ISO 27001 “TÜRKAK Akreditasyonlu Bilgi Güvenliği Yönetim Sistemi” Belgesi

İlgili Terimler Arasındaki Farklar

• Bilgi Güvenliği (Information Security): Fiziksel veya dijital, her türlü formdaki bilginin korunmasını kapsayan en geniş şemsiye terimdir.
• Siber Güvenlik / Bilgisayar Güvenliği: Bilginin dijital ortamdaki (bilgisayar, ağ, sunucu) güvenliğine odaklanır.
• Bilgi Sigortası (Information Assurance): Bilginin sadece güvenliğini değil, aynı zamanda doğruluğunu, orijinalliğini ve inkar edilemezliğini de garanti altına alma sürecidir.

Temel Koruma Yöntemleri

• Şifreleme: Gizliliği sağlamak için veriyi okunamaz hale getirmek.
• Dijital İmzalar: Bütünlüğü ve kaynağın doğruluğunu teyit etmek.
• Yedekleme ve Felaket Kurtarma: Erişilebilirliği garanti altına almak.
• Çok Faktörlü Kimlik Doğrulama: Yetkisiz erişimleri engellemek.
• Sızma Testi ve Güvenlik Açığı Taraması: Sistemlerdeki zafiyetleri saldırganlardan önce tespit etmek.

Bu teknik yöntemlere ek olarak, bir siber saldırı veya sistem arızası durumunda operasyonların kesintisiz sürdürülebilmesi için iş sürekliliği yönetimi de ISO 27001’in Ek A kontrolleri arasında yer alan kritik bir bileşendir. İş sürekliliği için ilgili standart ISO 22301’dir.

Bilgi Güvenliği Yönetim Sisteminin 3 Önemli Ayağı

• İnsan Kaynakları: Çalışanların sorumluluklarının farkında olması ve güvenlik kültürüyle eğitilmesi.
• Süreçler: Risk yönetimi ve bilgi güvenliğini ele alan tutarlı, tekrarlanabilir prosedürlerin uygulanması.
• BT Sistemleri: Verileri korumak ve güvenlik açıklarını azaltmak için teknolojinin doğru ve yetkin kullanımı.

IEC Ne Demektir? “IEC” ön eki, standardın Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından ortaklaşa geliştirildiğini gösterir.

Bu sertifikayı almak, bir kuruluşun müşteri ve çalışan bilgileri, fikri mülkiyet, finansal bilgiler ve üçüncü taraf verileri gibi hassas şirket bilgilerini yönetmek için sistematik bir yaklaşım uyguladığını göstermektedir.

Bu standart, KOBİ’ler, büyük şirketler ve kar amacı gütmeyen kuruluşlar da dahil olmak üzere veri toplayan ve işleyen tüm kuruluşlar için uygundur.

Kısaca ISO Nedir?: “Uluslararası Standartlar Organizasyonu” anlamına gelir. ISO tüm organizasyona üye Dünya ülkelerinden oluşturulan komiteler ile düzenli olarak standartlar üretir, gerektiğinde günceller ve yayınlar.

ISO 27001 Zorunlu Maddeler (Standard Maddeleri 4–10 Zorunludur)

Hangi sektörde olursanız olun; müşterilerinizin size emanet ettiği verilerden, çalışanlarınızın bilgilerine, üretim sırlarınızdan hizmet detaylarınıza kadar her bir veri sizin en değerli varlığınızdır.

• ISO 27001 Sertifika Örneği pdf

ISO 27001 belgesi aldığınızda, sadece bu verileri korumakla kalmaz; müşterilerinizin haklı güvenini kazanarak şirket itibarınızı sarsılmaz bir kale haline getirirsiniz.

ISO 27001 Sertifikasyon (Belgelendirme) Süreci

1. Boşluk analizi (Gap Analysis) — mevcut durum tespiti
2. BGYS kurulumu — politika, prosedür, kontroller
3. İç denetim + Yönetimin Gözden Geçirmesi
4. Aşama 1 denetimi — belge incelemesi
5. Aşama 2 denetimi — sahada uygulama kontrolü
6. Sertifika — 3 yıl geçerli, yıllık gözetim denetimleriyle

ADIM 1: Birinci Aşama Değerlendirme Denetimi (GAP: Boşluk Analizi)

Bu aşamada mevcut dokümantasyon yapınız ve Bilgi Güvenliği Yönetim Sisteminizin (BGYS) temel bileşenleri incelenir. Amaç, standart gereksinimleri ile mevcut durumunuz arasındaki boşlukları (GAP Analysis) belirlemektir.

