ISO/IEC 27001:2022 · Bilgi Güvenliği Yönetim Sistemi

ISO 27001:2022 Danışmanlığı ve BGYS Kurulumu

Bilgi Güvenliği Yönetim Sistemi'nizi kapsam belirlemeden belgelendirme denetimine hazırlığa kadar birlikte kuruyoruz: risk değerlendirmesi, Uygulanabilirlik Bildirgesi, politika seti, eğitim ve iç tetkik. Sızma testi, KVKK uyumu ve teknik kontrol kurulumunu aynı projede, tek ekiple yürütüyoruz.

2010'dan beri sahada
Gap analizinden belgelendirme denetimine
Belgelendirme kuruluşunu siz seçersiniz
Gebze merkezli, Türkiye geneli hizmet

Ücretsiz Ön Görüşme WhatsApp'tan Yazın

01 — Proje süreci ve teslimatlar

ISO 27001 danışmanlık süreci nasıl ilerler?

Altı aşama, BGYS kurulumunun ana adımlarını ve her adımın çıktısını özetler. Ayrıntılı plan ve takvim, ön değerlendirmede kurumunuza göre netleşir.

Aşama 1

Kapsam ve mevcut durum

Süreçleriniz, lokasyonlarınız, bilgi varlıklarınız ve ilgili tarafların beklentileri incelenir; mevcut uygulamalar standarda göre değerlendirilir.

Beklenen çıktı: BGYS kapsamı, boşluk (gap) analizi raporu ve proje planı.

Aşama 2

Risk değerlendirmesi

Varlık bazlı tehdit ve açıklıklar ISO/IEC 27005 yaklaşımıyla değerlendirilir; risk sahipleri ve işleme seçenekleri belirlenir.

Beklenen çıktı: Risk envanteri, değerlendirme kriterleri ve risk işleme planı.

Aşama 3

SoA ve kontrol planı

93 Ek-A kontrolünün uygulanabilirliği gerekçeleriyle belirlenir; seçilen kontroller için sorumlu ve takvim atanır.

Beklenen çıktı: Uygulanabilirlik Bildirgesi (SoA) ve kontrol uygulama planı.

Aşama 4

Uygulama ve eğitim

Politika ve prosedürler kurumunuza uyarlanır; teknik kontroller kurulur, personel farkındalık eğitimleri verilir.

Beklenen çıktı: Politika seti, uygulama kanıtları ve eğitim kayıtları.

Aşama 5

İç tetkik ve YGG

Sistemin işleyişi bağımsız bir iç tetkikle sınanır; bulgular Yönetimin Gözden Geçirmesi'nde karara bağlanır.

Beklenen çıktı: İç tetkik raporu, düzeltici faaliyetler ve YGG kararları.

Aşama 6

Denetime hazırlık ve takip

Belgelendirme öncesi prova değerlendirme yapılır; açık konular kapatılır, denetim günü ve sonrası planlanır.

Beklenen çıktı: Hazırlık raporu, açık faaliyet listesi ve takip planı.

Kurumunuzun projedeki rolü

Üst yönetim kapsam, kaynak ve risk kararlarına katılır. Süreç sahipleri mevcut uygulamaları ve kanıtları paylaşır; BT, insan kaynakları ve ilgili birimler kendi sorumluluklarındaki kontrolleri işletir. Kurum içinden bir proje sorumlusu toplantıları ve aksiyonları koordine eder.

Biz danışmanlık, dokümantasyon, teknik kurulum, eğitim ve değerlendirme çalışmalarını yürütürüz. BGYS'nin günlük işletimi ve yönetim kararları kuruluşunuza aittir; tarafların görevleri proje başlangıcında netleştirilir.

02 — Ek-A teknik kontroller

SoA'ya yazmakla kalmıyoruz, kontrolleri çalışır halde kuruyoruz

Risk değerlendirmesinde seçilen teknik kontrolleri mevcut altyapınızda kurar, belgelendirme denetiminde sunulacak kanıtları birlikte hazırlarız. Denetçi, kontrolün kanıtını kâğıtta değil çalışan bir sistemde görür.

