ISO 27001 sertifikası nasıl alınır sorusunun kısa cevabı şudur: Önce standarda uygun bir bilgi güvenliği yönetim sistemi (BGYS) kurulur ve bir süre işletilir, ardından bağımsız bir belgelendirme kuruluşu bu sistemi iki aşamada denetler. Bu rehberde süreci 11 adıma böldük. Her adım için ne yapıldığını, sonunda elinizde hangi çıktının olacağını ve genel süre aralığını yazdık. Süreler tipik projelerden derlenen genel aralıklardır. Kuruluşunuzun büyüklüğüne ve mevcut olgunluğuna göre değişir.
Belgenin ne olduğunu, geçerliliğini, akreditasyonu ve ücret kalemlerini merak ediyorsanız önce ISO 27001 belgesi sütun sayfamızı okumanızı öneririz.
Başlamadan Önce: Üç Ön Koşul
Kapsam fikri
Belgeyi neden istediğinizi netleştirin. Bir ihale mi, belirli bir müşterinin talebi mi, yoksa genel bir güvenlik olgunluğu hedefi mi? Bu cevap kapsamı belirler. İhaleye konu olan hizmet kapsam dışında kalırsa belge işinize yaramaz. Gereksiz birimleri kapsama almak ise projeyi uzatır.
Yönetim desteği
ISO 27001, üst yönetimin aktif rol almasını açıkça ister. Politikayı onaylamak, kaynak ayırmak, risk kabul kararlarını vermek ve yönetimin gözden geçirmesi toplantısına katılmak yönetimin görevidir. Denetçiler bu katılımı görüşmelerde ve kayıtlarda arar.
Kaynak
Bir BGYS sorumlusu atayın ve BT, insan kaynakları, satın alma ve idari işlerden temsilcilerle küçük bir proje ekibi kurun. Danışman desteği alsanız bile sistemi günlük hayatta yaşatacak olan bu ekiptir. Boşluk analizinde çıkacak teknik eksikler için de bütçe ayırmaya hazırlıklı olun.
ISO 27001 Belgesi Almanın 11 Adımı
Adım 1: Kapsam belirleme ve boşluk analizi
Ne yapılır: Kuruluşun iç ve dış hususları ile ilgili tarafların (müşteriler, düzenleyiciler, tedarikçiler) beklentileri belirlenir. Kapsama girecek birimler, lokasyonlar, süreçler ve sistemler yazılı hâle getirilir. Ardından mevcut uygulamalar, standardın 4-10. maddeleri ve Ek-A kontrolleriyle tek tek karşılaştırılır.
Çıktı: Kapsam dokümanı, bağlam ve ilgili taraflar analizi, önceliklendirilmiş eksik listesi ve proje planı.
Tipik süre aralığı: 1-3 hafta.
Adım 2: Varlık envanteri ve risk değerlendirmesi
Ne yapılır: Kapsamdaki bilgi varlıkları listelenir. Bu liste veritabanları, uygulamalar, sunucular, dizüstü bilgisayarlar, bulut hizmetleri, kâğıt kayıtlar ve kritik personel bilgisini içerir. Her varlık için tehditler ve zafiyetler belirlenir, olasılık ve etki puanlanır. Kabul edilebilir risk seviyesi yönetimce onaylanır. Kabul seviyesini aşan riskler için azaltma, transfer, kaçınma veya kabul seçeneklerinden biri seçilir.
Çıktı: Varlık envanteri, risk değerlendirme metodolojisi, risk değerlendirme raporu ve risk sahiplerinin onayladığı risk işleme planı.
Tipik süre aralığı: 2-4 hafta.
Envanteri doğru kurmak risk analizinin kalitesini doğrudan etkiler. Pratik bir şablon ve örnekler için BGYS varlık envanteri hazırlama rehberimize bakabilirsiniz.
Adım 3: Uygulanabilirlik Bildirgesi (SoA)
Ne yapılır: Ek-A'daki 93 kontrolün her biri için uygulanıp uygulanmayacağı, uygulanıyorsa neden gerekli olduğu, uygulanmıyorsa neden dışarıda bırakıldığı ve mevcut uygulama durumu yazılır. SoA, risk işleme planıyla tutarlı olmalıdır. Bir riski azaltmak için seçilen kontrol SoA'da da görünmelidir.
