ISO/IEC 27001 Nedir? Bilgi Güvenliği Yönetim Sistemi, 93 Kontrol ve Belgelendirme Rehberi

ISO/IEC 27001 Nedir?

ISO/IEC 27001, kuruluşların bilgi varlıklarını sistematik biçimde koruyabilmeleri için Bilgi Güvenliği Yönetim Sistemi (BGYS) kurulmasına, işletilmesine, sürdürülmesine ve sürekli iyileştirilmesine yönelik uluslararası gereksinimleri tanımlayan standarttır.

ISO/IEC 27001'in temel amacı bilgi güvenliği risklerini yönetilebilir seviyeye indirmektir.

Standart yalnızca sunucuların, ağların veya güvenlik yazılımlarının korunmasına odaklanmaz.

İnsan, süreç, teknoloji, fiziksel güvenlik, tedarikçi ilişkileri ve kurumsal yönetim gibi farklı alanları bütünleşik şekilde ele alır.

Bir kuruluşta firewall, EDR, SIEM veya DLP ürünlerinin bulunması, tek başına ISO/IEC 27001 gereksinimlerinin karşılandığı anlamına gelmez.

Çünkü bilgi güvenliği yalnızca teknik kontrollerden oluşmaz.

Risklerin belirlenmesi, sorumlulukların atanması, politikaların uygulanması, denetimlerin gerçekleştirilmesi ve yönetimin sürece katılması gerekir.

Kısa cevap: ISO/IEC 27001, kurumların bilgi güvenliği risklerini belirlemesini, uygun kontrolleri uygulamasını ve güvenlik süreçlerini sürekli iyileştirmesini sağlayan, bağımsız belgelendirmeye uygun uluslararası yönetim sistemi standardıdır.

1. ISO/IEC 27001 Neden Önemlidir?

Günümüzde kurumların en değerli varlıklarından biri bilgidir.

Müşteri kayıtları, finansal veriler, ticari sırlar, yazılım kaynak kodları, çalışan bilgileri ve operasyonel sistemler kurumsal faaliyetlerin sürekliliği açısından kritik öneme sahiptir.

Bu varlıkların yetkisiz erişime, değiştirilmeye veya erişilemez hale gelmeye karşı korunması gerekir.

Bilgi güvenliği ihlalleri yalnızca teknik problemlere yol açmaz.

Maddi kayıplar, hizmet kesintileri, hukuki sorumluluklar, müşteri güveninin azalması ve itibar kaybı gibi sonuçlar ortaya çıkabilir.

ISO/IEC 27001, bu risklerin rastgele güvenlik önlemleri yerine tanımlanmış bir yönetim sistemi üzerinden ele alınmasını sağlar.

ISO/IEC 27001'in kuruma sağlayabileceği faydalar

• Bilgi güvenliği risklerinin sistematik yönetilmesi.
• Kurumsal sorumlulukların netleştirilmesi.
• Güvenlik politikalarının standartlaştırılması.
• Kritik bilgi varlıklarının korunması.
• Tedarikçi ve müşteri güveninin desteklenmesi.
• Yasal ve sözleşmesel yükümlülüklerin daha etkin takip edilmesi.
• İç denetim ve sürekli iyileştirme kültürünün geliştirilmesi.
• Güvenlik yatırımlarının risk odaklı planlanması.

ISO/IEC 27001 belgesi, kurumun hiçbir siber saldırıya uğramayacağını garanti etmez.

Belgelendirme, tanımlanan kapsamda bir bilgi güvenliği yönetim sisteminin ilgili standart gereksinimlerine uygunluğunun değerlendirildiğini gösterir.

2. Bilgi Güvenliği Yönetim Sistemi (BGYS) Nedir?

Bilgi Güvenliği Yönetim Sistemi, kurumun bilgi güvenliği faaliyetlerini planlı, ölçülebilir ve sürdürülebilir biçimde yönetmesini sağlayan organizasyonel yapıdır.

BGYS yalnızca bir politika dosyası değildir.

Bir kurumun bilgi güvenliği konusunda nasıl karar verdiğini, hangi riskleri kabul ettiğini, hangi kontrolleri uyguladığını ve sonuçları nasıl izlediğini kapsar.

BGYS'nin temel bileşenleri

Politikalar: Bilgi güvenliği konusunda kurumsal yaklaşımı belirler.

Risk yönetimi: Tehditleri, zafiyetleri ve olası etkileri değerlendirir.

Organizasyon: Roller, sorumluluklar ve yetkileri tanımlar.

Teknik kontroller: Sistem, ağ, uygulama ve veri güvenliğini destekler.

Operasyonel süreçler: Günlük güvenlik faaliyetlerinin yürütülmesini sağlar.

Denetim: Kontrollerin ve yönetim sisteminin etkinliğini değerlendirir.

İyileştirme: Eksikliklerin giderilmesini ve süreçlerin geliştirilmesini sağlar.

BGYS'nin başarısı, bu bileşenlerin birbirinden bağımsız belgeler olarak değil, çalışan bir sistem olarak yönetilmesine bağlıdır.

3. ISO/IEC 27001:2022 Nedir?

ISO/IEC 27001:2022, ISO/IEC 27001 standardının 2022 yılında yayımlanan sürümüdür.

Bu sürümde yönetim sistemi gereksinimleri ve Ek A güvenlik kontrolleri güncellenmiştir.

2022 sürümünün en dikkat çekici değişikliklerinden biri Ek A kontrol yapısının yeniden düzenlenmesidir.

Önceki 2013 sürümünde 114 kontrol bulunurken 2022 sürümünde 93 kontrol yer almaktadır.

Bu değişiklik, güvenlik kontrollerinin öneminin azaldığı anlamına gelmez.

Bazı kontroller birleştirilmiş, yeniden düzenlenmiş ve yeni tehdit alanlarını karşılayan kontroller eklenmiştir.

2022 sürümünde özellikle bulut hizmetleri, tehdit istihbaratı, veri maskeleme, veri sızıntısının önlenmesi ve güvenli kodlama gibi alanlar daha görünür hale gelmiştir.

Önemli ayrım

ISO/IEC 27001 yönetim sistemi gereksinimlerini ve Ek A referans kontrollerini tanımlar.

ISO/IEC 27002 ise bilgi güvenliği kontrollerinin uygulanmasına yönelik ayrıntılı rehber sunar.

Dolayısıyla ISO/IEC 27001 ve ISO/IEC 27002 aynı standart değildir.

4. ISO/IEC 27001'in Temel Güvenlik İlkeleri

ISO/IEC 27001'in merkezinde bilginin gizliliği, bütünlüğü ve erişilebilirliği bulunur.

Bu yaklaşım CIA Triad olarak bilinir.

Gizlilik (Confidentiality)

Bilgiye yalnızca yetkili kişilerin ve sistemlerin erişebilmesidir.

Örnekler:

Müşteri verilerine rol bazlı erişim uygulanması.

Hassas dosyaların şifrelenmesi.

Yönetici hesaplarının MFA ile korunması.

Bütünlük (Integrity)

Bilginin yetkisiz veya istenmeyen biçimde değiştirilmesinin önlenmesidir.

Örnekler:

Dosya bütünlük kontrolleri.

Veritabanı değişiklik kayıtları.

