Giriş
Bilgi güvenliği artık yalnızca teknik ekiplerin sorumluluğunda olan bir konu değildir. Kurumların müşteri verileri, çalışan bilgileri, finansal kayıtları, sözleşmeleri, sistemleri, uygulamaları, ağ altyapısı ve iş süreçleri bilgi güvenliği bakış açısıyla yönetilmelidir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, kurumların bilgi varlıklarını sistematik şekilde korumasına, risklerini yönetmesine, güvenlik kontrollerini kurmasına ve denetlenebilir bir bilgi güvenliği yapısı oluşturmasına yardımcı olan uluslararası bir yönetim sistemi standardıdır.
Securebyt, ISO 27001 danışmanlığı kapsamında kurumların BGYS yapısını kurmasına, risk analizi yapmasına, politika ve prosedür dokümanlarını hazırlamasına, iç denetim sürecine hazırlanmasına ve ISO 27001 belgelendirme sürecine daha kontrollü ilerlemesine destek sağlar.
ISO 27001 nedir?
ISO/IEC 27001:2022, Bilgi Güvenliği Yönetim Sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikleri tanımlayan uluslararası standarttır. Güncel sürüm ve kapsam, ISO'nun ISO/IEC 27001:2022 kaydında açıklanmaktadır.
ISO 27001 yalnızca teknik güvenlik ürünlerinden ibaret değildir. Yönetim desteği, risk analizi, varlık yönetimi, erişim kontrolü, insan kaynakları güvenliği, tedarikçi güvenliği, iş sürekliliği, olay yönetimi, dokümantasyon ve sürekli iyileştirme gibi birçok başlığı kapsar.
Bu nedenle ISO 27001 danışmanlığı, yalnızca belge almak için yapılan bir çalışma olarak görülmemelidir. Doğru yürütüldüğünde kurumun bilgi güvenliği olgunluğunu artıran, denetimlere hazırlık sağlayan ve güvenlik risklerini yönetilebilir hale getiren stratejik bir süreçtir.
Bilgi Güvenliği Yönetim Sistemi nedir?
Bilgi Güvenliği Yönetim Sistemi, kurumun bilgi varlıklarını korumak için oluşturduğu politika, süreç, rol, sorumluluk, risk yönetimi, kontrol ve iyileştirme yapısıdır.
Bir BGYS kapsamında kurum öncelikle hangi bilgi varlıklarına sahip olduğunu belirler. Bu varlıkların hangi tehditlere açık olduğu, zafiyetleri, iş süreçleri üzerindeki etkisi ve mevcut güvenlik tedbirleri değerlendirilir. Ardından riskler analiz edilir, uygun kontroller seçilir ve uygulanabilir bir bilgi güvenliği yönetim yapısı kurulur.
BGYS danışmanlığı, bu yapının kurumun gerçek ihtiyaçlarına göre tasarlanmasını sağlar. Amaç yalnızca doküman üretmek değil; kurumun günlük operasyonlarında çalışabilecek, ölçülebilir ve sürdürülebilir bir bilgi güvenliği sistemi kurmaktır.
ISO 27001 danışmanlığı neden alınır?
ISO 27001 süreci; kapsam belirleme, risk analizi, dokümantasyon, kontrol seçimi, iç denetim ve yönetimin gözden geçirmesi gibi birçok aşamadan oluşur. Bu sürecin hatalı kurgulanması, kurumun gereksiz doküman yüküyle karşılaşmasına veya denetimde yetersiz kalmasına neden olabilir.
- Kurumun mevcut bilgi güvenliği seviyesinin doğru analiz edilmesi
- Kapsamın doğru ve gerçekçi belirlenmesi
- Varlık envanteri ve risk analizinin sağlıklı yapılması
- ISO 27001 dokümantasyon yapısının kuruma uygun hazırlanması
- Gereksiz veya uygulanamayacak kontrollerden kaçınılması
- İç denetim ve belgelendirme sürecine hazırlık sağlanması
- ISO 27001, KVKK, ISO 27701 ve BİGDES ilişkilerinin birlikte değerlendirilmesi
Securebyt, bu süreçte kurumun yalnızca belgelendirme denetimine değil, sürdürülebilir bilgi güvenliği yönetimine hazırlanmasını hedefler.
