ISO 27001 belgesi, bir kuruluşun bilgi güvenliğini tek tek kişilere ya da bir kerelik teknik önlemlere bırakmadığını, onu denetlenebilir bir yönetim sistemine bağladığını gösteren uluslararası bir belgedir. Müşteriler, ihale makamları ve iş ortakları bu belgeye bakarak şu soruya bağımsız bir yanıt arar: Verilerimi bu firmaya güvenle emanet edebilir miyim? Bu rehberde ISO 27001 belgesinin ne olduğunu, sertifika ile farkı olup olmadığını, kimlerin ihtiyaç duyduğunu, nasıl alındığını, ücretinin neye bağlı olduğunu ve geçerliliğinin nasıl korunduğunu tek sayfada topladık.

ISO 27001 Belgesi Nedir?

ISO/IEC 27001, Uluslararası Standardizasyon Örgütü (ISO) ile Uluslararası Elektroteknik Komisyonu'nun (IEC) birlikte yayımladığı bilgi güvenliği yönetim sistemi (BGYS) standardıdır. Standart, bir kuruluşun bilgi varlıklarını üç temel özellik açısından korumasını ister: gizlilik (bilgiye yalnızca yetkili kişilerin erişmesi), bütünlük (bilginin yetkisiz biçimde değiştirilmemesi) ve erişilebilirlik (bilginin gerektiğinde kullanılabilir olması).

ISO 27001 belgesi ise bağımsız bir belgelendirme kuruluşunun yaptığı denetimin sonucunda verilir. Belge, kuruluşun BGYS'sinin belirli bir kapsam için standardın şartlarına uygun kurulduğunu, uygulandığını ve sürdürüldüğünü teyit eder. Belge bir ürünü değil, bir yönetim sistemini onaylar. Bu nedenle üzerinde mutlaka bir kapsam ifadesi yer alır. Örneğin yalnızca yazılım geliştirme ve barındırma hizmetleri kapsama alınmış olabilir. Belgede ayrıca standardın sürümü (ISO/IEC 27001:2022), ilk yayın ve geçerlilik tarihleri, belgelendirme kuruluşunun adı ve varsa akreditasyon markası bulunur.

Standardın kendisini, kavramlarını ve tarihçesini daha ayrıntılı okumak isterseniz ISO 27001 nedir sayfamıza göz atabilirsiniz. Bu sayfa ise belge ve belgelendirme sürecine odaklanır.

ISO 27001 Belgesi ile ISO 27001 Sertifikası Aynı Şey mi?

Evet. Türkçede “ISO 27001 belgesi”, “ISO 27001 sertifikası” ve kısaca “ISO 27001 sertifika” ifadeleri aynı şeyi anlatır: akredite ya da akredite olmayan bir belgelendirme kuruluşunun, denetim sonrasında düzenlediği uygunluk belgesi. İngilizcedeki “certificate” kelimesi Türkçeye hem “sertifika” hem “belge” olarak çevrildiği için iki kullanım da yaygındır. Resmî yazışmalarda ve ihale şartnamelerinde genellikle “belge” kelimesi tercih edilir.

Karıştırılmaması gereken ayrım başka yerdedir. Kuruluşa verilen ISO 27001 belgesi ile kişilere verilen eğitim sertifikaları farklı şeylerdir. Bir çalışanın ISO 27001 eğitimine katılması ya da bir personel belgelendirme sınavını geçmesi, kuruluşun ISO 27001 belgesine sahip olduğu anlamına gelmez. Kuruluş belgesi yalnızca yönetim sisteminin denetlenmesiyle elde edilir.

Kimler ISO 27001 Belgesi Almalı?