Kaynak kod sürüm yönetimi.

Erişilebilirlik (Availability)

Bilginin ve bilgi sistemlerinin ihtiyaç duyulduğunda kullanılabilir olmasıdır.

Örnekler:

Yedekleme.

Felaket kurtarma.

Yüksek erişilebilirlik mimarileri.

Kapasite ve süreklilik planlaması.

Bu üç ilke birlikte değerlendirilmelidir.

Yalnızca gizliliğe odaklanan bir güvenlik yaklaşımı, sistemlerin erişilebilirliğini veya veri bütünlüğünü yeterince koruyamayabilir.

5. ISO/IEC 27001 Standardının Ana Maddeleri

ISO/IEC 27001 yönetim sistemi gereksinimleri özellikle 4–10 numaralı maddelerde düzenlenmiştir.

Madde	Konu	Temel amaç
4	Kuruluşun bağlamı	Kapsam ve ilgili tarafları belirlemek
5	Liderlik	Yönetim sorumluluğunu sağlamak
6	Planlama	Riskleri, fırsatları ve hedefleri yönetmek
7	Destek	Kaynak, yetkinlik ve dokümantasyonu yönetmek
8	Operasyon	Planlanan faaliyetleri yürütmek
9	Performans değerlendirme	İzleme, iç denetim ve yönetim gözden geçirmesi
10	İyileştirme	Uygunsuzlukları gidermek ve sistemi geliştirmek

Bu maddeler, standardın yönetim sistemi omurgasını oluşturur.

Ek A kontrolleri ise risklerin ele alınmasında kullanılabilecek referans güvenlik kontrollerini içerir.

6. ISO/IEC 27001 Madde 4: Kuruluşun Bağlamı

BGYS kurulumu öncesinde kuruluşun faaliyetleri ve iş ortamı değerlendirilmelidir.

Kuruluşun hangi hizmetleri sunduğu, hangi bilgi varlıklarını kullandığı ve hangi taraflarla etkileşimde bulunduğu belirlenmelidir.

Değerlendirme alanları

Kurumsal faaliyetler.

Müşteri beklentileri.

Yasal ve düzenleyici yükümlülükler.

Tedarikçi ilişkileri.

Teknolojik altyapı.

İş sürekliliği gereksinimleri.

İç ve dış hususlar.

Örnek

Bir yazılım şirketinde kaynak kod depoları, CI/CD sistemleri ve müşteri geliştirme ortamları kritik olabilir.

Bir finans kuruluşunda ödeme sistemleri, müşteri bilgileri ve işlem kayıtları ön plana çıkabilir.

BGYS kapsamı bu farklılıklar dikkate alınarak oluşturulmalıdır.

7. ISO/IEC 27001 Kapsamı Nasıl Belirlenir?

BGYS kapsamı, belgelendirmenin hangi faaliyetleri, lokasyonları, sistemleri ve organizasyonel birimleri kapsadığını tanımlar.

Kapsamın açık, anlaşılır ve doğrulanabilir olması gerekir.

Kapsam belirlenirken sorulabilecek sorular

Hangi hizmetler kapsama alınacak?

Hangi lokasyonlar dahil edilecek?

Hangi sistemler bu hizmetleri destekliyor?

Hangi çalışanlar ve tedarikçiler ilgili?

Hangi veri türleri işleniyor?

Hangi dış bağımlılıklar bulunuyor?

Örnek kapsam ifadesi

“Kuruluşun merkez ofisinde yürütülen yazılım geliştirme, uygulama bakım, teknik destek ve bilgi teknolojileri operasyonlarının bilgi güvenliği yönetimi faaliyetleri.”

Bu ifade yalnızca örnektir.

Gerçek kapsam, kuruluşun faaliyetlerine ve belgelendirme gereksinimlerine göre hazırlanmalıdır.

Kapsamın yapay biçimde daraltılarak kritik bağımlılıkların göz ardı edilmesi, yönetim sisteminin etkinliğini zayıflatabilir.

8. ISO/IEC 27001 Madde 5: Liderlik ve Üst Yönetim

ISO/IEC 27001, bilgi güvenliğini yalnızca BT departmanının sorumluluğu olarak değerlendirmez.

Üst yönetimin BGYS'ye liderlik etmesi ve destek sağlaması gerekir.

Üst yönetimin temel sorumlulukları

Bilgi güvenliği politikasının oluşturulmasını sağlamak.

BGYS hedeflerini kurumsal stratejiyle uyumlu hale getirmek.

Gerekli kaynakları sağlamak.

Rolleri ve sorumlulukları belirlemek.

Yönetim sisteminin etkinliğini değerlendirmek.

Sürekli iyileştirmeyi desteklemek.

Kritik nokta

Bilgi güvenliği yöneticisi riskleri raporlayabilir.

Ancak risklerin kurumsal düzeyde kabulü ve kaynak tahsisi, tanımlanan yetki ve sorumluluklar çerçevesinde gerçekleştirilmelidir.

BGYS'nin sürdürülebilirliği için yönetim katılımı gereklidir.

9. ISO/IEC 27001 Madde 6: Risk Yönetimi

Risk yönetimi, ISO/IEC 27001'in en önemli bileşenlerinden biridir.

Kurumun bilgi güvenliği risklerini belirlemesi, analiz etmesi, değerlendirmesi ve uygun şekilde ele alması gerekir.

Temel süreç

• Risk değerlendirme metodolojisinin belirlenmesi.
• Risklerin tanımlanması.
• Olasılık ve etki değerlendirmesi.
• Risk seviyesinin belirlenmesi.
• Risk işleme seçeneklerinin değerlendirilmesi.
• Risk işleme planının oluşturulması.
• Kalan risklerin uygun yetkiyle kabul edilmesi.
• Risklerin düzenli gözden geçirilmesi.

Risk değerlendirme yöntemi tutarlı, tekrarlanabilir ve kurumsal ihtiyaçlara uygun olmalıdır.

10. ISO/IEC 27001 Risk Analizi Nasıl Yapılır?

Risk analizi farklı metodolojilerle gerçekleştirilebilir.

Basit bir yaklaşımda olasılık ve etki puanları kullanılabilir.

Örnek risk matrisi

Olasılık	Etki	Risk puanı
1	1	1
2	3	6
3	4	12
4	4	16
5	5	25

Örnek hesaplama:

Risk Puanı = Olasılık × Etki

Bir kurumda internete açık ve kritik güvenlik açığı bulunan VPN cihazı değerlendirilsin.

Olasılık: 4.

Etki: 5.

Risk puanı: 20.

Bu değer, kurumun tanımladığı risk kriterlerine göre yüksek veya kritik seviyede değerlendirilebilir.

Dikkat edilmesi gerekenler

CVSS puanı tek başına kurumsal risk puanı değildir.

Varlığın iş değeri, saldırı maruziyeti, mevcut kontroller ve iş etkisi ayrıca değerlendirilmelidir.

Aynı teknik zafiyet farklı kurumlarda farklı risk seviyeleri oluşturabilir.

11. Risk İşleme Yöntemleri Nelerdir?

Belirlenen riskler için uygun işlem seçenekleri değerlendirilir.

Riski azaltma

Ek güvenlik kontrolleri uygulanarak riskin düşürülmesidir.

