# ISO 27001 Belgelendirme Süreci Nasıl İşler? TÜRKAK, Stage 1, Stage 2 ve Gözetim Denetimleri Rehberi **URL:** https://securesys.com.tr/tr/bilgi-merkezi/siber-guvenlik-uyum-danismanlik/iso-27001-belgelendirme-sureci-turkak-denetim ![ISO 27001 Belgelendirme Süreci Nasıl İşler? TÜRKAK, Stage 1, Stage 2 ve Gözetim Denetimleri Rehberi](/images/bilgi-merkezi/covers/cover-uyum-07.webp) ### ISO 27001 Belgelendirme Nedir? **ISO/IEC 27001 belgelendirmesi, bir kuruluşun tanımlanmış kapsamda kurduğu ve işlettiği Bilgi Güvenliği Yönetim Sistemi'nin (BGYS), ISO/IEC 27001 standardının gereksinimlerine uygunluğunun bağımsız bir belgelendirme kuruluşu tarafından değerlendirilmesi sürecidir.** ISO/IEC 27001:2022, bilgi güvenliğinin sistematik biçimde yönetilmesine yönelik uluslararası bir yönetim sistemi standardıdır. Standart; bilgi güvenliği risklerinin değerlendirilmesini, güvenlik kontrollerinin belirlenmesini, yönetim sorumluluklarının tanımlanmasını, performansın izlenmesini ve sürekli iyileştirmeyi esas alır. Belgelendirme sürecinde yalnızca güvenlik politikalarının mevcut olup olmadığı incelenmez. Bu politikaların uygulanması, risk yönetimi süreçlerinin işletilmesi ve güvenlik kontrollerinin etkinliği de değerlendirilir. **Kısa cevap:** ISO 27001 belgesi almak için kuruluşun BGYS kapsamını belirlemesi, standardın gereksinimlerini uygulaması, risk değerlendirmesi ve risk işleme süreçlerini yürütmesi, iç denetim ve yönetimin gözden geçirmesini gerçekleştirmesi ve bağımsız belgelendirme denetimlerinden başarıyla geçmesi gerekir. ### \1. ISO 27001 Belgesi Ne İşe Yarar? ISO/IEC 27001 belgelendirmesi, kuruluşun bilgi güvenliğini belirli bir yönetim sistemi çerçevesinde ele aldığını göstermesine yardımcı olur. Özellikle müşteri güveni, tedarikçi değerlendirmeleri, uluslararası sözleşmeler ve kurumsal yönetişim açısından önem taşıyabilir. #### Başlıca faydalar - Bilgi güvenliği yönetiminde sistematik yaklaşım oluşturulması. - Risklerin belirlenmesi ve önceliklendirilmesi. - Güvenlik sorumluluklarının netleştirilmesi. - Müşteri ve iş ortaklarına güvence sunulması. - Sözleşmesel güvenlik gereksinimlerinin desteklenmesi. - Denetim ve iyileştirme süreçlerinin kurumsallaştırılması. - Bilgi güvenliği performansının ölçülmesi. - Güvenlik yatırımlarının risk temelli planlanması. #### Belgenin sınırları ISO 27001 belgesi, kuruluşun hiçbir güvenlik açığı bulunmadığını göstermez. Ayrıca bütün sistemlerin sızma testinden geçtiği, hiçbir veri ihlali yaşanmayacağı veya her mevzuata otomatik olarak uyulduğu anlamına gelmez. Belgenin anlamı, tanımlanan kapsamda BGYS'nin ilgili standart gereksinimlerine göre değerlendirilmiş olmasıdır. ### \2. ISO/IEC 27001:2022 Standardı Neleri Kapsar? ISO/IEC 27001:2022, bilgi güvenliği yönetim sistemine ilişkin gereksinimleri içerir. Yönetim sistemi gereksinimleri standardın 4–10. maddelerinde düzenlenmiştir. | Madde | Konu | Temel amaç | | --- | --- | --- | | 4 | Kuruluşun bağlamı | BGYS kapsamı ve ilgili gereksinimler | | 5 | Liderlik | Yönetim sorumluluğu ve politika | | 6 | Planlama | Risk değerlendirmesi, risk işleme ve hedefler | | 7 | Destek | Kaynak, yetkinlik, iletişim ve dokümantasyon | | 8 | Operasyon | BGYS süreçlerinin uygulanması | | 9 | Performans değerlendirme | Ölçme, iç denetim ve yönetim gözden geçirmesi | | 10 | İyileştirme | Uygunsuzluk yönetimi ve sürekli iyileştirme | Standardın Ek A bölümünde 93 referans bilgi güvenliği kontrolü bulunmaktadır. Bu kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört grupta düzenlenmiştir. Belgelendirme hazırlığında yönetim sistemi gereksinimleri ile gerekli güvenlik kontrolleri birlikte ele alınmalıdır. ### \3. ISO 27001 Belgesi Kimler İçin Uygundur? ISO/IEC 27001 yalnızca büyük teknoloji şirketleri için hazırlanmış bir standart değildir. Bilgi işleyen, saklayan, aktaran veya kritik hizmet sunan farklı ölçeklerdeki kuruluşlar tarafından uygulanabilir. #### Örnek sektörler Bankacılık ve finans. Sigortacılık. Sağlık. Savunma sanayii. Yazılım geliştirme. Bulut hizmetleri. Veri merkezi işletmeciliği. Telekomünikasyon. E-ticaret. Üretim. Lojistik. Profesyonel hizmetler. Kamu kurumları. #### Küçük işletmeler için uygun mudur? Evet. Ancak küçük bir işletmenin BGYS kapsamı, organizasyon yapısı ve güvenlik ihtiyaçları büyük bir finans kuruluşundan farklı olabilir. Standart gereksinimleri karşılanırken uygulamaların kuruluşun ölçeğine ve risklerine uygun olması önemlidir. ### \4. ISO 27001 Belgesi Almak Zorunlu mudur? ISO/IEC 27001 belgelendirmesi bütün kuruluşlar için genel ve evrensel bir yasal zorunluluk değildir. Ancak bazı sektörlerde, düzenlemelerde, ihalelerde veya sözleşmelerde bilgi güvenliği belgelendirmesi talep edilebilir. #### Belge talep edilebilecek durumlar Kamu ihaleleri. Finans sektörü tedarikçi değerlendirmeleri. Uluslararası müşteri sözleşmeleri. Bulut hizmeti alımları. Veri işleme hizmetleri. Kritik altyapı tedarik zincirleri. #### Önemli ayrım Bir müşterinin ISO 27001 belgesi talep etmesi ile ilgili mevzuatın belgeyi zorunlu kılması