Günümüz iş dünyasında veri, bir şirketin sahip olabileceği en değerli varlık haline geldi. Ancak bu durum, siber saldırganların ve veri hırsızlarının da iştahını kabartıyor. Şirketinizin ticari sırlarını, müşteri bilgilerini ve finansal verilerini sadece bir antivirüs yazılımı veya güçlü bir şifreleme ile koruyabileceğinizi düşünüyorsanız, büyük bir yanılgı içindesiniz demektir. Gerçek bir koruma, ancak kurumsal bir kültür ve sistematik bir yaklaşımla mümkündür. İşte tam bu noktada karşımıza ISO 27001 nedir sorusu çıkıyor.
Sektörde geçirdiğim uzun yıllar boyunca, bilgi güvenliğini sadece IT departmanının bir görevi olarak gören yüzlerce işletmenin ciddi veri ihlalleriyle karşı karşıya kaldığına şahit oldum. Bilgi güvenliği, teknik bir konudan ziyade bir yönetim stratejisidir. Bu yazıda, bir kuruluşun bilgi güvenliği altyapısını dünya standartlarına ulaştıran Bilgi Güvenliği Yönetim Sistemi (BGYS) ve onun temel taşı olan ISO 27001 standardını tüm detaylarıyla, pratik deneyimlerime dayanarak ele alacağım.
ISO 27001 Nedir? Temel Kavramlar ve CIA Üçlüsü
\n\n
ISO/IEC 27001, organizasyonların hassas bilgilerini güvende tutmalarına yardımcı olan, uluslararası düzeyde kabul görmüş bir yönetim sistemi standardıdır. Bu standart, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için tasarlanmış sistematik bir yaklaşım sunar. Sektörde biz bu üç temel unsura CIA üçlüsü (Confidentiality, Integrity, Availability) deriz. Başarılı bir BGYS yapısının temeli bu üç sac ayağı üzerine kuruludur:
- Gizlilik (Confidentiality): Bilginin sadece yetkilendirilmiş kişiler tarafından erişilebilir olmasını garanti altına alır. Müşteri verilerinizin veya AR-GE planlarınızın yetkisiz üçüncü şahısların eline geçmesini engellemek bu kapsama girer.
- Bütünlük (Integrity): Bilginin doğruluğunun, eksiksizliğinin ve yetkisiz şekilde değiştirilmemesinin güvence altına alınmasıdır. Finansal tablolarınızın veya üretim verilerinizin manipüle edilmesini önlemek bütünlük ilkesinin bir gereğidir.
- Erişilebilirlik (Availability): Yetkili kullanıcıların ihtiyaç duyduklarında bilgiye ve ilişkili varlıklara sorunsuz bir şekilde ulaşabilmesini ifade eder. Sunucu kesintileri veya fidye yazılımı (ransomware) saldırıları doğrudan erişilebilirliği hedef alır.
BGYS Kurulumu Adımları: Nereden Başlamalı?
Bir kuruluşa sıfırdan BGYS kurulumu yapmak, sabır ve kararlılık gerektiren bir süreçtir. Sıklıkla yapılan en büyük hata, doğrudan hazır şablon dokümanları kopyalayarak sistemi kurmaya çalışmaktır. Unutmayın, terzi usulü tasarlanmayan bir yönetim sistemi sadece kağıt üzerinde kalır ve ilk gerçek siber saldırıda çöker. Sağlıklı bir kurulum süreci şu adımlardan oluşur:
1. Yönetim Desteği ve Kapsamın Belirlenmesi
Üst yönetimin liderliği ve desteği olmadan hiçbir BGYS başarılı olamaz. İlk adımda yönetimden bütçe ve kaynak onayı alınmalı, ardından sistemin sınırları (kapsamı) net bir şekilde çizilmelidir. Tüm şirket mi kapsama alınacak, yoksa sadece belirli bir lokasyon veya departman mı?