Örnek: MFA eksikliğinin giderilmesi.

Riskten kaçınma

Risk oluşturan faaliyetin durdurulması veya değiştirilmesidir.

Örnek: Güvensiz bir dış erişim yönteminin tamamen kaldırılması.

Riski paylaşma

Riskin belirli sonuçlarının sözleşmesel veya sigorta mekanizmalarıyla paylaşılmasıdır.

Ancak riskin paylaşılması, kurumun bütün sorumluluklarının ortadan kalktığı anlamına gelmez.

Riski kabul etme

Riskin tanımlanan kriterler ve yetkiler çerçevesinde kabul edilmesidir.

Risk kabulü gerekçeli, kayıtlı ve uygun yetkiyle gerçekleştirilmelidir.

12. ISO/IEC 27001 Ek A Nedir?

Ek A, bilgi güvenliği risklerinin ele alınmasında başvurulabilecek referans kontrolleri içerir.

ISO/IEC 27001:2022 sürümünde toplam 93 kontrol bulunmaktadır.

Kontroller dört ana grupta düzenlenmiştir.

Kontrol grubu	Kontrol sayısı
A.5 Organizasyonel kontroller	37
A.6 İnsan kontrolleri	8
A.7 Fiziksel kontroller	14
A.8 Teknolojik kontroller	34
Toplam	93

Bu kontrollerin tamamının her kurumda aynı biçimde uygulanması gerektiği düşünülmemelidir.

Kontrol seçimi risk değerlendirmesi ve ilgili yükümlülüklerle ilişkilendirilmelidir.

Ancak bir kontrolün uygulanmaması uygun gerekçeyle açıklanmalıdır.

13. A.5 Organizasyonel Kontroller

Organizasyonel kontroller, bilgi güvenliğinin kurumsal süreçlerle yönetilmesini destekler.

Örnek alanlar

Bilgi güvenliği politikaları.

Görev ve sorumluluklar.

Görevlerin ayrılığı.

Varlık envanteri.

Bilgi sınıflandırma.

Tedarikçi ilişkileri.

Bulut hizmetlerinin güvenliği.

Bilgi güvenliği olay yönetimi.

İş sürekliliği hazırlığı.

Yasal ve sözleşmesel gereksinimler.

Örnek uygulama

Kurumun bilgi varlıklarını sınıflandırdığı ve erişim yetkilerini bu sınıflandırmaya göre belirlediği bir süreç oluşturulabilir.

Ancak politika hazırlanması tek başına yeterli değildir.

Politikanın uygulandığını gösteren kanıtların bulunması gerekir.

14. A.6 İnsan Kontrolleri

İnsan kontrolleri, çalışanların ve ilgili tarafların bilgi güvenliği sorumluluklarını ele alır.

Örnek alanlar

İşe alım öncesi değerlendirmeler.

İstihdam şartları.

Bilgi güvenliği farkındalığı.

Disiplin süreçleri.

İşten ayrılma ve görev değişikliği.

Gizlilik yükümlülükleri.

Uzaktan çalışma.

Bilgi güvenliği olaylarının bildirilmesi.

Örnek uygulama

İşten ayrılan bir çalışanın erişimlerinin zamanında kapatılması, insan kontrolleriyle teknik erişim kontrollerinin birlikte çalışmasını gerektirir.

İnsan kaynakları bildirimi yapılmadığında teknik ekip gerekli işlemi zamanında gerçekleştiremeyebilir.

Bu nedenle süreçler arasında koordinasyon sağlanmalıdır.

15. A.7 Fiziksel Kontroller

Fiziksel kontroller, bilgi varlıklarının bulunduğu ortamların korunmasını destekler.

Örnek alanlar

Fiziksel güvenlik çevreleri.

Fiziksel giriş kontrolü.

Ofis ve tesis güvenliği.

Fiziksel güvenlik izleme.

Çevresel tehditlere karşı koruma.

Ekipman güvenliği.

Depolama ortamlarının yönetimi.

Güvenli imha.

Örnek uygulama

Sunucu odasına erişim yalnızca yetkili personelle sınırlandırılabilir.

Giriş kayıtları tutulabilir.

Yangın, su baskını ve enerji kesintisi gibi tehditler değerlendirilebilir.

Bulut hizmeti kullanan kurumlarda da fiziksel güvenlik tamamen önemsiz hale gelmez.

Tedarikçinin sunduğu güvenlik güvenceleri ve kurumun kendi fiziksel varlıkları değerlendirilmelidir.

16. A.8 Teknolojik Kontroller

Teknolojik kontroller, sistem ve uygulama güvenliğine yönelik teknik önlemleri kapsar.

Örnek alanlar

Uç nokta güvenliği.

Ayrıcalıklı erişim hakları.

Güvenli kimlik doğrulama.

Zararlı yazılımdan korunma.

Teknik zafiyet yönetimi.

Güvenli yapılandırma.

Veri silme.

Veri maskeleme.

Veri sızıntısının önlenmesi.

Yedekleme.

Loglama.

Ağ güvenliği.

Kriptografi.

Güvenli geliştirme yaşam döngüsü.

Güvenli kodlama.

Örnek uygulama

Bir yazılım geliştirme kuruluşunda kaynak kod depolarına erişim sınırlandırılabilir.

Kod analizleri gerçekleştirilebilir.

CI/CD süreçlerinde güvenlik kontrolleri uygulanabilir.

Geliştirme ve üretim ortamları ayrılabilir.

Bu kontroller teknik risklerin azaltılmasını destekler.

17. ISO/IEC 27001:2022 ile Öne Çıkan 11 Yeni Kontrol

2022 kontrol yapısında önceki sürüme kıyasla yeni olarak tanımlanan 11 kontrol bulunmaktadır.

Kontrol	Konu
A.5.7	Tehdit istihbaratı
A.5.23	Bulut hizmetlerinin kullanımında bilgi güvenliği
A.5.30	İş sürekliliği için BİT hazırlığı
A.7.4	Fiziksel güvenlik izleme
A.8.9	Yapılandırma yönetimi
A.8.10	Bilgi silme
A.8.11	Veri maskeleme
A.8.12	Veri sızıntısının önlenmesi
A.8.16	İzleme faaliyetleri
A.8.23	Web filtreleme
A.8.28	Güvenli kodlama

Bu kontroller modern bilgi teknolojileri ortamlarında karşılaşılan risklerin daha sistematik ele alınmasını destekler.

Özellikle bulut güvenliği, DLP, izleme ve güvenli kodlama kontrolleri kurumsal siber hijyen programlarıyla doğrudan ilişkilidir.

18. Uygulanabilirlik Bildirgesi (SoA) Nedir?

Statement of Applicability (SoA), ISO/IEC 27001 kapsamında gerekli kontrollerin belirlenmesini, uygulanma durumlarının gösterilmesini ve kontrol dahil etme veya hariç tutma gerekçelerinin açıklanmasını sağlayan temel BGYS dokümanıdır.

SoA yalnızca 93 kontrolün işaretlendiği bir Excel tablosu değildir.

Risk işleme kararlarıyla ilişkilendirilmelidir.

SoA'da bulunması gereken temel bilgiler

Gerekli kontroller.

Kontrollerin seçilme gerekçeleri.