Çıktı: Onaylı Uygulanabilirlik Bildirgesi. Denetçinin ilk açacağı belgelerden biridir.
Tipik süre aralığı: 1-2 hafta. Risk değerlendirmesiyle kısmen paralel yürütülebilir.
SoA'nın nasıl yapılandırılacağını ve sık yapılan hataları Uygulanabilirlik Bildirgesi (SoA) nedir yazımızda ayrıntılı olarak anlattık.
Adım 4: Politikalar, prosedürler ve kontrollerin uygulanması
Ne yapılır: Bilgi güvenliği politikası ve bunu destekleyen konu bazlı politikalar ile prosedürler hazırlanır. Bunlar arasında erişim kontrolü, kabul edilebilir kullanım, yedekleme, olay yönetimi, tedarikçi güvenliği, uzaktan çalışma ve değişiklik yönetimi gibi konular bulunur. Bu adımın asıl ağırlığı yazmakta değil uygulamaktadır. Çok faktörlü kimlik doğrulama, log toplama, yama yönetimi, yedek testleri ve erişim gözden geçirmeleri hayata geçirilir. Ek-A 8.8 teknik açıklık yönetimini ister. Düzenli zafiyet taraması ve sızma testi bunun yaygın kanıtlarıdır. Standart sızma testini adıyla şart koşmaz, ancak açıklıkların tespit edilip giderildiğini göstermeniz gerekir.
Çıktı: Onaylı doküman seti ve kontrollerin çalıştığını gösteren ilk kayıtlar, örneğin erişim gözden geçirme tutanakları, yedek geri yükleme testleri ve zafiyet tarama raporları.
Tipik süre aralığı: 1-3 ay. Projenin en uzun adımıdır ve süresi büyük ölçüde teknik eksiklerin boyutuna bağlıdır.
Adım 5: Farkındalık ve yetkinlik eğitimleri
Ne yapılır: Tüm çalışanlara bilgi güvenliği farkındalık eğitimi verilir. Eğitimde oltalama e-postaları, parola güvenliği, temiz masa kuralı ve olay bildirimi gibi konular işlenir. BGYS sorumlusu, iç tetkikçiler ve teknik ekipler için rol bazlı eğitimler planlanır. Denetçiler çalışanlarla görüştüğünde temel kuralların bilinip bilinmediğini ve bir olayın nereye bildirileceğini sorabilir.
Çıktı: Eğitim planı, katılım kayıtları, gerekiyorsa ölçme sonuçları ve yetkinlik matrisi.
Tipik süre aralığı: 1-2 hafta. Adım 4 ile paralel yürütülebilir.
Adım 6: İç tetkik
Ne yapılır: Denetlediği alandan bağımsız, yetkin kişiler BGYS'yi standardın tüm maddeleri ve seçilen kontroller açısından denetler. Bulgular raporlanır. Uygunsuzluklar için kök neden analizi yapılır ve düzeltici faaliyetler başlatılır. İç tetkik, belgelendirme denetiminin provası gibi düşünülebilir.
Çıktı: İç tetkik programı, tetkik raporu ve düzeltici faaliyet kayıtları.
Tipik süre aralığı: Tetkik için birkaç gün ile 2 hafta, bulguların kapatılması için 2-4 hafta.
Planlama, soru listesi ve raporlama örnekleri için ISO 27001 iç tetkik rehberimizi kullanabilirsiniz.
Adım 7: Yönetimin gözden geçirmesi (YGG)
Ne yapılır: Üst yönetim; iç tetkik sonuçlarını, risk durumunu, hedeflerin gerçekleşmesini, olayları, ilgili taraflardaki değişiklikleri ve iyileştirme fırsatlarını değerlendirir. Kaynak ve iyileştirme kararları alınır. Bu toplantı, yönetim taahhüdünün denetçiye gösterilebilen en somut kanıtıdır.
Çıktı: Katılımcıları, gündem maddelerini ve alınan kararları içeren YGG tutanağı.
Tipik süre aralığı: Hazırlık dahil yaklaşık 1 hafta. Toplantının kendisi genellikle yarım gün sürer.