Bu rapor, sertifikasyonu elde etmek için atmanız gereken somut adımları ortaya koyar.

Boşluk Analizi Ne Demek?: “ISO 27001 denetimlerini başarıyla geçebilmeniz için olması gereken minimum ISO 27001 zorunlu dokümanları ile; sizin sahip olduğunuz dokümanlar arasındaki eksiklerdir” anlamına gelir.

Standart gereğince sahip olmanız gereken örneğin 117 doküman gerekiyor. Ancak sizde sadece 97 doküman hazırsa bu durumda 20 doküman eksik demektir. Bunları tamamlamanız gerekir. Detaylı liste için ISO 27001 doküman listesi sayfamızı ve ücretsiz ISO dokümantasyon örnekleri sayfamızı inceleyebilirsiniz.

Belgelendirme denetçisi BGYS kapsamınızı, risk değerlendirmenizi, Uygulanabilirlik Bildirgenizi (SoA) ve zorunlu dokümanlarınızı inceler. Amaç, sistemin Aşama 2 saha denetimine hazır olup olmadığını belirlemektir. Tespit edilen eksikler raporla bildirilir ve Aşama 2’den önce tamamlanır.

Temel Kavramlar

• Risk tabanlı yaklaşım — tehditleri belirle, olasılık/etki değerlendir, kontrol uygula
• Uygulanabilirlik Bildirimi (SoA) — hangi kontrollerin uygulandığını belgeler
• İç denetim — sistemin etkinliğini düzenli olarak ölçer
• Yönetimin gözden geçirmesi — üst yönetimin sistemi periyodik değerlendirmesi

ISO 27001 Ek A – 93 Kontrol, 4 Tema (2022 revizyonu için)

• Organizasyonel – 37 kontrol
• İnsan – 8 kontrol
• Fiziksel – 14 kontrol
• Teknolojik – 34 kontrol

Detaylı kontrol açıklamaları için ISO 27001 Ek A kontrolleri sayfamızı ziyaret edebilirsiniz.

ADIM 2: İkinci Aşama Değerlendirme Denetimi (Detaylı Denetim)

Sisteminiz hazır olduğunda denetçimiz süreçlerinizin, politikalarınızın ve kontrollerinizin sahada nasıl uygulandığını kapsamlı bir şekilde inceler. Bu aşamada, ürün ve hizmet sunumunuza dair gerçek uygulama örnekleri kontrol edilerek standardın gerekliliklerinin karşılanıp karşılanmadığına bakılır.

Özetle 2. aşama belgelendirme denetiminin amacı, hazırladığınız BGYS dokümanlarını uyguluyor musunuz? sorusunu araştırmaktır.

ADIM 3: Denetçi Tavsiyesi ve Onay

Denetimin sonuçları ve tavsiyeler size aynı gün içinde bildirilir. Denetçi raporu uyumluluk departmanımız tarafından onaylandıktan sonra, standartlara uygunluğun tescili olarak sertifikanız düzenlenir.

ADIM 4: Başarı ve Sürekli İyileştirme

Sertifika verildikten sonra süreç sona ermez. ISO sertifikasyonunun itibarı, sürekli gelişim ilkesine dayanır. Sertifikanızın güncel kalması için yıllık gözetim denetimleri ve periyodik değerlendirmelerle yanınızda olmaya devam ederiz.

ISO 27001 Sertifikasyonuna Hazırlık İçin 6 Altın Önemli İpucu

1. Paydaş Onayı ve Liderlik: En üst düzey yönetimin hem kaynak tahsisi hem de güvenlik kültürünü yayma konusunda tam desteğini alın.
2. Standardı Anlamak: Gerekliliklerin iki ana bölüme ayrıldığını (4-10 arası maddeler ve Ek A kontrolleri) unutmayın.
3. Bilgi Varlıklarını Belgelemek: Risk yönetimi planınızı, rollerinizi, sorumluluklarınızı ve güvenlik ölçütlerinizi içeren kapsamlı bir dokümantasyon yapısı oluşturun.
4. Eğitim ve Uygulama: Personelin ISMS içindeki rollerini bilmesini sağlayın. Yeni prosedürler konusunda farkındalık eğitimleri düzenleyin.
5. İç Denetim: Dış denetim öncesinde, sistemin standartlara ve kendi prosedürlerinize uyumunu bağımsız bir gözle kontrol edin.
6. Düzeltici Önlemler: İç denetimde tespit edilen aksaklıkları gidererek sistemi denetime hazır hale getirin.