Kontrollerin uygulanıp uygulanmadığı.

Ek A kontrollerinden hariç tutulanların gerekçeleri.

Örnek SoA kaydı

Kontrol: A.8.13 Bilgi yedekleme.

Gerekçe: Kritik iş verilerinin kaybı riskinin azaltılması.

Uygulama durumu: Uygulanıyor.

Kanıt: Yedekleme politikası, yedekleme kayıtları ve geri yükleme test sonuçları.

SoA'nın risk değerlendirmesi ve risk işleme planıyla tutarlı olması gerekir.

19. ISO/IEC 27001 İçin Hangi Dokümanlar Hazırlanmalıdır?

ISO/IEC 27001 belirli dokümante edilmiş bilgilerin oluşturulmasını ve korunmasını gerektirir.

Bunun yanında kurumun yönetim sisteminin etkinliği için gerekli gördüğü başka dokümanlar da bulunabilir.

Yaygın doküman örnekleri

BGYS kapsamı.

Bilgi güvenliği politikası.

Risk değerlendirme metodolojisi.

Risk değerlendirme sonuçları.

Risk işleme planı.

Uygulanabilirlik Bildirgesi.

Bilgi güvenliği hedefleri.

Yetkinlik kanıtları.

Operasyonel kontrol kayıtları.

İzleme ve ölçme sonuçları.

İç denetim kayıtları.

Yönetimin gözden geçirmesi sonuçları.

Uygunsuzluk ve düzeltici faaliyet kayıtları.

Önemli nokta

Her kurum için aynı sayıda prosedür hazırlanması zorunlu değildir.

Dokümantasyonun kapsamı kurumun büyüklüğüne, faaliyetlerine, risklerine ve yönetim sistemi ihtiyaçlarına göre belirlenmelidir.

Gereksiz belge üretimi, yönetim sistemini daha etkin hale getirmeyebilir.

20. Bilgi Güvenliği Politikası Nasıl Hazırlanır?

Bilgi güvenliği politikası, kuruluşun bilgi güvenliğine ilişkin üst düzey yaklaşımını ortaya koyar.

Politika kurumun faaliyetlerine uygun olmalıdır.

Bilgi güvenliği hedefleri için çerçeve sağlamalıdır.

Uygulanabilir gereksinimlerin karşılanmasına ve sürekli iyileştirmeye yönelik taahhüt içermelidir.

Örnek politika ilkeleri

Bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliği korunur.

Bilgi güvenliği riskleri sistematik olarak değerlendirilir.

Erişim yetkileri iş gereksinimlerine göre belirlenir.

Bilgi güvenliği olayları tanımlanmış süreçlerle yönetilir.

Yasal ve sözleşmesel gereksinimler takip edilir.

BGYS düzenli değerlendirilir ve iyileştirilir.

Politikanın ilgili taraflara uygun şekilde iletilmesi ve kurum içinde uygulanması gerekir.

21. ISO/IEC 27001'de Varlık Envanteri

Risk yönetiminin sağlıklı yapılabilmesi için bilgi varlıklarının bilinmesi gerekir.

Varlık envanteri yalnızca fiziksel cihazları kapsamaz.

Örnek varlık türleri

Sunucular.

İstemci cihazlar.

Ağ ekipmanları.

Veritabanları.

Yazılım uygulamaları.

Kaynak kodlar.

Bulut kaynakları.

Sözleşmeler.

Müşteri verileri.

Yedekleme sistemleri.

Kritik iş süreçleri.

Her varlık için sahiplik ve uygun sınıflandırma bilgileri belirlenmelidir.

Örnek envanter alanları

Varlık adı.

Varlık türü.

Varlık sahibi.

Konum.

Kritiklik.

Veri sınıflandırması.

Bağımlılıklar.

Koruma gereksinimleri.

Güncel envanter, risk değerlendirmesi ve kontrol seçiminin temelini oluşturur.

22. ISO/IEC 27001 ve Erişim Kontrolü

Erişim kontrolü, bilgi güvenliği yönetim sisteminin temel teknik alanlarından biridir.

Kullanıcıların yalnızca görevleri için gerekli kaynaklara erişebilmesi hedeflenir.

Uygulama örnekleri

Rol bazlı erişim kontrolü.

Çok faktörlü kimlik doğrulama.

Ayrıcalıklı hesap yönetimi.

Kullanıcı yaşam döngüsü yönetimi.

Erişim yetkilerinin periyodik gözden geçirilmesi.

Servis hesabı güvenliği.

Denetim yaklaşımı

Denetçi yalnızca erişim kontrol politikasının bulunup bulunmadığını incelemez.

Politikanın nasıl uygulandığını gösteren örnek kayıtları da değerlendirebilir.

Örneğin işten ayrılan bir çalışanın hesabının ne zaman kapatıldığı incelenebilir.

23. ISO/IEC 27001 ve Zafiyet Yönetimi

Teknik zafiyet yönetimi, sistemlerdeki güvenlik açıklarının belirlenmesi ve uygun şekilde ele alınması için önemlidir.

Önerilen süreç

Varlık kapsamının belirlenmesi.

Düzenli güvenlik taramaları.

Bulguların doğrulanması.

Risk bazlı önceliklendirme.

İyileştirme planı.

Düzeltme.

Yeniden test.

Örnek

Bir kurumda internete açık kritik bir web uygulamasında yüksek riskli güvenlik açığı tespit edilebilir.

Bu bulgunun yalnızca raporlanması yeterli değildir.

İlgili teknik ekibe atanması, düzeltme hedefinin belirlenmesi ve giderildiğinin doğrulanması gerekir.

Zafiyet yönetimi sonuçları BGYS risk değerlendirmesine de girdi sağlayabilir.

24. ISO/IEC 27001 ve Sızma Testi

ISO/IEC 27001, bilgi güvenliği risklerinin yönetilmesini ve uygun güvenlik kontrollerinin uygulanmasını gerektirir.

Sızma testleri bu kontrollerin etkinliğini değerlendirmek için kullanılabilecek yöntemlerden biridir.

Ancak standardın bütün kuruluşlar için yılda tam olarak bir sızma testi yapılmasını zorunlu tuttuğu şeklindeki genel ifade doğru değildir.

Sızma testi kapsamı ve sıklığı riskler, sözleşmeler, mevzuat ve kurumsal gereksinimlere göre belirlenmelidir.

Sızma testi alanları

Web uygulamaları.

API servisleri.

İç ağ.

Dış ağ.

Active Directory.

Kablosuz ağlar.

Bulut altyapıları.

Mobil uygulamalar.

Teknik doğrulama

Sızma testi sonucunda tespit edilen bulguların giderilmesi ve gerektiğinde yeniden test edilmesi önemlidir.

Testin yapılmış olması, bulguların kapatıldığı anlamına gelmez.

25. ISO/IEC 27001 ve SOC Hizmetleri

SOC, bilgi güvenliği olaylarının izlenmesi, değerlendirilmesi ve müdahale süreçlerinin desteklenmesinde önemli rol oynayabilir.

SOC ile desteklenebilecek kontroller

Güvenlik loglarının izlenmesi.

Şüpheli erişimlerin tespiti.

Zararlı yazılım aktivitelerinin değerlendirilmesi.

