ISO 27001 Danışmanlık Firması Nasıl Seçilir?

ISO 27001 projesine başlayan bir kurumun ilk büyük kararı, hangi danışmanlık firmasıyla çalışacağıdır. Bu karar yalnızca belgelendirme denetiminin sonucunu değil, kurulan bilgi güvenliği yönetim sisteminin (BGYS) belge alındıktan sonra yaşayıp yaşamayacağını da belirler. Yanlış seçilmiş bir firma, kuruma uymayan doküman yığınları, sahada karşılığı olmayan politikalar ve her gözetim denetiminde yeniden başlayan bir telaş bırakabilir. Doğru seçilmiş bir firma ise riskleri gerçekten azaltan, çalışanların anladığı ve yönetimin sahiplendiği bir sistem kurar.

Piyasada çok sayıda ISO 27001 danışmanlık firması bulunuyor ve teklifler ilk bakışta birbirine benziyor. Farklar genellikle ayrıntıda gizli: yöntemde, kimin hangi işi yapacağında, fiyata nelerin dahil olduğunda. Bu rehber, ISO 27001 danışmanlık firmaları arasında seçim yapan karar vericiler için hazırlandı. Kontrol listesi, uyarı işaretleri, firmaya sorulacak sorular ve teklif karşılaştırma yöntemiyle birlikte, masadaki seçenekleri aynı ölçütle değerlendirmenize yardımcı olmayı amaçlıyor.

İyi Bir ISO 27001 Danışmanlık Firmasında Olması Gerekenler

Aşağıdaki başlıklar, bir ISO 27001 danışmanlık şirketini değerlendirirken kullanabileceğiniz temel kontrol listesidir. Her maddeyi teklif aşamasında yazılı olarak sormanızı öneririz.

Açık ve kuruma uyarlanan bir yöntem

Firma, projenin hangi aşamalardan geçeceğini net anlatabilmelidir: kapsam belirleme, mevcut durum (boşluk) analizi, varlık envanteri, risk değerlendirmesi ve risk işleme planı, Uygulanabilirlik Bildirgesi, politika ve prosedürlerin hazırlanması, uygulama, farkındalık eğitimleri, iç tetkik ve yönetimin gözden geçirmesi. Yöntemin kurumunuzun büyüklüğüne, sektörüne ve mevcut altyapısına göre nasıl uyarlanacağı da konuşulmalıdır. Herkese aynı adımları aynı sürede uygulayan bir plan, genellikle sahayı tanımadan hazırlanmış bir plandır.

Teslim edilecek dokümanların listesi

Proje sonunda elinize hangi dokümanların geçeceği baştan bilinmelidir. Kapsam dokümanı, bilgi güvenliği politikası, risk metodolojisi ve risk kayıtları, Uygulanabilirlik Bildirgesi, kontrol bazlı prosedürler, iç tetkik raporu ve yönetimin gözden geçirmesi kayıtları bu listenin tipik parçalarıdır. Dokümanların kurumunuzun gerçek süreçlerini anlatması, düzenlenebilir formatta teslim edilmesi ve mülkiyetinin size ait olması gerekir.

Teknik kontrolleri kimin kuracağı

ISO 27001:2022 Ek A'daki kontrollerin önemli bir kısmı teknik niteliktedir: erişim yönetimi, kayıt ve izleme, zafiyet yönetimi, yedekleme, ağ güvenliği, güvenli yazılım geliştirme gibi. Bazı danışmanlık firmaları yalnızca doküman hazırlar ve teknik uygulamayı kurumun BT ekibine bırakır. Bu tercih kendi başına yanlış değildir, ancak teklifte açıkça yazmalıdır. Kurumunuzda bu işleri yürütecek kapasite yoksa, teknik kurulumu kimin yapacağını ve bunun ayrı bir maliyet olup olmadığını en başta netleştirin.

Tarafsızlık

Danışmanlık ile belgelendirme birbirinden ayrı işlerdir. Sistemi kurmanıza yardım eden firma sizi denetleyemez; belgelendirme kuruluşu da size danışmanlık yapamaz. İyi bir firma bu ayrımı korur, belgelendirme kuruluşu seçimini size bırakır ve birden fazla kuruluştan teklif almanızı önerir. Ürün satan firmalarda da benzer bir dikkat gerekir: önerilen çözümün ihtiyaçtan mı yoksa satış hedefinden mi doğduğunu sorgulayın.