Kimler için gereklidir?
- Müşteri, çalışan, finansal veya ticari bilgi işleyen kurumlar
- Kamu, üniversite, sağlık, finans, üretim, teknoloji ve hizmet sektörü kuruluşları
- KVKK ve bilgi güvenliği yükümlülüklerini daha sistematik yönetmek isteyen kurumlar
- BİGDES uyum süreci yürüten kurumlar
- Tedarikçi güvenliği veya müşteri denetimlerine hazırlanan şirketler
- Bilgi güvenliği risklerini ölçülebilir şekilde yönetmek isteyen organizasyonlar
- ISO 27001 belgesi almak veya mevcut belgesini sürdürülebilir hale getirmek isteyen kurumlar
- Kurumsal politika, prosedür, risk ve kontrol yapısını düzenlemek isteyen işletmeler
Securebyt bu süreçte ne yapar?
Securebyt, ISO 27001 BGYS danışmanlığı sürecinde kurumun mevcut durumunu analiz ederek uygulanabilir bir bilgi güvenliği yönetim sistemi kurulmasına destek olur.
Çalışma yalnızca hazır doküman seti teslim etmekten ibaret değildir. Kurumun iş süreçleri, teknik altyapısı, veri yapısı, kullanıcı profili, dış hizmet sağlayıcıları, yasal yükümlülükleri ve mevcut güvenlik kontrolleri birlikte değerlendirilir.
- Mevcut durum ve boşluk analizi
- ISO 27001 kapsamının belirlenmesi
- Bilgi varlıklarının ve kritik süreçlerin değerlendirilmesi
- Risk analizi metodolojisinin oluşturulması
- Risk işleme planının hazırlanması
- Politika, prosedür ve kayıt dokümanlarının oluşturulması
- Kontrol uygulama durumlarının değerlendirilmesi
- İç denetim hazırlığı
- Yönetimin gözden geçirmesi sürecine destek
- Belgelendirme denetimi öncesi hazırlık
Danışmanlık kapsamı
- Kuruluş bağlamı ve ilgili tarafların belirlenmesi
- BGYS kapsamının tanımlanması
- Bilgi güvenliği politikalarının hazırlanması
- Varlık envanteri yaklaşımının oluşturulması
- ISO 27001 risk analizi çalışması
- Risk işleme planı hazırlanması
- Uygulanabilirlik bildirgesi yaklaşımı
- Kontrol hedeflerinin belirlenmesi
- Politika, prosedür, talimat ve kayıt dokümanları
- İç denetim planı ve kontrol listeleri
- Yönetimin gözden geçirmesi hazırlığı
- Denetim öncesi gap analiz
- Belgelendirme sürecine hazırlık
Çalışma adımları
- Ön görüşme ve kapsam belirleme ile kurumun faaliyet alanı, bilgi varlıkları, lokasyonları, sistemleri, süreçleri ve belgelendirme hedefi değerlendirilir.
- Mevcut durum analizinde politika, prosedür, teknik güvenlik tedbirleri, erişim kontrolleri, loglama, yedekleme, tedarikçi süreçleri ve KVKK/BİGDES ilişkileri incelenir.
- Varlık envanteri çalışmasında bilgi varlıkları, sistemler, uygulamalar, veri grupları, ağ bileşenleri, fiziksel varlıklar ve hizmet sağlayıcılar belirlenir.
- Risk analizinde tehditler, zafiyetler, mevcut kontroller ve iş etkileri değerlendirilir; risk seviyeleri ve risk işleme yaklaşımı oluşturulur.
- Dokümantasyon adımında kurumun yapısına uygun politika, prosedür, talimat, form ve kayıt dokümanları hazırlanır.
- Kontrol uygulamaları kapsamında erişim kontrolü, insan kaynakları güvenliği, varlık yönetimi, kriptografi, fiziksel güvenlik, tedarikçi güvenliği, olay yönetimi ve süreklilik başlıkları değerlendirilir.