ISO 27001 sektör ayrımı yapmaz. Bilgiyle çalışan her ölçekte ve her türde kuruluşa uygulanabilir. Standart genel olarak yasal bir zorunluluk değildir. Ancak bazı sektörlerde düzenleyici kurumların şartları, müşteri sözleşmeleri ya da ihale şartnameleri nedeniyle fiilen beklenen bir belge hâline gelir. Belgeye en çok ihtiyaç duyan kuruluş grupları şunlardır:

Yazılım, SaaS, veri merkezi, barındırma ve yönetilen hizmet sağlayıcıları gibi müşteri verisini işleyen bilişim şirketleri
Bankacılık, sigortacılık, ödeme ve finansal teknoloji alanında faaliyet gösteren kuruluşlar ile bunlara hizmet veren tedarikçiler
E-fatura ve e-arşiv gibi e-dönüşüm hizmetleri sunan firmalar; bu alanlarda ISO 27001 ilgili düzenlemelerde aranabilir, güncel şartlar yetkili kurumun duyurularından kontrol edilmelidir
Telekomünikasyon, enerji ve diğer kritik altyapı sektörlerindeki şirketler ile bunların tedarik zincirinde yer alan firmalar
Sağlık kuruluşları, çağrı merkezleri, dijital pazarlama ajansları ve büyük miktarda kişisel veri işleyen diğer işletmeler
Otomotiv ve üretim gibi, ana sanayinin tedarikçilerinden bilgi güvenliği kanıtı istediği sektörler

İhaleler ve tedarik zinciri

Kamu ve özel sektör ihalelerinde, özellikle bilişim hizmeti alımlarında, ISO 27001 belgesi sıkça yeterlilik şartı ya da puanlama kriteri olarak istenir. Kurumsal müşteriler de tedarikçi değerlendirme anketlerinde bu belgeyi sorar. Belge yoksa her müşteriye uzun güvenlik anketlerini ayrı ayrı doldurmak ve kanıt sunmak gerekir. Belge varsa bu soruların önemli bir kısmı tek bir bağımsız doğrulamayla yanıtlanmış olur. Burada dikkat edilmesi gereken nokta kapsamdır: İhaleye konu hizmet belgenin kapsamında değilse belge beklenen işlevi görmeyebilir.

KVKK ile ilişkisi

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlularından kişisel verilerin güvenliği için uygun teknik ve idari tedbirleri almalarını ister. Ancak bu tedbirlerin nasıl yönetileceğine dair ayrıntılı bir sistem tarif etmez. ISO 27001 bu boşluğu dolduran bir araçtır. Risk değerlendirmesi, erişim yönetimi, kayıt tutma, olay yönetimi ve tedarikçi güvenliği gibi kontroller, KVKK'nın beklediği tedbirlerin önemli bir kısmını sistematik biçimde hayata geçirir. Yine de ISO 27001 belgesi tek başına KVKK uyumu anlamına gelmez. Aydınlatma, açık rıza, VERBİS kaydı ve saklama-imha politikası gibi hukuki yükümlülükler ayrıca ele alınmalıdır.

İki çalışmayı birlikte planlamak tekrar eden işleri azaltır. Kişisel veri tarafındaki yükümlülükler için KVKK danışmanlığı sayfamızı inceleyebilirsiniz.

ISO 27001 Belgesinin Faydaları

Güven ve satış kolaylığı: Kurumsal müşterilerin güvenlik anketleri daha kısa sürede yanıtlanır ve satış görüşmelerinde bilgi güvenliği bir engel olmaktan çıkar.
İhalelere erişim: Belgeyi şart koşan ihalelere başvurabilmenin yolu açılır.
Riskin görünür olması: Hangi varlığın hangi tehdide açık olduğu, hangi kontrolün neden uygulandığı kayıt altına alınır. Yönetim, güvenlik yatırımlarını bu tabloya bakarak önceliklendirebilir.
Olaylara hazırlık: Olay yönetimi, yedekleme ve iş sürekliliği süreçleri tanımlanır. Böylece bir ihlal ya da kesinti yaşandığında kimin ne yapacağı bellidir.
Mevzuat uyumuna destek: KVKK ve sektörel düzenlemelerin istediği teknik ve idari tedbirler için düzenli bir çerçeve oluşur.
Kurum kültürü: Farkındalık eğitimleri ve açık kurallar sayesinde bilgi güvenliği yalnızca BT ekibinin değil, tüm çalışanların sorumluluğu hâline gelir.
Uluslararası tanınırlık: Akredite bir kuruluşun verdiği belge, yurt dışındaki müşteriler ve iş ortakları tarafından da tanınır.

