ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS)
Bilgi güvenliğini; varlıklar, riskler, sorumluluklar, kontroller, teknik önlemler ve kanıtlarla bütünsel biçimde yönetin.
ISO/IEC 27001, bir Bilgi Güvenliği Yönetim Sistemi’nin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için şartları tanımlayan uluslararası yönetim sistemi standardıdır. Yaygın kullanımda “ISO 27001” olarak anılır.
ISO 27001 bilgi güvenliği yönetim sistemi; müşteri bilgileri, kişisel veriler, ticari sırlar, yazılımlar, altyapı ve fiziksel kayıtlar gibi bilgi varlıklarına yönelik risklerin sistematik biçimde ele alınmasını sağlar. Amaç, bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini kuruluşun ihtiyaçlarına uygun seviyede korumaktır.
Bilgi güvenliğinin üç temel hedefi
Riskler ve kontroller değerlendirilirken bilginin gizliliği, doğruluğu ve ihtiyaç duyulduğunda kullanılabilir olması birlikte dikkate alınır.
Doğru kişi erişsin
Bilgiye yalnızca yetkili kişilerin ve sistemlerin, tanımlanmış kurallar çerçevesinde erişebilmesi.
Bilgi doğru kalsın
Bilginin yetkisiz, hatalı veya kontrolsüz biçimde değiştirilmesine ya da bozulmasına karşı korunması.
Gerektiğinde kullanılabilsin
Yetkili kullanıcıların bilgiye ve ilgili sistemlere ihtiyaç duydukları zamanda ulaşabilmesi.
Hangi sürüm esas alınmalı?
Bu içerik ISO/IEC 27001:2022 sürümünü esas alır. Standart için 2024 yılında iklim değişikliğinin kuruluş bağlamında değerlendirilmesine ilişkin Amd 1:2024 yayımlanmıştır.
Sürüm geçişi veya belgelendirme planı yapılırken belgelendirme kuruluşunun güncel kuralları ve kuruluşunuza uygulanabilen yasal ya da sözleşmesel şartlar ayrıca kontrol edilmelidir.
Resmî standart bilgileri: ISO/IEC 27001 ve ISO/IEC 27001:2022/Amd 1:2024.
ISO 27001 uygulamasına nereden başlanır?
Sağlıklı bir BGYS; kapsamın, bilgi varlıklarının ve kuruluşa özgü risklerin doğru tanımlanmasıyla başlar.
Kapsamı belirleyin
Lokasyonları, süreçleri, hizmetleri, sistemleri ve sınırları açıkça tanımlayın.
Bağlamı anlayın
İlgili tarafları; yasal, düzenleyici ve sözleşmesel şartları belirleyin.
Varlıkları görünür kılın
Bilgiyi, süreçleri, uygulamaları, altyapıyı, kişileri ve tedarikçileri ilişkilendirin.
Riskleri değerlendirin
Tehdit, zafiyet, olasılık ve etkiyi kuruluşun belirlediği yöntemle değerlendirin.
Riski işleyin
Riski azaltma, kabul etme, kaçınma veya paylaşma seçeneklerini kararlaştırın.
Kontrolü ve sonucu izleyin
Sorumlu, termin, kanıt, kalan risk ve etkinlik değerlendirmesini kayıt altına alın.
Bilgi varlıklarını bütün kapsamıyla değerlendirin
BGYS kapsamındaki varlıklar, bilginin oluşturulduğu, işlendiği, saklandığı veya aktarıldığı bütün ortamları ve bu faaliyetleri mümkün kılan kaynakları kapsayabilir.