aynı şey değildir. Yükümlülüğün kaynağı ayrı ayrı incelenmelidir. ### \5. ISO 27001 Belgelendirme Sürecinin Aşamaları Belgelendirme süreci genel olarak aşağıdaki aşamalardan oluşur. #### Aşama 1: BGYS kapsamının belirlenmesi Hangi faaliyetlerin, lokasyonların, sistemlerin ve süreçlerin kapsamda olacağı tanımlanır. #### Aşama 2: Mevcut durum analizi Kuruluşun mevcut uygulamaları standardın gereksinimleriyle karşılaştırılır. #### Aşama 3: BGYS'nin kurulması Politikalar, süreçler, sorumluluklar ve risk yönetimi yaklaşımı oluşturulur. #### Aşama 4: Kontrollerin uygulanması Risk işleme kararları doğrultusunda gerekli teknik ve idari kontroller uygulanır. #### Aşama 5: İç denetim BGYS'nin uygunluğu ve etkinliği değerlendirilir. #### Aşama 6: Yönetimin gözden geçirmesi Üst yönetim, yönetim sisteminin performansını ve iyileştirme ihtiyaçlarını değerlendirir. #### Aşama 7: Stage 1 denetimi Belgelendirme hazırlığı incelenir. #### Aşama 8: Stage 2 denetimi BGYS'nin uygulanması ve etkinliği değerlendirilir. #### Aşama 9: Belgelendirme kararı Denetim sonuçları ilgili belgelendirme kurallarına göre değerlendirilir. #### Aşama 10: Gözetim ve yeniden belgelendirme Belgenin sürdürülmesi için ilgili denetimler gerçekleştirilir. ### \6. ISO 27001 Belgelendirme Kapsamı Nasıl Belirlenir? Belgelendirme kapsamı, belgenin hangi faaliyetler ve organizasyonel sınırlar için geçerli olduğunu belirler. #### Kapsam belirleme kriterleri Sunulan ürün ve hizmetler. Kuruluşun faaliyetleri. Fiziksel lokasyonlar. Bilgi sistemleri. İş süreçleri. Dış kaynak hizmetleri. İlgili taraf gereksinimleri. Teknolojik bağımlılıklar. #### Örnek kapsam “Kuruluşun yazılım geliştirme, uygulama bakım, teknik destek ve yönetilen siber güvenlik hizmetlerine ilişkin bilgi güvenliği yönetim faaliyetleri.” Bu yalnızca örnek kapsam ifadesidir. Gerçek kapsam, kuruluşun faaliyetleri ve sınırları dikkate alınarak hazırlanmalıdır. #### Sık yapılan hata Belgelendirme maliyetini azaltmak amacıyla kritik bağımlılıkların değerlendirme dışında bırakılması. Kapsamın daraltılması mümkündür ancak tanımlanan sınırlar tutarlı ve gerekçelendirilebilir olmalıdır. ### \7. ISO 27001 Mevcut Durum Analizi Nedir? Mevcut durum analizi, kuruluşun mevcut bilgi güvenliği uygulamalarının standardın gereksinimleriyle karşılaştırılmasıdır. Bu çalışma genellikle GAP analizi olarak adlandırılır. #### Değerlendirme alanları BGYS kapsamı. Bilgi güvenliği politikaları. Risk yönetimi. Varlık envanteri. Erişim kontrolü. İnsan kaynakları güvenliği. Tedarikçi güvenliği. Olay yönetimi. Yedekleme. İş sürekliliği. Performans ölçümü. İç denetim. #### Örnek Kuruluşun düzenli yedekleme yaptığı ancak geri yükleme testlerini kayıt altına almadığı tespit edilebilir. Bu durumda mevcut kontrolün etkinliğinin nasıl doğrulanacağı değerlendirilmelidir. #### GAP analizi çıktıları Mevcut durum raporu. Eksiklik listesi. Risk değerlendirmesine girdiler. İyileştirme planı. Sorumluluklar. Öncelikler. ### \8. ISO 27001 Risk Değerlendirmesi Belgelendirmede Neden Önemlidir? Risk değerlendirmesi BGYS'nin temel süreçlerinden biridir. ISO/IEC 27001:2022 Madde 6.1.2 bilgi güvenliği risk değerlendirmesi gereksinimlerini tanımlar. #### Risk değerlendirme süreci Risk kriterlerinin belirlenmesi. Risklerin tanımlanması. Risk sahiplerinin belirlenmesi. Olası sonuçların değerlendirilmesi. Risk seviyelerinin belirlenmesi. Risklerin önceliklendirilmesi. #### Örnek **Varlık:** Müşteri veritabanı. **Risk:** Yetkisiz veri erişimi. **Risk kaynağı:** Gereğinden geniş erişim yetkileri. **Olası sonuç:** Hassas bilgilerin açıklanması. **Kontrol:** Rol bazlı erişim ve erişim gözden geçirmesi. #### Önemli nokta ISO 27001 bütün kuruluşlar için aynı risk matrisi veya risk puanlama formülünü zorunlu tutmaz. Metodolojinin tutarlı ve tekrarlanabilir sonuçlar üretmesi önemlidir. ### \9. Risk İşleme Planı Belgelendirmede Nasıl Değerlendirilir? Risk işleme planı, belirlenen risklerin nasıl yönetileceğini gösterir. #### Örnek risk işleme seçenekleri Risk azaltma. Riskten kaçınma. Risk paylaşma. Risk kabulü. #### Risk işleme planı alanları Risk ID. Risk açıklaması. Risk seviyesi. Seçilen işleme yöntemi. Planlanan kontrol. Sorumlu. Hedef tarih. Doğrulama yöntemi. Kalan risk. #### Örnek **Risk:** Kritik sistemlerde MFA eksikliği. **İşleme:** MFA uygulanması. **Sorumlu:** Kimlik yönetimi ekibi. **Kanıt:** MFA kapsam raporu. **Kalan risk:** Kontrol uygulandıktan sonra yeniden değerlendirilecek. Denetimde yalnızca risk işleme planının varlığı değil, planlanan faaliyetlerin uygulama durumu da incelenebilir. ### \10. ISO 27001 SoA Belgelendirmede Neden Gereklidir? **SoA (Statement of Applicability), bilgi güvenliği risklerinin işlenmesi için gerekli kontrolleri, bu kontrollerin seçilme gerekçelerini, uygulanma durumlarını ve Ek A'dan hariç tutulan kontrollerin gerekçelerini gösteren dokümandır.