapsam alanı: Teknik Yönetim Pratikleri
Bölüm: 8
Madde: 45
Sürüm: 2026.1

Kapsam

Bu doküman, yeni veya değişmiş donanım, yazılım, doküman, veri ve lisans bileşenlerinin kurumun kontrolündeki ortamlar arasında taşınmasına ve bu ortamlardan kaldırılmasına ilişkin denetim gerekliliklerini tanımlar. Gereklilikler; yönetişim ve kapsam, dağıtım modellerinin tanımlanması, kontrollü ortamların doğrulanması, sürecin işleyişi ve kabul kriterleri, roller ve yetkiler, kayıt ve izlenebilirlik, araç ve otomasyon kontrolleri ile ölçüm ve iyileştirme alanlarını kapsar. Değişikliğin yetkilendirilmesi, hizmetin kullanıcıya açılması, yazılım geliştirme, test ve doğrulama ile varlık ve yapılandırma kaydı tutma faaliyetleri kapsam dışıdır; bu faaliyetlerle kurulan arayüzler yalnızca dağıtım açısından değerlendirilir. Gereklilikler kurumun büyüklüğü, dağıtım hacmi ve otomasyon düzeyinden bağımsız olarak uygulanır; kuruma uygulanabilir olmayan maddeler gerekçesi kayda geçirilerek kapsam dışına alınır.

Değerlendirme yöntemi

Her madde bağımsız kanıt üzerinden üç düzeyde değerlendirilir. Karşılıyor: şart tanımlı ve onaylı, uygulaması kapsamın tamamını örtüyor ve denetim döneminde üretilmiş kayıtla doğrulanabiliyor. Kısmen karşılıyor: şart tanımlı ancak uygulaması belirli ekip, ortam veya bileşen tipiyle sınırlı kalıyor ya da kaydı eksik. Karşılamıyor: şart tanımsız veya kanıt sunulamıyor. Sözlü beyan tek başına kanıt sayılmaz; her madde için onaylı doküman, sistem kaydı veya örneklem incelemesi istenir. Örneklem, denetim dönemindeki dağıtımlar arasından ortam, bileşen tipi ve dağıtım modeli çeşitliliğini yansıtacak biçimde seçilir; başarısız ve acil yürütülmüş dağıtımlar örnekleme ayrıca dahil edilir. Madde sonuçları bölüm düzeyinde eşit ağırlıkla toplanarak boyut bazlı olgunluk profiline dönüştürülür.

Durum işaretleriKarşılıyorKısmen karşılıyorKarşılamıyor

Dokümanı açın

Kurumsal e-postanızı bırakın, 45 maddenin tamamı açılsın

Doküman ücretsizdir. E-postanızı yalnızca dokümanı iletmek ve denetim konusundaki güncellemeleri paylaşmak için kullanırız.

Gönderdiğinizde KVKK Aydınlatma Metni'ni kabul etmiş olursunuz.

Denetim isteyin

01Yönetişim, politika ve kapsam

Madde	Şart	Kanıt
01.01	Dağıtım yönetimi pratiğinin sahibi ve karar yetkisi tanımlanmış ve yazılı olarak atanmış olmalıdır.	Sahibin adı, yetki sınırı ve atama tarihini gösteren görev tanımı veya yetki matrisi.
01.02	Dağıtıma ilişkin politika veya üst düzey kural seti onaylanmış olmalı; kapsadığı bileşen tipleri ve ortamlar açıkça sayılmalıdır.	Onay kaydı taşıyan politika dokümanı; kapsam bölümünde bileşen tipi (donanım, yazılım, doküman, veri, lisans) ve ortam listesi.
01.03	Bir dağıtımın hangi yetkilendirmeye dayanarak yürütülebileceği ve onay merciinin kim olduğu tanımlanmış olmalıdır.	Yetkilendirme kuralları ile dağıtım prosedürü arasındaki eşleme tablosu ve örneklem dağıtım kayıtlarındaki onay referansı.
01.04	Dağıtım kapsamı dışında bırakılan faaliyetler ve bunların hangi sürece devredildiği yazılı olarak belirtilmiş olmalıdır.	Politika veya prosedürdeki kapsam dışı listesi ve süreç arayüz tablosu.
01.05	Üçüncü taraflarca yürütülen dağıtım faaliyetlerinin sınırları, sorumlulukları ve kabul koşulları sözleşmede veya mutabık kalınmış hizmet tanımında yer almalıdır.	Teslim, kurulum veya dağıtım hükmünü içeren sözleşme maddesi ve taraflarla mutabık kalınmış sorumluluk matrisi.