2. Bilgi Güvenliği Politikası Oluşturulması
Şirketin bilgi güvenliğine bakış açısını, hedeflerini ve taahhütlerini içeren üst düzey bir bilgi güvenliği politikası hazırlanmalıdır. Bu politika, tüm çalışanlar tarafından kolayca anlaşılabilir ve uygulanabilir olmalıdır.
3. Varlık Envanterinin Çıkarılması ve Risk Analizi
Neyi koruduğunuzu bilmeden koruyamazsınız. Donanım, yazılım, insan kaynağı ve fiziksel lokasyonlar dahil olmak üzere tüm bilgi varlıkları listelenmelidir. Hemen ardından kapsamlı bir bilgi güvenliği risk analizi gerçekleştirilmelidir. Hangi varlığın, hangi tehditlere karşı ne kadar hassas olduğu belirlenmeli ve kabul edilebilir risk seviyesinin üzerindeki durumlar için risk işleme planları hazırlanmalıdır.
ISO 27001 Maddeleri ve ISO 27001:2022 Revizyonu
ISO 27001 standardı iki ana bölümden oluşur: Ana metin (Maddeler 4-10) ve Ek-A (Annex A) kontrolleri. Ana metinde yer alan ISO 27001 maddeleri, yönetim sisteminin kurumsal çerçevesini çizer. Bunlar arasında liderlik, planlama, destek, operasyon, performans değerlendirme ve sürekli iyileştirme yer alır. Bu maddeler zorunludur ve esnetilemez.
Ek-A bölümü ise uygulanabilir güvenlik kontrollerini içerir. Yakın zamanda yürürlüğe giren ISO 27001:2022 revizyonu, bu alanda çok önemli değişiklikler getirdi. Eski 2013 versiyonunda yer alan 114 kontrol, yeni revizyonla birlikte daha sade, modern siber tehditlere uygun ve yönetilebilir hale getirilerek 93 kontrole düşürüldü. Ayrıca kontroller 4 ana tema altında gruplandırıldı:
- Organizasyonel Kontroller (37 kontrol)
- İnsan Kontrolleri (8 kontrol)
- Fiziksel Kontroller (14 kontrol)
- Teknolojik Kontroller (34 kontrol)
Bu yeni revizyon; bulut hizmetlerinin kullanımı, tehdit istihbaratı, veri sızıntısı önleme (DLP) ve web izleme gibi günümüz siber güvenlik ihtiyaçlarını doğrudan adresleyen yeni nesil kontroller içeriyor. Eğer sisteminizi henüz güncellemediyseniz, geçiş sürecini bir an önce başlatmanız siber dayanıklılığınız için kritik önem taşır.
Bilgi Güvenliği Yönetim Sistemi’nin (BGYS) teknik detaylarını ve ISO 27001 çerçevesindeki tüm kontrolleri daha derinlemesine incelemek için ISMS.online rehberine göz atabilirsiniz.
KVKK ve ISO 27001 İlişkisi: Siber Güvenlik Uyumluluğu
Ülkemizde 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yürürlüğe girdiğinden beri, şirketlerin yasal uyumluluk yükümlülükleri ciddi oranda arttı. KVKK, veri sorumlularına kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek amacıyla her türlü teknik ve idari tedbiri alma yükümlülüğü getirir.
İşte bu noktada KVKK ISO 27001 entegrasyonu hayat kurtarıcı bir rol oynar. ISO 27001 BGYS, KVKK’nın talep ettiği idari ve teknik tedbirlerin neredeyse %90’ını sistematik bir şekilde kapsar. Bir başka deyişle, güçlü bir ISO 27001 yapısına sahip olan bir şirket, yasal otoriteler karşısında siber güvenlik uyumluluğu sağladığını ve kişisel verileri korumak için gerekli özeni gösterdiğini uluslararası standartlarda kanıtlamış olur. Olası bir veri ihlali durumunda, kurul tarafından kesilebilecek cezaların hafifletilmesinde bu sistemin varlığı en büyük savunmanız olacaktır.