** #### SoA'nın temel işlevleri Kontrol seçimlerinin gerekçelendirilmesi. Risk işleme kararlarıyla ilişki kurulması. Kontrol uygulama durumlarının gösterilmesi. Ek A kontrollerinin değerlendirilmesi. #### Örnek **Kontrol:** A.8.13 – Bilgi yedekleme. **Gerekçe:** Kritik verilerin kaybı riskinin azaltılması. **Uygulama durumu:** Uygulanıyor. **Kanıt:** Yedekleme kayıtları ve geri yükleme testleri. #### Sık yapılan hata 93 kontrolün tamamının herhangi bir değerlendirme yapılmadan “uygulanıyor” olarak işaretlenmesi. SoA gerçek uygulama durumunu yansıtmalıdır. ### \11. ISO 27001 Belgelendirme Kuruluşu Nasıl Seçilir? Belgelendirme kuruluşu seçimi, sürecin güvenilirliği açısından önemlidir. #### Değerlendirme kriterleri Akreditasyon durumu. Akreditasyon kapsamı. ISO/IEC 27001 belgelendirme yetkinliği. Sektör deneyimi. Denetim yaklaşımı. Denetim süresi. Teklif kapsamı. Gözetim maliyetleri. Uluslararası tanınırlık. #### Önemli nokta Belgelendirme kuruluşunun yalnızca web sitesinde “akredite” ifadesini kullanması yeterli değildir. Akreditasyonun geçerliliği ve ilgili standardı kapsayıp kapsamadığı doğrulanmalıdır. ### \12. TÜRKAK Akreditasyonu Nedir? **TÜRKAK (Türk Akreditasyon Kurumu), Türkiye'de uygunluk değerlendirme kuruluşlarının belirli standartlara göre yetkinliğini değerlendiren ulusal akreditasyon kuruluşudur.** ISO/IEC 27001 belgelendirme hizmeti sunan kuruluşların akreditasyon durumu önemlidir. #### TÜRKAK'ın rolü Belgelendirme kuruluşlarının ilgili akreditasyon gereksinimlerine göre değerlendirilmesi. Akreditasyon kapsamlarının belirlenmesi. Akreditasyon durumunun izlenmesi. #### Belgelendirme ile akreditasyon farkı **Belgelendirme:** Bir kuruluşun yönetim sisteminin standarda uygunluğunun değerlendirilmesi. **Akreditasyon:** Belgelendirme kuruluşunun ilgili uygunluk değerlendirme faaliyetini yetkin biçimde gerçekleştirebildiğinin değerlendirilmesi. Bu iki kavram karıştırılmamalıdır. ### \13. ISO 27001 Belgesinin TÜRKAK Akreditasyonu Nasıl Doğrulanır? Belgenin güvenilirliğini değerlendirirken yalnızca PDF üzerindeki logo yeterli değildir. #### Kontrol edilmesi gerekenler Belgelendirme kuruluşunun adı. Belgenin numarası. Belgelendirme standardı. Belgenin kapsamı. Belgenin geçerlilik durumu. Belgelendirme kuruluşunun akreditasyon durumu. Akreditasyon kapsamı. #### Doğrulama kaynakları TÜRKAK'ın resmi akreditasyon kayıtları. Belgelendirme kuruluşunun resmi sertifika doğrulama sistemi. Uygun durumlarda uluslararası akreditasyon doğrulama mekanizmaları. #### Resmi kaynak TÜRKAK: https://www.turkak.org.tr #### Kritik nokta Bir kuruluşun başka bir standartta akredite olması, otomatik olarak ISO/IEC 27001 belgelendirmesi için de akredite olduğu anlamına gelmez. Akreditasyon kapsamı ayrıca kontrol edilmelidir. ### \14. ISO 27001 Stage 1 Denetimi Nedir? Stage 1, ilk belgelendirme sürecinin hazırlık değerlendirme aşamasıdır. Bu aşamada kuruluşun BGYS yapısı, kapsamı ve Stage 2 denetimine hazırlığı incelenir. #### Değerlendirilebilecek konular BGYS kapsamı. Politikalar. Risk değerlendirme metodolojisi. Risk değerlendirme sonuçları. Risk işleme planı. SoA. Bilgi güvenliği hedefleri. İç denetim durumu. Yönetimin gözden geçirmesi. Kuruluşun faaliyetleri ve lokasyonları. #### Stage 1'in amacı Kuruluşun Stage 2 denetimine hazırlık durumunun değerlendirilmesi. Önemli eksikliklerin belirlenmesi. Sonraki denetimin planlanmasına girdi sağlanması. ### \15. Stage 1 Denetiminde Hangi Belgeler İstenebilir? Belgelendirme kuruluşunun yöntemine göre istenen kayıtlar değişebilir. #### Örnek belgeler BGYS kapsam dokümanı. Bilgi güvenliği politikası. Organizasyon yapısı. Risk değerlendirme metodolojisi. Risk envanteri. Risk işleme planı. SoA. Bilgi güvenliği hedefleri. İç denetim programı ve sonuçları. Yönetimin gözden geçirmesi kayıtları. #### Önemli ayrım Her kuruluşun bütün prosedürleri aynı formatta hazırlaması gerekmez. Standardın zorunlu tuttuğu dokümante edilmiş bilgiler ve yönetim sisteminin etkinliği esas alınmalıdır. ### \16. Stage 1 Denetiminde Eksiklik Tespit Edilirse Ne Olur? Stage 1 sırasında Stage 2 hazırlığını etkileyen eksiklikler belirlenebilir. #### Örnek Risk değerlendirmesi tamamlanmamış olabilir. SoA oluşturulmamış olabilir. BGYS kapsamı yeterince açık olmayabilir. İç denetim süreci planlandığı şekilde gerçekleştirilmemiş olabilir. #### Sonuç Belgelendirme kuruluşu, Stage 2 öncesinde giderilmesi gereken alanları bildirebilir. Gerekirse Stage 2 takvimi yeniden değerlendirilebilir. #### Önemli nokta Stage 1'de tespit edilen her eksikliğin otomatik olarak aynı sınıflandırmaya veya sonuca yol açacağı varsayılmamalıdır. İlgili belgelendirme prosedürleri esas alınır. ### \17. ISO 27001 Stage 2 Denetimi Nedir? Stage 2, BGYS'nin uygulanmasının ve etkinliğinin değerlendirildiği aşamadır. Bu denetimde politika ve prosedürlerin gerçek operasyonlara yansıyıp yansımadığı incelenir. #### Örnek denetim alanları Risk yönetimi. Varlık envanteri. Erişim kontrolü. İnsan kaynakları güvenliği. Tedarikçi yönetimi. Teknik zafiyet yönetimi. Olay müdahale. Loglama ve izleme. Yedekleme. İş sürekliliği. Performans değerlendirme. Düzeltici faaliyetler. #### Örnek Kuruluş, kritik hesaplarda MFA uygulandığını belirtiyor