02Dağıtım modelleri ve yaklaşım bütünlüğü

Madde	Şart	Kanıt
02.01	Kurumun dağıttığı bileşen tipleri için tanımlanmış ve mutabık kalınmış dağıtım modelleri bulunmalı; her bileşen tipi en az bir modelle eşleştirilmiş olmalıdır.	Dağıtım modeli kataloğu ve bileşen tipi ile model eşleşmesini gösteren tablo.
02.02	Model tasarımında otomasyon imkânı, beklenen dağıtım sıklığı, bileşen kusur riski, bileşenin kaynağı, maliyet ve kaynak kısıtı ile değişikliğin hizmet tüketicisine görünürlüğü ölçütlerinin dikkate alındığı gösterilmelidir.	Model tanım formunda bu ölçütlere karşılık gelen doldurulmuş alanlar veya modelin tasarım gerekçe notu.
02.03	Her model; bileşenin hangi ortamlardan hangi sırayla geçeceğini, tarafların sorumluluklarını, tetikleyicileri ve diğer süreçlerle arayüzleri tanımlamalıdır.	Model akış şeması veya adım tablosu; sorumlu rol sütunu ve tanımlı tetikleyici listesi.
02.04	Ölçek, aciliyet ve karmaşıklık farklılıkları için model varyantları veya sapma kuralları tanımlanmış olmalı; hızlandırılmış dağıtımda uygulanacak asgari kontroller belirtilmiş olmalıdır.	Hızlandırılmış veya acil dağıtım prosedürü ve denetim döneminde bu yolla yürütülmüş bir dağıtımın kaydı.
02.05	Yeni veya güncellenmiş bir model devreye alınmadan önce test edilmiş olmalı; test mümkün değilse modelin ilk canlı uygulaması gözetim altında yürütülmüş ve sonucu kayda geçirilmiş olmalıdır.	Model test kaydı ve sonucu ya da ilk uygulamaya ilişkin gözetim notu.
02.06	Modellerin kurum genelinde benimsenme düzeyi izlenmeli; model dışında yürütülen dağıtımlar gerekçesiyle kayda geçirilmelidir.	Benimsenme ölçümü veya raporu ile model dışı yürütülmüş dağıtımların gerekçe kayıtları.

03Kontrollü ortamlar ve ortam doğrulaması

Madde	Şart	Kanıt
03.01	Kurumun kontrolündeki ortamların envanteri güncel tutulmalı; her ortamın amacı, sahibi ve erişim yetkileri kayıtlı olmalıdır.	Amaç, sahip ve yetki alanları doldurulmuş ortam envanteri ve son güncelleme tarihi.
03.02	Kurum kontrolü dışında kalan ortamlar ayrıca işaretlenmiş ve bu ortamlara ilişkin kontrol sınırı tanımlanmış olmalıdır.	Envanterde kontrol düzeyi sütunu ve ilgili sözleşme veya mutabakat referansı.
03.03	Dağıtım öncesinde hedef ortamın gerekli koşulları karşıladığı doğrulanmalı ve doğrulama sonucu kayda geçirilmelidir.	Dağıtım kaydındaki ortam doğrulama adımı ve sonucu; otomatik kontrol çıktısı veya onaylı kontrol listesi.
03.04	Fiziksel kurulum yapılan yerlerde besleme, yedek besleme, iklimlendirme ve yangın koruma koşulları kurulum öncesinde kontrol edilmelidir.	Tarih ve kontrolü yapan kişi bilgisini taşıyan saha hazırlık kontrol listesi.
03.05	Ortamlar arasındaki yapılandırma farkları kayıtlı olmalı ve tanımlanmış aralıklarla gözden geçirilmelidir.	Ortam karşılaştırma raporu veya sapma listesi ile son gözden geçirme tarihi.

