ISO 27001 Sertifikası ve Belgesi: Süreç, Şartlar ve Geçerlilik

Son güncelleme: 27.09.2026 · Hazırlayan: ISO 27001 danışmanlık ekibi, Ensa Kurumsal Danışmanlık

ISO 27001 belgesi, bir kurumun bilgi güvenliği yönetim sistemini (BGYS) ISO/IEC 27001:2022 gerekliliklerine göre kurduğunu ve işlettiğini, bağımsız bir belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimleriyle doğruladığını gösteren belgedir. Belge üç yıl geçerlidir; bu sürede her yıl gözetim denetimi yapılır. Danışmanlık firması belge veremez; belgeyi yalnızca belgelendirme kuruluşu düzenler.

Kısacası ISO 27001 sertifikası almak için önce sistemi kurar ve bir süre işletirsiniz, ardından bağımsız bir kuruluş bu sistemi iki aşamada denetler. Bu sayfa, belge ile sertifika arasındaki terim karmaşasından akredite belgenin nasıl doğrulanacağına kadar sürecin tamamını tek yerde topluyor. Adımların ayrıntısı için ISO 27001 belgesi nasıl alınır rehberine, standardın maddeleri için ISO 27001 şartları sayfasına da bakabilirsiniz.

ISO 27001 sertifikası nedir?

ISO/IEC 27001, Uluslararası Standardizasyon Örgütü (ISO) ile Uluslararası Elektroteknik Komisyonu'nun (IEC) birlikte yayımladığı bilgi güvenliği yönetim sistemi standardıdır. Güncel sürüm ISO/IEC 27001:2022'dir ve 2024'te yayımlanan iklim değişikliği tadiliyle (Amd 1:2024) birlikte uygulanır. Standart, bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini risk temelli bir yönetim sistemiyle korumayı hedefler.

Sertifika ise bu standardın kendisi değil, standarda uygunluğun bağımsız olarak doğrulandığını gösteren belgedir. Kurumun bilgi güvenliğini birkaç kişinin iyi niyetine ya da tek seferlik teknik önlemlere bırakmadığını, bunun yerine yazılı, ölçülen ve düzenli olarak gözden geçirilen bir sisteme bağladığını gösterir.

Madde 4-10: Yönetim sistemi şartları

Standardın 4 ile 10 arasındaki maddeleri, belge almak isteyen her kurum için zorunludur. Bu maddeler kuruluşun bağlamını ve kapsamı (4), liderliği ve politikayı (5), risk değerlendirmesi ile risk işlemeyi (6), kaynak, yetkinlik, farkındalık ve dokümantasyonu (7), operasyonu (8), izleme, iç tetkik ve yönetimin gözden geçirmesini (9) ve iyileştirmeyi (10) kapsar. Bu maddelerden biri "bizde uygulanmıyor" diye dışarıda bırakılamaz.

Ek-A: 93 kontrol, 4 tema

Ek-A, risk işleme sırasında seçilecek referans kontrolleri listeler. 2022 sürümünde 93 kontrol dört temada toplanır:

Ek-A kontrolleri körü körüne uygulanmaz. Hangi kontrolün neden uygulandığı ya da neden hariç tutulduğu Uygulanabilirlik Bildirgesi (SoA) içinde gerekçelendirilir ve bu gerekçe risk değerlendirmesiyle tutarlı olmalıdır.

ISO 27001 belgesi ile ISO 27001 sertifikası aynı mı?

"ISO 27001 sertifikası" ve "ISO 27001 belgesi" kurumlar için aynı şeyi anlatır: bağımsız bir belgelendirme kuruluşunun, kurumun bilgi güvenliği yönetim sistemini denetledikten sonra düzenlediği ve üç yıl geçerli olan belge. Kişilere verilen eğitim sertifikaları ise farklıdır; örneğin ISO 27001 iç tetkikçi eğitimi sertifikası kişinin eğitimi tamamladığını gösterir, kuruma belge sağlamaz.

Karışıklık genellikle ihale şartnamelerinde ve tedarikçi anketlerinde çıkar. Bir şartname "ISO 27001 sertifikası" istiyorsa kastedilen kurumsal belgedir; çalışanların aldığı eğitim sertifikaları bu şartı karşılamaz.

Kimler ISO 27001 sertifikası almalı?

