ISO 27001 Danışmanlığı: Kuruluşlar İçin Kapsamlı Uygulama ve Belgelendirme Rehberi

Bilgi güvenliği artık yalnızca bilgi işlem departmanlarının teknik konusu değildir. Kurumların müşteri verilerini, ticari sırlarını, çalışan bilgilerini, dijital süreçlerini ve kritik iş operasyonlarını koruma biçimi; kurumsal risk yönetimi, itibar, müşteri güveni ve iş sürekliliği ile doğrudan ilişkilidir.

ISO/IEC 27001, kuruluşların bilgi güvenliğini sistematik biçimde yönetmesine yardımcı olan uluslararası bir yönetim sistemi standardıdır. Ancak standardı okumak ile kurum içinde gerçekten çalışan bir Bilgi Güvenliği Yönetim Sistemi kurmak aynı şey değildir. ISO 27001 danışmanlığının değeri de tam olarak burada ortaya çıkar.

ISO 27001 nedir?

ISO/IEC 27001:2022, Bilgi Güvenliği Yönetim Sistemi'nin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesine yönelik gereklilikleri tanımlar. Yaklaşım; gizlilik, bütünlük ve erişilebilirlik ilkeleri çerçevesinde bilgi güvenliği risklerinin yönetilmesini esas alır.

Bu nedenle ISO 27001 yalnızca güvenlik duvarı, antivirüs veya yedekleme projesi değildir. Yönetim sorumluluğu, risk değerlendirmesi, insan kaynakları, tedarikçiler, erişim yönetimi, olay yönetimi, iş sürekliliği, fiziksel güvenlik ve teknik kontroller birlikte ele alınır.

ISO 27001 danışmanlığı nedir?

ISO 27001 danışmanlığı; kuruluşun mevcut durumunu değerlendirmek, standarda göre farkları belirlemek, bilgi güvenliği risklerini analiz etmek, gerekli politika ve prosedürleri yapılandırmak, kontrolleri kurumun çalışma biçimine uyarlamak ve sistemi belgelendirmeye hazır hale getirmek için yürütülen profesyonel destek sürecidir.

İyi bir danışmanlık çalışması yalnızca doküman üretmez. Kuruluşun gerçek süreçlerini, yetki yapılarını, teknolojik altyapısını ve iş risklerini anlamaya çalışır.

Danışmanlık ile belgelendirme aynı şey midir?

Hayır. Danışmanlık, yönetim sisteminin kurulmasına ve geliştirilmesine destek verir. Belgelendirme ise bağımsız bir belgelendirme kuruluşu tarafından gerçekleştirilen uygunluk değerlendirmesidir. ISO'nun kendisi kuruluşlara sertifika düzenlemez.

ISO 27001 danışmanlık süreci nasıl işler?

1. Mevcut durum ve fark analizi

İlk aşamada kuruluşun mevcut bilgi güvenliği uygulamaları incelenir. Politikalar, erişim yönetimi, varlık yönetimi, yedekleme, olay yönetimi, tedarikçi güvenliği, fiziksel güvenlik, insan kaynakları ve iş sürekliliği gibi alanlar değerlendirilir.

2. BGYS kapsamının belirlenmesi

Kapsam; organizasyonel sınırlar, lokasyonlar, bilgi sistemleri, hizmetler, iş süreçleri ve ilgili taraf yükümlülükleri dikkate alınarak belirlenir. Çok geniş kapsam gereksiz karmaşıklık; çok dar kapsam ise gerçek risklerin dışarıda kalması sonucunu doğurabilir.

3. Bilgi varlıklarının belirlenmesi

Bilgi varlıkları sadece sunucular ve bilgisayarlar değildir. Müşteri kayıtları, finansal bilgiler, yazılımlar, veri tabanları, ticari sırlar, fiziksel belgeler, bulut hizmetleri ve kritik iş süreçleri de bilgi varlığı olarak değerlendirilebilir.

Risk değerlendirmesi ve Uygulanabilirlik Bildirgesi

ISO 27001'in merkezinde risk temelli yaklaşım bulunur. Kuruluş; varlık, tehdit, zafiyet, olasılık ve etki ilişkisini değerlendirerek hangi risklerin öncelikli olduğunu belirler.

Risk değerlendirmesinin ardından risk işleme planı oluşturulur. Riskler azaltılabilir, kabul edilebilir, transfer edilebilir veya kaçınılabilir. Seçilen yaklaşımın kurumsal risk iştahıyla uyumlu olması gerekir.

Uygulanabilirlik Bildirgesi (SoA)

Uygulanabilirlik Bildirgesi, kuruluşun hangi bilgi güvenliği kontrollerini uyguladığını ve bunların gerekçelerini ortaya koyan temel BGYS dokümanlarından biridir. SoA'nın yalnızca denetim için hazırlanmış bir tablo değil, kuruluşun kontrol mimarisini özetleyen yönetim aracı olarak ele alınması gerekir.

ISO 27001 dokümantasyonu ve kontroller

Kuruluşun yapısına bağlı olarak bilgi güvenliği politikası, erişim kontrol politikası, varlık yönetimi, yedekleme, olay yönetimi, tedarikçi güvenliği, risk değerlendirme metodolojisi, risk işleme planı ve iç tetkik kayıtları gibi çeşitli dokümanlar hazırlanabilir.