04Süreç işleyişi ve kabul kriterleri

Madde	Şart	Kanıt
04.01	Dağıtım süreci; planlama, bileşen doğrulama, hedef ortam doğrulama, yürütme ve dağıtım sonrası doğrulama adımlarını içerecek biçimde tanımlanmış ve onaylanmış olmalıdır.	Beş adımın tamamını gösteren onaylı süreç dokümanı veya akış şeması.
04.02	Her dağıtım için giriş, çıkış ve kabul kriterleri dağıtım başlamadan önce belirlenmiş ve mutabık kalınmış olmalıdır.	Dağıtım planındaki kabul kriterleri bölümü ve dağıtım öncesine ait onay kaydı.
04.03	Dağıtıma alınan bileşenler yalnızca yetkilendirilmiş bileşen havuzlarından temin edilmeli; bileşenin sürümü ve bütünlüğü taşıma boyunca doğrulanmalıdır.	Havuz kaydı ile hedef ortama giden sürümün eşleştiğini gösteren kayıt ve sağlama veya imza doğrulama çıktısı.
04.04	Dağıtım sonrası doğrulama, tanımlı kabul kriterlerine karşı yürütülmeli ve sonucu dağıtımı tetikleyen tarafa bildirilmelidir.	Doğrulama çıktısı ve alıcı ile zaman bilgisini içeren bildirim kaydı.
04.05	Başarısız dağıtımlar için geri alma veya düzeltme yolu dağıtım öncesinde tanımlanmış olmalı; uygulandığında kayda geçirilmelidir.	Dağıtım planındaki geri alma adımı ve denetim döneminde uygulanmış bir geri alma kaydı.
04.06	Bileşenlerin ortamlardan kaldırılması da tanımlı bir yolla yürütülmeli ve kaydı tutulmalıdır.	Kaldırma prosedürü ve denetim döneminde yürütülmüş bir kaldırma işleminin kaydı.

05Roller, yetki ve yetkinlik

Madde	Şart	Kanıt
05.01	Dağıtımların planlanması, koordinasyonu ve raporlanması sorumluluğu tanımlı bir role atanmış olmalıdır.	Sorumluluk listesini içeren rol tanımı ve kişi bazlı atama kaydı.
05.02	Süreç adımları bazında sorumlu ve katkı veren roller tanımlanmış olmalıdır.	Adım ile rol eşleşmesini gösteren sorumluluk matrisi ve onay tarihi.
05.03	Dağıtımı yürüten kişilerin hedef ortam ve araç üzerindeki yetkileri görev tanımıyla sınırlı olmalı ve tanımlanmış aralıklarla gözden geçirilmelidir.	Ortam ve araç yetki listesi ile son yetki gözden geçirme kaydı.
05.04	Dağıtımı yürüten rollerin gerekli teknik yetkinliği tanımlanmış olmalı ve yetkinliğin sağlandığı kayıtla gösterilmelidir.	Rol bazlı yetkinlik tanımı ve eğitim, sertifika veya yetkilendirme kaydı.
05.05	Aynı dönemde çakışan veya birbirini etkileyen dağıtımların koordinasyonundan sorumlu bir merci belirlenmiş olmalı; çakışma çözüm kararları kayda geçirilmelidir.	Dağıtım takvimi ve çakışma nedeniyle alınmış erteleme veya sıralama kararının kaydı.

06Kayıt, bilgi ve izlenebilirlik

Madde	Şart	Kanıt
06.01	Her dağıtım için kayıt oluşturulmalı; kayıt en az bileşen ve sürüm, hedef ortam, uygulanan model, yetkilendirme referansı, yürütme zamanı, yürüten taraf ve sonuç alanlarını içermelidir.	Örneklem dağıtım kayıtlarında sayılan alanların doldurulmuş olması.
06.02	Dağıtım kayıtları ilgili değişiklik ve yayın kayıtlarıyla iki yönlü izlenebilecek biçimde ilişkilendirilmiş olmalıdır.	Kayıt üzerindeki ilişki bağlantısı ve örneklemde her iki yönden yapılan izleme.
06.03	Dağıtım sırasında saptanan hata ve sorunlar kayda geçirilmeli ve ilgili sürece aktarılmalıdır.	Dağıtım kaydındaki bulgu alanı ve açılan olay, problem veya değişiklik kaydının referansı.
06.04	Dağıtımın sonucu varlık ve yapılandırma kayıtlarına işlenmelidir.	Dağıtım sonrası güncellenmiş varlık veya yapılandırma kaydı ve güncelleme zaman damgası.
06.05	Dağıtımın kullanıcı ve destek tarafını etkilediği durumlarda etkilenen taraflara bildirim yapılmalı ve destek bilgi kaynakları güncellenmelidir.	Alıcı ve zaman bilgisini içeren bildirim kaydı ile güncellenen bilgi kaynağı maddesinin referansı.
06.06	Dağıtım kayıtlarının saklama süresi ve erişim yetkisi tanımlanmış olmalıdır.	Saklama kuralı ve kuralın araç üzerinde uygulandığını gösteren yapılandırma veya erişim listesi.