ISO 27001 Belgelendirme Süreçlerinizi Hangi avantajlarla dönüştürüyoruz?

1. 1. Süreç Karışıklığı Yaşamazsınız: Doğrudan akreditasyona sahip yetkili belgelendirme ve denetim kuruluşu olan DSR Uluslararası Belgelendirme ile çalışıyorsunuz. Arada aracı yoktur.
   2. Akıllı Dokümantasyon Desteği: Sitemizdeki ücretsiz doküman oluşturma aracı ile ISO 27001 dokümanlarınızın temel yapısını otomatik olarak hazırlayabilirsiniz.

1. Hız ve Kesinlik: Hazırlık durumuna göre 3–6 ay gibi gerçekçi bir sürede belgelendirme sürecini tamamlıyoruz.
2. Denetim Korkusunu Güvene Dönüştürüyoruz: Denetimlerimiz bir “sorgulama” değil, sisteminizin güvenliğini uluslararası standartlarda “tescil etme” sürecidir.

DSR Belgelendirme ile çalışmanın güven ve rahatlığını hissedeceksiniz. Dünya çapında geçerli akreditasyonlara sahip baş denetçi havuzumuzla tüm belgelendirme süreçlerini kolaylaştırıyoruz.

Hazırlık seviyenize göre 3 ile 6 ay gibi gerçekçi bir sürede belgelendirme süreçlerinizi tamamlamanıza yardımcı oluyoruz.

Madde 1 – Kapsam

Standardın neyi düzenlediğini tanımlar: her tür ve büyüklükteki kuruluşta bir Bilgi Güvenliği Yönetim Sisteminin (BGYS) kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikler. Bu madde kuruluştan bir uygulama beklemez.

Madde 2 – Atıf Yapılan Standartlar

Standardın uygulanmasında başvurulan diğer dokümanları belirtir. ISO 27001 için temel atıf, terim ve tanımları içeren ISO/IEC 27000 standardıdır.

Madde 3 – Terimler ve Tanımlar

“Risk”, “bilgi varlığı”, “gizlilik”, “bütünlük”, “erişilebilirlik” gibi kavramların standart içindeki anlamını sabitler. Denetimde aynı dili konuşmak için önemlidir.

Madde 4 – Kuruluşun Bağlamı

Kuruluşun iç ve dış konularını, ilgili tarafları (müşteriler, tedarikçiler, düzenleyici kurumlar) ve bu tarafların bilgi güvenliği beklentilerini belirlemesini ister. Bu analizin sonucunda BGYS kapsamı yazılı olarak tanımlanır: hangi lokasyonlar, süreçler, sistemler ve birimler sisteme dahil. 2022 revizyonuyla, ilgili taraf gereksinimlerinden hangilerinin BGYS ile karşılanacağının analizi (4.2 c) ve süreçlerin birbiriyle etkileşiminin planlanması (4.4) netleştirildi.

Madde 5 – Liderlik

Üst yönetimin BGYS’yi sahiplenmesini zorunlu kılar. Bilgi güvenliği politikasının yayımlanması, kaynak sağlanması, rol ve sorumlulukların atanması ve bunların kuruluş içinde duyurulması bu maddenin kapsamındadır. Denetimde üst yönetimle görüşme yapılması bu yüzden şarttır.

Madde 6 – Planlama

BGYS’nin kalbidir. Kuruluş, bir risk değerlendirme yöntemi belirler; bilgi varlıklarına yönelik tehditleri, olasılık ve etkilerini analiz eder ve her risk için işleme kararı verir (azalt, kabul et, transfer et, kaçın). Bu kararlar Uygulanabilirlik Bildirgesi (SoA) ile Ek A kontrollerine bağlanır. Ayrıca ölçülebilir bilgi güvenliği hedefleri belirlenir. 2022 revizyonunda eklenen 6.3 maddesi, BGYS’de yapılacak değişikliklerin plansız değil, kontrollü şekilde yapılmasını ister.

