Hizmete neler dahil?
- ISO/IEC 27001:2022 gereksinimlerine göre boşluk analizi
- BGYS kapsamının belirlenmesi
- Risk değerlendirmesi ve risk işleme planı
- 93 Ek A kontrolü için uygulanabilirlik bildirgesi (SoA)
- Politika ve prosedürlerin kuruma uygun hazırlanması
- Teknik ve organizasyonel kontrollerin uygulanmasına destek
- İç denetim ve yönetimin gözden geçirmesi hazırlığı
- Belgelendirme denetimine (Aşama 1 ve 2) hazırlık
ISO/IEC 27001 nedir?
ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) için gereksinimleri tanımlayan uluslararası standarttır. Güncel sürüm ISO/IEC 27001:2022'dir. Standart, kurumun bilgi varlıklarına yönelik riskleri sistematik olarak belirlemesini, bu riskleri uygun kontrollerle yönetmesini ve sistemi sürekli iyileştirmesini ister.
Standart iki ana bölümden oluşur. Madde 4 ile 10 arası yönetim sistemi gereksinimlerini (kuruluşun bağlamı, üst yönetimin rolü, planlama, destek, operasyon, performans değerlendirme, iyileştirme) tanımlar. Ek A ise risklerin yönetiminde kullanılabilecek bilgi güvenliği kontrollerinin listesini içerir.
ISO 27001:2022 Ek A'da kaç kontrol var?
ISO/IEC 27001:2022 Ek A'da 93 kontrol bulunur ve bu kontroller dört temada gruplanır:
| Tema | Kontrol sayısı | Örnek konular |
|---|---|---|
| Organizasyonel kontroller | 37 | Politikalar, roller, tedarikçi ilişkileri, olay yönetimi, bulut hizmetleri |
| İnsan kontrolleri | 8 | İşe alım öncesi kontroller, farkındalık eğitimi, uzaktan çalışma |
| Fiziksel kontroller | 14 | Fiziksel güvenlik alanları, ekipman güvenliği, temiz masa |
| Teknolojik kontroller | 34 | Erişim yönetimi, şifreleme, loglama, yedekleme, ağ güvenliği, güvenli geliştirme |
Her kontrolün uygulanması zorunlu değildir. Kurum, risk değerlendirmesi sonucunda hangi kontrollerin uygulanacağını ve hangilerinin neden kapsam dışı kaldığını uygulanabilirlik bildirgesinde (SoA) gerekçesiyle belirtir. 2013 sürümüne göre kurulmuş sistemlerin 2022 sürümüne geçiş süresi Ekim 2025'te sona ermiştir; eski sürüme göre kurulmuş bir sisteminiz varsa güncel kontrol setine göre gözden geçirilmesi gerekir.
ISO 27001 belgesi nasıl alınır?
ISO 27001 belgesi, BGYS kurulup bir süre işletildikten sonra akredite bir belgelendirme kuruluşunun yaptığı iki aşamalı denetimle alınır. Danışmanlık, sistemin kurulması ve denetime hazırlanması aşamalarında destek verir; belgeyi danışman vermez.
Tipik aşamalar şunlardır:
- Boşluk analizi: Mevcut uygulamalar standart gereksinimleri ve Ek A kontrolleriyle karşılaştırılır.
- Kapsam belirleme: BGYS'nin hangi lokasyonları, süreçleri, sistemleri ve birimleri kapsayacağı tanımlanır.
- Risk değerlendirmesi: Bilgi varlıkları, tehditler ve zafiyetler belirlenir; riskler değerlendirilir ve risk işleme planı hazırlanır.
- Uygulanabilirlik bildirgesi (SoA): 93 kontrolün her biri için uygulanıp uygulanmadığı ve gerekçesi yazılır.
- Politika ve prosedürler: Bilgi güvenliği politikası ve gereken prosedürler kuruma uygun biçimde hazırlanır.
- Uygulama: Teknik ve organizasyonel kontroller devreye alınır, kayıtlar tutulmaya başlanır, farkındalık eğitimleri verilir.
- İç denetim: Sistemin standarda uygunluğu ve etkinliği bağımsız bir gözle denetlenir.