Standart sektör ya da ölçek ayrımı yapmaz. On kişilik bir yazılım şirketi de binlerce çalışanı olan bir holding de aynı standarda göre belgelendirilebilir; değişen, kapsamın büyüklüğü ve denetim süresidir. Uygulamada belgeyi en sık isteyen ve talep gören gruplar şunlardır:

• Yazılım, SaaS, barındırma ve veri merkezi hizmeti veren şirketler
• Bankacılık, finans, sigorta ve ödeme hizmetleriyle çalışan kuruluşlar
• Telekomünikasyon ve e-dönüşüm (e-fatura, e-arşiv gibi) hizmet sağlayıcıları
• Sağlık verisi işleyen hastane, laboratuvar ve sağlık teknolojisi firmaları
• Büyük müşterilerin tedarik zincirinde yer alan üreticiler, özellikle otomotiv ve sanayi tedarikçileri
• Kamu ve özel sektör ihalelerine katılan firmalar
• Yoğun kişisel veri işleyen e-ticaret, çağrı merkezi, insan kaynakları ve bordro hizmeti şirketleri

İhaleler ve tedarik zinciri

Birçok kurum belge sürecine kendi isteğiyle değil, bir müşterinin güvenlik anketi, sözleşme eki ya da ihale şartnamesi nedeniyle başlar. Bu durumda ilk iş, istenen şeyin tam olarak ne olduğunu okumaktır: hangi standart, hangi kapsam, hangi tarihe kadar ve akredite belge şartı olup olmadığı. Kapsamı müşterinin satın aldığı hizmeti içermeyen bir belge, çoğu zaman şartı karşılamaz.

KVKK ile ilişkisi

ISO 27001, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun istediği teknik ve idari tedbirleri sistemli biçimde kurmak için güçlü bir çerçevedir. Ama belge tek başına KVKK uyumu anlamına gelmez. Aydınlatma yükümlülüğü, açık rıza, VERBİS, saklama ve imha politikası gibi hukuki yükümlülüklerin ayrıca yürütülmesi gerekir. Bu iki çalışmayı birlikte planlamak isterseniz KVKK danışmanlığı sayfamıza bakabilirsiniz.

ISO 27001 belgesi neden alınır?

Belgenin somut faydaları kurumun neden başladığına göre değişir, ama sahada en sık karşılaştığımız gerekçeler şunlardır:

• Satış ve müşteri güveni: Kurumsal müşteriler tedarikçilerine uzun güvenlik anketleri gönderir. Geçerli bir belge ve kapsam beyanı, bu anketlerin önemli bir bölümüne kanıtlı cevap verir.
• İhalelere erişim: Şartnamede belge isteniyorsa belgesi olmayan firma teklif aşamasına bile geçemeyebilir.
• Risklerin görünür hale gelmesi: Risk değerlendirmesi, yönetimin "hangi bilgi, hangi sistemde, hangi tehdide karşı ne kadar korunuyor" sorusuna ilk kez yazılı bir cevap görmesini sağlar.
• Olaylara hazırlık: Olay yönetimi, yedekleme ve iş sürekliliği kontrolleri kâğıt üzerinde değil, test kayıtlarıyla izlenir.
• Mevzuat uyumuna destek: KVKK ve sektörel düzenlemelerin istediği tedbirler tek bir sistemde toplanır.
• Uluslararası tanınırlık: Akredite bir belge, yurt dışındaki iş ortaklarının da tanıdığı ortak bir dil sağlar.

Belgenin kendisi bir güvenlik kalkanı değildir. Belge, bilgi güvenliği risklerini yöneten bir sistemin varlığını gösterir; riskleri sıfırlamaz. Asıl kazanç, belge süreci boyunca kurulan disiplindir.

ISO 27001 sertifikası zorunlu mu?

Türkiye'de tüm şirketleri kapsayan genel bir yasal ISO 27001 belgesi zorunluluğu yoktur. Belge çoğu kurum için gönüllüdür. Ancak belge; bir sektörel düzenleme, müşteri sözleşmesi, tedarikçi şartı veya ihale koşulu nedeniyle aranabilir ve bu durumda fiilen iş yapmanın ön koşuluna dönüşür.

Pratik öneri: Belgenin sizin için zorunlu olup olmadığını genel yazılardan değil, sizi bağlayan belgenin kendisinden kontrol edin. Tabi olduğunuz düzenlemenin metni, müşterinizin sözleşmesi ya da ihale şartnamesi hangi standardı, hangi kapsamı ve akredite belge şartını istediğini açıkça yazar. Bilişim sektörü özelinde bu konuyu bilişim sektöründe ISO 27001 zorunluluğu yazımızda ayrıca ele aldık.