Ayrıcalıklı hesap faaliyetlerinin izlenmesi.

Güvenlik olaylarının sınıflandırılması.

Olay müdahale süreçlerinin desteklenmesi.

Önemli ayrım

ISO/IEC 27001 belgesi almak için her kurumun mutlaka 7/24 SOC hizmeti satın alması gerektiği söylenemez.

Gerekli izleme ve müdahale kabiliyeti risk değerlendirmesiyle belirlenmelidir.

Ancak kritik sistemleri bulunan ve yüksek tehdit maruziyetine sahip kuruluşlarda sürekli izleme önemli bir güvenlik ihtiyacı olabilir.

26. ISO/IEC 27001 ve KVKK İlişkisi

ISO/IEC 27001 ile 6698 sayılı Kişisel Verilerin Korunması Kanunu farklı amaçlara sahiptir.

ISO/IEC 27001 bilgi güvenliği yönetim sistemi gereksinimlerini tanımlar.

KVKK ise kişisel verilerin işlenmesi ve korunmasına ilişkin hukuki yükümlülükleri düzenler.

Ortak çalışma alanları

Erişim kontrolü.

Veri güvenliği.

Olay yönetimi.

Risk değerlendirmesi.

Tedarikçi güvenliği.

Kayıt ve izleme.

Kritik ayrım

ISO/IEC 27001 belgesine sahip olmak, kurumun bütün KVKK yükümlülüklerini otomatik olarak yerine getirdiği anlamına gelmez.

Kişisel veri işleme şartları, aydınlatma yükümlülüğü, ilgili kişi hakları ve diğer hukuki gereksinimler ayrıca değerlendirilmelidir.

27. ISO/IEC 27001 ile ISO/IEC 27701 Arasındaki Fark

ISO/IEC 27001 bilgi güvenliği yönetimine odaklanır.

ISO/IEC 27701 ise gizlilik bilgi yönetimi ve kişisel veri işleme süreçleriyle ilgili yönetim sistemi yaklaşımı sunar.

İki standart birbirini tamamlayabilecek alanlar içerir.

ISO/IEC 27001

Bilgi güvenliği riskleri.

Güvenlik politikaları.

Erişim kontrolü.

Teknik ve organizasyonel güvenlik.

ISO/IEC 27701

Gizlilik yönetimi.

Kişisel veri işleme faaliyetleri.

Veri sorumlusu ve veri işleyen rolleri.

Gizlilik riskleri.

ISO/IEC 27701'in uygulanacak sürümü ve belgelendirme koşulları ayrıca doğrulanmalıdır.

28. ISO/IEC 27001 ve ISO/IEC 42001 İlişkisi

Yapay zekâ sistemleri kullanan veya geliştiren kurumlarda ISO/IEC 42001 ayrıca önem kazanabilir.

ISO/IEC 27001 bilgi güvenliği yönetim sistemini ele alırken ISO/IEC 42001 yapay zekâ yönetim sistemi gereksinimlerini tanımlar.

Birlikte değerlendirilebilecek alanlar

Risk yönetimi.

Politikalar.

Roller ve sorumluluklar.

Tedarikçi yönetimi.

Denetim.

Sürekli iyileştirme.

Farklılaşan alanlar

ISO/IEC 42001, yapay zekâ sistemlerinin yaşam döngüsü, etkileri ve yönetişimi gibi konulara odaklanır.

ISO/IEC 27001 ise daha geniş bilgi güvenliği risklerinin yönetilmesine yöneliktir.

Yapay zekâ güvenliği bulunan kuruluşlarda her iki yönetim sistemi birlikte ele alınabilir.

29. ISO/IEC 27001 İç Denetimi Nedir?

İç denetim, BGYS'nin kuruluşun kendi gereksinimlerine ve ISO/IEC 27001 standardına uygunluğunu değerlendirmek için gerçekleştirilir.

Ayrıca yönetim sisteminin etkin biçimde uygulanıp sürdürülmediği incelenir.

İç denetimde değerlendirilebilecek konular

BGYS kapsamı.

Risk değerlendirme kayıtları.

SoA.

Politikalar.

Kontrol uygulamaları.

Önceki denetim bulguları.

İyileştirme faaliyetleri.

Denetçi bağımsızlığı

İç denetim faaliyetlerinde tarafsızlık ve objektiflik sağlanmalıdır.

Kişilerin kendi sorumluluğundaki faaliyetleri bağımsızlık ilkesini zedeleyecek şekilde denetlemesinden kaçınılmalıdır.

İç denetim sonuçları kayıt altına alınmalı ve ilgili yönetime raporlanmalıdır.

30. Yönetimin Gözden Geçirmesi Nedir?

Yönetimin gözden geçirmesi, üst yönetimin BGYS'nin uygunluğunu, yeterliliğini ve etkinliğini değerlendirdiği süreçtir.

Değerlendirilebilecek girdiler

Önceki yönetim kararları.

İç ve dış hususlardaki değişiklikler.

İlgili tarafların ihtiyaçları.

Bilgi güvenliği performansı.

Risk değerlendirme sonuçları.

İç denetim bulguları.

Uygunsuzluklar.

Düzeltici faaliyetler.

İyileştirme fırsatları.

Beklenen çıktılar

İyileştirme kararları.

BGYS'de ihtiyaç duyulan değişiklikler.

Kaynak ihtiyaçları.

Yönetim kararlarının takip edilebilir olması önemlidir.

Yönetimin gözden geçirmesi yalnızca toplantı tutanağı oluşturmak için yapılmamalıdır.

31. ISO/IEC 27001 Belgelendirme Süreci Nasıl İşler?

ISO/IEC 27001 belgelendirmesi, yetkili belgelendirme kuruluşu tarafından gerçekleştirilen bağımsız uygunluk değerlendirmesiyle yürütülür.

Aşama 1: Hazırlık

BGYS kapsamı belirlenir.

Risk değerlendirmesi yapılır.

Gerekli politikalar ve süreçler oluşturulur.

Kontroller uygulanır.

Aşama 2: İç değerlendirme

BGYS uygulamaları doğrulanır.

İç denetim gerçekleştirilir.

Yönetimin gözden geçirmesi yapılır.

Eksiklikler ele alınır.

Aşama 3: Belgelendirme denetimi – Aşama 1

Belgelendirme kuruluşu yönetim sistemi hazırlığını ve ilgili dokümante edilmiş bilgileri değerlendirir.

Aşama 4: Belgelendirme denetimi – Aşama 2

Yönetim sisteminin uygulanması ve etkinliği daha ayrıntılı incelenir.

Aşama 5: Belgelendirme kararı

Denetim bulguları ve ilgili süreçler değerlendirilerek belgelendirme kararı verilir.

Aşama 6: Gözetim ve yeniden belgelendirme

Belgenin devamı için ilgili belgelendirme programına göre gözetim ve yeniden belgelendirme faaliyetleri yürütülür.

Belgelendirme kararı danışmanlık firmasının değil, belgelendirme kuruluşunun sorumluluğundadır.

32. TÜRKAK Akreditasyonu Nedir ve Neden Önemlidir?

TÜRKAK, Türk Akreditasyon Kurumudur.

Akreditasyon, uygunluk değerlendirme kuruluşlarının belirli faaliyetleri yetkin biçimde gerçekleştirebildiğinin bağımsız olarak değerlendirilmesini sağlar.

