ISO 27001 Danışmanlık ve Sertifika Sürecinde güvendiğiniz ortak.

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin (BGYS) kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için şartları belirleyen uluslararası standarttır. Amacı, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini risk temelli bir yaklaşımla korumaktır.

Genel bir yasal zorunluluk yoktur. Bazı sektörlerde mevzuat, müşteri sözleşmeleri, tedarikçi şartları veya ihale koşulları nedeniyle ISO 27001 belgesi aranabilir. Belgenin aranmadığı durumlarda da bilgi güvenliğinin bağımsız bir denetimle doğrulandığını müşterilere göstermenin yaygın bir yoludur.

Ek-A, risk değerlendirmesi sonucunda seçilebilecek bilgi güvenliği kontrollerinin listesidir. ISO/IEC 27001:2022'de 93 kontrol dört temada toplanır: organizasyonel (37), insan (8), fiziksel (14) ve teknolojik (34). Hangi kontrollerin uygulanacağı risk analizine göre belirlenir ve Uygulanabilirlik Bildirgesi'nde (SoA) gerekçelendirilir.

Önce kapsam dahilindeki bilgi varlıkları ve süreçler belirlenir. Ardından tehditler ve açıklıklar değerlendirilerek her risk için olasılık ve etkiye göre bir seviye hesaplanır. Kabul kriterini aşan riskler için risk işleme planı hazırlanır ve uygun Ek-A kontrolleri seçilir.

Açılımı Statement of Applicability olan SoA, Ek-A'daki kontrollerin her biri için uygulanıp uygulanmadığını, gerekçesini ve uygulama durumunu gösteren zorunlu bir dokümandır. Risk işleme planıyla tutarlı olması gerekir ve denetimlerde en ayrıntılı incelenen kayıtlardan biridir.

ISO/IEC 27001:2022'de Ek-A kontrol sayısı 114'ten 93'e indi ve kontroller 14 başlık yerine 4 temada (organizasyonel, insan, fiziksel, teknolojik) toplandı. Bazı kontroller birleştirildi; tehdit istihbaratı, bulut hizmetlerinin güvenliği, veri maskeleme ve güvenli kodlama gibi 11 yeni kontrol eklendi.

Süre; kapsama, çalışan ve lokasyon sayısına ve kurumun mevcut hazırlık düzeyine bağlıdır. Hazırlık aşaması çoğu kurumda 3 ila 6 ay sürer. Ardından belgelendirme kuruluşu iki aşamalı denetim yapar: Stage 1'de dokümantasyon ve hazırlık, Stage 2'de sistemin uygulamadaki etkinliği değerlendirilir.

Danışmanlık firması BGYS'yi kurumunuzla birlikte kurar ve sizi belgelendirme denetimine hazırlar; sertifika düzenlemez. Belgelendirme kuruluşu ise bağımsız üçüncü taraf olarak Stage 1 ve Stage 2 denetimlerini yapar ve uygunluk halinde sertifikayı düzenler. Tarafsızlık gereği bir belgelendirme kuruluşu, denetlediği kuruluşa danışmanlık veremez.

Maliyet; kapsamın genişliği, personel ve lokasyon sayısı, süreçlerin karmaşıklığı, mevcut dokümantasyon ve teknik altyapı ile belgelendirme kuruluşunun belirlediği denetim gün sayısına göre değişir. Danışmanlık ücreti ile belgelendirme kuruluşunun denetim ücreti ayrı kalemlerdir.

Standart sızma testini adıyla zorunlu tutmaz; ancak Ek-A 8.8 kontrolü teknik açıklıkların düzenli olarak tespit edilip yönetilmesini ister. Kurumların çoğu bu kanıtı düzenli sızma testiyle sağlar; sıklık risk değerlendirmenize göre belirlenir ve sonuçlar risk analizi süreçlerinizle eşleştirilir.

Sertifika 3 yıl geçerlidir. Bu süre içinde belgelendirme kuruluşu her yıl bir gözetim denetimi yapar; üçüncü yılın sonunda yeniden belgelendirme denetimiyle yeni bir 3 yıllık döngü başlar.

Standardın 5. maddesi üst yönetimden liderlik ve taahhüt ister: bilgi güvenliği politikasını onaylamak, hedefleri belirlemek, rol ve sorumlulukları atamak, kaynak sağlamak ve yönetimin gözden geçirmesini yapmak. Bu sorumlulukların yerine getirildiğine dair kanıtlar denetimde doğrudan incelenir.