ISO 27001 belgesi nasıl alınır? 7 adımda belgelendirme süreci

Aşağıdaki yedi adım, sıfırdan başlayan orta ölçekli bir kurum için tipik akıştır. Bazı adımlar paralel yürür; örneğin eğitim, kontrollerin uygulanmasıyla aynı dönemde yapılabilir.

1. Kapsam belirleme ve boşluk (gap) analizi

Hangi birimlerin, lokasyonların, süreçlerin ve sistemlerin BGYS kapsamına gireceği yazılı hale getirilir. Ardından mevcut durum standardın maddeleri ve Ek-A kontrolleriyle karşılaştırılır. Çıktı, eksiklerin öncelik sırasıyla listelendiği bir boşluk analizi raporu ve proje planıdır. Kapsamı gereğinden dar tutmak belgenin müşteri gözündeki değerini düşürür; gereğinden geniş tutmak ise projeyi uzatır.

2. Varlık envanteri ve risk değerlendirmesi

Bilgi varlıkları (veri, yazılım, donanım, hizmet, personel bilgisi) envantere alınır, sahipleri belirlenir. Risk değerlendirme metodolojisi ve risk kabul kriterleri yazılır, üst yönetim onaylar. Ardından riskler analiz edilir ve risk işleme planı hazırlanır. Ayrıntı için bilgi güvenliği risk analizi ve BGYS varlık envanteri hazırlama yazılarımıza bakabilirsiniz.

3. Uygulanabilirlik Bildirgesi (SoA)

93 Ek-A kontrolünün her biri için uygulanıp uygulanmadığı, gerekçesi ve uygulama durumu tek bir dokümanda toplanır. Hariç tutma gerekçesi kapsamdan ya da risk değerlendirmesinden gelmelidir; "bütçe ayrılmadı" gibi gerekçeler denetimde savunulamaz.

4. Politikalar, prosedürler ve kontrollerin uygulanması

Projenin en uzun adımıdır. Bilgi güvenliği politikası ve konu bazlı politikalar yazılır, ama asıl iş kontrollerin sahada çalışır hale getirilmesidir: erişim yetkilerinin gözden geçirilmesi, yedeklerin geri yükleme testleri, logların izlenmesi, teknik açıklıkların taranıp kapatılması, tedarikçi sözleşmelerine güvenlik maddeleri eklenmesi gibi. Hazır doküman setleri bu adımı kısaltmaz; kurumun gerçeğine uymayan her doküman denetimde bulguya dönüşür.

5. Eğitim ve farkındalık

Tüm çalışanlar bilgi güvenliği politikasını, olay bildirme kanalını ve kendi sorumluluklarını bilmelidir. Denetçiler görüşmelerde rastgele bir çalışana "Şüpheli bir e-postayı nereye bildirirsiniz?" diye sorabilir. Eğitimin katılım listesi kadar etkinliğinin ölçülmesi de önemlidir; e-posta oltalama tatbikatı bu ölçümün pratik yollarından biridir. Bkz. eğitim hizmetleri.

6. İç tetkik ve yönetimin gözden geçirmesi

Belgelendirme denetiminden önce en az bir tam iç tetkik yapılır ve bulgular için düzeltici faaliyetler açılır. Ardından üst yönetim, standardın istediği girdilerle (hedeflerin durumu, risk değerlendirmesi sonuçları, iç tetkik bulguları, ilgili tarafların beklentileri gibi) sistemi gözden geçirir ve kararlarını kayda alır. Belgelendirme kuruluşları bu iki kaydı görmeden Aşama 2'ye geçmez. Ayrıntı: ISO 27001 iç tetkik rehberi.

7. Belgelendirme denetimi ve belge kararı

Akredite bir belgelendirme kuruluşu seçilir, başvuru yapılır, Aşama 1 ve Aşama 2 denetimleri gerçekleşir. Bulgular kapatıldıktan sonra kuruluşun karar mekanizması belgelendirme kararını verir. Belgelendirme kuruluşuyla erken görüşmekte fayda var; denetim takvimleri özellikle yıl sonuna doğru dolabilir.

Aşama 1 (Stage 1) denetimi

Aşama 1, sistemin denetime hazır olup olmadığının değerlendirildiği ilk belgelendirme denetimidir. Denetim ekibi kapsam beyanını, bilgi güvenliği politikasını, risk değerlendirme metodolojisini ve sonuçlarını, risk işleme planını, Uygulanabilirlik Bildirgesini, iç tetkik ve yönetimin gözden geçirmesi kayıtlarını inceler. Kurumun yapısını, lokasyonlarını ve kritik süreçlerini tanır; Aşama 2'nin planını ve süresini buna göre netleştirir.