Madde 7 – Destek

Sistemin yaşaması için gereken kaynakları düzenler: yeterli ve yetkin personel, tüm çalışanların bilgi güvenliği farkındalığı, iç ve dış iletişim kuralları ile dokümante edilmiş bilginin (politika, prosedür, kayıt) oluşturulması, güncellenmesi ve kontrolü.

Madde 8 – Operasyon

Planlanan kontrollerin sahada fiilen uygulanmasıdır. Risk değerlendirmeleri planlı aralıklarla ve önemli değişikliklerde tekrarlanır, risk işleme planı hayata geçirilir. Dışarıdan alınan süreç ve hizmetler (bulut, yazılım, dış kaynak) de kontrol altında tutulur. Aşama 2 denetiminde en çok kanıt bu maddeden istenir.

Madde 9 – Performans Değerlendirme

Sistemin işe yarayıp yaramadığını ölçer: bilgi güvenliği performansının izlenmesi ve ölçülmesi, planlı iç denetimler ve üst yönetimin yönetimin gözden geçirmesi (YGG) toplantıları. 2022 revizyonuyla, YGG girdilerine ilgili tarafların ihtiyaç ve beklentilerindeki değişiklikler de eklendi (9.3.2 c).

Madde 10 – İyileştirme

Tespit edilen uygunsuzlukların kök nedenine inilerek düzeltici faaliyet açılmasını ve BGYS’nin sürekli iyileştirilmesini ister. 2022 revizyonunda bu maddenin alt başlıklarının sırası değişti (10.1 Sürekli iyileştirme, 10.2 Uygunsuzluk ve düzeltici faaliyet); şartların içeriği aynı kaldı.

Ek A – 93 Kontrol

Ek A, 2022 revizyonunda 114 kontrolden 93 kontrole indirildi ve 4 temaya ayrıldı: organizasyonel (37), insan (8), fiziksel (14) ve teknolojik (34). Kuruluş, risk değerlendirmesine göre hangi kontrolleri uyguladığını ve uygulamadıklarını neden dışarıda bıraktığını SoA’da gerekçelendirir.

Bilgi Güvenliği Yönetim Sisteminin (BGYS) 9 Temel Dayanağı

Bilgi güvenliği yönetiminin dayandığı 9 temel ilke, uluslararası alanda OECD’nin bilgi sistemleri ve ağlarının güvenliğine ilişkin rehber ilkelerinden gelir ve ISO 27001’in yaklaşımıyla birebir örtüşür:

1. Farkındalık: Tüm çalışanlar ve paydaşlar, bilgi güvenliğinin neden gerekli olduğunu ve kendi davranışlarının riski nasıl etkilediğini bilmelidir.
2. Sorumluluk: Herkes kendi rolü ölçüsünde bilgi güvenliğinden sorumludur; yetkiler ve sorumluluklar açıkça tanımlanır.
3. Müdahale: Güvenlik olaylarına zamanında ve koordineli şekilde müdahale edilir; olaylar kayıt altına alınır ve gerektiğinde ilgili taraflarla paylaşılır.
4. Etik: Bilgiye erişim ve bilginin kullanımı, başkalarının meşru haklarına saygı gösterilerek yapılır.
5. Demokratik ilkelere uyum: Güvenlik önlemleri; ifade özgürlüğü, bilgi akışı ve kişisel verilerin korunması gibi temel haklarla uyumlu olmalıdır.
6. Risk değerlendirmesi: Önlemler tahmine değil, varlıkların değerine, tehditlere ve açıklıklara dayalı sistemli bir risk analizine göre belirlenir.
7. Güvenliğin tasarımı ve uygulanması: Güvenlik, sistemlere sonradan eklenen bir yama değil; yazılım, altyapı ve süreçlerin tasarımına baştan dahil edilen bir unsurdur.
8. Güvenlik yönetimi: Bilgi güvenliği tek seferlik projelerle değil, politika, prosedür ve kontrollerden oluşan bütüncül bir yönetim sistemiyle sağlanır.
9. Yeniden değerlendirme: Tehditler ve teknoloji değiştikçe riskler, kontroller ve politikalar düzenli olarak gözden geçirilir ve güncellenir.