Belgenin hiçbir güvenlik olayı yaşanmayacağını garanti etmediğini de belirtmek gerekir. ISO 27001'in sağladığı şey sıfır risk değildir. Standart, risklerin bilinçli biçimde yönetilmesini ve bir sorun çıktığında hızlı, kontrollü bir müdahale yapılmasını sağlar.

ISO/IEC 27001:2022 Standardının Yapısı

Standardın güncel sürümü ISO/IEC 27001:2022'dir. 2024 yılında yayımlanan tadil, bağlam maddelerine iklim değişikliğinin değerlendirilmesine ilişkin kısa bir ekleme yapmıştır. 2013 sürümünden geçiş süresi 31 Ekim 2025'te sona erdiği için bugün düzenlenen ve geçerli olan belgelerin tamamı 2022 sürümüne göredir. Standart iki ana bölümden oluşur: yönetim sistemi şartlarını içeren 4-10. maddeler ve kontrol listesini içeren Ek-A.

Madde 4-10: Yönetim sistemi şartları

Madde 4, Kuruluşun bağlamı: İç ve dış hususlar, ilgili tarafların beklentileri ve BGYS kapsamı belirlenir.
Madde 5, Liderlik: Üst yönetimin taahhüdü, bilgi güvenliği politikası, roller ve sorumluluklar tanımlanır.
Madde 6, Planlama: Risk değerlendirme ve risk işleme yöntemi belirlenir, bilgi güvenliği hedefleri konur.
Madde 7, Destek: Kaynaklar, yetkinlik, farkındalık, iletişim ve dokümante bilgi yönetimi ele alınır.
Madde 8, Operasyon: Planlanan risk değerlendirmeleri ve risk işleme planları uygulanır.
Madde 9, Performans değerlendirme: İzleme ve ölçme yapılır, iç tetkik ve yönetimin gözden geçirmesi gerçekleştirilir.
Madde 10, İyileştirme: Uygunsuzluklar ve düzeltici faaliyetler yönetilir, sistem sürekli iyileştirilir.

Ek-A: 93 kontrol, 4 tema

2022 sürümünde Ek-A kontrolleri 2013 sürümündeki 114 kontrolden 93 kontrole indirildi ve 14 alan yerine dört temada toplandı. Bazı kontroller birleştirildi. Tehdit istihbaratı, bulut hizmetlerinin güvenliği, yapılandırma yönetimi, veri maskeleme, veri sızıntısının önlenmesi, web filtreleme ve güvenli kodlama gibi 11 yeni kontrol eklendi.

Organizasyonel kontroller (5. bölüm): 37 kontrol. Politikalar, roller, varlık yönetimi, erişim kontrolü, tedarikçi ilişkileri, olay yönetimi ve iş sürekliliği gibi konuları kapsar.
İnsan kontrolleri (6. bölüm): 8 kontrol. İşe alım öncesi tarama, gizlilik sözleşmeleri, farkındalık eğitimi, disiplin süreci ve uzaktan çalışma bu temadadır.
Fiziksel kontroller (7. bölüm): 14 kontrol. Güvenli alanlar, giriş kontrolü, fiziksel güvenlik izleme, ekipman ve depolama ortamlarının korunması bu temada yer alır.
Teknolojik kontroller (8. bölüm): 34 kontrol. Uç nokta güvenliği, kimlik doğrulama, zararlı yazılımdan korunma, teknik açıklık yönetimi, yedekleme, kayıt tutma, ağ güvenliği ve güvenli geliştirme gibi konuları kapsar.

Ek-A kontrollerinin hepsinin uygulanması zorunlu değildir. Kuruluş, risk değerlendirmesinin sonucuna göre hangi kontrolleri uyguladığını ve hangilerini neden dışarıda bıraktığını Uygulanabilirlik Bildirgesi (SoA) adı verilen belgede gerekçelendirir. Buna karşılık 4-10. maddelerin tamamı her kuruluş için geçerlidir. Bu maddeler dışarıda bırakılamaz.

ISO 27001 Belgesi Nasıl Alınır?