Aşama 1 kısmen uzaktan, kısmen yerinde yapılabilir. Sonunda kurum, Aşama 2'den önce kapatılması gereken eksiklerin listesini alır. Bu listedeki konular ciddiyse Aşama 2 ertelenebilir. İki aşama arasında eksiklerin gerçekten kapatılabileceği kadar süre bırakmak, sıkışık bir takvimden daha az maliyetlidir.

Aşama 2 (Stage 2) denetimi ve belge kararı

Aşama 2, yazılı olanın gerçekten uygulanıp uygulanmadığının ve etkili olup olmadığının doğrulandığı denetimdir. Denetim ekibi çalışanlarla görüşür, kayıtlardan örnek seçer, teknik kontrolleri yerinde ya da ekran paylaşımıyla gözlemler. "Erişim hakları üç ayda bir gözden geçirilir" yazıyorsa son gözden geçirmenin kaydını, "yedekler test edilir" yazıyorsa geri yükleme testinin kaydını görmek ister.

Denetim gün sayısı keyfi belirlenmez. Belgelendirme kuruluşları bunu ISO/IEC 27006-1'deki kurallara göre, kapsamdaki çalışan sayısını, lokasyonları ve BT karmaşıklığını dikkate alarak hesaplar. Çok lokasyonlu yapılarda belirli koşullar sağlanıyorsa örnekleme yapılabilir.

Uygunsuzluklar ve belge kararı

Denetim bulguları genellikle üç sınıfta raporlanır:

• Büyük uygunsuzluk: Bir şartın hiç karşılanmaması ya da sistemin amacına ulaşamayacağından ciddi şüphe duyulması (örneğin hiç iç tetkik yapılmamış olması). Düzeltmesi belgelendirme kuruluşunca doğrulanmadan belge kararı verilmez. ISO/IEC 17021-1'e göre bu doğrulama Aşama 2'nin son gününden itibaren altı ay içinde yapılamazsa kuruluş belge önermeden önce yeni bir Aşama 2 yapar.
• Küçük uygunsuzluk: Sistemin genelini etkilemeyen, münferit bir eksiklik. Kuruluşun kabul ettiği bir düzeltici faaliyet planı gerekir; uygulaması sonraki denetimde kontrol edilir.
• Gözlem / iyileştirme fırsatı: Uygunsuzluk değildir, ama göz ardı edilirse ileride uygunsuzluğa dönüşebilecek noktalar.

Belge kararını denetimi yapan ekip değil, belgelendirme kuruluşunun bu denetimde görev almamış yetkilileri verir. Bu ayrım kuruluşun tarafsızlık kuralının bir parçasıdır. Denetime hazırlık için ISO 27001 denetim hazırlığı ve ISO 27001 denetim soruları yazılarımızdan yararlanabilirsiniz.

ISO 27001 sertifikası kaç ayda alınır?

Başlangıçtan belge kararına kadar geçen süre, sahada gördüğümüz projelerin çoğunda 3 ile 6 ay arasındadır. Çok lokasyonlu, yazılım geliştirme yoğun ya da BT altyapısı dağınık kurumlarda süre 6-12 aya uzayabilir. Aşağıdaki aralıklar tipik bir orta ölçekli kurum içindir; bir taahhüt değil, planlama için başlangıç noktasıdır.

Süreyi en çok belirleyen şey belge kuruluşunun takvimi değil, kurumun kendi karar hızı ve BGYS için ayırdığı iç kaynaktır. Projeye bir BGYS sorumlusu atanmaması sık görülen gecikme nedenlerinden biridir. Daha ayrıntılı bir süre değerlendirmesi için ISO 27001 kaç günde alınır sayfasına bakabilirsiniz.

ISO 27001 belgesi maliyetini belirleyen etkenler

ISO 27001 belgesinin tek bir fiyatı yoktur. Toplam maliyet üç ayrı kalemden oluşur ve bunlar genellikle ayrı faturalandırılır:

1. Danışmanlık ücreti: Sistemin kurulması, dokümantasyon, risk değerlendirmesi, eğitim ve denetime hazırlık desteği.
2. Teknik kurulum ve iyileştirme giderleri: Eksik kontrollerin kapatılması için gereken yazılım, donanım, lisans veya hizmetler (örneğin yedekleme çözümü, log yönetimi, sızma testi).
3. Belgelendirme kuruluşu ücreti: Aşama 1, Aşama 2 ve sonraki yıllardaki gözetim ve yeniden belgelendirme denetimleri.