ISO 27001 Denetimi ve Sertifikasyon Süreci
BGYS’yi kurdunuz, işletmeye başladınız ve en az bir kez iç denetim ile yönetim gözden geçirme toplantısı gerçekleştirdiniz. Artık bağımsız bir belgelendirme kuruluşu tarafından gerçekleştirilecek olan ISO 27001 denetimi sürecine hazırsınız demektir. Bu denetim iki aşamadan oluşur:
Aşama 1 (Dokümantasyon Denetimi): Denetçi, hazırladığınız politikaları, risk analizi metodolojinizi, Uygulanabilirlik Bildirgesini (SoA) ve yasal uyum dokümanlarınızı inceler. Sisteminizin standartla uyumluluğunu kağıt üzerinde kontrol eder.
Aşama 2 (Saha Denetimi): Bu aşamada denetçi sahaya iner. Çalışanlarla mülakatlar yapar, sistemlerin canlıda nasıl çalıştığını inceler, fiziksel güvenlik önlemlerini kontrol eder ve teoride yazılanların pratikte uygulanıp uygulanmadığını test eder.
Denetimi başarıyla tamamladığınızda almaya hak kazanacağınız ISO 27001 sertifikası, 3 yıl boyunca geçerlidir. Ancak sistemin canlı kalmasını sağlamak amacıyla her yıl gözetim denetimleri gerçekleştirilir. Bu süreç, işletmenizin sürekli gelişmesini ve yeni tehditlere karşı her zaman tetikte olmasını sağlar.
Sık Sorulan Sorular (FAQ)
ISO 27001 sertifikası almak zorunlu mudur?
Yasal olarak her şirket için zorunlu değildir. Ancak EPDK, BTK gibi düzenleyici kurumların denetimine tabi olan sektörlerde (enerji, telekomünikasyon, finans vb.) ve kamu ihalelerine giren ya da büyük ölçekli küresel firmalarla çalışan şirketlerde ISO 27001 sertifikası bir ön şart olarak talep edilmektedir.
ISO 27001:2022 revizyonuna geçiş için ne kadar süremiz var?
Uluslararası Akreditasyon Forumu (IAF) kararlarına göre, ISO 27001:2013 sertifikasına sahip olan kuruluşların yeni 2022 versiyonuna geçiş yapması için 3 yıllık bir geçiş süreci tanımlanmıştır. Bu süre Ekim 2025’te sona erecektir.
Sertifikayı almak ne kadar sürer?
Şirketin büyüklüğüne, çalışan sayısına, mevcut teknolojik altyapısına ve yönetim desteğine bağlı olarak BGYS kurulumu ve belgelendirme süreci ortalama 3 ila 9 ay arasında sürer.
ISO 27001, sadece duvara asılacak prestijli bir sertifikadan ibaret değildir. O, şirketinizin dijital dünyadaki zırhıdır. Doğru kurgulanmış bir Bilgi Güvenliği Yönetim Sistemi; müşteri güvenini artırır, veri ihlali maliyetlerini minimize eder, yasal cezalardan korur ve kurumsal itibarınızı en üst seviyeye taşır. Bilgi güvenliğini bir gider kalemi olarak değil, geleceğe yapılan en stratejik yatırım olarak görmeli ve adımlarınızı gecikmeden atmalısınız.
👉 İSO 27001 Belgemiz ile ilgili tüm sayfaları bu linkten inceleyebilirsiniz: İSO 27001 Hakkında
ISO 27001 belgesi ile dijital güvenliğinizi kanıtlayın; İstanbul’daki işletmenize özel danışmanlık çözümlerimizle tanışmak için bugün bize ulaşın.
🔗 +90 533 370 01 43 | info@iso27001danismanlik.com | iletişim