Adım 8: Belgelendirme kuruluşu seçimi ve başvuru
Ne yapılır: Birkaç belgelendirme kuruluşundan teklif alınır. Kuruluşun ISO/IEC 27001 için akredite olduğu ve akreditasyon kapsamı resmî kaynaklardan doğrulanır. Tekliflerde yalnızca ilk yılın değil, iki gözetim denetimi ve yeniden belgelendirme dahil üç yıllık döngünün toplam denetim günleri karşılaştırılır. Sözleşme imzalanır ve denetim tarihleri planlanır. Bu adım, takvimi sıkıştırmamak için Adım 6 ile paralel başlatılabilir.
Çıktı: Belgelendirme sözleşmesi ve onaylı denetim planı.
Tipik süre aralığı: 1-3 hafta. Belgelendirme kuruluşunun takvim yoğunluğuna göre değişir.
Adım 9: Aşama 1 denetimi
Ne yapılır: Denetçi kapsamı, politikayı, risk değerlendirmesini, SoA'yı, iç tetkik ve YGG kayıtlarını inceler. Kuruluşun Aşama 2'ye hazır olup olmadığını değerlendirir. Tespit edilen eksikler raporda belirtilir. Ciddi eksikler varsa Aşama 2 ertelenebilir. Bu denetim kısmen uzaktan yapılabilir.
Çıktı: Aşama 1 raporu ve Aşama 2 öncesinde giderilmesi gereken hususların listesi.
Tipik süre aralığı: Denetim çoğunlukla 1-2 gün sürer. Ardından eksikleri gidermek için genellikle birkaç hafta ayrılır.
Adım 10: Aşama 2 denetimi
Ne yapılır: Denetçi, yazılı sistemin gerçekte uygulandığını sahada doğrular. Çalışanlarla görüşür, kayıtları ve sistem ayarlarını örnekler, fiziksel alanları gezer. Denetim gün sayısı, kapsamdaki çalışan sayısı ve karmaşıklığa göre belgelendirme kuruluşu tarafından hesaplanır. Denetimin sonunda bulgular kapanış toplantısında paylaşılır.
Çıktı: Aşama 2 denetim raporu ve varsa büyük ya da küçük uygunsuzluklar.
Tipik süre aralığı: Küçük ve orta ölçekli kapsamlarda genellikle 2-5 gün. Daha büyük yapılarda daha uzun sürer.
Adım 11: Uygunsuzlukların kapatılması ve belge kararı
Ne yapılır: Büyük uygunsuzluklar için düzeltme yapılır ve kanıtlar belgelendirme kuruluşuna sunulur. Gerekirse takip denetimi yapılır. Küçük uygunsuzluklar için kök neden analizi ve düzeltici faaliyet planı hazırlanır. Denetim raporu belgelendirme kuruluşunda, denetime katılmamış bir karar mercii tarafından incelenir. Belge kararını bağımsız belgelendirme kuruluşu verir. Danışman ya da kuruluşun kendisi bu kararı etkileyemez.
Çıktı: Kapatılmış uygunsuzluk kayıtları ve olumlu kararla birlikte üç yıl geçerli ISO 27001 belgesi.
Tipik süre aralığı: Uygunsuzlukların kapatılması için birkaç hafta. Belge kararı ve düzenlenmesi, belgelendirme kuruluşunun iç süreçlerine göre değişir.
Toplam Süre Ne Kadar?
Adımların bir kısmı paralel yürütüldüğünde, tek lokasyonlu ve net kapsamlı küçük ve orta ölçekli kuruluşlarda başlangıçtan belge kararına kadar geçen süre çoğu zaman 3 ile 6 ay arasındadır. Birden fazla lokasyon, yoğun yazılım geliştirme, çok sayıda kritik tedarikçi ya da ciddi teknik eksikler bu süreyi 6 aydan bir yıla kadar uzatabilir. Süreyi en çok belirleyen iki etken, Adım 4'teki teknik iyileştirmelerin kapsamı ve denetçiye gösterilecek uygulama kayıtlarının birikme süresidir. Yalnızca dokümanı hazırlayıp kayıt biriktirmeden denetime girmek, süreci kısaltmaz. Aşama 2'de çıkan bulgular nedeniyle tersine uzatır. Bu aralıklar genel gözleme dayanır ve bir taahhüt değildir.