Sahada uyguladığımız kontrol alanları

Ek-A 5.9Varlık envanteriDonanım, yazılım ve lisans envanteri

Ek-A 8.8Teknik açıklık yönetimiSızma testi, zafiyet taraması, doğrulama testi

Ek-A 8.15 / 8.16Loglama ve izlemeMerkezi log toplama, SIEM / SOC izleme

Ek-A 5.15 / 8.5Erişim kontrolü ve kimlik doğrulamaActive Directory, Group Policy

Ek-A 8.20 / 8.21 / 8.22Ağ güvenliği ve ayrıştırmaSophos Firewall, SSL VPN, NAC, IPS

Ek-A 8.7Kötücül yazılımlara karşı korumaESET PROTECT

Ek-A 8.13 / 8.14Yedekleme ve yedeklilikVeeam, Azure felaket kurtarma

Ek-A 7.1 / 7.2 / 7.4Fiziksel güvenlikSunucu odası, CCTV, PDKS / turnike

Ek-A 8.9Yapılandırma yönetimiWindows Server, VMware ESXi, Microsoft 365

03 — Hizmet kapsamı

BGYS belgesinden çok daha fazlası

Hizmet kapsamımız ISO 27001 maddelerinin ötesine geçer; teknik kanıtı da biz üretiriz.

BGYS Kurulumu ve Dokümantasyon

Kurumunuza uyarlanmış politika, prosedür, form, risk kayıtları ve SoA; doküman seti kapsamınıza göre belirlenir.

Risk Değerlendirmesi

ISO/IEC 27005 yaklaşımıyla varlık bazlı risk analizi, risk kabul kriterleri ve risk işleme planı.

Sızma Testi

Ek-A 8.8 için saha kanıtı: web, ağ, Active Directory ve bulut testleri, doğrulanmış bulgu raporu.

Teknik Kontrol Kurulumu

SoA'da seçilen Ek-A kontrollerinin mevcut altyapınızda çalışır halde kurulumu ve denetim kanıtlarının hazırlanması.

KVKK Uyumu ve Sözleşmeler

KVKK Madde 12 tedbirleri BGYS ile tek kontrol ortamında; veri işleyen sözleşmeleri, aydınlatma ve açık rıza metinleri.

Farkındalık Eğitimi ve Oltalama Tatbikatı — Tatbikat

Tüm personel için Ek-A 6.3 kapsamında eğitim, e-posta oltalama simülasyonu ve sonuç raporları.

İç Tetkik ve Prova Denetim

Belgelendirme kuruluşunun denetiminden önce bağımsız iç tetkik, eksiklik tespiti ve kapatma.

Belgelendirme Sonrası Destek

Gözetim ve yeniden belgelendirme dönemlerinde BGYS'nin sürdürülmesi; kapsam sözleşmede belirlenir.

04 — Hizmeti yürüten ekip

BGYS'yi kuran, kontrolleri uygulayan ve test eden aynı ekip

Otomatik rapor değil, sahada çalışan uzmanlar. Danışman, sızma testi uzmanı, sistem mühendisi ve KVKK danışmanı aynı projede birlikte çalışır.

BGYS Proje Liderleri

Kapsam, risk değerlendirmesi, SoA ve iç tetkik süreçlerini yöneten, ISO 27001 denetim süreçlerini yakından tanıyan danışmanlar.

ISO 27001ISO 27701ISO 22301

Sızma Testi Uzmanları

Web, API, ağ, Active Directory ve IoT/OT testlerini yürüten, bulguları tek tek doğrulayan ekip.

Web · APIAğ · ADIoT / OT

Sistem ve Ağ Mühendisleri

Ek-A teknik kontrollerini altyapınızda kuran, sertleştiren ve kanıtını hazırlayan mühendisler.

MicrosoftCiscoSophosVMware

KVKK Uyum Danışmanları

Veri envanteri, VERBİS, aydınlatma ve sözleşme metinlerini BGYS ile birlikte yürüten uzmanlar.