Belgeye giden yol, sistemin kurulması ve bağımsız denetimden geçmesi olmak üzere iki ana bölümden oluşur. Süreç özetle altı adımda ilerler:

Kapsam ve boşluk analizi: BGYS'nin hangi birimleri, lokasyonları ve hizmetleri kapsayacağı belirlenir. Mevcut durum standartla karşılaştırılır.
Varlık envanteri ve risk değerlendirmesi: Bilgi varlıkları listelenir, tehditler ve zafiyetler değerlendirilir, risk işleme planı hazırlanır.
Uygulanabilirlik Bildirgesi ve dokümantasyon: Seçilen Ek-A kontrolleri gerekçeleriyle birlikte SoA'ya yazılır. Politika ve prosedürler hazırlanır.
Kontrollerin uygulanması ve eğitim: Teknik ve idari önlemler hayata geçirilir, çalışanlara farkındalık eğitimi verilir, kayıtlar oluşmaya başlar.
İç tetkik ve yönetimin gözden geçirmesi: Sistem içeriden denetlenir, bulgular kapatılır, üst yönetim sistemi değerlendirir.
Belgelendirme denetimi: Seçilen belgelendirme kuruluşu Aşama 1 ve Aşama 2 denetimlerini yapar. Uygunsuzluklar kapatıldıktan sonra belge kararı verilir.

Her adımda ne yapıldığını, hangi çıktının üretildiğini ve genel süre aralıklarını ISO 27001 belgesi nasıl alınır: adım adım rehber sayfamızda ayrıntılı olarak anlattık. Süreci bir ekiple birlikte yürütmek isterseniz ISO 27001 danışmanlık hizmeti kapsamımızı inceleyebilirsiniz.

Aşama 1 ve Aşama 2 Belgelendirme Denetimi

Belgelendirme denetimi, belgelendirme kuruluşlarının uyduğu uluslararası kurallar gereği iki aşamada yapılır. İki aşama arasında genellikle birkaç hafta bulunur. Bu süre, Aşama 1'de çıkan eksiklerin giderilmesi için kullanılır.

Aşama 1: Hazırlık ve dokümantasyon incelemesi

Denetçi BGYS kapsamını, bilgi güvenliği politikasını, risk değerlendirme yöntemini ve sonuçlarını, Uygulanabilirlik Bildirgesini, iç tetkik ve yönetimin gözden geçirmesi kayıtlarını inceler. Amaç, kuruluşun Aşama 2'ye hazır olup olmadığını anlamaktır. Aşama 1'de ciddi eksikler çıkarsa Aşama 2 ertelenebilir. Bu denetim kısmen uzaktan da yapılabilir.

Aşama 2: Uygulamanın doğrulanması

Denetçi, yazılı olanın gerçekte uygulanıp uygulanmadığını kontrol eder. Çalışanlarla görüşür, sistem ayarlarını ve kayıtları örnekler, fiziksel alanları gezer. Örneğin erişim yetkilerinin periyodik olarak gözden geçirildiğine, yedeklerin test edildiğine, eğitimlerin verildiğine ve olayların kayda alındığına dair somut kanıt arar. Denetim süresi, kapsamdaki çalışan sayısı ve iş süreçlerinin karmaşıklığına göre belgelendirme kuruluşu tarafından hesaplanır.

Uygunsuzluklar ve belge kararı

Denetim sonunda bulgular genellikle büyük uygunsuzluk, küçük uygunsuzluk ve gözlem ya da iyileştirme fırsatı olarak sınıflandırılır. Büyük uygunsuzluklar, belge kararından önce düzeltilmeli ve kanıtla kapatılmalıdır. Küçük uygunsuzluklar için kabul edilen bir düzeltici faaliyet planı çoğu zaman yeterli olur. Belge kararını bağımsız belgelendirme kuruluşu verir. Danışman, kuruluşu denetime hazırlar ama denetimin sonucunu belirleyemez. Bu nedenle belge garantisi veren her teklife şüpheyle yaklaşmak gerekir.

