ISO 27001

Başlık: ISO 27001: Bilgi Güvenliği Yönetim Sistemi Nedir ? Nasıl Alınır?

ISO 27001 belgesi, bir kuruluşun bilgi güvenliğini uluslararası standartlarda yönettiğini gösteren resmi bir kanıttır. Bu belge, sadece teknolojik bir altyapıya sahip olunduğunu değil, aynı zamanda bilgiyi korumak için sistematik bir yönetim yaklaşımı benimsendiğini kanıtlar.

ISO 27001 Belgesinin Sağladığı Avantajlar

Bir kuruluşun ISO 27001 belgesine sahip olması, hem iç süreçlerine hem de dış paydaş ilişkilerine birçok fayda sağlar.

• Güven ve İtibar: Belge, müşterilere, iş ortaklarına ve tedarikçilere verilerinin emin ellerde olduğu mesajını verir. Bu, özellikle hassas verilerle çalışan finans, sağlık ve teknoloji sektörleri için kritik bir rekabet avantajıdır.
• Yasal Uyumluluk: KVKK (Kişisel Verilerin Korunması Kanunu) ve GDPR (Genel Veri Koruma Yönetmeliği) gibi yasal düzenlemelere uyum sağlamayı kolaylaştırır. BGYS, yasal yükümlülüklerin sistematik olarak takip edilmesini ve karşılanmasını sağlar.
• Risk Yönetimi: Siber saldırılar, veri sızıntıları, fidye yazılımları veya fiziksel hırsızlık gibi potansiyel riskleri önceden belirleyip yöneterek maddi ve itibar kayıplarının önüne geçmeye yardımcı olur.
• İş Sürekliliği: Olası bir güvenlik ihlali veya felaket durumunda, iş süreçlerinin kesintisiz devam etmesi için gerekli politikalar ve prosedürler oluşturulur.
• Maliyet Azaltma: Etkin bir BGYS, güvenlik ihlallerinin maliyetini ve veri kurtarma çabalarını azaltır. Ayrıca, dağınık ve plansız güvenlik harcamalarını ortadan kaldırarak kaynakların daha verimli kullanılmasını sağlar.
• İhalelerde Avantaj: Özellikle kamu ihaleleri ve büyük şirketlerin tedarikçi seçim süreçlerinde, ISO 27001 belgesi çoğu zaman zorunlu bir kriter olarak aranır.

Belgelendirme Süreci

ISO 27001 belgesi almak, belirli bir hazırlık ve denetim sürecini gerektirir. Bu süreç genellikle şu adımları içerir:

1. Hazırlık ve Kapsam Belirleme: Kuruluş, BGYS’nin hangi iş birimlerini, sistemleri ve bilgileri kapsayacağını belirler. Üst yönetim desteği alınarak bir proje ekibi oluşturulur.
2. Risk Analizi ve Kontrol Seçimi: Bilgi varlıkları (bilgi, sistem, insan vb.) tanımlanır ve bu varlıkları tehdit eden riskler belirlenir. Bu riskleri azaltmak için ISO 27001 Ek-A’dan uygun güvenlik kontrolleri seçilir ve uygulanabilirlik bildirgesi (SoA) hazırlanır.
3. Politika ve Prosedürlerin Oluşturulması: Seçilen kontrolleri destekleyecek bilgi güvenliği politikaları, prosedürleri ve yönergeleri oluşturulur.
4. Uygulama: Hazırlanan dokümanlar ve kontroller iş süreçlerine entegre edilir. Çalışanlara eğitimler verilerek farkındalıkları artırılır.
5. İç Denetim ve Yönetim Gözden Geçirme: Belgelendirme öncesinde, sistemin etkinliğini test etmek için iç denetimler yapılır. Üst yönetim, BGYS’nin performansını ve hedeflerini gözden geçirir.
6. Belgelendirme Denetimi: Akredite bir denetim kuruluşu, iki aşamalı bir denetim gerçekleştirir.
   • Aşama 1 (Doküman İncelemesi): Denetçi, BGYS’nin dokümantasyonunu ve hazırlık seviyesini inceler.
   • Aşama 2 (Uygulama Denetimi): Denetçi, BGYS’nin sahada nasıl uygulandığını ve gerekliliklere uyumunu kontrol eder.
7. Sertifika ve Gözetim Denetimleri: Başarılı denetim sonrası belge alınır. Bu belge genellikle 3 yıl geçerlidir ve her yıl ara denetimlerle (gözetim denetimi) sistemin devamlılığı ve etkinliği kontrol edilir.

Kimler İçin Zorunluluktur?