KVKKGDPRISO 27701

Gizlilik önceliğimiz

Ekip üyelerimizin özgeçmiş ve sertifika bilgileri, teklif aşamasında talep eden kurumlarla gizlilik taahhüdü çerçevesinde paylaşılır.

Görüşme Talep Edin

05 — ISO 27001 danışmanlığı hakkında

Süre, maliyet ve bilmeniz gerekenler

ISO 27001 danışmanı seçerken nelere dikkat etmelisiniz?

ISO 27001 danışmanlığı, kuruluşların Bilgi Güvenliği Yönetim Sistemi'ni ISO/IEC 27001:2022 gerekliliklerine uygun biçimde kurması, işletmesi ve bağımsız belgelendirme denetimine hazırlanması için verilen profesyonel hizmettir. İyi bir danışman yalnızca politika ve prosedür yazmaz; süreçlerinizi analiz eder, risk haritanızı çıkarır, Ek-A kontrollerini sahadaki gerçeklikle uyumlu biçimde uygular, iç tetkik ve Yönetimin Gözden Geçirmesi'ni uygulamalı olarak yürütür.

Bizi farklı kılan, ISO 27001 danışmanlığını sızma testi, KVKK uyumu, farkındalık eğitimleri ve teknik kontrol kurulumuyla aynı proje içinde sunmamızdır. Ek-A 8.8 (teknik açıklık yönetimi) kanıtını sızma testi ekibimiz, loglama, yetkili erişim ve envanter gibi teknik kontrolleri ise sistem mühendislerimiz altyapınızda kurarak üretir; denetçi kontrolün kanıtını kâğıtta değil çalışan sistemde görür.

Bir danışmanlık firmasını değerlendirirken belge garantisi vaadine karşı dikkatli olun: belgelendirme kararını yalnızca bağımsız belgelendirme kuruluşu verir. Sorulması gereken; hazırlık yöntemi, teslim edilecek dokümanlar, teknik kontrollerin kim tarafından kurulacağı ve belgelendirme sonrası desteğin kapsamıdır.

Hizmet bölgelerimiz

Gebze merkezli ekibimizle Kocaeli, İstanbul, Sakarya, Bursa ve çevre illerde yerinde; Ankara, İzmir ve Türkiye'nin diğer illerinde yerinde ve uzaktan ISO 27001 danışmanlığı veriyoruz. Çok lokasyonlu kurumlar için merkez ofis, şube, üretim tesisi ve veri merkezini kapsayan BGYS programları kurguluyoruz.

Hangi sektörlere hizmet veriyoruz?

Finans ve sigortacılık, yazılım ve teknoloji, üretim ve otomotiv tedarik zinciri, lojistik, sağlık, e-ticaret, telekomünikasyon ve eğitim kurumları. Sektörünüze özgü düzenlemeleri (BDDK, SPK, EPDK, 5651 sayılı Kanun, KVKK) BGYS kontrol setine tek bir uyum ortamı olarak entegre ediyoruz.

Süre ve maliyet neye bağlıdır?

Maliyeti belirleyen başlıca etkenler; çalışan ve lokasyon sayısı, kapsama alınacak süreçler, BT altyapısının karmaşıklığı, mevcut olgunluk seviyesi ve sektörel düzenleme ihtiyaçlarıdır. Planlama için orta ölçekli bir KOBİ'de 3–6 ay, çok lokasyonlu büyük yapılarda 6–12 ay öngörülebilir. Bu süreler standardın zorunlu tuttuğu süreler değildir; kurum ekibinin katılımına, eksiklerin kapatılma hızına ve denetim takvimine göre değişir.

Teklifte neler netleştirilir?

Danışmanlık hizmeti, varsa teknik kurulum ve lisans giderleri ile belgelendirme kuruluşunun denetim ücreti ayrı maliyet kalemleridir. Teklif görüşmesinde çalışan ve lokasyon sayısı, kapsam, mevcut sistemler, hedef denetim tarihi ve ihtiyaç duyulan ek hizmetler değerlendirilir; hangi kalemlerin dahil olduğu size özel teklif ve sözleşmede açıkça yazılır.