Belgeden Sonra: Gözetim ve Sürekli İyileştirme
Belge üç yıl geçerlidir, ancak her yıl gözetim denetimiyle doğrulanır. İlk gözetim denetimi, belge kararından itibaren en geç 12 ay içinde yapılır. Bu süreçte sistemin işlemeye devam etmesi gerekir: Risk değerlendirmesi değişikliklerle güncellenir, yıllık iç tetkik ve YGG tekrarlanır, eğitimler yenilenir, zafiyet taramaları ve erişim gözden geçirmeleri planlı aralıklarla yapılır. Üçüncü yılın sonunda, belgenin süresi dolmadan yeniden belgelendirme denetimi yapılır. Gözetimin aksatılması ya da büyük uygunsuzlukların zamanında kapatılmaması, belgenin askıya alınmasına veya geri çekilmesine yol açabilir.
Sıkça Sorulan Sorular
ISO 27001 belgesi danışman olmadan alınabilir mi?
Evet. Standart danışman kullanmayı şart koşmaz. Konuya hâkim bir iç ekip sistemi kendi başına kurabilir. Danışmanlık desteği genellikle süreyi kısaltmak, yöntem hatalarından kaçınmak ve denetime hazırlığı sağlamlaştırmak için tercih edilir.
Denetime girmeden önce sistem ne kadar süre işletilmeli?
Standart kesin bir süre belirtmez. Ancak Aşama 2'de kontrollerin uygulandığının kayıtlarla gösterilmesi gerekir. Birçok belgelendirme kuruluşu en az bir iç tetkik ve bir YGG'nin tamamlanmış olmasını bekler. Pratikte bu, birkaç haftalık ile birkaç aylık bir işletim dönemi anlamına gelir.
Aşama 2'de büyük uygunsuzluk çıkarsa belge alınamaz mı?
Büyük uygunsuzluk kapatılmadan belge kararı verilmez. Ancak süreç sona ermez. Düzeltme yapılıp kanıtlar sunulduğunda ve gerekirse takip denetimi olumlu sonuçlandığında belgelendirme kuruluşu karar sürecine devam eder.
Sızma testi ISO 27001 için zorunlu mu?
Standart sızma testini adıyla zorunlu kılmaz. Ek-A 8.8 teknik açıklıkların yönetilmesini ister. Düzenli zafiyet taraması ve sızma testi, bu kontrolün etkin çalıştığını göstermenin yaygın yollarıdır. Hangi yöntemin seçileceği risk değerlendirmesine göre belirlenir.
Hangi dokümanlar mutlaka hazırlanmalı?
Standardın açıkça istediği dokümante bilgiler şunlardır: BGYS kapsamı, bilgi güvenliği politikası, risk değerlendirme ve risk işleme süreçleri ile sonuçları, Uygulanabilirlik Bildirgesi, bilgi güvenliği hedefleri, yetkinlik kanıtları, izleme ve ölçme sonuçları, iç tetkik programı ve sonuçları, YGG sonuçları ile uygunsuzluk ve düzeltici faaliyet kayıtları. Bunların dışındaki prosedürler, seçilen kontrollere ve kuruluşun ihtiyacına göre hazırlanır.
Sadece bir birim ya da hizmet için belge alınabilir mi?
Evet, kapsam sınırlandırılabilir. Kapsamın arayüzleri ve bağımlılıkları açıkça tanımlanmalıdır. Kapsamın, belgeyi talep eden müşteri ya da ihalenin konusu olan hizmeti içermesi de önemlidir.
Yol Haritanızı Birlikte Çıkaralım
Hangi adımda olduğunuzu ve hedef tarihinize ulaşmak için neye ihtiyacınız olduğunu kısa bir ön görüşmede netleştirebiliriz. Ekibimiz boşluk analizinden Aşama 2 denetimine kadar süreci sizinle birlikte yürütür. Belge kararı ise her zaman bağımsız belgelendirme kuruluşuna aittir.
Hizmet kapsamımızı ISO 27001 danışmanlık hizmeti sayfasında inceleyebilir ya da doğrudan teklif formunu doldurarak ücretsiz ön değerlendirme talep edebilirsiniz.