Belgelendirme sonrası destek

Belge, üç yıllık bir döngünün başlangıcıdır. Her yıl gözetim denetimi yapılır, üçüncü yılın sonunda yeniden belgelendirme gelir. Bu süreçte risk değerlendirmesinin güncellenmesi, iç tetkiklerin tekrarlanması ve değişen altyapıya göre kontrollerin gözden geçirilmesi gerekir. Firmanın belge sonrasında hangi desteği, hangi koşullarla verdiğini sorun.

Şeffaf teklif kalemleri

Teklif, tek satırlık bir toplam rakamdan ibaret olmamalıdır. Danışmanlık gün sayısı ya da iş paketleri, eğitimler, iç tetkik, teknik hizmetler ve varsa yazılım lisansları ayrı ayrı görünmelidir. Böylece neyi satın aldığınızı bilir, farklı firmaların tekliflerini de adil biçimde karşılaştırabilirsiniz.

Kaçınılması Gereken İşaretler

Bazı vaatler kulağa cazip gelir ama projenin sağlıklı ilerlemeyeceğine dair erken uyarılardır. Aşağıdaki işaretlerden birini gördüğünüzde durup ayrıntı istemeniz yerinde olur.

• Belge garantisi vaadi: Belgelendirme kararını bağımsız belgelendirme kuruluşu verir. Hiçbir danışmanlık firması denetimin sonucunu garanti edemez. Bu vaadi veren bir firma ya denetim sürecini yanlış anlatıyordur ya da tarafsızlık ilkesini zorlayan bir ilişki öneriyordur.
• Hazır şablon doküman seti: Birkaç gün içinde teslim edilen, başka kurumların adının yer değiştirildiği bir doküman paketi, denetimde sahayla çelişir. Denetçi dokümanda yazanı uygulamada arar; yazılanla yapılan uyuşmadığında bulgu çıkar.
• Belirli bir belgelendirme kuruluşuna yönlendirme: Tek bir kuruluşu dayatan, başka kuruluştan teklif almanızı istemeyen ya da danışmanlık ile belgelendirmeyi tek pakette satan yaklaşımlar tarafsızlık açısından sorunludur. Kuruluş seçimi sizin kararınız olmalıdır.
• Gerçekçi olmayan süre vaatleri: ISO 27001, belgelendirme denetiminden önce sistemin bir süre işletilmesini ve bunun kayıtlarla gösterilmesini gerektirir. Kapsamı ve kurumu tanımadan kısa ve kesin bir süre söylenmesi, uygulama aşamasının atlanacağına işaret edebilir.
• Kapsamı sormadan verilen fiyat: Çalışan sayısı, lokasyon sayısı, süreçler ve altyapı bilinmeden verilen sabit bir fiyat, ya işin eksik yapılacağını ya da sonradan ek kalemlerin çıkacağını gösterir.

Firmaya Sormanız Gereken 10 Soru

Görüşmelerde aşağıdaki soruları tüm adaylara aynı şekilde sorun ve cevapları yazılı alın. Cevapların netliği, firmanın işi nasıl yürüteceği hakkında çok şey söyler.

1. Projeyi hangi aşamalarla yürütüyorsunuz ve her aşamanın çıktısı nedir?
2. Projede kimler çalışacak, rolleri neler ve sahaya kim gelecek?
3. Dokümanları kurumumuza özel mi hazırlıyorsunuz, yoksa bir şablon setini mi uyarlıyorsunuz?
4. Risk değerlendirmesini hangi yöntemle yapıyorsunuz ve bu çalışmaya bizim ekibimiz nasıl katılacak?
5. Ek A'daki teknik kontrolleri kim uygulayacak: siz mi, bizim BT ekibimiz mi, üçüncü bir taraf mı?
6. Sızma testi ve zafiyet taraması gibi teknik doğrulama hizmetleri teklife dahil mi?
7. Belgelendirme kuruluşu seçiminde nasıl bir rol üstleniyorsunuz?
8. İç tetkiki kim yapacak ve bağımsızlığı nasıl sağlanacak?
9. Belgelendirme sonrasında gözetim denetimlerine hazırlıkta hangi desteği veriyorsunuz?
10. Teklifinizde hangi kalemler var ve hangi durumlarda ek ücret çıkar?

Teklifleri Nasıl Karşılaştırmalı?

ISO 27001 teklifleri arasındaki fiyat farkının büyük kısmı, tekliflerin farklı işleri kapsamasından kaynaklanır. Doğru karşılaştırma için toplam maliyeti üç ayrı kaleme bölmek gerekir.