- İç denetim süreci için kontrol listeleri hazırlanır, uygunsuzluklar belirlenir ve düzeltici faaliyet yaklaşımı oluşturulur.
- Yönetimin gözden geçirmesi için BGYS performansını değerlendirecek girdiler ve raporlama yapısı hazırlanır.
- Belgelendirme hazırlığında son kontroller yapılır, eksiklikler kapatılır ve kurum denetime hazırlanır.
Teslim edilecek çıktılar
Teslimat seti kurumun kapsamına ve mevcut olgunluk seviyesine göre netleştirilir. Amaç, yalnızca şablon doküman sunmak değil; sorumlusu, kullanım amacı ve izleme yöntemi belirlenmiş somut BGYS çıktıları oluşturmaktır.
- ISO 27001 mevcut durum analiz raporu
- BGYS kapsam dokümanı
- Varlık envanteri yaklaşımı
- Risk değerlendirme çıktısı
- Risk işleme planı
- Uygulanabilirlik bildirgesi yaklaşımı
- Bilgi güvenliği politikası
- Prosedür, talimat, form ve kayıt seti
- İç denetim planı ve kontrol listesi
- Yönetimin gözden geçirmesi hazırlık çıktıları
- Denetim öncesi gap analiz
- Önceliklendirilmiş aksiyon planı
ISO 27001 danışmanlık ücreti ve maliyetini hangi faktörler belirler?
ISO 27001 danışmanlık fiyatı için kapsam görülmeden sabit bir rakam vermek sağlıklı değildir. Teklif; yapılacak işin derinliği, kurumun hazır oluş seviyesi ve danışmanlık boyunca ihtiyaç duyulacak uzmanlık zamanı üzerinden şekillenir.
- Çalışan, lokasyon, süreç, sistem ve kritik tedarikçi sayısı
- Belgelendirme kapsamına alınacak iş birimleri ve bilgi varlıkları
- Mevcut politika, prosedür, risk ve kayıt yapısının olgunluğu
- Teknik kontrollerde tespit edilen iyileştirme ihtiyacı
- Risk analizi, eğitim, iç denetim ve denetim hazırlığının kapsamı
- Toplantı, saha çalışması, lokasyon ziyareti ve proje takvimi beklentisi
Karşılaştırılabilir bir teklif için kapsam, beklenen teslimatlar, kurumun sağlayacağı kaynaklar ve belgelendirme ücretinin danışmanlık bedelinden ayrı olup olmadığı açıkça yazılmalıdır.
ISO 27001 projesi ne kadar sürer?
ISO 27001 proje süresi; kurumun büyüklüğü kadar karar alma hızı, ekiplerin çalışmaya ayırdığı zaman, mevcut dokümantasyon, teknik aksiyonların tamamlanması ve işletim kayıtlarının oluşmasıyla da belirlenir. Bu nedenle gerçekçi takvim, başlangıç toplantısı ve mevcut durum analizi sonrasında oluşturulur.
Örnek proje aşamaları ve zaman planı
- Başlangıç: hedef, kapsam, ekip ve sorumlulukların netleştirilmesi
- Mevcut durum: doküman, süreç ve teknik kontrollerin gap analizi
- Tasarım: varlık envanteri, risk değerlendirmesi ve risk işleme planı
- Uygulama: politika, prosedür, kontroller, eğitimler ve kayıtların işletilmesi
- Doğrulama: iç denetim, düzeltici faaliyetler ve yönetimin gözden geçirmesi
- Hazırlık: bağımsız belgelendirme denetimi öncesi son kontroller
Aşamalar birbirini besler; bazıları paralel yürütülebilir. Ancak yalnızca takvimi kısaltmak için kontrol uygulaması ve kayıt üretimi atlanmamalıdır.
Kurumdan hangi ekipler sürece katılır?
BGYS yalnızca bilgi teknolojileri ekibinin projesi değildir. Üst yönetim sponsorluğu ile bilgi güvenliği ve BT ekiplerinin yanında insan kaynakları, hukuk veya uyum, satın alma, idari işler ve kapsama giren iş birimlerinin süreç sahipleri çalışmaya katılır.