Aşağıdaki tablo, hangi etkenin hangi kalemi nasıl etkilediğini gösterir. Güncel fiyatlandırma yaklaşımımız için ISO 27001 belgesi fiyatı ve ISO 27001 danışmanlık fiyatı sayfalarına bakabilirsiniz.

Belgelendirme ücreti yalnızca ilk yılın maliyeti değildir. Bütçe yaparken üç yıllık döngüyü, yani iki gözetim denetimini ve yeniden belgelendirme denetimini de hesaba katın.

ISO 27001 belgesi kaç yıl geçerli?

ISO 27001 belgesi üç yıl geçerlidir, ama "üç yıl boyunca dokunulmaz" bir belge değildir. Belgenin geçerli kalması için sistemin işlemeye devam ettiğinin her yıl denetimle gösterilmesi gerekir.

Gözetim denetimi yapılamazsa, büyük bir uygunsuzluk zamanında kapatılmazsa ya da belge kurallara aykırı kullanılırsa belgelendirme kuruluşu belgeyi askıya alabilir veya geri çekebilir. Yeniden belgelendirme denetimini belge süresi dolmadan planlamak önemlidir; süre dolduktan sonra belge geçersiz hale gelir ve kuruluşun kurallarına göre yeniden süreç başlatmak gerekebilir.

Kapsamı genişletmek, yeni bir lokasyon eklemek ya da şirket unvanını değiştirmek de belgelendirme kuruluşuna bildirilmelidir. Bu değişiklikler çoğu zaman bir gözetim denetimiyle birlikte ele alınır.

Akredite ISO 27001 sertifikası nedir, nasıl doğrulanır?

Akreditasyon, belgelendirme kuruluşunun kendisinin denetlenmesidir. Ulusal akreditasyon kurumu, belgelendirme kuruluşunun ISO/IEC 17021-1 (yönetim sistemi belgelendirme kuruluşları için genel şartlar) ve ISO/IEC 27006-1 (BGYS belgelendirmesine özgü şartlar) standartlarına uygun çalıştığını doğrular. Akredite bir belge, bu denetimden geçmiş ve akreditasyon kapsamında ISO/IEC 27001 bulunan bir kuruluşun düzenlediği belgedir.

Ulusal akreditasyon kurumlarının uluslararası karşılıklı tanınma anlaşmalarına taraf olması sayesinde, akredite bir belge başka ülkelerdeki müşteri ve ihale makamları tarafından da tanınabilir. İhale şartnamelerinde ve kurumsal tedarikçi değerlendirmelerinde "akredite belge" şartı bu yüzden sık görülür.

Bir ISO 27001 belgesinde ne yazar, alıcı neyi kontrol etmeli?

Tedarikçinizden ISO 27001 belgesi istiyorsanız belgenin varlığı tek başına yeterli değildir. Belge üzerinde şu alanları kontrol edin:

Doğrulama adımları

1. Belge numarasını belgelendirme kuruluşunun web sitesindeki belge sorgulama bölümünde arayın ya da kuruluşa yazılı olarak sorun. Belgenin askıda veya geri çekilmiş olup olmadığı bu kanaldan görülür.
2. Belgelendirme kuruluşunun akreditasyon sertifikasını ve eki olan kapsam listesini isteyin; listede ISO/IEC 27001 (BGYS) belgelendirmesinin bulunduğunu kontrol edin.
3. Kuruluşun akreditasyonunun ulusal akreditasyon kurumunun resmi kayıtlarında güncel olduğunu teyit edin.
4. Belgedeki kapsamın, sizin satın aldığınız hizmeti ve lokasyonu kapsadığını kontrol edin.

Akredite olmayan belgelerde dikkat edilecek işaretler

• Denetim yapılmadan ya da tek bir kısa görüşmeyle "birkaç günde belge" vaadi
• Aşama 1 ve Aşama 2 ayrımının hiç olmaması
• Belgede akreditasyon işaretinin, belge numarasının veya kapsam beyanının bulunmaması
• Sistemi kuran danışmanla belgeyi düzenleyen kuruluşun aynı tüzel kişi olması
• Doğrulama kanalının bulunmaması ya da sorgulamada belgenin çıkmaması

Akredite olmayan bir belge hukuken yasak değildir, ama pek çok ihale ve kurumsal müşteri tarafından kabul edilmez. Belgeyi hangi amaçla aldığınızı düşünerek karar verin.