ISO/IEC 27001 açısından önemi

Belgelendirme kuruluşunun ilgili kapsamda akredite olup olmadığı değerlendirilmelidir.

Belgelendirme kuruluşunun adı kadar akreditasyon kapsamı da önemlidir.

Dikkat edilmesi gerekenler

Belgelendirme kuruluşunun akreditasyon durumu.

İlgili standardın akreditasyon kapsamına dahil olup olmadığı.

Belgenin geçerlilik durumu.

Belgenin kapsamı.

Kritik ayrım

Bir kuruluşun ISO/IEC 27001 belgesine sahip olması ile başka kuruluşlara ISO/IEC 27001 belgesi verme yetkisine sahip olması farklı konulardır.

Danışmanlık kuruluşları BGYS kurulumuna destek verebilir.

Ancak akredite belgelendirme faaliyetleri, yetkili belgelendirme kuruluşları tarafından yürütülür.

33. ISO/IEC 27001 Belgesi Kaç Yıl Geçerlidir?

Yaygın akredite yönetim sistemi belgelendirme programlarında belgelendirme döngüsü üç yıldır.

Bu süre içerisinde planlanan gözetim denetimleri gerçekleştirilir.

Üç yıllık döngünün sonunda yeniden belgelendirme değerlendirmesi yapılır.

Ancak belgenin geçerliliği, gözetim gereksinimlerinin karşılanmasına ve belgelendirme kuruluşunun kararlarına bağlıdır.

Önemli nokta

Belgenin üzerinde ileri tarihli bir geçerlilik süresi bulunması, her koşulda aktif olduğu anlamına gelmez.

Askıya alma veya geri çekme gibi durumlar ayrıca değerlendirilmelidir.

34. ISO/IEC 27001 Belgelendirmesi Ne Kadar Sürer?

BGYS kurulum ve belgelendirme hazırlığı süresi kurumun mevcut durumuna göre değişir.

Süreyi etkileyen faktörler

Kuruluşun büyüklüğü.

Lokasyon sayısı.

BGYS kapsamı.

Çalışan sayısı.

Bilgi teknolojileri altyapısı.

Mevcut güvenlik kontrolleri.

Dokümantasyon olgunluğu.

Risk değerlendirmesi.

Düzeltici faaliyetlerin kapsamı.

Örnek planlama

Faz	Faaliyet
1	Mevcut durum analizi
2	Kapsam ve risk metodolojisi
3	Risk değerlendirmesi ve SoA
4	Politika ve süreçlerin oluşturulması
5	Kontrol uygulamaları
6	İç denetim
7	Yönetimin gözden geçirmesi
8	Belgelendirme denetimi

Bazı kurumlarda hazırlık birkaç ayda tamamlanabilirken daha karmaşık organizasyonlarda süreç daha uzun sürebilir.

Süre konusunda kesin taahhüt verilmeden önce kapsam ve mevcut durum değerlendirilmelidir.

35. ISO/IEC 27001 Belgelendirme Maliyeti Nasıl Belirlenir?

ISO/IEC 27001 belgelendirmesi için bütün kurumlara uygulanabilecek tek bir sabit maliyet bulunmaz.

Maliyetler kuruluşun özelliklerine ve hizmet kapsamına göre değişebilir.

Temel maliyet bileşenleri

Mevcut durum analizi.

Danışmanlık hizmetleri.

İç kaynak kullanımı.

Teknik güvenlik iyileştirmeleri.

Eğitim.

İç denetim.

Belgelendirme denetimi.

Gözetim denetimleri.

Danışmanlık ve belgelendirme farkı

Danışmanlık hizmeti, kurumun yönetim sistemini oluşturmasına ve iyileştirmesine destek verir.

Belgelendirme hizmeti ise bağımsız uygunluk değerlendirmesidir.

Bu iki hizmetin kapsamları ve sorumlulukları farklıdır.

36. ISO/IEC 27001 Belgelendirmesinde En Sık Yapılan Hatalar

1. Sadece belge hazırlamaya odaklanmak

Politikaların oluşturulması yeterli değildir.

Uygulama ve kanıt gereklidir.

2. Risk değerlendirmesini yüzeysel yapmak

Genel ve kurumdan bağımsız risk listeleri gerçek tehditleri yansıtmayabilir.

3. SoA'yı risk değerlendirmesinden bağımsız hazırlamak

Kontrol seçimleri ve gerekçeler risk işleme süreciyle ilişkili olmalıdır.

4. Üst yönetimi sürece dahil etmemek

BGYS yalnızca bilgi işlem departmanına bırakılmamalıdır.

5. Teknik bulguları takip etmemek

Sızma testi veya zafiyet taraması sonuçları iyileştirme sürecine dahil edilmelidir.

6. İç denetimi formaliteye dönüştürmek

İç denetim gerçek uygulamaları değerlendirmelidir.

7. Belgelendirme sonrasında sistemi güncellememek

BGYS sürekli işletilmeli ve iyileştirilmelidir.

37. ISO/IEC 27001 ile Siber Hijyen Arasındaki İlişki

Siber hijyen, temel güvenlik kontrollerinin düzenli ve etkili biçimde uygulanmasına odaklanır.

ISO/IEC 27001 ise bu kontrollerin risk bazlı yönetim sistemi içerisinde ele alınmasını destekler.

Örnek eşleştirme

Siber hijyen kontrolü	ISO/IEC 27001:2022 Ek A ilişkisi
Varlık envanteri	A.5.9
Erişim kontrolü	A.5.15
Kimlik yönetimi	A.5.16
Ayrıcalıklı erişim	A.8.2
Zararlı yazılım koruması	A.8.7
Teknik zafiyet yönetimi	A.8.8
Yapılandırma yönetimi	A.8.9
Veri sızıntısının önlenmesi	A.8.12
Yedekleme	A.8.13
Loglama	A.8.15
İzleme faaliyetleri	A.8.16
Güvenli kodlama	A.8.28

Bu tablo örnek bir eşleştirmedir.

Gerçek uygunluk değerlendirmesinde kontrolün amacı, kapsamı ve uygulanma kanıtları ayrıca incelenmelidir.

38. ISO/IEC 27001 Uyumunda Teknik Doğrulama Neden Gereklidir?

Kurumsal bilgi güvenliği politikalarının bulunması, sistemlerin güvenli yapılandırıldığı anlamına gelmez.

Örneğin erişim kontrol politikası hazırlanmış olabilir.

Ancak kritik sunucularda gereğinden fazla yönetici hesabı bulunabilir.

Benzer şekilde yedekleme prosedürü hazırlanmış olabilir.

Fakat geri yükleme testleri başarısız olabilir.

Bu nedenle BGYS değerlendirmelerinde teknik doğrulama önemli katkı sağlar.

Teknik doğrulama yöntemleri

Konfigürasyon incelemeleri.

Zafiyet taramaları.

Sızma testleri.

Erişim kontrol testleri.

Yedekleme ve geri yükleme testleri.

Loglama ve izleme testleri.

Kaynak kod güvenlik analizleri.

Bu faaliyetler risk bazlı planlanmalı ve ilgili sistem sahiplerinin onayıyla yürütülmelidir.