Danışman; yöntem, koordinasyon ve örnekler sağlar. Kurum ekipleri ise gerçek işleyişi, varlıkları, riskleri, sorumluları ve uygulanabilir kontrolleri doğrular. Bu görev paylaşımı dokümanların günlük operasyonla uyumlu kalmasını sağlar.
ISO 27001 danışmanı veya danışman firma nasıl seçilir?
- ISO/IEC 27001:2022 ve yönetim sistemi uygulama deneyimini doğrulayın.
- Yaklaşımın hazır şablon tesliminden ibaret olmadığını; risk, süreç ve teknik kontrolleri kapsadığını kontrol edin.
- Kapsam, teslimatlar, kurumdan beklenen katkı, toplantı düzeni ve değişiklik yönetimini teklifte netleştirin.
- Benzer sektör ve ölçek deneyimini, proje ekibini ve uzmanların rollerini inceleyin.
- Bağımsızlık sınırlarının ve belgelendirme kuruluşuyla rol ayrımının açık olmasını isteyin.
- Belge alımı sonrasında bakım, iç denetim ve sürekli iyileştirme desteğini değerlendirin.
Danışman firma ile belgelendirme kuruluşunun farkı
Danışman firma BGYS'nin tasarlanması, uygulanması ve denetime hazırlanması için kuruma rehberlik eder. Belgelendirme kuruluşu ise sistemi bağımsız olarak denetler ve uygunluk sağlanırsa sertifikasyon kararı verir. Danışmanlık hizmeti belge garantisi anlamına gelmez; belgelendirme kararı bağımsız kuruluşa aittir.
Mevcut ISO 27001 belgesi için iyileştirme ve sürdürülebilirlik
ISO 27001 belgesi alındıktan sonra BGYS'nin güncel tutulması gerekir. Organizasyon, teknoloji, tedarikçi, mevzuat ve tehdit ortamındaki değişiklikler risk değerlendirmesine ve kontrol planına yansıtılmalıdır.
- Varlık envanteri, risk kaydı ve uygulanabilirlik bildirgesinin güncellenmesi
- Hedef, metrik, olay, tedarikçi ve kontrol performansının izlenmesi
- Periyodik iç denetim ve yönetimin gözden geçirmesi
- Uygunsuzluk ve iyileştirme aksiyonlarının sorumlu ve terminle takibi
- Yeni çalışanlar ve değişen riskler için bilgi güvenliği farkındalık eğitimlerinin yenilenmesi
- Teknik kanıtların SIEM ve log yönetimi gibi izleme süreçleriyle desteklenmesi
ISO 27001 risk analizi
ISO 27001 risk analizi, bilgi güvenliği yönetim sisteminin en kritik adımlarından biridir. Kurumun hangi bilgi varlıklarına sahip olduğu, bu varlıkların hangi tehditlerle karşılaşabileceği, mevcut kontrollerin yeterliliği ve risklerin iş süreçlerine etkisi değerlendirilir.
Risk analizi sonucunda kurum hangi riskleri kabul edeceğini, hangi riskleri azaltacağını, hangi riskleri devredeceğini veya hangi risklerden kaçınacağını belirler. Bu yaklaşım, güvenlik yatırımlarının daha bilinçli ve önceliklendirilmiş yapılmasını sağlar.
Securebyt, ISO 27001 risk analizi sürecinde kurumun teknik altyapısını, operasyonel süreçlerini, kullanıcı davranışlarını, veri yapısını ve yasal yükümlülüklerini birlikte değerlendirir.
ISO 27001 dokümantasyon yapısı
ISO 27001 sürecinde dokümantasyon önemlidir; ancak dokümanların yalnızca denetim için hazırlanması doğru bir yaklaşım değildir. Dokümanlar kurumun gerçek süreçlerini yansıtmalı ve uygulanabilir olmalıdır.
- Bilgi güvenliği politikası
- Risk yönetimi prosedürü
- Varlık yönetimi prosedürü
- Erişim kontrol prosedürü
- Olay yönetimi prosedürü
- Yedekleme prosedürü
- Tedarikçi güvenliği prosedürü
- İş sürekliliği yaklaşımı
- İç denetim prosedürü
- Düzeltici faaliyet kayıtları
- Eğitim ve farkındalık kayıtları
Securebyt, dokümantasyon yapısını kurumun ölçeğine ve gerçek ihtiyaçlarına göre sade, anlaşılır ve denetlenebilir şekilde oluşturur.
