ISO 27001 Danışmanlık
Kuruluşunuzun Bilgi Güvenliği Yönetim Sistemi’ni (BGYS) kurup ISO/IEC 27001:2022 belgelendirmesine hazırlıyorum. Bağımsız danışman olarak boşluk analizinden risk değerlendirmesine, SoA’dan belgelendirme denetimine kadar tüm süreçte yanınızdayım.
ISO 27001 Nedir?
ISO 27001, bilgi güvenliği yönetim sistemleri (BGYS) için uluslararası kabul görmüş standarttır. Bir kuruluşun bilgi varlıklarını korumak amacıyla risk temelli bir yaklaşımla güvenlik kontrollerini oluşturmasını, uygulamasını, izlemesini ve sürekli iyileştirmesini sağlayan çerçeveyi tanımlar.
Standart ISO ve IEC tarafından ortak yayımlanır. 2022’de yayımlanan ISO/IEC 27001:2022 sürümü, güncel siber tehditlere ve bulut altyapısına yönelik yeni kontroller içerir.
Temel Bileşenler
Risk Yönetimi
Bilgi varlıklarına yönelik tehditlerin belirlenmesi, değerlendirilmesi ve işlenmesi.
Uygulanabilirlik Bildirgesi (SoA)
93 kontrolün uygulanıp uygulanmayacağının gerekçeli beyanı.
Erişim Kontrolü
Bilgi varlıklarına erişimin yönetimi ve izlenmesi.
Olay Yönetimi
Güvenlik olaylarının tespiti, raporlanması ve müdahalesi.
İş Sürekliliği
Kritik süreçlerin kesintisiz sürdürülmesinin güvence altına alınması.
Tedarikçi Güvenliği
Üçüncü taraf erişimlerinin ve tedarik zinciri riskinin yönetimi.
ISO 27001 Belgesi Kimler İçin Gereklidir?
Kişisel veri işleyen firmalar (KVKK uyumu için güçlü altyapı)
BT ve yazılım hizmet şirketleri
Finans, bankacılık ve sigorta kuruluşları
Sağlık ve ilaç sektörü kuruluşları
Kamu ihaleleri ve e-devlet projelerine giren firmalar
Müşterilerinden ISO 27001 belgesi talep edilen her kuruluş
Belgelendirme Süreci
Süreç kapsama göre tipik olarak 6-12 ay sürer ve şu aşamalardan oluşur:
Kapsam Belirleme
BGYS’nin hangi birim, sistem ve lokasyonları kapsayacağının belirlenmesi.
Risk Değerlendirmesi
Bilgi varlıklarının tanımlanması ve risk analizi.
Kontrol Seçimi ve SoA
Uygulanabilirlik bildirgesi ve kontrol planı.
Dokümantasyon
Politika, prosedür ve iş talimatlarının geliştirilmesi.
Uygulama ve Eğitim
Kontrollerin devreye alınması ve personel farkındalığı.
İç Tetkik
Bağımsız iç tetkik ve yönetimin gözden geçirmesi.
Belgelendirme Tetkiki
Akredite kuruluş denetimi (Aşama 1 + Aşama 2).
Ek-A Kontrolleri: 93 Kontrol, 4 Tema
2022 ile Ek-A kontrolleri 114’ten 93’e indirildi ve dört tema altında yeniden düzenlendi.
Örgütsel Kontroller
Politikalar, roller, tedarikçi ilişkileri, bulut güvenliği, olay yönetimi.
İnsan Kaynaklı
İşe alım, farkındalık, disiplin süreci, uzaktan çalışma.
Fiziksel
Güvenli alanlar, ekipman güvenliği, temiz masa/ekran.
Teknolojik
Erişim yönetimi, kriptografi, günlükleme, güvenli kodlama, yedekleme.
2022 sürümüne 11 yeni kontrol eklendi: tehdit istihbaratı, bulut hizmetleri için bilgi güvenliği, veri maskeleme, veri sızıntısı önleme (DLP), güvenli kodlama, yapılandırma yönetimi ve izleme faaliyetleri gibi. Hangi kontrollerin uygulanacağı ve hangilerinin neden hariç bırakıldığı Uygulanabilirlik Bildirgesi (SoA) ile gerekçeli olarak belgelenir.
2013’ten 2022’ye Geçiş Tamamlandı
ISO 27001:2013’ten 2022’ye geçiş süresi 31 Ekim 2025’te doldu. Bu tarihten sonra 2013 sürümüne göre düzenlenmiş belgeler geçerliliğini yitirdi. Hâlâ 2013 belgesiyle çalışıyorsanız, güncel Ek-A kontrollerine göre sisteminizi revize edip yeniden belgelendirme denetimine girmeniz gerekir. Fark analizi ve geçiş hazırlığında destek veriyorum.
ISO 27001 Belgesi Fiyatı Nasıl Belirlenir?
Tek bir sabit fiyat yoktur; maliyet teklif usulüyle ve kapsama göre belirlenir. Fiyatı etkileyen başlıca faktörler:
Kapsam: belgeye girecek birim, lokasyon ve süreç sayısı
Kuruluş büyüklüğü: çalışan sayısı ve BT altyapısının karmaşıklığı
Mevcut olgunluk: hâlihazırda uygulanan güvenlik kontrolleri
Akreditasyon tercihi: TÜRKAK veya yabancı (UKAS, DAkkS) akreditasyon
Maliyet iki ayrı kalemden oluşur: danışmanlık ücreti (sistemin kurulması ve denetime hazırlık) ve belgelendirme ücreti (bağımsız akredite denetim). Bu ikisini aynı kuruluş yapmamalıdır. İhracatçı firmalar için belge masraflarına yönelik devlet destekleri (ör. KOSGEB, Ticaret Bakanlığı) bulunabilir; güncel koşulları ilgili kurumdan doğrulamak gerekir.
ISO 27001 ve KVKK / VERBIS İlişkisi
ISO 27001, KVKK kapsamındaki idari ve teknik tedbirlerin büyük kısmını sistematik biçimde karşılar. Kişisel veri işleyen bir kuruluşsanız, ISO 27001 BGYS’si; erişim kontrolü, günlükleme, veri maskeleme, ihlal müdahalesi ve tedarikçi güvenliği gibi gereksinimleri belgelenebilir bir çerçeveye oturtur.
Bu, hem VERBIS kayıt yükümlülüğünüzdeki teknik tedbir beyanlarını güçlendirir hem de olası bir denetimde hesap verebilirliği kanıtlar. ISO 27001’i KVKK uyum programınızın teknik omurgası olarak kurgulamanızı öneririm.
ISO 27001 Danışmanlık Hizmetim
Boşluk analizi ve mevcut durum değerlendirmesi
Bilgi güvenliği risk değerlendirmesi ve işleme planı
Uygulanabilirlik bildirgesi (SoA) hazırlanması
Politika ve prosedür dokümantasyonu
Personel farkındalık eğitimleri
İç tetkikçi eğitimi ve belgelendirme tetkiki hazırlığı
Sıkça Sorulan Sorular
ISO 27001 belgesi almak ne kadar sürer?+
ISO 27001:2022 ile kaç kontrol var?+
2013 belgem hâlâ geçerli mi?+
ISO 27001 KVKK için zorunlu mu?+
Danışmanlık ve belgelendirmeyi aynı firma mı yapar?+
İlgili Sayfalar
Bilgi güvenliği sisteminizi ISO 27001’e hazırlayalım
Ücretsiz ön değerlendirme ile mevcut durumunuzu standart karşısında ölçelim ve gerçekçi bir yol haritası çıkaralım.