Akreditasyon ve Belgenin Geçerliliği

Belgeyi kimin verdiği, belgenin kendisi kadar önemlidir. Akreditasyon, belgelendirme kuruluşunun yetkinliğinin ulusal bir akreditasyon kurumu tarafından denetlenip onaylanmasıdır. ISO 27001 belgelendirmesi yapan kuruluşlar, ISO/IEC 17021-1 ve bilgi güvenliğine özgü ISO/IEC 27006-1 standartlarına göre akredite edilir. Türkiye'de ulusal akreditasyon kurumu Türk Akreditasyon Kurumu'dur (TÜRKAK). Akreditasyon kurumları, Uluslararası Akreditasyon Forumu'nun (IAF) karşılıklı tanınma anlaşmasına (MLA) taraf olabilir. Bu anlaşma sayesinde bir ülkede akredite kuruluşun verdiği belge, anlaşmaya taraf diğer ülkelerde de tanınır.

Akreditasyonsuz belgeler de piyasada bulunur. Bu belgeler çoğu ihalede ve kurumsal tedarikçi değerlendirmesinde kabul görmez. Bir belgelendirme kuruluşuyla anlaşmadan önce şu kontrolleri yapmanızı öneririz:

Kuruluşun akreditasyon sertifikasını ve eki olan kapsam listesini isteyin. Listede ISO/IEC 27001'in açıkça yer aldığını kontrol edin. Bir kuruluşun ISO 9001 için akredite olması, ISO 27001 için de akredite olduğu anlamına gelmez.
Akreditasyonu, ilgili akreditasyon kurumunun resmî web sitesindeki akredite kuruluşlar listesinden doğrulayın. Yabancı akreditasyonlarda o ülkenin akreditasyon kurumunun IAF MLA'ya taraf olup olmadığına bakın.
Düzenlenen belgelerin IAF CertSearch gibi uluslararası belge sorgulama veritabanlarında ya da belgelendirme kuruluşunun kendi doğrulama sayfasında sorgulanabilir olup olmadığını sorun.
Aşama 1 ve Aşama 2 denetimi yapılmadan, birkaç gün içinde belge vaat eden teklifleri reddedin. Denetimsiz belge, ilk müşteri doğrulamasında sorun çıkarır.

Kuruluş seçerken nelere bakılacağını ISO 27001 sertifikası veren firmalar rehberimizde ayrıca ele aldık.

Geçerlilik Süresi, Gözetim ve Yeniden Belgelendirme

ISO 27001 belgesi üç yıl geçerlidir ve bu süre içinde canlı tutulması gerekir. Belgelendirme döngüsü şöyle işler:

\1. yıl, gözetim denetimi: İlk gözetim denetimi, belge kararından itibaren en geç 12 ay içinde yapılır. Sistemin işlemeye devam ettiği, önceki bulguların kapatıldığı ve değişikliklerin yönetildiği kontrol edilir.
\2. yıl, gözetim denetimi: Takvim yılında en az bir kez olmak üzere ikinci gözetim denetimi yapılır. Gözetim denetimleri ilk belgelendirmeye göre daha kısadır ve her seferinde sistemin bir bölümü örneklenir.
\3. yıl, yeniden belgelendirme: Belgenin süresi dolmadan önce kapsamlı bir yeniden belgelendirme denetimi yapılır. Olumlu kararla yeni bir üç yıllık döngü başlar.

Gözetim denetimi yapılmazsa ya da büyük uygunsuzluklar zamanında kapatılmazsa belgelendirme kuruluşu belgeyi askıya alabilir veya geri çekebilir. Kapsamda önemli bir değişiklik olduğunda, örneğin yeni bir lokasyon ya da hizmet eklendiğinde, belgelendirme kuruluşuna bilgi verilmeli ve gerekirse kapsam genişletme denetimi planlanmalıdır.

ISO 27001 Belgesi Ücreti Neye Bağlıdır?