ISO 27001 iç denetim
ISO 27001 iç denetim, bilgi güvenliği yönetim sisteminin standart gerekliliklerine ve kurum içi kurallara uygun çalışıp çalışmadığını değerlendirmek için yapılır.
İç denetim sürecinde kapsam, kontroller, dokümanlar, kayıtlar, uygulamalar ve sorumluluklar gözden geçirilir. Tespit edilen uygunsuzluklar veya iyileştirme alanları düzeltici faaliyet yaklaşımıyla takip edilir.
Securebyt, ISO 27001 iç denetim hazırlığında kontrol listeleri, denetim planı, uygunsuzluk yönetimi ve iyileştirme önerileri konusunda destek sağlar.
ISO 27001 ve KVKK ilişkisi
ISO 27001 ve KVKK birbirini tamamlayan iki önemli alandır. KVKK kişisel verilerin hukuka uygun şekilde işlenmesi ve korunmasıyla ilgilenirken, ISO 27001 bilgi güvenliği yönetim sisteminin kurumsal çerçevesini sağlar.
KVKK kapsamında kişisel veri güvenliği, erişim kontrolü, loglama, yetkilendirme, yedekleme, veri saklama, imha ve farkındalık gibi teknik/idari tedbirler önemlidir. ISO 27001 bu tedbirlerin sistematik ve denetlenebilir bir yapı içinde yönetilmesine yardımcı olur.
Bu nedenle KVKK Danışmanlığı ve ISO 27701 Danışmanlığı çalışmaları ISO 27001 danışmanlığı ile birlikte ele alındığında kurumun hem bilgi güvenliği hem de kişisel veri güvenliği olgunluğu güçlenir.
BİGDES Uyum Süreci ve ISO 27001 Entegrasyonu
Bilgi ve İletişim Güvenliği Rehberi ve BİGDES uyum süreci, kurumların bilgi güvenliği tedbirlerini yalnızca doküman seviyesinde değil; varlık, risk, kontrol, kanıt ve aksiyon yönetimi yaklaşımıyla ele almasını gerektirir. Güncel rehber ve uyum faaliyetlerinde esas otorite Siber Güvenlik Başkanlığıdır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, BİGDES uyum süreci için güçlü bir temel sağlar. Varlık envanteri, risk analizi, risk işleme planı, erişim kontrolü, olay yönetimi, dokümantasyon, iç denetim ve sürekli iyileştirme yaklaşımı; Bilgi ve İletişim Güvenliği Rehberi kapsamındaki tedbirlerin daha ölçülebilir ve kanıtlanabilir şekilde yönetilmesine katkı sağlar.
Bu nedenle ISO 27001 danışmanlığı ile BİGDES ve Bilgi ve İletişim Güvenliği Rehberi Uyum Danışmanlığı birlikte ele alındığında kurumun hem yönetim sistemi olgunluğu hem de teknik/idari tedbir takip kabiliyeti güçlenir. Kanıt, doküman ve aksiyon takibi için Kurumsal Doküman Yönetim Sistemi yaklaşımı da bu yapıyı destekleyebilir.
ISO 27001:2022 Yeni Kontrolleri ve Güncel Güvenlik Yaklaşımı
ISO 27001:2022 revizyonu, kurumların güncel tehdit ortamına daha uygun bir bilgi güvenliği yönetim sistemi kurmasını hedefleyen önemli kontrol başlıkları içerir. Eski ISO 27001:2013 içeriklerine göre hazırlanmış birçok yaklaşım güncel riskleri yeterince kapsamayabilir. Bu nedenle ISO 27001 danışmanlığı sürecinde 2022 revizyonu ve güncel Annex A kontrol yapısı dikkate alınmalıdır.