39. ISO/IEC 27001 İçin 90 Günlük Örnek Uygulama Planı

Aşağıdaki yol haritası, belirli bir kurumsal olgunluğa sahip kuruluşlar için örnek niteliğindedir.

Gün 1–15: Mevcut Durum Analizi

BGYS kapsamının belirlenmesi.

Mevcut politika ve prosedürlerin incelenmesi.

Varlık envanterinin değerlendirilmesi.

İlgili tarafların belirlenmesi.

Eksiklik analizinin hazırlanması.

Gün 16–30: Risk Yönetimi

Risk değerlendirme metodolojisinin oluşturulması.

Risklerin belirlenmesi.

Risk işleme planının hazırlanması.

SoA'nın oluşturulması.

Gün 31–60: Kontrol Uygulamaları

Erişim kontrolü.

Yama ve zafiyet yönetimi.

Yedekleme.

Loglama.

Olay yönetimi.

Tedarikçi güvenliği.

Politika ve prosedürlerin uygulanması.

Gün 61–75: Etkinlik Değerlendirmesi

Kontrol doğrulamaları.

İç denetim.

Uygunsuzlukların belirlenmesi.

Düzeltici faaliyetlerin planlanması.

Gün 76–90: Yönetim ve Belgelendirme Hazırlığı

Yönetimin gözden geçirmesi.

Açık bulguların değerlendirilmesi.

Belgelendirme hazırlık kontrolü.

Denetim planlaması.

Not: Bu plan 90 gün içerisinde belge alınacağını garanti etmez. Kuruluşun mevcut durumu, kontrol uygulamalarının tamamlanması ve belgelendirme kuruluşunun planlaması süreyi etkiler.

40. ISO/IEC 27001 İçin Kurumsal Sorumluluk Matrisi

BGYS'nin etkin çalışması için sorumluluklar açık biçimde belirlenmelidir.

Faaliyet	Önerilen sorumlu
BGYS politikası	Üst Yönetim
BGYS koordinasyonu	Bilgi Güvenliği Yöneticisi
Risk değerlendirmesi	Risk Sahipleri / Bilgi Güvenliği
Varlık envanteri	Varlık Sahipleri / BT
Erişim kontrolü	IAM / Sistem Yönetimi
Zafiyet yönetimi	BT / Bilgi Güvenliği
Güvenlik izleme	SOC / Güvenlik Operasyonları
Olay müdahale	Olay Müdahale Ekibi
İç denetim	Tarafsız İç Denetim Fonksiyonu
Yönetimin gözden geçirmesi	Üst Yönetim
Düzeltici faaliyetler	İlgili Süreç Sahipleri

Bu tablo örnek niteliğindedir.

Kuruluşun yapısına göre roller birleştirilebilir veya ayrıştırılabilir.

Ancak görevlerin ayrılığı ve denetim tarafsızlığı korunmalıdır.

41. ISO/IEC 27001 Performansı Nasıl Ölçülür?

BGYS'nin etkinliği ölçülebilir göstergelerle değerlendirilmelidir.

Örnek KPI'lar

Risk işleme oranı: Planlanan risk işleme faaliyetlerinin tamamlanma oranı.

Kritik zafiyet kapanma oranı: Hedef süresi içerisinde giderilen kritik zafiyetlerin oranı.

MFA kapsamı: MFA uygulanan kritik hesapların oranı.

Yedekleme test başarısı: Başarıyla tamamlanan geri yükleme testlerinin oranı.

Eğitim tamamlanma oranı: Planlanan bilgi güvenliği eğitimlerini tamamlayan çalışanların oranı.

Denetim bulgusu kapanma oranı: Hedef süre içerisinde kapatılan uygunsuzlukların oranı.

Önemli nokta

KPI'lar yalnızca raporlama için oluşturulmamalıdır.

Yönetim kararlarını desteklemeli ve iyileştirme fırsatlarını görünür hale getirmelidir.

42. ISO/IEC 27001 Belgesi Alındıktan Sonra Ne Yapılmalıdır?

Belgelendirme, bilgi güvenliği çalışmalarının sona erdiği anlamına gelmez.

BGYS'nin işletilmesi gerekir.

Sürekli faaliyetler

Risk değerlendirmelerinin güncellenmesi.

Yeni varlıkların envantere alınması.

Güvenlik olaylarının değerlendirilmesi.

Erişim yetkilerinin gözden geçirilmesi.

Zafiyet yönetimi.

İç denetimler.

Yönetimin gözden geçirmesi.

Düzeltici faaliyetlerin takibi.

Politika ve prosedürlerin güncellenmesi.

Gözetim denetimlerine hazırlık.

Yeni teknolojiler, organizasyonel değişiklikler ve ortaya çıkan tehditler BGYS üzerinde etkili olabilir.

Bu nedenle bilgi güvenliği yönetimi sürekli bir faaliyet olarak ele alınmalıdır.

43. SECURESYS ISO/IEC 27001 Danışmanlığı ve Teknik Güvenlik Hizmetleri

SECURESYS, bilgi güvenliği yönetim sistemi çalışmalarını teknik siber güvenlik değerlendirmeleriyle birlikte ele alan bir yaklaşım sunar.

ISO/IEC 27001 danışmanlığında temel hedef, kurumun yalnızca belgelendirme denetimine hazırlanması değil, güvenlik risklerinin daha sistematik yönetilmesidir.

ISO/IEC 27001 mevcut durum analizi

Kurumsal süreçler, mevcut kontroller ve yönetim sistemi gereksinimleri değerlendirilir.

BGYS kapsam ve risk yönetimi danışmanlığı

Kapsamın oluşturulması, risk değerlendirme metodolojisi ve risk işleme süreçlerinin geliştirilmesi desteklenir.

SoA ve kontrol değerlendirmesi

ISO/IEC 27001:2022 Ek A kontrollerinin risklerle ilişkilendirilmesi ve uygulama durumlarının değerlendirilmesi sağlanır.

Teknik güvenlik doğrulaması

Sistem, ağ ve uygulama güvenliği değerlendirmeleri gerçekleştirilebilir.

Sızma testi ve zafiyet yönetimi

Kurumsal altyapıdaki güvenlik açıklarının belirlenmesi ve iyileştirme süreçlerinin desteklenmesi hedeflenir.

SOC ve güvenlik izleme

Güvenlik olaylarının izlenmesi ve müdahale süreçlerinin geliştirilmesi desteklenebilir.

İç denetim ve belgelendirme hazırlığı

Yönetim sistemi uygulamalarının değerlendirilmesi ve belgelendirme hazırlık çalışmalarının yürütülmesi desteklenir.

Kurumsal yetkinlikler

SECURESYS'in bilgi güvenliği, sızma testi, yazılım süreçleri ve yapay zekâ yönetimi alanlarındaki kurumsal yetkinlikleri, farklı güvenlik ve uyum ihtiyaçlarının bütünleşik değerlendirilmesini destekler.

Önemli: ISO/IEC 27001 danışmanlığı ve belgelendirme birbirinden farklı hizmetlerdir. Bağımsız belgelendirme kararı ilgili belgelendirme kuruluşu tarafından verilir.