| Varlık grubu | Örnekler | Değerlendirilecek konu |
|---|---|---|
| Bilgi ve kayıtlar | Müşteri verileri, sözleşmeler, tasarımlar, personel kayıtları | Gizlilik derecesi, doğruluk ihtiyacı, saklama ve imha şartları |
| Yazılım ve hizmetler | Kurumsal uygulamalar, bulut hizmetleri, veri tabanları, e-posta | Yetki, değişiklik, yedekleme, süreklilik ve tedarikçi bağımlılığı |
| Fiziksel ve teknik altyapı | Sunucular, ağ cihazları, kullanıcı cihazları, ofis ve arşivler | Fiziksel erişim, arıza, kayıp, çevresel tehditler ve kapasite |
| İnsan ve bilgi birikimi | Çalışanlar, dış kaynak personeli, kritik görevler ve kurumsal bilgi | Yetkinlik, farkındalık, görev ayrılığı, işe giriş ve işten ayrılış |
| Tedarikçi ve ilişkiler | Barındırma, destek, yazılım, danışmanlık ve veri işleyen taraflar | Sözleşme şartları, hizmet seviyesi, erişimler ve tedarikçi izleme |
Kontroller nasıl seçilir?
Kontrol seçimi; risk değerlendirmesi, kuruluşun bağlamı, yasal ve sözleşmesel yükümlülükleri ile iş ihtiyaçlarına dayanır. ISO/IEC 27001 Ek A, kuruluşun bu unsurlara uygun kontrolleri seçerken başvurabileceği referans kümesini sunar.
Uygulanabilirlik Bildirgesi; seçilen kontrolleri, uygulanma durumunu, kapsam kararlarının gerekçelerini ve risk işleme planıyla kurulan ilişkiyi açıklar.
BGYS günlük işleyişe nasıl dönüşür?
Politikaların yayımlanması başlangıçtır. Etkin bir ISO 27001 sistemi; faaliyetleri sorumlulara yönlendirir, sonuçları kanıtlarıyla kaydeder ve yönetimin sistemi ölçebilmesini sağlar.
Politika ve prosedürler
Hazırlık, kontrol, onay, revizyon, dağıtım ve yürürlükten kaldırma adımlarının izlenmesi.
Envanter ve sahiplik
Bilgi varlıklarının sınıflandırılması, sahiplerinin atanması ve ilişkili risklerin görünür olması.
Risk işleme planları
Faaliyet, sorumlu, termin, kontrol, kanıt ve kalan risk değerlendirmesinin birlikte izlenmesi.
İhlal ve olay takibi
Bildirim, sınıflandırma, müdahale, inceleme, öğrenilen ders ve gerekli aksiyonların kaydı.
Eğitim ve farkındalık
Rol bazlı eğitim ihtiyacı, plan, katılım, değerlendirme ve farkındalık faaliyetlerinin yönetimi.
İç tetkik
Program, kapsam, tetkikçi, kontrol soruları, bulgular ve takip faaliyetlerinin ilişkilendirilmesi.
Uygunsuzluk ve DÖF
Kök neden, düzeltme, düzeltici faaliyet, sorumlu, termin ve etkinlik kontrolünün izlenmesi.
Hedef ve gözden geçirme
Göstergeler, sonuçlar, değişiklikler, kaynak ihtiyaçları ve yönetim kararlarının kayıt altına alınması.
Doküman ile kayıt arasındaki fark
Doküman, bir işin nasıl yapılacağını veya hangi kuralın uygulanacağını açıklar. Politika, prosedür, talimat ve planlar bu gruptadır.
Kayıt, işin yapıldığını ve sonucunu gösterir. Risk değerlendirmesi, erişim gözden geçirme sonucu, eğitim katılımı, tetkik bulgusu veya düzeltici faaliyet kanıtı buna örnektir.
Periyodik faaliyetleri ortak takvimde yönetin
BGYS’de belirli aralıklarla tekrarlanan kontrol ve gözden geçirmeleri; takvim, sorumlu ve sonuç kayıtlarıyla ilişkilendirerek görünür hale getirin.
Planlanabilen faaliyetler
Erişim yetkisi gözden geçirmeleri, varlık envanteri kontrolleri, yedekleme doğrulamaları, tatbikatlar, tedarikçi değerlendirmeleri, eğitimler, iç tetkikler ve yönetimin gözden geçirmesi.
Oluşturulması gereken iz
Yaklaşan tarih bildirimi, görev ataması, tamamlanma durumu, eklenen kanıt, değerlendirme sonucu, gecikme bilgisi ve gerekiyorsa uygunsuzluk ya da düzeltici faaliyet bağlantısı.