ISO 27001 belgesi için tek bir liste fiyatı yoktur. Toplam maliyeti doğru okuyabilmek için birbirinden bağımsız üç kalemi ayırmak gerekir:

Danışmanlık ücreti: Boşluk analizi, risk değerlendirmesi, SoA, dokümantasyon, eğitim, iç tetkik ve denetime hazırlık desteği. Kuruluş sistemi kendi ekibiyle kurarsa bu kalem küçülür, ancak iç kaynak maliyeti artar.
Teknik kurulum ve iyileştirme giderleri: Boşluk analizinde ortaya çıkan eksikleri kapatmak için gereken yatırımlar. Log yönetimi, yedekleme altyapısı, uç nokta koruması, çok faktörlü kimlik doğrulama, sızma testi ya da fiziksel güvenlik iyileştirmeleri bu kaleme girer. Bu tutar tamamen mevcut duruma bağlıdır.
Belgelendirme kuruluşu ücreti: Aşama 1, Aşama 2, iki gözetim ve yeniden belgelendirme denetimleri için belgelendirme kuruluşuna ödenir. Danışmanlık firmasına değil, doğrudan belgelendirme kuruluşuna ödenmesi şeffaflık açısından önemlidir.

Bu kalemlerin büyüklüğünü belirleyen başlıca etkenler şunlardır:

Kapsamdaki çalışan sayısı. Denetim gün sayısı büyük ölçüde buna göre hesaplanır.
Lokasyon sayısı ve uzak çalışan ekipler
Bilgi sistemlerinin karmaşıklığı, bulut ve şirket içi altyapının dağılımı
Yazılım geliştirme yapılıp yapılmadığı, dış kaynaklı süreçler ve tedarikçi sayısı
Mevcut olgunluk düzeyi. Hazır politika ve süreçler varsa iş yükü azalır.
Hedef takvim. Sıkışık takvimler daha yoğun kaynak gerektirir.

Kalemlerin nasıl hesaplandığını ve teklifleri karşılaştırırken nelere dikkat edilmesi gerektiğini ISO 27001 belgesi fiyatı sayfamızda anlattık.

ISO 27001 Belgesi Almak Ne Kadar Sürer?

Süre, kapsamın genişliğine ve başlangıçtaki olgunluğa bağlıdır. Genel bir fikir vermek gerekirse, tek lokasyonlu ve sınırlı kapsamlı küçük ve orta ölçekli kuruluşlarda sistem kurulumundan belge kararına kadar geçen süre çoğu zaman birkaç ay, tipik olarak 3 ile 6 ay arasındadır. Çok lokasyonlu, yoğun yazılım geliştirmesi olan ya da güvenlik altyapısında önemli eksikleri bulunan kuruluşlarda bu süre bir yıla yaklaşabilir. Bu aralıklar genel gözleme dayanır ve bir taahhüt değildir. En çok zaman alan kısım, kontrollerin hayata geçirilmesi ve denetçiye gösterilecek uygulama kayıtlarının oluşmasıdır. Birçok belgelendirme kuruluşu Aşama 2'den önce en az bir iç tetkikin ve bir yönetimin gözden geçirmesi toplantısının tamamlanmış olmasını bekler.

ISO 27001 Belgelendirmesinde Sık Yapılan Hatalar

İnternetten indirilen hazır doküman setlerini şirkete uyarlamadan kullanmak. Denetçi, yazılanla uygulananı karşılaştırdığında bu fark hemen ortaya çıkar.
Kapsamı yanlış belirlemek. Kapsam çok dar tutulursa belge ihalede işe yaramaz. Çok geniş tutulursa proje gereksiz yere uzar.
Risk değerlendirmesini formalite olarak görmek. SoA'daki kontrol seçimleri risklere dayanmadığında sistemin tutarlılığı bozulur.
Projeyi yalnızca BT ekibine bırakmak. İnsan kaynakları, satın alma, hukuk ve idari işler de BGYS'nin parçasıdır.
Uygulama kaydı biriktirmeden denetime girmek. Eğitim katılım listeleri, erişim gözden geçirme kayıtları ve olay kayıtları yoksa Aşama 2'de bulgu çıkar.
Teknik açıklık yönetimini ihmal etmek. Ek-A 8.8 kontrolü teknik açıklıkların yönetilmesini ister. Düzenli zafiyet taraması ve sızma testi bunun yaygın kanıtlarıdır. Standart sızma testini adıyla zorunlu kılmaz, ancak açıklıkların tespit edilip giderildiğinin gösterilmesi gerekir.
Belge alındıktan sonra sistemi rafa kaldırmak. Gözetim denetimlerinde sistemin yaşadığı görülmezse belge riske girer.
Belgelendirme kuruluşunun akreditasyonunu ve akreditasyon kapsamını kontrol etmemek.