- Yönetimin gözden geçirmesi: Üst yönetim BGYS performansını, riskleri ve iyileştirme ihtiyaçlarını değerlendirir.
- Belgelendirme denetimi: Belgelendirme kuruluşu Aşama 1'de dokümantasyonu ve hazırlığı, Aşama 2'de kontrollerin uygulamada etkinliğini denetler.
Belge alındıktan sonra belgelendirme kuruluşu, sertifika geçerlilik süresi boyunca periyodik gözetim denetimleri yapar. Sistemin canlı tutulması, belgenin sürdürülmesi için şarttır.
BGYS'de hangi dokümanlar hazırlanır?
Standart, belirli bilgilerin dokümante edilmesini ve kayıtların saklanmasını ister. Belgelendirme denetiminde en sık incelenen dokümanlar şunlardır:
- BGYS kapsamı ve bilgi güvenliği politikası
- Risk değerlendirme yöntemi, risk değerlendirmesi sonuçları ve risk işleme planı
- Uygulanabilirlik bildirgesi (SoA)
- Bilgi güvenliği hedefleri ve bu hedeflerin nasıl izlendiği
- Rol ve sorumluluklar, yetkinlik ve eğitim kayıtları
- Kontrollerin uygulandığını gösteren operasyonel kayıtlar (ör. erişim gözden geçirmeleri, yedek testleri, olay kayıtları)
- İç denetim programı ve sonuçları
- Yönetimin gözden geçirmesi sonuçları
- Uygunsuzluklar ve düzeltici faaliyet kayıtları
Doküman sayısını artırmak amaç değildir. Kurumun gerçekte uyguladığı süreçleri yansıtan, sade ve güncel tutulabilen dokümanlar denetimde de günlük işleyişte de daha kullanışlıdır. Mevcut politika ve prosedürleriniz varsa sıfırdan yazmak yerine standarda göre güncellenir.
Belgelendirme kuruluşu nasıl seçilmeli?
Belgelendirme kuruluşunun ilgili standart için akredite olması, belgenin müşteri ve iş ortaklarınız tarafından tanınması açısından önemlidir. Türkiye'de akreditasyon TÜRKAK tarafından verilir; uluslararası akreditasyon kuruluşlarınca akredite edilmiş belgelendirme kuruluşları da bulunmaktadır. Seçim yaparken akreditasyon kapsamının ISO/IEC 27001'i içerdiği kontrol edilmelidir. Danışmanlık hizmeti ile belgelendirme denetimi bağımsızlık gereği farklı kuruluşlar tarafından yürütülür.
ISO 27001 ne kadar sürer?
ISO 27001 çalışmasının süresi kapsama ve kurumun mevcut olgunluğuna bağlıdır; tek bir süre vermek yanıltıcı olur. Süreyi etkileyen başlıca etkenler:
- Kapsamdaki lokasyon, çalışan ve sistem sayısı
- Mevcut politika, prosedür ve teknik kontrollerin olgunluğu
- Çalışmaya ayrılabilen iç kaynak ve yönetimin katılımı
- Kayıtların denetimde gösterilebilmesi için sistemin bir süre işletilmesi gerekliliği
- Belgelendirme kuruluşunun denetim takvimi
Boşluk analizi sonrasında, kurumunuza özel aşamaları ve bağımlılıkları gösteren bir çalışma planı paylaşılır.
Teknik kontroller nasıl uygulanır?
Ek A'daki teknolojik kontrollerin önemli bir kısmı güvenlik altyapısıyla doğrudan ilişkilidir. Örneğin ağ güvenliği ve ayrıştırma için güvenlik duvarı, erişim yönetimi için MFA, veri sızıntısının önlenmesi için DLP, yedekleme için test edilmiş bir yedekleme düzeni gerekir. Bu adımlarda firewall kurulumu, DLP çözümleri ve sızma testi sayfaları yol gösterebilir.
Kimler için uygun?