olabilir. Denetçi uygun hesap örneklemleri ve sistem kayıtları üzerinden uygulama durumunu değerlendirebilir. ### \18. Stage 1 ile Stage 2 Arasındaki Farklar | Kriter | Stage 1 | Stage 2 | | --- | --- | --- | | Temel amaç | Hazırlık değerlendirmesi | Uygulama ve etkinlik değerlendirmesi | | Odak | Kapsam, dokümantasyon ve hazırlık | Operasyonel uygulamalar ve kanıtlar | | Risk yönetimi | Yöntem ve hazırlık incelenir | Uygulama sonuçları incelenir | | SoA | Varlığı ve tutarlılığı değerlendirilir | Kontrol uygulamalarıyla ilişkisi doğrulanır | | Teknik kontroller | Hazırlık açısından değerlendirilebilir | Uygulama kanıtları ayrıntılı incelenebilir | | Sonuç | Stage 2 hazırlığı | Belgelendirme kararına girdi | Bu karşılaştırma genel yaklaşımı açıklar. Her iki aşamada da farklı türde kanıtlar incelenebilir. ### \19. ISO 27001 Denetiminde Hangi Kanıtlar İstenir? Denetim kanıtları yönetim sistemi süreçlerine ve kontrol gereksinimlerine göre değişir. #### Yönetim kanıtları Politikalar. Risk değerlendirme kayıtları. SoA. Yönetim toplantı kayıtları. İç denetim raporları. Düzeltici faaliyet kayıtları. #### Teknik kanıtlar Firewall yapılandırmaları. Erişim yetki kayıtları. MFA kapsam raporları. Zafiyet tarama sonuçları. Yedekleme kayıtları. Loglama raporları. Güvenlik test sonuçları. #### Operasyonel kanıtlar Olay müdahale kayıtları. Tedarikçi değerlendirmeleri. Eğitim kayıtları. Değişiklik yönetimi kayıtları. Hesap açma ve kapatma işlemleri. #### Kritik nokta Kanıtların güncel, ilgili, doğrulanabilir ve denetim kapsamıyla ilişkili olması önemlidir. ### \20. ISO 27001 Denetiminde Teknik Kontroller Nasıl Doğrulanır? Teknik kontrollerin değerlendirilmesinde yalnızca politika dokümanları yeterli olmayabilir. #### Örnek doğrulamalar Ayrıcalıklı hesapların incelenmesi. Firewall kurallarının değerlendirilmesi. VPN erişim kontrollerinin kontrol edilmesi. Sunucu güvenlik yapılandırmalarının incelenmesi. Bulut IAM yetkilerinin değerlendirilmesi. Yedek geri yükleme test sonuçlarının incelenmesi. Zafiyet yönetimi kayıtlarının kontrol edilmesi. #### Örnek **Kontrol:** Teknik zafiyet yönetimi. **Kanıt:** Zafiyet tarama raporları. **Ek değerlendirme:** Kritik bulguların nasıl önceliklendirildiği. **Doğrulama:** Kapatılan bulguların yeniden kontrol kayıtları. #### Önemli ayrım Belgelendirme denetimi, kapsamlı bir sızma testinin otomatik eşdeğeri değildir. Teknik testler ayrı bir uzmanlık ve yetkilendirme gerektirebilir. ### \21. ISO 27001 Majör Uygunsuzluk Nedir? Majör uygunsuzluk, yönetim sisteminin gereksinimleri karşılama veya amaçlanan sonuçları üretme kabiliyetine ilişkin önemli eksiklikleri ifade edebilir. #### Örnekler Risk değerlendirme sürecinin hiç uygulanmaması. İç denetim gereksiniminin sistematik biçimde karşılanmaması. BGYS'nin kritik süreçlerinde önemli uygulama eksiklikleri. Tekrarlayan ve sistematik kontrol başarısızlıkları. #### Önemli nokta Bir bulgunun majör olarak sınıflandırılması, ilgili denetim kriterleri ve belgelendirme kuralları çerçevesinde yapılır. Yalnızca teknik zafiyetin CVSS puanına bakılarak majör uygunsuzluk kararı verilmez. ### \22. ISO 27001 Minör Uygunsuzluk Nedir? Minör uygunsuzluk, yönetim sisteminin genel etkinliğini önemli ölçüde zedelemeyen daha sınırlı eksiklikleri ifade edebilir. #### Örnekler Tekil kayıt eksiklikleri. Sınırlı dokümantasyon tutarsızlıkları. Belirli süreçlerde sistematik olmayan uygulama eksiklikleri. #### Örnek Bir eğitim kaydında gerekli bilginin eksik olması minör uygunsuzluk olarak değerlendirilebilir. Ancak benzer eksikliklerin yaygın olması daha önemli bir soruna işaret edebilir. #### Kritik nokta Minör uygunsuzluklar önemsiz kabul edilmemelidir. Kök nedenleri değerlendirilmeli ve gerekli düzeltici faaliyetler uygulanmalıdır. ### \23. Majör Uygunsuzluk Belge Almayı Engeller mi? Majör uygunsuzluk, belgelendirme kararını önemli ölçüde etkileyebilir. İlk belgelendirme sürecinde ilgili gereksinimlerin karşılanması ve uygunsuzlukların belgelendirme kuruluşunun kurallarına göre ele alınması gerekir. #### Örnek süreç Majör uygunsuzluk tespit edilir. Kuruluş düzeltme ve düzeltici faaliyet planını oluşturur. Gerekli faaliyetler uygulanır. Belgelendirme kuruluşu uygun doğrulama yöntemlerini kullanır. Belgelendirme kararı ilgili kurallara göre değerlendirilir. #### Önemli nokta Majör uygunsuzlukların giderilmesi ve doğrulanması için uygulanacak süreler ve yöntemler ilgili belgelendirme kurallarına bağlıdır. Bütün kuruluşlar için tek bir sabit süre varsayılmamalıdır. ### \24. ISO 27001 Uygunsuzluk Nasıl Kapatılır? Uygunsuzluk yönetimi yalnızca mevcut eksikliğin giderilmesinden ibaret değildir. #### Adım 1: Uygunsuzluğu değerlendirme Bulgunun kapsamı ve etkisi belirlenir. #### Adım 2: Düzeltme Mevcut uygunsuzluğun sonuçları giderilir. #### Adım 3: Kök neden analizi Uygunsuzluğa neden olan koşullar araştırılır. #### Adım 4: Düzeltici faaliyet Tekrarı önlemeye yönelik faaliyetler uygulanır. #### Adım 5: Etkinlik doğrulaması Faaliyetlerin etkisi değerlendirilir. #### Örnek **Uygunsuzluk:** İşten