Öne çıkan güncel kontrol başlıklarından bazıları şunlardır:
- A.5.7 Tehdit istihbaratı: Kurumun güncel tehditleri takip etmesi, güvenlik olayları ve risk analizlerinde tehdit bilgisini kullanması.
- A.5.23 Bulut hizmetlerinde bilgi güvenliği: Bulut servislerinin güvenli kullanımı, sözleşme, erişim ve veri güvenliği kontrollerinin değerlendirilmesi.
- A.5.30 İş sürekliliği için BİT hazırlığı: Bilgi ve iletişim teknolojilerinin süreklilik ihtiyaçlarına göre planlanması.
- A.7.4 Fiziksel güvenlik izleme: Kritik alanlarda fiziksel güvenliğin izlenmesi.
- A.8.9 Konfigürasyon yönetimi: Sistem, ağ ve güvenlik bileşenlerinin güvenli yapılandırılması.
- A.8.10 Bilgi silme: Gereksiz veya süresi dolmuş bilgilerin güvenli silinmesi.
- A.8.11 Veri maskeleme: Hassas ve kişisel verilerin gereksiz ortamlarda açık halde kullanılmasının azaltılması.
- A.8.12 Veri sızıntısı önleme: DLP ve veri akış kontrolleriyle hassas veri paylaşımı risklerinin azaltılması.
- A.8.16 İzleme faaliyetleri: Loglama, SIEM ve güvenlik olay izleme süreçlerinin güçlendirilmesi.
- A.8.23 Web filtreleme: Kullanıcıların riskli web içeriklerine erişiminin kontrol edilmesi.
- A.8.28 Güvenli kodlama: Yazılım geliştirme süreçlerinde güvenlik gereksinimlerinin dikkate alınması.
Securebyt, ISO 27001:2022 danışmanlığı sürecinde bu güncel kontrolleri kurumun gerçek riskleri, mevcut teknik altyapısı, KVKK, BİGDES, DLP, SIEM, ağ güvenliği ve veri maskeleme ihtiyaçlarıyla birlikte değerlendirir.
Sık yapılan hatalar
- Kapsamı çok geniş veya çok dar belirlemek
- Hazır doküman setlerini kuruma uyarlamadan kullanmak
- Risk analizini yüzeysel yapmak
- Teknik ekip ve yönetim arasında koordinasyon kurmamak
- Uygulanamayacak kontrolleri dokümanda varmış gibi göstermek
- İç denetimi yalnızca formalite olarak görmek
- KVKK, BİGDES ve diğer uyum süreçleriyle ilişki kurmamak
- Belge alındıktan sonra BGYS'yi işletmemek
Securebyt'in yaklaşımı, bu hataları azaltmak ve kurumun gerçekten çalışan bir bilgi güvenliği yönetim sistemine sahip olmasını sağlamaktır.
Kuruma katkısı
- Bilgi güvenliği riskleri sistematik şekilde yönetilir.
- Yönetim ve teknik ekipler için ortak güvenlik dili oluşur.
- Denetim ve müşteri taleplerine hazırlık seviyesi artar.
- KVKK, BİGDES ve diğer uyum süreçleri desteklenir.
- Bilgi güvenliği dokümanları düzenli ve izlenebilir hale gelir.
- Güvenlik yatırımları risk önceliğine göre planlanır.
- Kurumsal güvenilirlik ve müşteri güveni artar.
İlgili rehberler
İlgili hizmetler ve çözümler
Sık sorulan sorular
ISO 27001 nedir?
ISO 27001, kurumların bilgi güvenliği risklerini yönetmesi ve bilgi varlıklarını koruması için kullanılan bilgi güvenliği yönetim sistemi standardıdır.
ISO 27001 danışmanlığı neden alınır?
ISO 27001 süreci kapsam, risk analizi, dokümantasyon, kontrol seçimi, iç denetim ve belgelendirme hazırlığı gerektirir. Danışmanlık bu sürecin doğru, uygulanabilir ve denetlenebilir şekilde yürütülmesine yardımcı olur.
ISO 27001 belgesi almak ne kadar sürer?