- Müşterileri veya ihaleler ISO 27001 belgesi talep eden yazılım, hizmet ve dış kaynak firmaları
- Hassas müşteri verisi işleyen ve bilgi güvenliğini sistematik yönetmek isteyen kurumlar
- KVKK teknik ve idari tedbirlerini bir yönetim sistemi çerçevesine oturtmak isteyen işletmeler
- 2013 sürümüne göre kurulmuş sistemini 2022 sürümüne göre güncellemesi gereken kuruluşlar
- Belgelendirme hedefi olmadan standardı rehber olarak kullanmak isteyenler
Süreç nasıl işler?
- Ön görüşme: Hedefler, olası kapsam ve mevcut durum konuşulur.
- Boşluk analizi: Standart gereksinimleri ve Ek A kontrollerine göre mevcut durum raporlanır.
- Çalışma planı: Kapsam, aşamalar, sorumlular ve bağımlılıklar yazılı olarak belirlenir.
- Kurulum: Risk değerlendirmesi, SoA, politika ve prosedürler hazırlanır; kontrollerin uygulanması desteklenir.
- İç denetim ve yönetimin gözden geçirmesi: Sistem denetime hazır hale getirilir, bulgular kapatılır.
- Belgelendirme denetimine hazırlık: Kurumunuzun seçtiği akredite belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimlerine hazırlanılır.
KVKK tarafındaki çalışmalarla birleştirmek için KVKK teknik tedbirler danışmanlığı sayfasına bakabilirsiniz. Kapsamınızı birlikte netleştirmek için ISO/IEC 27001 danışmanlığı teklifi isteyin.
ISO/IEC 27001 Danışmanlığı: sık sorulanlar
ISO 27001 belgesini danışmanlık firması mı verir?
Hayır. ISO 27001 belgesini, akredite bir belgelendirme kuruluşu iki aşamalı denetim sonunda verir. Danışmanlık firması sistemin kurulmasına ve denetime hazırlanmasına destek olur. Bağımsızlık gereği danışmanlık ve belgelendirme farklı kuruluşlar tarafından yürütülür.
ISO 27001:2022 Ek A'da kaç kontrol vardır?
ISO/IEC 27001:2022 Ek A'da 93 kontrol bulunur. Bu kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada gruplanmıştır. Kurum, risk değerlendirmesi sonucunda hangi kontrolleri uygulayacağını uygulanabilirlik bildirgesinde gerekçesiyle belirtir.
ISO 27001 belgesi almak ne kadar sürer?
Süre; kapsamın büyüklüğüne, mevcut kontrollerin olgunluğuna ve kurumun ayırabildiği iç kaynağa bağlıdır. Sistemin denetimde kayıtlarla gösterilebilmesi için bir süre işletilmesi de gerekir. Boşluk analizinden sonra kuruma özel bir çalışma planı paylaşılır.
Uygulanabilirlik bildirgesi (SoA) nedir?
Uygulanabilirlik bildirgesi, Ek A'daki her kontrol için kurumun bu kontrolü uygulayıp uygulamadığını ve nedenini belirten dokümandır. Risk değerlendirmesinin sonuçlarına dayanır ve belgelendirme denetiminde incelenen temel dokümanlardan biridir. Kontrollerin uygulanma durumu ve gerekçesi açık olmalıdır.
Aşama 1 ve Aşama 2 denetimleri arasındaki fark nedir?
Aşama 1 denetiminde belgelendirme kuruluşu BGYS dokümantasyonunu, kapsamı ve kurumun Aşama 2'ye hazır olup olmadığını değerlendirir. Aşama 2 denetiminde ise kontrollerin uygulamada etkin biçimde çalışıp çalışmadığı kayıtlar, görüşmeler ve gözlemlerle denetlenir. Belgelendirme kararı Aşama 2 sonuçlarına göre verilir.
ISO 27001 KVKK uyumunu sağlar mı?
ISO 27001, KVKK'nın öngördüğü teknik ve idari tedbirlerin önemli bir kısmını sistematik biçimde ele almaya yardımcı olur. Ancak KVKK'nın aydınlatma, açık rıza ve VERBİS gibi hukuki yükümlülüklerini tek başına karşılamaz. İki çalışma birbirini tamamlayacak şekilde planlanmalıdır.