07Araç, otomasyon ve dağıtım hattı kontrolleri

Madde	Şart	Kanıt
07.01	Dağıtımda kullanılan araçlar ve otomatik dağıtım hatları envanterlenmiş olmalı; her aracın kapsadığı ortam ve bileşen tipi belirtilmelidir.	Ortam ve bileşen tipi sütunları doldurulmuş araç envanteri.
07.02	Otomatik dağıtım hattının yapılandırması sürüm kontrolünde tutulmalı ve yapılandırma değişiklikleri yetkilendirmeye tabi olmalıdır.	Hat yapılandırmasının sürüm geçmişi ve değişikliğe ait onay kaydı.
07.03	Otomatik hatta erişim ve dağıtım tetikleme yetkileri kişi bazında tanımlı olmalı; paylaşımlı hesap kullanımı gerekçelendirilmiş ve kayıtlı olmalıdır.	Kişi bazlı yetki listesi ve tetikleme günlüğünde kullanıcı kimliğinin görünmesi.
07.04	Araçlar, hangi bileşenin ne zaman, kim tarafından ve hangi ortama taşındığını gösteren, sonradan değiştirilemeyen bir iz bırakmalıdır.	Araç günlüğü örneklemi ve kayıt silme veya değiştirme yetkisinin kısıtlandığını gösteren yapılandırma.
07.05	Otomatik akış içinde bırakılan elle müdahale ve elle onay adımları tanımlı ve gerekçelendirilmiş olmalıdır.	Hat tanımındaki elle onay adımı, gerekçe notu ve örnek yürütmedeki onay kaydı.
07.06	Araçların hedef ortamlara erişimde kullandığı kimlik bilgileri ve gizli anahtarlar kod ve yapılandırma dosyalarından ayrı tutulmalı ve tanımlanmış aralıklarla yenilenmelidir.	Gizli bilgi saklama çözümünün kaydı ve son yenileme tarihini gösteren günlük.

08Ölçüm, gözden geçirme ve iyileştirme

Madde	Şart	Kanıt
08.01	Pratiğin performansına ilişkin ölçütler tanımlanmış, hesaplama yöntemi ve hedefi belirlenmiş ve tanımlanmış aralıklarla raporlanmalıdır.	Hesaplama yöntemi ve hedef değeri içeren ölçüt tanımları ile son döneme ait rapor.
08.02	Başarılı dağıtım oranı ile dağıtım hatası ve başarısızlık sayısı ölçülmeli ve dönemler arasında karşılaştırılabilir olmalıdır.	En az iki dönemi karşılaştıran ölçüm çıktısı; tanım değiştiyse gerekçe notu.
08.03	Dağıtım kaynaklı olay kayıtları ayrı olarak sınıflandırılmalı ve izlenmelidir.	Olay kayıtlarındaki dağıtım ilişkilendirmesi ve dönemsel sayı raporu.
08.04	Dağıtım takvimine uyum, dağıtım tamamlama süresi ve bekleyen dağıtım yığını ölçülmelidir.	Planlanan ve gerçekleşen zamanı karşılaştıran çıktı ile bekleyen dağıtım listesi.
08.05	Dağıtım modelleri ve prosedürleri tanımlanmış aralıklarla, ayrıca dağıtım başarısızlığı sonrasında gözden geçirilmelidir.	Gözden geçirme aralığını tanımlayan kural ve son iki gözden geçirmenin tarihli raporu.
08.06	Gözden geçirmelerden çıkan iyileştirme girişimleri kayda alınmalı; sorumlusu ve termini atanmalı ve kapanışı izlenmelidir.	Sorumlu, termin ve durum alanları doldurulmuş iyileştirme kayıt listesi ve kapatılmış en az bir örnek.