ISO 27001’in PUKÖ (Planla–Uygula–Kontrol Et–Önlem Al) döngüsü, bu dokuz ilkenin kuruluş içinde denetlenebilir bir sisteme dönüştürülmüş halidir.

ISO 27001 Bilgi Güvenliği Yönetimi Eğitimleri

Öğrenim yolculuğunuzun her aşamasını desteklemek amacıyla çeşitli eğitim modülleri sunulmaktadır. Tüm seçenekler için ISO 27001 eğitimi sayfamızı ziyaret edebilirsiniz.

• Ücretsiz Tanıtım Kursu
• Farkındalık Eğitimi
• Baş Denetçi Eğitimi
• İç Denetçi Eğitimi
• Uygulama Eğitimi

ISO 27001 belgesi zorunlu mu?

Genel olarak gönüllüdür, ancak bazı sektörlerde mevzuat veya sözleşme gereği zorunlu hale gelir. Elektronik haberleşme işletmecileri, enerji piyasasındaki bazı firmalar, e-fatura özel entegratörleri ve kamu ihalelerine katılan bilişim firmaları bunların başında gelir. Pek çok büyük şirket de tedarikçilerinden ISO 27001 belgesi talep etmektedir.

ISO 27001 belgesi kaç yıl geçerlidir?

Belge 3 yıl geçerlidir. Bu süre içinde her yıl bir gözetim denetimi yapılır; üçüncü yılın sonunda yeniden belgelendirme denetimiyle belge yenilenir. Gözetim denetimleri yapılmazsa belge askıya alınır.

ISO 27001 belgesi ne kadar sürede alınır?

Kuruluşun büyüklüğüne ve hazırlık durumuna göre ortalama 3–6 ay sürer. Sistem kurulumu ve iç denetim genellikle 2–4 ay, Aşama 1 ve Aşama 2 belgelendirme denetimleri ise 1–2 ay içinde tamamlanır.

ISO 27001 belgelendirme maliyeti neye göre belirlenir?

Fiyat sabit değildir; denetçi gün sayısına göre hesaplanır. Denetim süresini belirleyen başlıca etkenler çalışan sayısı, BGYS kapsamındaki lokasyon sayısı, sektörün risk düzeyi ve kullanılan bilgi sistemlerinin karmaşıklığıdır.

Elimde ISO 27001:2013 belgesi var, hâlâ geçerli mi?

Hayır. IAF’ın belirlediği geçiş süresi 31 Ekim 2025’te sona erdi; bu tarihten sonra ISO 27001:2013 belgeleri geçerliliğini yitirdi. Geçerli bir belge için sistemin ISO 27001:2022’ye göre güncellenip bu versiyona göre denetlenmesi gerekir.

ISO 27001 ile ISO 27002 arasındaki fark nedir?

ISO 27001, belgelendirmeye esas alınan şartlar standardıdır. ISO 27002 ise Ek A’daki kontrollerin nasıl uygulanacağını anlatan bir kılavuzdur. Kuruluşlar ISO 27002’ye göre belgelendirilemez; yalnızca ISO 27001’e göre belge alınır.

Bir ISO 27001 belgesinin geçerli olup olmadığını nasıl anlarım?

Belge üzerinde akreditasyon kurumunun logosu ve akreditasyon numarası bulunmalıdır. Belgeyi veren kuruluşun akreditasyonunu TÜRKAK’ın resmi sorgulama sisteminden, belgenin kendisini ise belgelendirme kuruluşunun belge sorgulama sayfasından kontrol edebilirsiniz. DSR Belgelendirme tarafından verilen belgeler Belge Sorgulama sayfasından doğrulanabilir.

Belgelendirme kuruluşu aynı firmaya danışmanlık da verebilir mi?

Hayır. Akredite belgelendirme kuruluşları tarafsızlık kuralı gereği, belgelendirdikleri yönetim sistemini kendileri kuramaz veya bu sistem için firmaya özel danışmanlık veremez. Bu nedenle sistem kurulumu kuruluşun kendi ekibi ya da bağımsız bir danışman tarafından yapılır; belgelendirme kuruluşu ise yalnızca bağımsız denetim ve belgelendirme gerçekleştirir.