Standartlar: ISO/IEC 27001:2022 — BGYS gereklilikleri · ISO/IEC 27002:2022 — bilgi güvenliği kontrolleri · ISO/IEC 27005:2022 — bilgi güvenliği risk yönetimi

Kapsamı Görüşün ve Teklif İsteyin

06 — Sık sorulan sorular

ISO 27001 danışmanlığı hakkında sık sorulan sorular

ISO 27001 danışmanlık süreci ne kadar sürer?

Orta ölçekli bir kuruluşta genellikle 3–6 ay, çok lokasyonlu yapılarda 6–12 ay sürer. Süre; kapsamın genişliğine, mevcut olgunluğa ve kurum ekibinin katılımına göre değişir.

Belgelendirme garantisi veriyor musunuz?

Hayır. Belgelendirme kararını yalnızca bağımsız belgelendirme kuruluşu verir; hiçbir danışman belge garantisi veremez. Biz, hazırlık denetimleriyle eksiklerinizi kapatarak denetime hazır girmenizi sağlarız.

Belgelendirme kuruluşunu kim seçer?

Siz seçersiniz. Belirli bir kuruluşa yönlendirme yapmayız; seçtiğiniz kuruluşun akreditasyon kapsamını nasıl doğrulayacağınızı anlatırız.

Teknik kontrolleri kim kuruyor?

Dilerseniz kendi BT ekibiniz, dilerseniz sistem ve ağ mühendislerimiz. Mevcut altyapınızdaki çözümlerle çalışırız; belirli bir ürün ya da marka şartı yoktur. Kurulumun kimde olduğu teklif aşamasında netleşir.

İç tetkiki dış bir firma mı yapmak zorunda?

Hayır. İç tetkik kurum içinden de yapılabilir; önemli olan tetkikçinin yetkin olması ve kendi işini denetlememesidir. Dilerseniz iç tetkikçilerinizi eğitir veya ilk iç tetkiki birlikte yürütürüz.

ISO 27001 sadece BT departmanını mı ilgilendirir?

Hayır. İnsan kaynakları, hukuk, satın alma, fiziksel güvenlik ve üst yönetim de BGYS'nin parçasıdır. Ek-A kontrollerinin önemli bir kısmı organizasyonel ve insan odaklıdır.

Mevcut ISO 9001 sistemimizden yararlanabilir miyiz?

Evet. Ortak yapı (Annex SL) sayesinde doküman kontrolü, iç tetkik, Yönetimin Gözden Geçirmesi ve düzeltici faaliyet süreçleri ortak kullanılabilir; bu da süreyi ve maliyeti azaltır.

Denetimde uygunsuzluk çıkarsa ne olur?

Uygunsuzluklar kök neden analiziyle ele alınır ve belgelendirme kuruluşunun verdiği süre içinde düzeltici faaliyet planıyla kapatılır. Bu süreçte kanıtların hazırlanmasında yanınızda oluruz.

Teklife hangi giderler dahil?

Danışmanlık, teknik kurulum ve lisanslar ile belgelendirme kuruluşu ücretleri ayrı kalemlerdir. Hangilerinin teklife dahil olduğu size özel teklif ve sözleşmede açıkça belirtilir.

Belgelendirme sonrası danışmanlık gerekli mi?

Zorunlu değildir. Ancak belge üç yıl geçerlidir ve her yıl gözetim denetimi yapılır; sistemin canlı kalması için isteğe bağlı sürdürülebilirlik desteği sunuyoruz.

Hızlı Teklif

Kapsamınızı 30 dakikada netleştirelim

Kısa bir çevrim içi görüşmede kurum bağlamınızı, BGYS sınırlarını ve yol haritasını konuşup teklifimizi paylaşalım.

Ön keşif ve BGYS kapsam doğrulaması
ISO/IEC 27001:2022 uyumlu yol haritası ve takvim
Aynı gün dönüş, hızlı teklif

Hemen konuşmak isterseniz: 0533 370 01 43 · WhatsApp