Ancak çok sayıda doküman hazırlamak iyi bir BGYS kurulduğu anlamına gelmez. Dokümantasyonun kurumun gerçek çalışma biçimiyle uyumlu olması gerekir.

Teknik ve organizasyonel kontroller

Çok faktörlü kimlik doğrulama, yedekleme, loglama, güvenlik yamaları, ağ segmentasyonu ve uç nokta güvenliği teknik kontrollere; yetki matrisi, farkındalık eğitimleri, tedarikçi değerlendirmeleri ve olay yönetimi süreçleri ise organizasyonel kontrollere örnektir.

İç tetkik, yönetimin gözden geçirmesi ve belgelendirme hazırlığı

BGYS kurulduktan sonra sistemin gerçekten uygulanıp uygulanmadığı iç tetkik ile kontrol edilir. Ardından yönetimin gözden geçirmesi kapsamında riskler, olaylar, performans göstergeleri, uygunsuzluklar ve kaynak ihtiyaçları değerlendirilir.

Belgelendirme tercih edilirse bağımsız belgelendirme kuruluşu tarafından gerçekleştirilecek denetim öncesinde sistemin uygulama kanıtları, kayıtları ve süreçleri gözden geçirilir. Buradaki amaç denetçiye iyi görünmek değil, sistemin gerçekten işler hale gelmesini sağlamaktır.

ISO 27001 danışmanlığı ne kadar sürer?

Tek bir standart süre yoktur. Kuruluş büyüklüğü, çalışan ve lokasyon sayısı, bilgi sistemlerinin karmaşıklığı, mevcut güvenlik seviyesi, kapsam ve yönetimin projeye ayırabileceği kaynak süreyi doğrudan etkiler.

ISO 27001 danışmanlık maliyetini neler etkiler?

Maliyet; kapsam, çalışan sayısı, lokasyon, mevcut olgunluk seviyesi, teknik değerlendirme ihtiyacı, eğitim ihtiyacı, proje süresi ve iç tetkik kapsamı gibi unsurlara göre değişir. Bu nedenle fiyatlandırmanın yalnızca hazırlanacak doküman sayısına göre yapılması sağlıklı değildir.

KOBİ'ler için ISO 27001

ISO 27001 yalnızca büyük kuruluşlar için değildir. Yazılım, üretim, teknoloji, danışmanlık ve kritik tedarik zincirlerinde çalışan KOBİ'lerde de bilgi güvenliği önemli bir rekabet ve güven unsurudur.

KOBİ'lerde en kritik konu sistemi gereksiz bürokrasiye dönüştürmeden, kuruluşun büyüklüğüne ve gerçek risklerine uygun şekilde kurmaktır.

ISO 27001 projelerinde sık yapılan hatalar

• Projeyi yalnızca dokümantasyon çalışması olarak görmek.
• ISO 27001'i yalnızca bilgi işlem departmanının sorumluluğu kabul etmek.
• Risk analizini hazır listeler üzerinden formaliteye dönüştürmek.
• Üst yönetimi sürece yeterince dahil etmemek.
• Sertifikayı nihai amaç haline getirip gerçek güvenlik iyileştirmesini ikinci plana atmak.

ISO 27001 danışmanı seçerken nelere dikkat edilmeli?

Danışmanın yalnızca standardı bilmesi yeterli değildir. Yönetim sistemi bilgisi, bilgi güvenliği yaklaşımı, risk yönetimi yetkinliği, iş süreçlerini anlayabilme, teknik konuları yönetim diline çevirebilme ve uygulanabilir çözümler geliştirebilme becerileri birlikte değerlendirilmelidir.

ISO 27001:2022 ve güncel yaklaşım

ISO/IEC 27001:2022 güncel gereklilik standardıdır. Eski doküman setlerinin yalnızca tarihleri değiştirilerek kullanılması yerine yönetim sisteminin güncel gereklilikler ve kuruluşun değişen riskleri açısından yeniden değerlendirilmesi gerekir.

Rebluent yaklaşımı: Değerlendir → Teşhis Et → İyileştir → Yönet

Rebluent'in bilgi ve siber güvenlik yaklaşımı, kuruluşun mevcut durumunun ölçülmesiyle başlar. Kritik farklar ve riskler belirlendikten sonra iyileştirme öncelikleri oluşturulur ve yapılan çalışmaların sürdürülebilir bir yönetim sistemine dönüşmesi hedeflenir.

Sık Sorulan Sorular

Sonuç

ISO 27001 danışmanlığı yalnızca sertifika alınmasına yardımcı olan bir hizmet olarak görülmemelidir. Doğru uygulandığında kuruluşun bilgi varlıklarını tanımasına, risklerini sistematik biçimde değerlendirmesine, güvenlik kontrollerini önceliklendirmesine ve bilgi güvenliğini sürdürülebilir bir yönetim sürecine dönüştürmesine katkı sağlar.

Asıl hedef daha fazla doküman üretmek değil, bilgi güvenliğini yönetilebilir ve sürdürülebilir bir kurumsal sistem haline getirmektir.