ISO 27001 belgesi, birçok sektörde rekabet avantajı sağlamak için önemli bir araç olsa da, bazı sektörlerde yasal bir zorunluluk haline gelmiştir. Bu sektörlere örnek olarak;

• E-fatura hizmeti veren özel entegratörler.
• Elektronik haberleşme hizmeti sağlayan telekomünikasyon şirketleri.
• Bazı kamu ihalelerine girmek isteyen yazılım ve donanım firmaları verilebilir.

ISO 27001, kurumlar için yalnızca bir “belge” değil, bilginin en değerli varlık olduğunun farkında olan, proaktif ve sürekli gelişen bir güvenlik kültürü oluşturmanın anahtarıdır.

ISO 27001:2022 Revizyonu ve Getirdiği Değişiklikler

ISO 27001, 2013 yılındaki versiyonundan sonra 2022 yılında önemli bir revizyondan geçti. Bu güncelleme, standardı daha güncel ve modern güvenlik tehditlerine karşı uyumlu hale getirmeyi amaçladı. En dikkat çekici değişiklikler şunlardır:

• Ek-A Kontrollerinin Değişimi:
  • Sayısal Azalma: 114 olan kontrol sayısı 93’e düşürüldü. Bazı kontroller birleştirildi, bazıları güncellendi ve bazı yeni kontroller eklendi.
  • Kategorilerin Değişimi: 14 olan kontrol kategorisi, daha mantıksal ve yönetilebilir bir şekilde 4 ana başlıkaltında toplandı:
    1. Organizasyonel Kontroller (37 adet): Politikalar, roller, sorumluluklar ve yasal uyumluluk gibi kurumsal seviyedeki kontroller.
    2. İnsan Kontrolleri (8 adet): Çalışanların farkındalığı, gizlilik anlaşmaları ve işten ayrılma süreçleri gibi insan faktörünü yöneten kontroller.
    3. Fiziksel Kontroller (14 adet): Fiziksel güvenlik, ofisler, kablo tesisatları ve donanımların korunması gibi fiziksel alana yönelik kontroller.
    4. Teknolojik Kontroller (34 adet): Erişim kontrolü, kriptografi, ağ güvenliği, yazılım geliştirme güvenliği gibi teknoloji odaklı kontroller.
• Yeni Kontrollerin Eklenmesi: Revizyon, günümüzün güvenlik tehditlerini daha iyi yansıtacak yeni kontrolleri tanıttı. Örnek olarak:
  • Tehdit Zekâsı: Olası siber tehditler hakkında bilgi toplama ve analiz etme.
  • Bulut Hizmetleri Kullanımı için Bilgi Güvenliği: Bulut hizmetlerinin güvenli kullanımı için rehberlik.
  • Veri Maskeleme: Test veya analiz amacıyla kullanılan verilerin gizliliğini korumak.
• Metin Değişiklikleri: Standardın ana metninde yer alan maddelerde (4-10. maddeler) küçük değişiklikler yapıldı. Özellikle risk değerlendirme ve risk işleme süreçleri biraz daha detaylandırıldı.

ISO 27001 Denetiminde Dikkat Edilmesi Gerekenler

Bir denetimden başarıyla geçmek için sadece doğru prosedürlere sahip olmak yetmez, bu prosedürlerin uygulandığını kanıtlamak da gerekir. Denetçiler, dokümantasyon ve uygulama olmak üzere iki temel alana odaklanır.

• Dokümantasyon: Tüm politikaların, prosedürlerin, risk değerlendirme raporlarının, iç denetim kayıtlarının ve yönetim gözden geçirme tutanaklarının eksiksiz ve güncel olması beklenir. Denetçi, yazılı bir kuralın varlığını kontrol eder.
• Uygulama (Kanıtlar): Denetçinin en çok odaklandığı alanlardan biridir. Örneğin, bir erişim kontrol politikanız varsa, bu politikanın gerçekten uygulandığını kanıtlayan loglar, kullanıcı hesap yönetim kayıtları veya fiziksel erişim kayıtları sunmanız gerekir. “Yazdığınızı yapıyor musunuz?” sorusu, denetimin temelini oluşturur.

BGYS Sorumluluğu ve Sürdürülebilirlik

BGYS, sadece bir BT departmanının sorumluluğunda değildir. Başarılı bir BGYS uygulaması için üst yönetimin taahhüdü ve tüm çalışanların katkısı şarttır. Standardın maddeleri, bu taahhüdün BGYS’nin kuruluş içindeki diğer süreçlerle entegrasyonunu sağlamayı amaçlar. Bir kez belgelendirildikten sonra sistemin sürdürülebilirliği, periyodik iç denetimler, eğitimler ve risk değerlendirmelerinin sürekli güncellenmesi ile sağlanır.

ISO 27001 belgesi, sadece ticari bir gereklilik değil, aynı zamanda kurum kültürüne yerleşmiş bir bilgi güvenliği bilincinin de göstergesidir.