Belgelendirme kuruluşu nasıl seçilir?

Belgelendirme kuruluşunu seçmek fiyat karşılaştırmasından ibaret değildir. Belgenizin ihale ve müşteri nezdinde kabul görmesi bu seçime bağlıdır. Ayrıntılı kriterler ve doğrulama adımları için ISO 27001 sertifikası veren kuruluşlar nasıl seçilir rehberine bakabilirsiniz. Teklif alırken şu soruları sorun:

• Akreditasyon kapsamı: Kuruluş ISO/IEC 27001 için akredite mi? Akreditasyon sertifikasını ve kapsam ekini paylaşıyor mu?
• Müşteri şartları: Sizden belge isteyen müşteri veya ihale makamı belirli bir akreditasyon ya da kuruluş şartı koyuyor mu?
• Denetim gün hesabı: Teklifte Aşama 1, Aşama 2, gözetim ve yeniden belgelendirme gün sayıları ayrı ayrı yazıyor mu?
• Üç yıllık toplam maliyet: Yalnızca ilk yılın değil, gözetim ve yeniden belgelendirme denetimlerinin ücreti de belli mi? Yol ve konaklama giderleri nasıl faturalandırılıyor?
• Denetim ekibinin yetkinliği: Denetim ekibinde sizin sektörünüzü ve teknolojinizi (bulut, yazılım geliştirme, veri merkezi gibi) bilen kişiler var mı?
• Uzaktan denetim: Hangi bölümler uzaktan, hangileri yerinde yapılacak?
• Takvim: İstediğiniz tarihte denetim ekibi ayırabiliyor mu?
• Dil ve raporlama: Denetim raporu ve belge hangi dillerde düzenleniyor? Yurt dışı müşteriniz İngilizce belge isteyebilir.

Belgelendirme kuruluşunu sonradan değiştirmek mümkündür. Akreditasyon kuralları, geçerli bir belgenin başka bir akredite kuruluşa transferine izin verir; yeni kuruluş transferden önce belgenin geçerliliğini ve açık uygunsuzlukları inceler.

Danışmanlık ile belgelendirme arasındaki fark

Bu iki rol sık karıştırılır, ama birbirinden bilinçli olarak ayrılmıştır. Belgelendirme kuruluşlarının tarafsızlık kuralı, aynı kuruluşun hem sistemi kurup hem de belgelendirmesine izin vermez.

Danışmanla çalışmak zorunlu değildir. Ancak ilk kez BGYS kuran kurumlarda danışman, standardın neyi gerçekten istediğini, neyin fazlalık olduğunu ve denetçinin hangi kanıtı arayacağını bilerek süreci kısaltır ve gereksiz doküman yükünü azaltır. Belge sonucunu önceden vaat eden bir danışmanlık teklifine karşı dikkatli olun: belge kararı hiçbir zaman danışmanın elinde değildir.

ISO/IEC 27001:2022 geçişi ve Amd 1:2024

ISO/IEC 27001'in 2022 sürümü Ekim 2022'de yayımlandı. 2013 sürümüne göre belgelendirilmiş kuruluşlar için tanınan geçiş süresi 31 Ekim 2025'te sona erdi. Bu tarihten sonra 2013 sürümüne göre düzenlenmiş belgeler geçerliliğini yitirdi. Tedarikçinizin belgesinde hâlâ eski sürüm yazıyorsa belgenin güncel olup olmadığını mutlaka sorgulayın.

2022 sürümündeki başlıca değişiklikler:

• Ek-A kontrolleri 114'ten 93'e indi ve 14 alan yerine dört temada (organizasyonel, insan, fiziksel, teknolojik) toplandı.
• Tehdit istihbaratı, bulut hizmetlerinin kullanımında bilgi güvenliği, iş sürekliliği için BİT hazırlığı, fiziksel güvenlik izleme, yapılandırma yönetimi, bilgi silme, veri maskeleme, veri sızıntısını önleme, izleme faaliyetleri, web filtreleme ve güvenli kodlama gibi yeni kontroller eklendi.
• Yönetim sistemi maddelerinde değişikliklerin planlanması (6.3) gibi yeni bir madde geldi; bazı maddeler netleştirildi.