ayrılan personelin hesabı açık. **Düzeltme:** Hesabın kapatılması. **Kök neden:** İnsan kaynakları ve BT arasında eksik bildirim süreci. **Düzeltici faaliyet:** Kontrollü hesap kapatma iş akışı. **Doğrulama:** Yeni işten ayrılma kayıtlarının incelenmesi. ### \25. ISO 27001 Belgelendirme Kararı Nasıl Verilir? Belgelendirme kararı, denetim sonuçlarının ve ilgili gereksinimlerin değerlendirilmesiyle verilir. #### Değerlendirilen unsurlar Denetim raporu. Uygunsuzluklar. Düzeltici faaliyet durumu. BGYS kapsamı. Denetim kanıtları. Belgelendirme kuralları. #### Önemli ayrım Denetimi gerçekleştiren kişinin olumlu değerlendirmesi, tek başına belgenin kesin olarak düzenlendiği anlamına gelmez. Belgelendirme kuruluşunun karar süreci tamamlanmalıdır. #### Belge üzerinde bulunabilecek bilgiler Kuruluşun adı. Belgelendirme standardı. Belgelendirme kapsamı. Belge numarası. Düzenleme tarihi. Geçerlilik bilgileri. Belgelendirme kuruluşu. ### \26. ISO 27001 Belgesi Kaç Yıl Geçerlidir? Akredite yönetim sistemi belgelendirme uygulamalarında genel belgelendirme döngüsü üç yıldır. Bu dönem içerisinde gözetim faaliyetleri yürütülür. Döngü sonunda yeniden belgelendirme değerlendirmesi yapılır. #### Örnek üç yıllık döngü | Dönem | Faaliyet | | --- | --- | | İlk yıl | İlk belgelendirme | | İkinci yıl | Gözetim denetimi | | Üçüncü yıl | Gözetim denetimi | | Döngü sonu | Yeniden belgelendirme | Takvim, ilk belgelendirme kararının tarihi ve ilgili kurallara göre düzenlenir. #### Önemli nokta Belgenin üç yıllık döngüye sahip olması, üç yıl boyunca hiçbir denetim yapılmayacağı anlamına gelmez. ### \27. ISO 27001 Gözetim Denetimi Nedir? Gözetim denetimi, belgelendirilmiş BGYS'nin ilgili gereksinimleri karşılamayı sürdürüp sürdürmediğini değerlendirmek amacıyla gerçekleştirilir. #### Gözetimde değerlendirilebilecek konular İç denetim. Yönetimin gözden geçirmesi. Uygunsuzluklar. Düzeltici faaliyetler. Bilgi güvenliği hedefleri. Risk yönetimi. Kontrol uygulamaları. Önemli değişiklikler. Önceki denetim bulguları. #### Örnek Kuruluş önceki yıl yeni bir bulut altyapısına geçmiş olabilir. Gözetim denetiminde bu değişikliğin risk değerlendirmesine ve kontrol uygulamalarına yansıtılıp yansıtılmadığı incelenebilir. ### \28. Gözetim Denetiminde Belge İptal Edilebilir mi? Belgelendirme kuruluşunun ilgili kuralları kapsamında belgenin askıya alınması veya geri çekilmesi gibi kararlar söz konusu olabilir. #### Risk oluşturabilecek durumlar Önemli uygunsuzlukların giderilmemesi. Gözetim gereksinimlerinin karşılanmaması. Yönetim sisteminin ciddi biçimde etkinliğini kaybetmesi. Belgelendirme kurallarının ihlal edilmesi. #### Önemli ayrım Her uygunsuzluk otomatik olarak belge iptaliyle sonuçlanmaz. Kararlar ilgili belgelendirme ve akreditasyon kurallarına göre verilir. ### \29. ISO 27001 Yeniden Belgelendirme Nedir? Yeniden belgelendirme, mevcut belgelendirme döngüsünün sonunda BGYS'nin uygunluğunun ve etkinliğinin yeniden değerlendirilmesidir. #### Değerlendirme alanları BGYS'nin genel performansı. Risk yönetimi. Kontrol etkinliği. Önceki denetim sonuçları. Düzeltici faaliyetler. Yönetim sistemi değişiklikleri. Sürekli iyileştirme. #### Önemli nokta Yeniden belgelendirme yalnızca eski sertifikanın tarihinin değiştirilmesi değildir. Yönetim sisteminin sürdürülebilirliği değerlendirilir. ### \30. ISO 27001 Belgelendirme Maliyeti Neye Göre Değişir? ISO/IEC 27001 belgelendirmesi için bütün kuruluşlara uygulanan tek bir sabit fiyat bulunmaz. #### Maliyeti etkileyen faktörler Çalışan sayısı. BGYS kapsamı. Lokasyon sayısı. Faaliyetlerin karmaşıklığı. Bilgi güvenliği riskleri. Dış kaynak kullanımı. Denetim süresi. Belgelendirme kuruluşu. Gözetim denetimleri. Yeniden belgelendirme. #### Ayrı değerlendirilmesi gereken maliyetler Danışmanlık. Belgelendirme denetimi. Teknik güvenlik iyileştirmeleri. Eğitim. İç denetim. Teknik güvenlik testleri. #### Önemli nokta Belgelendirme kuruluşu tarafından verilen denetim teklifi, kuruluşun bütün bilgi güvenliği iyileştirme maliyetlerini kapsamayabilir. ### \31. ISO 27001 Belgelendirme Süresi Ne Kadardır? Belgelendirme hazırlığı için bütün kuruluşlara uygulanabilecek tek bir süre bulunmaz. #### Süreyi etkileyen faktörler Mevcut BGYS olgunluğu. Kuruluşun büyüklüğü. Sistem karmaşıklığı. Risk değerlendirme durumu. Kontrol eksiklikleri. Dokümantasyon. İç denetim hazırlığı. Düzeltici faaliyetler. #### Örnek Mevcut güvenlik süreçleri olgun olan bir kuruluş, hazırlık çalışmalarını daha kısa sürede tamamlayabilir. Ancak kapsamlı teknik eksiklikleri bulunan bir kuruluşun daha uzun süreye ihtiyaç duyması mümkündür. #### Kritik nokta Kısa sürede belge alınacağına ilişkin kesin vaatler yerine, gerçekçi bir GAP analizi ve proje planı oluşturulmalıdır. ### \32. ISO 27001 İç Denetim Belgelendirmeden Önce Yapılmalı mı? ISO/IEC 27001 iç denetim gereksinimi BGYS'nin önemli bileşenidir. İlk belgelendirme hazırlığında iç denetim programının uygulanmış olması beklenir. #### İç denetimde değerlendirilenler Yönetim sistemi gereksinimleri. Risk