44. ISO/IEC 27001 Belgelendirme Öncesi Kontrol Listesi

• BGYS kapsamı tanımlandı mı?
• İç ve dış hususlar değerlendirildi mi?
• İlgili tarafların gereksinimleri belirlendi mi?
• Bilgi güvenliği politikası oluşturuldu mu?
• Üst yönetim sorumlulukları tanımlandı mı?
• Bilgi güvenliği hedefleri belirlendi mi?
• Risk değerlendirme metodolojisi oluşturuldu mu?
• Risk değerlendirmesi gerçekleştirildi mi?
• Risk işleme planı hazırlandı mı?
• SoA oluşturuldu mu?
• Kontrol uygulamaları doğrulandı mı?
• Varlık envanteri güncel mi?
• Erişim kontrol süreçleri uygulanıyor mu?
• Teknik zafiyet yönetimi yürütülüyor mu?
• Yedekleme ve geri yükleme süreçleri değerlendirildi mi?
• Bilgi güvenliği olay yönetimi tanımlandı mı?
• Tedarikçi güvenlik riskleri değerlendirildi mi?
• Personel farkındalık çalışmaları yapıldı mı?
• İzleme ve ölçme sonuçları mevcut mu?
• İç denetim gerçekleştirildi mi?
• Yönetimin gözden geçirmesi yapıldı mı?
• Uygunsuzluklar ve düzeltici faaliyetler takip ediliyor mu?
• Belgelendirme kuruluşunun akreditasyon kapsamı doğrulandı mı?

Bu kontrol listesi hazırlık amaçlıdır ve standardın bütün gereksinimlerinin yerine geçmez.

Sık Sorulan Sorular (SSS)

1. ISO 27001 nedir?

ISO/IEC 27001, bilgi güvenliği yönetim sistemi kurulması, uygulanması, sürdürülmesi ve iyileştirilmesi için gereksinimleri tanımlayan uluslararası standarttır.

2. ISO 27001 belgesi ne işe yarar?

Kuruluşun tanımlanan kapsamda bilgi güvenliği yönetim sistemi gereksinimlerine uygunluğunun bağımsız değerlendirilmesini sağlar.

3. ISO 27001 belgesi almak zorunlu mudur?

Bütün kuruluşlar için genel bir zorunluluk bulunmaz. Ancak bazı sektörlerde, düzenlemelerde, ihalelerde veya sözleşmelerde gereklilik olarak ortaya çıkabilir.

4. ISO 27001:2022 kaç kontrol içerir?

ISO/IEC 27001:2022 Ek A bölümünde 93 referans güvenlik kontrolü bulunur.

5. ISO 27001 kontrollerinin tamamı uygulanmalı mıdır?

Kontroller risk değerlendirmesi ve ilgili gereksinimlere göre belirlenir. Ek A kontrollerinden hariç tutulanlar uygun gerekçelerle SoA'da açıklanmalıdır.

6. BGYS nedir?

BGYS, Bilgi Güvenliği Yönetim Sistemi anlamına gelir. Kurumsal bilgi güvenliği risklerinin sistematik yönetilmesini sağlar.

7. ISO 27001 risk analizi nasıl yapılır?

Risk kriterleri belirlenir, riskler tanımlanır, analiz edilir, değerlendirilir ve uygun risk işleme kararları alınır.

8. SoA nedir?

Statement of Applicability, gerekli kontrollerin, seçilme gerekçelerinin, uygulama durumlarının ve Ek A hariç tutma gerekçelerinin gösterildiği dokümandır.

9. ISO 27001 ile ISO 27002 arasındaki fark nedir?

ISO/IEC 27001 yönetim sistemi gereksinimlerini tanımlar. ISO/IEC 27002 bilgi güvenliği kontrollerine ilişkin uygulama rehberi sunar.

10. ISO 27001 belgesi kaç yıl geçerlidir?

Yaygın akredite belgelendirme programlarında üç yıllık belgelendirme döngüsü uygulanır. Gözetim ve diğer belgelendirme koşullarının karşılanması gerekir.

11. ISO 27001 belgelendirmesi ne kadar sürer?

Süre kurumun büyüklüğüne, kapsamına, mevcut olgunluğuna ve eksikliklerine göre değişir.

12. ISO 27001 için sızma testi zorunlu mudur?

Her kurum için sabit bir yıllık sızma testi zorunluluğu şeklinde genel bir gereksinim bulunmaz. Test ihtiyacı riskler ve uygulanabilir yükümlülükler kapsamında belirlenir.

13. ISO 27001 için SOC zorunlu mudur?

Hayır. Her kurum için 7/24 SOC zorunluluğu bulunmaz. Güvenlik izleme ihtiyaçları risk değerlendirmesiyle belirlenmelidir.

14. ISO 27001 KVKK uyumunu garanti eder mi?

Hayır. ISO/IEC 27001 bilgi güvenliği yönetimini destekler; KVKK kapsamındaki hukuki yükümlülükler ayrıca değerlendirilmelidir.

15. TÜRKAK akreditasyonu neden önemlidir?

Belgelendirme kuruluşunun ilgili kapsamda yetkinliğinin bağımsız değerlendirilmesine ilişkin güvence sağlar.

16. ISO 27001 iç denetimi kim yapabilir?

Uygun yetkinliğe sahip ve denetimin tarafsızlığını sağlayabilecek kişiler tarafından gerçekleştirilebilir.

17. ISO 27001 belgesi siber saldırıları engeller mi?

Tek başına engellemez. Standart, bilgi güvenliği risklerinin sistematik yönetilmesini ve uygun kontrollerin uygulanmasını destekler.

18. ISO 27001 danışmanlığı ile belgelendirme aynı şey midir?

Hayır. Danışmanlık BGYS kurulumunu ve iyileştirilmesini destekler. Belgelendirme ise bağımsız uygunluk değerlendirmesidir.

Sonuç: ISO/IEC 27001 Bir Belgeden Daha Fazlasıdır

ISO/IEC 27001, bilgi güvenliğinin kurumsal düzeyde yönetilmesini sağlayan önemli bir uluslararası standarttır.

Ancak standardın gerçek değeri yalnızca belgelendirme sürecinde ortaya çıkmaz.

Bilgi varlıklarının belirlenmesi, risklerin değerlendirilmesi, güvenlik kontrollerinin uygulanması ve sonuçların düzenli ölçülmesi kurumsal dayanıklılığın geliştirilmesine katkı sağlar.

Etkili bir BGYS için üst yönetimin katılımı gerekir.

Risk değerlendirmeleri güncel tutulmalıdır.

SoA, gerçek kontrol uygulamalarıyla tutarlı olmalıdır.

Teknik güvenlik önlemleri doğrulanmalıdır.

İç denetim ve yönetimin gözden geçirmesi süreçleri etkin işletilmelidir.

Uygunsuzluklar giderilmeli ve iyileştirme faaliyetleri takip edilmelidir.

ISO/IEC 27001'in temel amacı yalnızca bir sertifika elde etmek değil, bilgi güvenliği risklerini sürekli ve ölçülebilir biçimde yönetebilen bir organizasyon oluşturmaktır.

SECURESYS, bilgi güvenliği yönetimi ve teknik siber güvenlik çalışmalarının birlikte değerlendirilmesi yaklaşımıyla kurumların güvenlik olgunluklarını geliştirmelerini destekler.