ISO 27001 belgesi nasıl alınır?
Belgelendirme; doküman yapısını, uygulanan BGYS süreçlerini, izlenen sonuçları ve bağımsız denetime sunulacak kanıtları birlikte değerlendirir.
- Kapsam ve mevcut durumBGYS sınırları, ilgili taraflar ve şartlar belirlenir; mevcut uygulamalar ile ihtiyaçlar değerlendirilir.
- Risk değerlendirme ve işlemeYöntem ve kriterler tanımlanır; bilgi güvenliği riskleri değerlendirilir ve risk işleme planı hazırlanır.
- Kontroller ve dokümante edilmiş bilgilerGerekli politikalar, süreçler, kontroller, sorumluluklar ve Uygulanabilirlik Bildirgesi oluşturulur.
- Uygulama ve kanıt üretmeKontroller işletilir; eğitimler, gözden geçirmeler, olaylar, ölçümler ve diğer faaliyetler kayıt altına alınır.
- İç tetkik ve yönetimin gözden geçirmesiSistemin uygunluğu ve etkinliği değerlendirilir; uygunsuzluklar için düzeltici faaliyetler tamamlanır.
- Bağımsız belgelendirme denetimiAkredite belgelendirme kuruluşu hazırlık ve uygulama kanıtlarını aşamalı olarak değerlendirir.
ISO 27001 ihtiyaçlarının ISODECK’teki karşılığı
ISO 27001 BGYS süreçleri kuruluşunuza özgü yöntem ve yetkiler korunarak yapılandırılabilir; farklı kayıtlar ortak bir iş akışı ve izlenebilirlik yapısında bir araya getirilebilir.
| BGYS ihtiyacı | ISODECK süreci | Oluşan yönetim izi |
|---|---|---|
| Politika ve prosedür kontrolü | Doküman Yönetimi | Hazırlık, onay, revizyon, dağıtım ve güncel sürüm |
| Bilgi varlıklarının izlenmesi | Varlık / Envanter Yönetimi | Varlık, sahibi, sınıfı, ilişkileri ve geçmişi |
| Bilgi güvenliği riskleri | Risk Analizi | Değerlendirme ölçütleri, risk sahibi ve risk seviyesi |
| Risk işleme faaliyetleri | Risk Azaltma / Aksiyon Planı | Kontrol, faaliyet, sorumlu, termin, kanıt ve kalan risk |
| Kontrol uygulamalarının takibi | Periyodik Görev ve Kayıtlar | Takvim, hatırlatma, tamamlanma ve sonuç bilgisi |
| İç tetkik | İç Tetkik Yönetimi | Program, plan, bulgu, kanıt ve takip bağlantıları |
| Uygunsuzluk ve iyileştirme | Uygunsuzluk / DÖF | Kök neden, faaliyet, termin ve etkinlik kontrolü |
| Eğitim ve farkındalık | Eğitim Yönetimi | İhtiyaç, plan, katılım, değerlendirme ve sonuç |
| Yönetim kararları ve hedefler | Hedef / Toplantı / Aksiyon Yönetimi | Gösterge, karar, sorumlu, gerçekleşme ve takip |
| Denetim izi | İşlem Geçmişi | Kimin, ne zaman, hangi adımda, ne yaptığı |
Modül adları ve süreç adımları, kuruluşun yapılandırmasına göre farklılık gösterebilir.
Belge sonrasında BGYS gelişmeye devam eder
BGYS; değişen tehditler, iş süreçleri, çalışanlar, teknolojiler, tedarikçiler ve yükümlülüklerle birlikte güncel tutulur. Riskler ve hedefler gözden geçirilir, kontrollerin etkinliği izlenir, olaylar ve uygunsuzluklar iyileştirme girdisine dönüşür.
Yıl boyunca yapılan faaliyetlerin kendi süreçleri içinde kayıt altına alınması, gözetim denetimleri için sürdürülebilir ve sürekli hazır bir kanıt yapısı sağlar.
ISO 27001 kimler için uygundur?