yönetimi. SoA. Güvenlik kontrolleri. Operasyonel uygulamalar. Performans ölçümü. İyileştirme. #### Önemli nokta İç denetim, belgelendirme kuruluşunun Stage 1 veya Stage 2 denetiminin yerine geçmez. İki süreç farklı amaçlara hizmet eder. ### \33. Yönetimin Gözden Geçirmesi Belgelendirmede Neden Önemlidir? Yönetimin gözden geçirmesi, üst yönetimin BGYS'nin uygunluğunu, yeterliliğini ve etkinliğini değerlendirmesidir. #### Örnek gündem Bilgi güvenliği performansı. Risk değerlendirme sonuçları. Risk işleme durumu. İç denetim sonuçları. Uygunsuzluklar. Düzeltici faaliyetler. Bilgi güvenliği hedefleri. Kaynak ihtiyaçları. İyileştirme fırsatları. #### Çıktılar Yönetim kararları. Kaynak tahsisi. İyileştirme faaliyetleri. BGYS değişiklik ihtiyaçları. #### Kritik nokta Yönetimin gözden geçirmesi yalnızca toplantı yapıldığını gösteren bir imza listesi olmamalıdır. Gerekli girdiler ve kararlar kayıt altına alınmalıdır. ### \34. ISO 27001 Belgelendirme ile KVKK Uyumu Aynı Şey midir? Hayır. ISO/IEC 27001 bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar. KVKK ise kişisel verilerin korunmasına ilişkin hukuki yükümlülükler içerir. #### Ortak alanlar Erişim kontrolü. Veri güvenliği. Olay yönetimi. Tedarikçi güvenliği. Yetkilendirme. Loglama. #### Farklı alanlar Kişisel veri işleme şartları. Aydınlatma yükümlülüğü. İlgili kişi hakları. Veri aktarım koşulları. Veri sorumlusu yükümlülükleri. #### Sonuç ISO 27001 belgesi kişisel veri güvenliğini destekleyebilir. Ancak KVKK'ya tam uyumun otomatik kanıtı değildir. ### \35. ISO 27001 Belgelendirme ile ISO 42001 İlişkisi ISO/IEC 42001, yapay zekâ yönetim sistemine ilişkin uluslararası standarttır. ISO/IEC 27001 bilgi güvenliği yönetimine odaklanırken ISO/IEC 42001 yapay zekâ sistemlerinin yönetimiyle ilgili daha geniş gereksinimleri ele alır. #### Birlikte değerlendirilebilecek alanlar Risk yönetimi. Yönetişim. Politikalar. Sorumluluklar. Tedarikçi yönetimi. İzleme. İç denetim. Sürekli iyileştirme. #### Önemli nokta ISO 27001 belgesi, otomatik olarak ISO 42001 belgesi yerine geçmez. Her standardın kendi gereksinimleri ve belgelendirme kapsamı bulunur. ### \36. ISO 27001 Belgelendirme ile SOC Hizmeti Arasındaki İlişki SOC hizmetleri güvenlik izleme ve olay müdahale süreçlerini destekleyebilir. #### SOC katkıları Logların merkezi izlenmesi. Şüpheli faaliyetlerin tespiti. Güvenlik olaylarının değerlendirilmesi. Olay müdahale süreçlerinin desteklenmesi. Tehdit istihbaratının kullanılması. #### Önemli ayrım ISO/IEC 27001 bütün kuruluşlar için 7/24 SOC hizmeti alınmasını zorunlu tutmaz. İzleme gereksinimleri kuruluşun risklerine göre belirlenir. #### Örnek Kritik finansal işlemler gerçekleştiren bir kuruluşta sürekli güvenlik izleme önemli bir risk azaltma mekanizması olabilir. Ancak uygun izleme modeli kuruluşun faaliyetlerine göre belirlenmelidir. ### \37. ISO 27001 Belgelendirme Öncesi Teknik Kontrol Listesi #### Kimlik ve erişim güvenliği - Ayrıcalıklı hesaplar belirlendi mi? - Kritik erişimlerde MFA değerlendirildi mi? - İşten ayrılan personelin hesapları kapatılıyor mu? - Erişim yetkileri gözden geçiriliyor mu? #### Ağ ve sistem güvenliği - Kritik sistem envanteri güncel mi? - Firewall kuralları değerlendiriliyor mu? - Güvenlik yamaları yönetiliyor mu? - Destek dışı sistemler için riskler ele alındı mı? #### Veri güvenliği - Hassas veriler sınıflandırıldı mı? - Veri erişimleri sınırlandırıldı mı? - Yedekleme süreçleri tanımlandı mı? - Geri yükleme testleri yapılıyor mu? #### İzleme ve olay yönetimi - Kritik log kaynakları belirlendi mi? - Güvenlik olayları kayıt altına alınıyor mu? - Olay müdahale sorumlulukları tanımlandı mı? - Olay bildirim süreçleri mevcut mu? #### Yazılım ve bulut güvenliği - Güvenli geliştirme gereksinimleri değerlendirildi mi? - Bulut erişimleri kontrol ediliyor mu? - Kaynak kod erişimleri sınırlandırıldı mı? - Güvenlik testleri risklere göre planlanıyor mu? Bu liste belgelendirme hazırlığını destekleyen örnek bir araçtır. ### \38. ISO 27001 Belgelendirmede En Sık Yapılan 10 Hata #### \1. Belgeyi yalnızca ticari gereklilik olarak görmek BGYS'nin gerçek güvenlik risklerini yönetmesi gerekir. #### \2. Hazır dokümanları doğrudan kullanmak Politikalar kuruluşun gerçek süreçlerini yansıtmalıdır. #### \3. Risk analizini formaliteye dönüştürmek Risk değerlendirmesi karar süreçlerini desteklemelidir. #### \4. SoA'yı gerçek kontrollerden bağımsız hazırlamak Kontrol uygulama durumları doğrulanmalıdır. #### \5. İç denetimi ihmal etmek İç denetim yönetim sisteminin etkinliğini değerlendirmelidir. #### \6. Üst yönetimi sürece dahil etmemek Kaynak ve yönetim desteği önemlidir. #### \7. Teknik güvenlik açıklarını görmezden gelmek Risklerle ilişkili teknik eksiklikler değerlendirilmelidir. #### \8. Uygunsuzlukları yalnızca belge üzerinde kapatmak Düzeltici faaliyetler uygulanmalı ve etkinlikleri değerlendirilmelidir. #### \9. Gözetim denetimlerini planlamamak Belgelendirme sürdürülebilir bir süreçtir. #### \10. Belgenin kapsamını kontrol etmemek Sertifikanın hangi