Süre kurumun büyüklüğüne, mevcut bilgi güvenliği seviyesine, kapsamına ve dokümantasyon durumuna göre değişir. Küçük ve orta ölçekli yapılarda süreç daha kısa ilerleyebilirken, büyük kurumlarda daha kapsamlı planlama gerekir.
ISO 27001 risk analizi neden önemlidir?
Risk analizi, kurumun hangi bilgi varlıklarının hangi tehditlerle karşılaşabileceğini ve hangi kontrollerin öncelikli olduğunu belirler. ISO 27001'in temel karar mekanizması risk yönetimidir.
ISO 27001 ve KVKK birlikte ele alınabilir mi?
Evet. ISO 27001, kişisel veri güvenliği için gerekli teknik ve organizasyonel tedbirlerin sistematik yönetilmesine yardımcı olur. Bu nedenle KVKK uyum sürecini destekler.
ISO 27001 ve BİGDES arasında ilişki var mı?
Evet. ISO 27001; risk yönetimi, varlık yönetimi, erişim kontrolü, olay yönetimi, dokümantasyon ve denetim yaklaşımıyla BİGDES uyum süreçlerine güçlü bir temel sağlar.
ISO 27001:2022, ISO 27001:2013’e göre neden önemlidir?
ISO 27001:2022, güncel tehdit ortamına daha uygun kontrol başlıkları içerir. Tehdit istihbaratı, bulut hizmetleri, veri maskeleme, veri sızıntısı önleme, izleme faaliyetleri ve güvenli kodlama gibi başlıklar kurumların yeni güvenlik ihtiyaçlarını daha iyi karşılamasına yardımcı olur.
ISO 27001 BİGDES uyum sürecini destekler mi?
Evet. ISO 27001; varlık yönetimi, risk analizi, kontrol uygulamaları, dokümantasyon, iç denetim ve sürekli iyileştirme yapısıyla BİGDES ve Bilgi ve İletişim Güvenliği Rehberi uyum sürecini destekler.
ISO 27001 danışmanlığı sadece doküman hazırlığı mıdır?
Hayır. Doğru ISO 27001 danışmanlığı; kurumun süreçlerini, risklerini, teknik kontrollerini ve yönetim yapısını birlikte değerlendirir. Dokümantasyon bu sürecin yalnızca bir parçasıdır.
ISO 27001 danışmanlık ücreti ve maliyeti hangi faktörlere göre değişir?
ISO 27001 danışmanlık maliyeti; kuruluşun büyüklüğü, lokasyon ve süreç sayısı, BGYS kapsamı, mevcut dokümantasyon ve kontrol olgunluğu, risk analizi ihtiyacı, eğitim ve iç denetim kapsamı ile hedeflenen proje takvimine göre değişir.
ISO 27001 projesi ne kadar sürer?
Proje süresi kapsamın büyüklüğüne, mevcut durumdaki eksiklere, kurum ekiplerinin ayırabildiği zamana, teknik iyileştirmelere ve kayıtların oluşma hızına bağlıdır. Takvim mevcut durum analizi sonrasında kuruma özel planlanmalıdır.
ISO 27001 danışman firma ile belgelendirme kuruluşu arasındaki fark nedir?
Danışman firma BGYS'nin kurulması, risklerin ve dokümanların hazırlanması, kontrollerin uygulanması ve denetime hazırlık için rehberlik eder. Belgelendirme kuruluşu ise bağımsız denetim yapar ve uygunluk sağlanırsa belge düzenler; iki rol birbirinden ayrıdır.
ISO 27001 sürecine kurumdan hangi ekipler katılır?
Üst yönetim sponsorluğu yanında bilgi teknolojileri, bilgi güvenliği, insan kaynakları, hukuk veya uyum, satın alma, idari işler ve kapsama giren iş birimlerinin süreç sahipleri çalışmaya katılır. Katılım modeli kurumun kapsamına göre belirlenir.
Mevcut ISO 27001 belgesi nasıl sürdürülebilir?
Risklerin ve varlık envanterinin güncellenmesi, kontrollerin izlenmesi, iç denetim ve yönetimin gözden geçirmesinin yürütülmesi, uygunsuzlukların kapatılması ve değişikliklerin BGYS'ye yansıtılması gerekir.