Şubat 2024'te yayımlanan Amd 1:2024 tadili ise madde 4.1'e kurumun iklim değişikliğinin ilgili bir konu olup olmadığını belirlemesi şartını, madde 4.2'ye de ilgili tarafların iklim değişikliğiyle ilgili gereklilikleri olabileceğine dair bir not ekledi. Bu değişiklik ayrı bir belge gerektirmez; bağlam analizinde değerlendirilip kayda alınması beklenir. Sürümler arası farkların ayrıntısı için ISO 27001:2022 revizyon farkları yazımıza bakabilirsiniz.

ISO 27001 belgelendirmesinde sık yapılan hatalar

Denetim hazırlığında en çok zaman kaybettiren hatalar teknik değil, planlama kaynaklıdır:

• Hazır dokümanları uyarlamadan kullanmak: Başka bir şirkete yazılmış prosedür, sizin süreçlerinizle çeliştiği anda denetimde bulguya dönüşür.
• Kapsamı yanlış belirlemek: Müşterinin istediği hizmeti dışarıda bırakan dar bir kapsam belgeyi işe yaramaz kılar; gereksiz geniş kapsam ise projeyi uzatır.
• Risk değerlendirmesini formalite görmek: Risk kaydı ile SoA birbirini tutmuyorsa denetçi bunu kısa sürede fark eder.
• Projeyi yalnızca BT ekibine bırakmak: İnsan kaynakları, satın alma, hukuk ve üst yönetim işin içinde olmadan BGYS kurulamaz. Liderlik (madde 5) doğrudan üst yönetimden kanıt ister.
• Uygulama kaydı biriktirmeden denetime girmek: Aşama 2'de dokümanlar değil, kayıtlar denetlenir. Sistemin bir süre işletilmiş olması gerekir.
• Teknik açıklık yönetimini ihmal etmek: Ek-A 8.8 teknik açıklıkların zamanında tespit edilip değerlendirilmesini ister. Tarama yapılıp bulguların kapatılmaması sık görülen bir eksikliktir.
• Yedeklemenin test edilmemesi: Ek-A 8.13 kapsamında yedek alınıyor olabilir, ama geri yükleme testi kaydı yoksa kontrolün çalıştığı gösterilemez.
• Bulut hizmetlerini unutmak: Kurumsal e-posta ve ofis yazılımları bulutta çalışırken "bulut kullanmıyoruz" denmesi, Ek-A 5.23 açısından tutarsızlık yaratır.

ISO 27001 sürecinde nasıl çalışıyoruz?

ISO 27001 Danışmanlık, Ensa Kurumsal Danışmanlık Hizmetleri Limited Şirketi'nin markasıdır ve Gebze'deki ofisinden hizmet verir. Biz belge vermeyiz; sistemi sizinle birlikte kurar, kanıtları hazırlar ve kurumunuzu bağımsız belgelendirme denetimine hazır hale getiririz. Proje akışımız altı aşamadan oluşur:

Teknik kontrollerin kanıtlanması gereken yerlerde aynı çatı altında destek veriyoruz:

• Sızma testi, teknik açıklık yönetimi kanıtı için
• Farkındalık eğitimleri ve e-posta oltalama tatbikatı, eğitimin etkinliğini ölçmek için
• KVKK uyumu ve sözleşme tasarımı, belgenin kapsamadığı hukuki yükümlülükler için
• İhtiyaç halinde Ek-A teknik kontrollerinin mevcut altyapınızda kurulumu
• İç tetkik ve prova denetim; belgelendirme sonrasında gözetim denetimlerine hazırlık desteği

ISO 27001 ile birlikte ISO 27701, ISO 22301 ve ISO 20000-1 projeleri de yürütüyoruz. Hizmet kapsamının tamamı için ISO 27001 danışmanlık hizmeti sayfamıza bakabilirsiniz.

Sıkça sorulan sorular

ISO 27001 belgesi ile ISO 27001 sertifikası arasında fark var mı?

Kurumlar için fark yoktur; iki ifade de bağımsız bir belgelendirme kuruluşunun BGYS denetiminden sonra düzenlediği ve üç yıl geçerli olan aynı belgeyi anlatır. Kişilere verilen ISO 27001 eğitim sertifikaları ise ayrı bir şeydir ve kuruma belge sağlamaz.

ISO 27001 sertifikası zorunlu mu?

Türkiye'de tüm şirketler için genel bir yasal zorunluluk yoktur. Ancak belge; sektörel düzenlemeler, müşteri sözleşmeleri, tedarikçi şartları veya ihale koşulları nedeniyle aranabilir. Sizin için zorunlu olup olmadığını sizi bağlayan düzenleme, sözleşme veya şartname belirler.