faaliyetleri kapsadığı açık olmalıdır. ### \39. ISO 27001 Belgelendirme İçin 90 Günlük Örnek Hazırlık Planı #### Gün 1–15: Kapsam ve GAP Analizi BGYS kapsamı belirlenir. Mevcut uygulamalar değerlendirilir. Eksiklikler belirlenir. Proje planı oluşturulur. #### Gün 16–30: Risk Yönetimi Risk metodolojisi oluşturulur. Risk değerlendirmesi yapılır. Risk işleme planı hazırlanır. SoA oluşturulur. #### Gün 31–50: Kontrol Uygulamaları Politikalar ve prosedürler geliştirilir. Kritik teknik kontroller uygulanır. Erişim ve varlık yönetimi değerlendirilir. #### Gün 51–65: Operasyonel Kayıtlar Kontrol uygulama kanıtları toplanır. Olay yönetimi ve izleme süreçleri değerlendirilir. Performans ölçümleri hazırlanır. #### Gün 66–75: İç Denetim İç denetim gerçekleştirilir. Uygunsuzluklar belirlenir. Düzeltici faaliyetler planlanır. #### Gün 76–90: Yönetim Değerlendirmesi ve Hazırlık Yönetimin gözden geçirmesi gerçekleştirilir. Düzeltici faaliyetlerin durumu değerlendirilir. Belgelendirme hazırlığı gözden geçirilir. #### Önemli açıklama Bu plan örnek bir hazırlık takvimidir. 90 gün içerisinde belgelendirme garantisi vermez. Kuruluşun mevcut durumu ve belgelendirme kuruluşunun takvimi süreyi etkiler. ### \40. ISO 27001 Belgelendirme Sonrası Neler Yapılmalıdır? Belgelendirme, BGYS çalışmalarının sona erdiği anlamına gelmez. #### Sürekli faaliyetler Risk değerlendirmelerinin güncellenmesi. Kontrol etkinliğinin izlenmesi. İç denetimlerin gerçekleştirilmesi. Yönetimin gözden geçirmesi. Bilgi güvenliği hedeflerinin takibi. Uygunsuzlukların yönetimi. Personel farkındalığı. Tedarikçi değerlendirmeleri. Teknik güvenlik iyileştirmeleri. #### Örnek Kuruluş yeni bir yapay zekâ hizmeti kullanmaya başladıysa bu değişikliğin bilgi güvenliği risklerine etkisi değerlendirilmelidir. Gerekli kontroller ve SoA güncellenebilir. ### \41. ISO 27001 Belgelendirme İçin Yönetim Raporlaması Üst yönetim, belgelendirme sürecinin durumunu anlaşılır göstergeler üzerinden takip edebilmelidir. #### Örnek KPI'lar BGYS gereksinimlerinin uygulama durumu. Kritik risk sayısı. Risk işleme tamamlanma oranı. Açık uygunsuzluklar. Düzeltici faaliyetlerin durumu. İç denetim sonuçları. Kontrol doğrulama oranı. Belgelendirme hazırlık durumu. #### Örnek yönetim özeti “BGYS kapsamındaki risk değerlendirmeleri tamamlanmış, gerekli kontroller belirlenmiş ve SoA hazırlanmıştır. Kritik teknik eksiklikler için sorumlular atanmış, iç denetim sonuçlarına göre düzeltici faaliyetler başlatılmıştır.” Bu yaklaşım belgelendirme çalışmalarının yönetim kararlarıyla ilişkilendirilmesini destekler. ### \42. ISO 27001 Belgelendirme İçin Tedarikçi Güvenliği Kuruluşların tedarikçi ilişkilerinde bilgi güvenliği risklerini değerlendirmesi gerekir. #### Örnek tedarikçiler Bulut sağlayıcıları. Veri merkezi işletmecileri. Yazılım geliştirme firmaları. Teknik destek sağlayıcıları. SOC hizmet sağlayıcıları. Dış kaynak personel. #### Değerlendirme alanları Hizmet kritiklik seviyesi. İşlenen veri türleri. Erişim yetkileri. Güvenlik yükümlülükleri. Olay bildirim süreçleri. İş sürekliliği. Hizmet sonlandırma. #### Önemli nokta Tedarikçinin ISO 27001 belgesine sahip olması faydalı bir gösterge olabilir. Ancak kuruluşun kendi tedarikçi risk değerlendirmesinin yerine otomatik olarak geçmez. ### \43. ISO 27001 Belgelendirmede Sızma Testinin Rolü Sızma testleri teknik güvenlik risklerinin değerlendirilmesini destekleyebilir. #### Test alanları Web uygulamaları. API. İç ağ. Dış ağ. Active Directory. Kablosuz ağ. Bulut ortamları. Mobil uygulamalar. #### Örnek Bir sızma testinde kritik yetkilendirme zafiyeti tespit edildi. Bulgu risk değerlendirmesine aktarılır. Risk sahibi belirlenir. Düzeltme planlanır. Gerekli doğrulama yapılır. #### Kritik nokta ISO/IEC 27001, bütün kuruluşlar için tek bir sabit sızma testi sıklığı belirlemez. Test ihtiyaçları risk değerlendirmesi ve uygulanabilir yükümlülüklere göre belirlenmelidir. ### \44. ISO 27001 Belgelendirme Hazırlığında Danışmanlık Alınmalı mı? Danışmanlık, kuruluşun mevcut yetkinlikleri ve kaynaklarına göre değerlendirilebilir. #### Danışmanlık desteğinin katkı sağlayabileceği alanlar GAP analizi. BGYS kapsamı. Risk metodolojisi. Risk değerlendirmesi. SoA. Kontrol uygulamaları. İç denetim hazırlığı. Uygunsuzluk yönetimi. Belgelendirme planlaması. #### Önemli ayrım Danışmanlık hizmeti ile bağımsız belgelendirme faaliyeti birbirinden farklıdır. Belgelendirme kararının bağımsızlığı korunmalıdır. #### Başarılı yaklaşım Kuruluşun kendi personeli BGYS süreçlerine aktif katılmalıdır. Yalnızca dış danışman tarafından hazırlanan dokümanlarla sürdürülebilir yönetim sistemi oluşturulması güçleşebilir. ### \45. SECURESYS ISO 27001 Belgelendirme Hazırlığı ve BGYS Danışmanlığı SECURESYS, bilgi güvenliği yönetim sistemi çalışmalarında risk temelli ve teknik doğrulamaya dayalı yaklaşımı esas alır. #### BGYS mevcut durum analizi ISO/IEC 27001:2022 gereksinimlerine göre mevcut süreçler değerlendirilir. #### Risk yönetimi Risk değerlendirme metodolojisi, risk envanteri ve risk işleme süreçlerinin