Ek-A 8.8 kapsamında bağımsız teknik doğrulamaya ihtiyacınız varsa sızma testi (pentest) hizmetimiz, raporlama ve yeniden test adımlarıyla birlikte BGYS kayıtlarınıza doğrudan girdi sağlar.

Sıkça Sorulan Sorular

ISO 27001 belgesi zorunlu mu?

Genel bir yasal zorunluluk yoktur. Bazı sektörlerde düzenleyici kurumların şartları, ihale şartnameleri veya müşteri sözleşmeleri belgeyi fiilen gerekli kılabilir. Kendi durumunuz için ilgili mevzuatı ve sözleşmelerinizi kontrol etmeniz gerekir.

ISO 27001 belgesi kaç yıl geçerlidir?

Belge üç yıl geçerlidir. Bu süre boyunca her yıl gözetim denetimi yapılır. Üçüncü yılın sonunda, belgenin süresi dolmadan yeniden belgelendirme denetimi yapılır ve olumlu kararla yeni bir döngü başlar.

ISO 27001 belgesi ile sertifikası arasında fark var mı?

Hayır, iki ifade aynı belgeyi anlatır. Fark yalnızca kelime tercihindedir. Kişilere verilen eğitim sertifikaları ise kuruluş belgesiyle karıştırılmamalıdır.

Belgeyi danışmanlık firması mı verir?

Hayır. Danışmanlık firması sistemi kurmanıza ve denetime hazırlanmanıza yardım eder. Belge kararını bağımsız belgelendirme kuruluşu verir. Tarafsızlık kuralları gereği aynı kuruluşun hem danışmanlık yapıp hem belge vermesi kabul edilmez.

Küçük bir şirket ISO 27001 belgesi alabilir mi?

Evet. Standart ölçekten bağımsızdır. Küçük kuruluşlarda dokümantasyon daha sade tutulabilir, denetim süresi daha kısa olur ve kapsam net belirlendiğinde süreç daha hızlı ilerler.

ISO 27001 belgesi KVKK uyumu için yeterli mi?

Tek başına yeterli değildir. ISO 27001, KVKK'nın istediği teknik ve idari tedbirlerin önemli bir kısmını sistematik hâle getirir. Aydınlatma yükümlülüğü, açık rıza, VERBİS ve saklama-imha gibi hukuki süreçlerin ayrıca yürütülmesi gerekir.

2013 sürümüne göre alınmış belgem hâlâ geçerli mi?

ISO/IEC 27001:2013'ten 2022 sürümüne geçiş süresi 31 Ekim 2025'te sona erdi. Bu tarihe kadar geçişi tamamlanmayan 2013 sürümü belgeler geçerliliğini yitirmiştir. Böyle bir durumdaysanız belgelendirme kuruluşunuzla görüşerek 2022 sürümüne göre yeniden belgelendirme planlamanız gerekir.

Belgelendirme kuruluşunu sonradan değiştirebilir miyim?

Evet. Akredite belgeler, uluslararası kurallar çerçevesinde başka bir akredite belgelendirme kuruluşuna transfer edilebilir. Transfer sırasında yeni kuruluş mevcut belgenin geçerliliğini, açık uygunsuzlukları ve son denetim raporlarını inceler.

ISO 27001 Belgesi İçin İlk Adımı Atın

ISO 27001 belgesi, doğru kapsam ve gerçekten uygulanan bir sistemle birleştiğinde satışı, ihaleye katılımı ve güvenlik yönetimini birlikte güçlendirir. Ekibimiz boşluk analizinden Aşama 2 denetimine kadar süreci sizinle birlikte yürütür. Teknik açıklık yönetimi, farkındalık ve KVKK tarafını da aynı plan içinde ele alır.

Kapsamınızı birlikte netleştirmek ve size özel bir yol haritası almak için teklif formunu doldurun. Danışman seçerken nelere bakmanız gerektiğini merak ediyorsanız ISO 27001 danışmanlık firması seçim rehberimizi okuyabilirsiniz.

ISO 27001 Belgesi (Sertifikası): Nedir, Nasıl Alınır, Ücreti ve Geçerliliği