ISO 27001 belgesini kim verir?

Belgeyi yalnızca bağımsız bir belgelendirme kuruluşu verir. Danışmanlık firmaları belge veremez; sistemi kurar ve kurumu denetime hazırlar. Danışmanla çalışmak zorunlu değildir, kurum sistemi kendi ekibiyle de kurabilir.

ISO 27001 belgesi kaç yıl geçerlidir?

Belge üç yıl geçerlidir. Belgelendirme kararından sonraki 12 ay içinde ilk gözetim denetimi, ertesi yıl ikinci gözetim denetimi yapılır. Üçüncü yılda, belge süresi dolmadan yeniden belgelendirme denetimi tamamlanmalıdır.

ISO 27001 sertifikası kaç ayda alınır?

Sahada gördüğümüz projelerin çoğunda başlangıçtan belge kararına kadar 3 ile 6 ay geçer. Çok lokasyonlu veya BT altyapısı karmaşık kurumlarda süre 6-12 aya uzayabilir. Süreyi en çok iç kaynak ve karar hızı belirler.

Küçük bir şirket ISO 27001 belgesi alabilir mi?

Evet. Standart ölçekten bağımsızdır; küçük şirketlerde kapsam dar, denetim süresi kısadır. Önemli olan dokümanları şirketin gerçek büyüklüğüne göre sade tutmak ve kontrolleri kayıtla gösterebilmektir.

ISO 27001 belgesi KVKK uyumu için yeterli mi?

Tek başına yeterli değildir. ISO 27001, KVKK'nın istediği teknik ve idari tedbirleri sistemli biçimde kurmaya yardım eder; ancak aydınlatma, açık rıza, VERBİS ve saklama-imha gibi hukuki yükümlülüklerin ayrıca yürütülmesi gerekir.

Sızma testi olmadan ISO 27001 belgesi alınabilir mi?

ISO/IEC 27001:2022 sızma testini adıyla zorunlu tutmaz. Ancak Ek-A 8.8 teknik açıklıkların tespit edilip yönetilmesini ister ve denetçi bunun kanıtını görmek ister. Sızma testi raporu bu kanıtın en doğrudan biçimlerinden biridir. Ayrıntı: ISO 27001 için sızma testi zorunlu mu?

Belgelendirme kuruluşunu değiştirebilir miyim?

Evet. Geçerli bir belge, akreditasyon kurallarına uygun bir transfer süreciyle başka bir akredite belgelendirme kuruluşuna taşınabilir. Yeni kuruluş transferden önce belgenin durumunu, son denetim raporlarını ve açık uygunsuzlukları inceler.

2013 sürümüne göre alınmış ISO 27001 belgesi hâlâ geçerli mi?

Hayır. 2013 sürümünden ISO/IEC 27001:2022'ye geçiş süresi 31 Ekim 2025'te sona erdi ve eski sürüme göre düzenlenmiş belgeler geçerliliğini yitirdi. Bugün geçerli bir belge ISO/IEC 27001:2022'ye göre düzenlenmiş olmalıdır.

Ücretsiz ISO 27001 ön analizi için bize ulaşın

ISO 27001 sertifikasına nereden başlayacağınızı netleştirmek için kısa bir ön görüşmeyle başlayalım. Kapsamınızı, çalışan ve lokasyon sayınızı, hedef tarihinizi ve mevcut sistemlerinizi birlikte değerlendirir; hangi adımların sizin için kritik olduğunu ve danışmanlık kapsamını yazılı olarak paylaşırız.

• Telefon / WhatsApp: 0533 370 01 43
• İletişim formu: /iletisim/
• Ofis: Yenikent Mah. Dicle Cd. G Blok No:16, Gebze / Kocaeli

Kaynakça

• ISO, ISO/IEC 27001:2022 Information security management systems — Requirements: iso.org/standard/27001 (yeni sekmede açılır)
• ISO, ISO/IEC 27001:2022/Amd 1:2024 Climate action changes: iso.org/standard/88435.html (yeni sekmede açılır)
• ISO, ISO/IEC 27006-1:2024 Requirements for bodies providing audit and certification of information security management systems — Part 1: General: iso.org/standard/82908.html (yeni sekmede açılır)
• ISO, ISO/IEC 17021-1:2015 Conformity assessment — Requirements for bodies providing audit and certification of management systems: iso.org/standard/61651.html (yeni sekmede açılır)