oluşturulması desteklenir. #### SoA hazırlama Gerekli bilgi güvenliği kontrolleri risk işleme kararlarıyla ilişkilendirilir. #### Teknik güvenlik değerlendirmesi Sistem, ağ, uygulama ve bulut ortamlarında güvenlik kontrollerinin değerlendirilmesi desteklenebilir. #### İç denetim hazırlığı Denetim kapsamı, kanıtlar, süreçler ve eksiklikler değerlendirilir. #### Uygunsuzluk yönetimi Düzeltici faaliyetlerin planlanması ve etkinlik değerlendirmeleri desteklenir. #### Belgelendirme hazırlığı Stage 1 ve Stage 2 denetimleri öncesinde kuruluşun hazırlık durumu incelenebilir. #### Sürekli iyileştirme Belgelendirme sonrasında risk yönetimi ve güvenlik kontrol etkinliğinin geliştirilmesi desteklenir. **SECURESYS yaklaşımında ISO/IEC 27001 belgelendirmesi yalnızca sertifika elde etme hedefiyle değil; kurumsal bilgi güvenliğinin ölçülebilir, sürdürülebilir ve risk odaklı biçimde yönetilmesi amacıyla ele alınır.** #### Sık Sorulan Sorular (SSS) #### \1. ISO 27001 belgesi nedir? Kuruluşun tanımlanan kapsamda Bilgi Güvenliği Yönetim Sistemi'nin ISO/IEC 27001 gereksinimlerine göre değerlendirildiğini gösteren yönetim sistemi belgesidir. #### \2. ISO 27001 belgesi nasıl alınır? BGYS kurulur, risk yönetimi uygulanır, gerekli kontroller işletilir, iç denetim ve yönetimin gözden geçirmesi gerçekleştirilir ve bağımsız belgelendirme sürecinden geçilir. #### \3. ISO 27001 belgesi zorunlu mudur? Bütün kuruluşlar için genel bir zorunluluk değildir. Ancak sektörel, düzenleyici veya sözleşmesel gereksinimler bulunabilir. #### \4. ISO 27001 belgesi kaç yıl geçerlidir? Akredite yönetim sistemi belgelendirmesinde genel döngü üç yıldır ve bu süreçte gözetim denetimleri yapılır. #### \5. TÜRKAK akreditasyonu nedir? Belgelendirme kuruluşlarının ilgili uygunluk değerlendirme faaliyetlerindeki yetkinliğinin TÜRKAK tarafından değerlendirilmesidir. #### \6. ISO 27001 Stage 1 nedir? Belgelendirme hazırlığının değerlendirildiği ilk denetim aşamasıdır. #### \7. ISO 27001 Stage 2 nedir? BGYS'nin uygulanması ve etkinliğinin değerlendirildiği ikinci denetim aşamasıdır. #### \8. ISO 27001 belgelendirme maliyeti ne kadardır? Maliyet; çalışan sayısı, kapsam, lokasyonlar, karmaşıklık, denetim süresi ve belgelendirme kuruluşuna göre değişir. #### \9. ISO 27001 belgesi ne kadar sürede alınır? Süre kuruluşun mevcut güvenlik olgunluğu, eksiklikleri ve denetim takvimine bağlıdır. #### \10. ISO 27001 için iç denetim gerekir mi? Evet. İç denetim ISO/IEC 27001 yönetim sistemi gereksinimlerinden biridir. #### \11. Yönetimin gözden geçirmesi zorunlu mudur? Evet. ISO/IEC 27001:2022 Madde 9.3 kapsamında gereklidir. #### \12. ISO 27001 için SoA gerekli midir? Evet. SoA, risk işleme sürecinin önemli bir çıktısıdır. #### \13. ISO 27001 için 93 kontrolün tamamı uygulanmalı mı? Her kontrolün her kuruluşta aynı şekilde uygulanması zorunlu değildir. Kontrollerin gerekliliği risk işleme sürecinde değerlendirilir. #### \14. ISO 27001 için sızma testi zorunlu mudur? Bütün kuruluşlar için aynı kapsam ve sıklıkta sızma testi zorunluluğu bulunmaz. Test ihtiyaçları risklere ve ilgili yükümlülüklere göre belirlenir. #### \15. ISO 27001 belgesi KVKK uyumu sağlar mı? Bilgi güvenliği uygulamalarını destekler ancak KVKK'ya tam uyumu otomatik olarak garanti etmez. #### \16. ISO 27001 belgesi olan şirket hacklenebilir mi? Evet. Belgelendirme hiçbir güvenlik olayının yaşanmayacağını garanti etmez. #### \17. ISO 27001 gözetim denetimi nedir? Belgelendirilmiş BGYS'nin gereksinimleri karşılamayı sürdürüp sürdürmediğinin değerlendirildiği denetimdir. #### \18. ISO 27001 majör uygunsuzluk belgeyi etkiler mi? Evet. Majör uygunsuzluklar belgelendirme kararını etkileyebilir ve ilgili kurallara göre ele alınmalıdır. #### \19. ISO 27001 belgesinin gerçekliği nasıl kontrol edilir? Belgelendirme kuruluşunun resmi doğrulama sistemi, belge kapsamı ve ilgili akreditasyon kayıtları incelenmelidir. #### \20. ISO 27001 danışmanlığı ne sağlar? BGYS kurulumu, risk yönetimi, SoA, kontrol uygulamaları, iç denetim ve belgelendirme hazırlığı süreçlerine destek sağlar. ### Sonuç: ISO 27001 Belgelendirme Süreci Nasıl Başarıyla Yönetilir? ISO/IEC 27001 belgelendirmesi, kuruluşların bilgi güvenliğini sistematik bir yönetim modeliyle ele almasını destekler. Başarılı bir belgelendirme sürecinde öncelikle BGYS kapsamı doğru belirlenmelidir. Mevcut güvenlik uygulamaları değerlendirilmelidir. Risk yönetimi metodolojisi oluşturulmalıdır. Risk işleme kararları ve gerekli kontroller belirlenmelidir. SoA gerçek uygulama durumunu yansıtmalıdır. İç denetim ve yönetimin gözden geçirmesi gerçekleştirilmelidir. Stage 1 ve Stage 2 denetimlerine nesnel kanıtlarla hazırlanılmalıdır. Uygunsuzluklar etkin biçimde yönetilmelidir. Belgelendirme sonrasında gözetim ve sürekli iyileştirme süreçleri sürdürülmelidir. **ISO/IEC 27001 belgelendirmesinin gerçek değeri, yalnızca sertifikanın alınmasında değil; bilgi güvenliği risklerinin yönetilebilir, kontrollerin doğrulanabilir ve güvenlik süreçlerinin sürdürülebilir hale getirilmesindedir.**