Standart, büyüklük veya sektör ayrımı yapmadan bilgiye dayalı çalışan kuruluşlara uygulanabilir. İhtiyacın gücü; işlenen bilginin kritikliği, müşteri beklentileri, riskler ve yükümlülüklerle birlikte değerlendirilmelidir.
- Müşteri veya kişisel veri işleyen kuruluşlar
- SaaS, yazılım, bulut ve teknoloji hizmeti sunanlar
- Kritik operasyon ve altyapı yöneten işletmeler
- Tedarik zincirinde güvenlik şartlarını karşılaması gerekenler
- İhale veya sözleşmelerde ISO 27001 şartıyla karşılaşanlar
- Bilgi güvenliğini kurumsal ve ölçülebilir hale getirmek isteyenler
ISO 27001 ve diğer yönetim sistemleri
ISO 27001 bilgi güvenliğine, ISO 9001 ise kalite ve süreç performansına odaklanır. Doküman kontrolü, risk temelli yaklaşım, iç tetkik, uygunsuzluk, düzeltici faaliyet, hedefler ve yönetimin gözden geçirmesi gibi ortak mekanizmalar üzerinden entegre yürütülebilir.
Bilgi güvenliği risklerine odaklanır
Bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini koruyacak yönetim sistemini ve kontrolleri ele alır.
Kalite ve süreç performansına odaklanır
Müşteri şartlarının karşılanmasını, süreçlerin etkinliğini ve sürekli iyileştirmeyi esas alır.
ISO 27001 hakkında sık sorulan sorular
Standart, belgelendirme ve BGYS yazılımı hakkında temel soruların kısa yanıtları.
ISO 27001 nedir?
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, kuruluşların bilgi güvenliği risklerini yönetmesi ve BGYS’yi kurup sürekli iyileştirmesi için şartları tanımlayan uluslararası standarttır. Standardın tam adı ISO/IEC 27001’dir.
BGYS nedir?
BGYS, Bilgi Güvenliği Yönetim Sistemi’nin kısaltmasıdır. İnsan, süreç ve teknolojiyi birlikte ele alarak bilgi varlıklarının gizlilik, bütünlük ve erişilebilirliğini risk temelli biçimde korumayı amaçlar.
ISO 27001:2022 hangi alanları güncelledi?
2022 sürümü standardın yapısını ve Ek A kontrol referanslarını güncellemiştir. Geçiş planında dokümanlar, risk işleme yaklaşımı, Uygulanabilirlik Bildirgesi, kontroller ve uygulama kanıtları birlikte değerlendirilir.
ISO 27001 çalışmalarına hangi bölümler katılır?
İnsan kaynakları, satın alma, hukuk, operasyon, fiziksel güvenlik, bilgi işlem, üst yönetim ve bilgiye erişen diğer birimler BGYS içinde rol alabilir. Bu katılım, bilgi güvenliğinin kuruluş genelinde sahiplenilmesini sağlar.
ISO 27001, KVKK çalışmalarını nasıl destekler?
ISO 27001 bilgi güvenliği için sistematik bir yönetim çerçevesi sunar. Kuruluş, uygulanabilen KVKK ve diğer yasal şartları bu yapı içinde belirleyip izleyebilir; hukuki değerlendirmeyi kendi yükümlülükleri kapsamında yürütür.
ISO 27001 belgesi almak ne kadar sürer?
Süre; kuruluşun kapsamına, büyüklüğüne, mevcut uygulamalarına, kaynaklarına ve kapatılması gereken boşluklara göre değişir. Gerçekçi plan, mevcut durum değerlendirmesinden sonra oluşturulmalıdır.
ISO 27001 yazılımı hangi faydaları sağlar?
ISO 27001 yazılımı; riskleri, kontrolleri, görevleri, dokümanları, tetkikleri ve kanıtları ilişkilendirerek BGYS’nin izlenebilirliğini ve sürdürülebilirliğini destekler.
ISODECK belgelendirme sürecini nasıl destekler?
ISODECK, ISO 27001 BGYS süreçlerinin uygulanmasını, takibini ve kayıt altına alınmasını sağlar. Bu kayıtlar, bağımsız belgelendirme kuruluşunun değerlendirmesine düzenli ve izlenebilir bir hazırlık sunar.