.png)
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Nedir?
ISO 27001, kuruluşların bilgi varlıklarını sistematik olarak korumak için uluslararası standartlarda bir Bilgi Güvenliği Yönetim Sistemi (BGYS) kurmasını, uygulamasını ve sürekli iyileştirmesini sağlayan, dünya çapında kabul görmüş bir standarttır.
Temel Amacı: Bilginin Güvenliğini Sağlamak
Dijitalleşen dünyada bilgi, kurumların en değerli varlığı haline gelmiştir. ISO 27001'in temel amacı, bu değerli varlığı üç temel ilke üzerinden korumaktır:
Gizlilik (Confidentiality): Bilginin yalnızca yetkili kişiler tarafından erişilebilir olmasını sağlamak.
Bütünlük (Integrity): Bilginin doğruluğunu ve tamlığını korumak, yetkisiz değişikliklere karşı güvence altına almak.
Erişilebilirlik (Availability): Yetkili kullanıcıların ihtiyaç duyduğu anda bilgiye ulaşabilmesini garantilemek.
Bu üç ilke, literatürde CIA üçlüsü olarak anılır ve bir BGYS'nin tüm kararları bu denge gözetilerek şekillenir.
Risk Temelli Yaklaşım
ISO 27001'i diğer güvenlik yaklaşımlarından ayıran en önemli özellik, risk temelli çalışmasıdır. Standart, her kuruma aynı önlemleri dayatmaz; bunun yerine her kuruluşun kendi bilgi varlıklarını, bu varlıklara yönelik tehditleri ve mevcut zafiyetleri analiz etmesini bekler. Bir yazılım firmasının kaynak kodu ile bir hastanenin hasta kayıtları farklı riskler taşır, dolayısıyla korunma öncelikleri de birbirinden ayrışır. Sistem, Planla-Uygula-Kontrol Et-Önlem Al (PDCA) döngüsü çerçevesinde sürekli olarak iyileştirilir.
Kimler İçin Uygundur?
ISO 27001, her tür, boyut ve sektördeki kuruluş için uygundur. Özellikle bilgi teknolojileri, finans, bankacılık, sağlık ve kamu sektörleri gibi hassas verilerin yoğun olarak işlendiği alanlarda büyük önem taşır. Yeterli sayıda personeli olmayan küçük işletmeler bile bu sistemi kurabilir ve belgelendirebilir.
Güncel Sürüm: ISO/IEC 27001:2022
Standardın güncel sürümü ISO/IEC 27001:2022'dir. Bu revizyon, bir önceki 2013 sürümünün yerini almış ve kontrol yapısını günümüz siber tehditlerine daha uygun hale getirmiştir. En önemli değişiklik, standardın Ek A'sında (Annex A) yer alan kontrollerin yeniden düzenlenmesidir:
Kontrol sayısı 114'ten 93'e indirilmiştir.
Kontroller artık 14 farklı başlık yerine Kurumsal, Kişiler, Fiziksel ve Teknolojik olmak üzere dört ana tema altında toplanmıştır.
Bulut hizmetleri, tehdit istihbaratı ve güvenli kodlama gibi 11 yeni kontrol eklenmiştir.
Faydaları Nelerdir?
ISO 27001 belgesine sahip olmak, bir kuruma pek çok stratejik avantaj sağlar:
Güven ve İtibar: Müşterilere ve iş ortaklarına, bilgilerinin güvende olduğuna dair uluslararası geçerli bir güvence sunar.
Yasal Uyumluluk: KVKK ve GDPR gibi veri koruma yasalarına uyum sağlamayı kolaylaştırır.
Rekabet Avantajı: Özellikle ihale süreçlerinde, güvenilir bir iş ortağı olarak öne çıkmayı sağlar.
Sürekli İyileştirme: Sistematik denetim ve gözden geçirme süreçleriyle güvenlik seviyesini sürekli yükseltir.
Operasyonel Verimlilik: Risklerin proaktif olarak yönetilmesi, maliyetli güvenlik ihlallerinin önüne geçer.
Sertifikasyon Süreci
ISO 27001 belgesi almak, bağımsız bir denetim kuruluşu tarafından yürütülen iki aşamalı bir süreçle tamamlanır:
Sistem Kurulumu: Standardın gerekliliklerine uygun bir BGYS kurulur ve hayata geçirilir.
1. Aşama Denetim (Belge İncelemesi): Denetçiler, hazırlanan dokümantasyonu (kapsam, politika, risk değerlendirmesi, Uygulanabilirlik Bildirgesi vb.) inceler.
2. Aşama Denetim (Saha Denetimi): Denetçiler, dokümante edilen sistemin sahada uygulanıp uygulanmadığını yerinde denetler.
Sertifika: Tüm uygunsuzluklar giderildikten sonra belge verilir. Belge, 3 yıl geçerli olup yıllık gözetim denetimleriyle sürdürülür.
Yorumlar