• Danışmanlık hizmeti: Analiz, risk çalışması, dokümantasyon, eğitim, iç tetkik ve denetime hazırlık. Danışmanlık firmasına ödenir.
• Teknik kurulum ve lisanslar: Kayıt yönetimi, yedekleme, uç nokta güvenliği, erişim yönetimi gibi kontrollerin kurulumu, sızma testi ve gerekiyorsa yazılım lisansları. Bu kalem danışmanlık teklifinde olabilir de, olmayabilir de.
• Belgelendirme kuruluşu ücreti: Aşama 1 ve Aşama 2 denetimleri ile sonraki yıllardaki gözetim denetimleri. Doğrudan belgelendirme kuruluşuna ödenir ve danışmanlık bedelinden ayrıdır.

Teklifleri yan yana koyarken her firmanın hangi kalemi kapsadığını işaretleyin. Düşük görünen bir teklif, teknik kurulumu kapsamıyorsa toplam maliyette daha pahalıya gelebilir. Ayrıca danışman gün sayısını, sahada geçirilecek süreyi ve belge sonrası desteğin süresini karşılaştırın.

Maliyet kalemlerinin ayrıntısı için ISO 27001 belgesi fiyatı sayfamıza, belgelendirme kuruluşu seçerken nelere bakılacağı için ISO 27001 sertifikası veren firmalar rehberimize göz atabilirsiniz.

Bizim Yaklaşımımız

Bilgi güvenliği alanında sektör tecrübesine sahip uzman bir ekiple çalışıyoruz. ISO 27001 danışmanlığı, sızma testi, KVKK uyumu ve teknik kontrollerin kurulumu aynı ekip içinde yürütülüyor. Bu sayede dokümanda yazılan kontrol ile sahada kurulan kontrol arasında kopukluk oluşmuyor.

• Kuruma özel hazırlanan dokümantasyon ve risk değerlendirmesi
• PentForce ile sızma testi ve teknik doğrulama
• KVKK uyum çalışmalarının BGYS ile birlikte ele alınması
• Ensa bünyesinde geliştirilen kendi yazılımlarımızla teknik kontrol desteği
• Belgelendirme kuruluşu seçiminin tamamen size bırakılması
• Gebze merkezli, Türkiye genelinde yerinde ve uzaktan hizmet

Sıkça Sorulan Sorular

ISO 27001 danışmanlık firması belge almayı garanti edebilir mi?

Hayır. Belgelendirme kararını bağımsız belgelendirme kuruluşu verir. Danışmanlık firmasının görevi, sistemi standardın şartlarını karşılayacak ve denetimde kanıtlanabilecek biçimde kurmanıza yardımcı olmaktır. Garanti vaadi bir uyarı işareti olarak değerlendirilmelidir.

Danışmanlık firması ile belgelendirme kuruluşu aynı olabilir mi?

Olmamalıdır. Tarafsızlık ilkesi gereği sistemi kurmanıza yardım eden taraf, aynı sistemi denetleyemez. Danışmanlık firması ile belgelendirme kuruluşunu ayrı ayrı seçmeniz ve ücretlerini ayrı değerlendirmeniz gerekir.

Danışmanlık firmasıyla çalışmadan ISO 27001 belgesi alınabilir mi?

Standart danışman kullanmayı zorunlu tutmaz. Yeterli bilgi birikimi ve zamanı olan bir iç ekip sistemi kendi kurabilir. Ancak risk değerlendirmesi, Ek A kontrollerinin yorumlanması ve denetime hazırlık uzmanlık gerektirdiği için çoğu kurum bu süreçte dış destek almayı tercih eder.

ISO 27001 danışmanlık süreci ne kadar sürer?

Süre; kapsamın genişliğine, lokasyon ve çalışan sayısına, mevcut güvenlik altyapısına ve kurum içi kaynakların ayrılabilmesine bağlıdır. Sistemin denetimden önce bir süre işletilmesi ve kayıt üretmesi gerektiği için süre, kapsam netleştikten sonra gerçekçi bir planla belirlenmelidir.

Belge alındıktan sonra danışmanlık desteği gerekir mi?

Zorunlu değildir, ancak her yıl yapılan gözetim denetimleri, güncellenmesi gereken risk değerlendirmesi ve tekrarlanan iç tetkikler nedeniyle birçok kurum belge sonrasında da destek almayı tercih eder. Bu desteğin kapsamını ilk teklif aşamasında konuşmak, ileride sürprizlerin önüne geçer.

Kurumunuz için doğru ISO 27001 danışmanlık firmasını ararken bizi de değerlendirmek isterseniz, kapsamınızı konuşup kalem kalem ayrılmış bir teklif hazırlayalım. Teklif formunu doldurabilir ya da çalışma yöntemimizi ayrıntılı görmek için ISO 27001 danışmanlık hizmeti sayfamızı inceleyebilirsiniz.