ISO 27001 şartları
ISO 27001 Şartları: Belgelendirme İçin Neler Gerekir?
ISO 27001'in istediği pahalı bir teknoloji paketi değil; bilgi risklerini sistematik yöneten bir yapı. Şartları madde madde, denetçinin aradığı kanıtla birlikte anlatıyorum.
Belgelendirme şartları
ISO 27001 denetiminde aranan doküman ve yapı
Bağlam ve kapsam
Kuruluşun bağlam analizi, ilgili tarafların güvenlik beklentileri ve hangi bilgi varlıklarının hangi sınırlar içinde korunduğunu gösteren kapsam beyanı.
Varlık envanteri
Bilgi varlıklarının listesi ve her birinin sahibi. "Veri kimin sorumluluğunda" sorusu denetimin başlangıç noktasıdır.
Risk değerlendirmesi
Metodoloji, kabul kriterleri, değerlendirme kayıtları ve risk işleme planı. SoA'daki her kontrol bu değerlendirmeye dayanır.
Uygulanabilirlik Bildirgesi (SoA)
ISO 27001:2022 Ek A'daki 93 kontrolün hangilerinin neden uygulandığı ya da uygulanmadığı. Şablon SoA, denetimde ilk geçersiz sayılan belgedir.
Politika ve prosedür seti
Bilgi güvenliği politikası ve erişim, olay yönetimi, yedekleme, tedarikçi güvenliği gibi konu bazlı prosedürler; sahada kayıt üreten biçimde.
İşletme kayıtları
Farkındalık eğitimi, erişim yetkilendirmeleri, olay/ıslah kayıtları, iç tetkik ve yönetimin gözden geçirmesi. Sistemin yaşadığının kanıtı bunlardır.
Kimin için zorunlu oluyor
ISO 27001'i talep eden durumlar
Banka ve kurumsal müşteri
Ödeme ve fintek ekosisteminde tedarikçilerden ISO 27001 belgesi sözleşmesel şart olarak isteniyorsa.
KVKK'nın teknik karşılığı
KVKK idari ve teknik tedbir ister; ISO 27001 bu tedbirlerin yönetim sistemine oturmuş ve denetlenebilir kanıtıdır. İkisi aynı şey değildir ama birlikte güçlüdür.
Uluslararası iş ortakları
Yurt dışı iş ortaklarının tedarikçi güvenlik değerlendirmelerinde ISO 27001 en yaygın kabul edilen belgedir.
Süreç
ISO 27001 danışmanlık süreci nasıl işler?
Gap analizi ve risk değerlendirmesi
ISO 27001:2022 kontrol seti 93 kontrol üzerinden mevcut durum taranır; çıktı sorumlu ve tarihli somut bir eksik listesidir.
Dokümantasyon ve SoA
Kapsam, politika seti, risk işleme planı ve Uygulanabilirlik Bildirgesi firma verileriyle hazırlanır.
Uygulama ve farkındalık
Kontroller sahada işletilir, kayıtlar üretilir; çalışan farkındalığı planlı biçimde yükseltilir.
İç tetkik ve denetim hazırlığı
Bağımsız iç denetimle sistem sınanır; bulgular kapatılır, belgelendirme denetimine eşlik edilir. Kurulum paketi 49.000 TL + KDV'den başlar.
Bilgi güvenliğinizi yönetim sistemine taşıyalım
30 dakikalık ön görüşmede hangi şartların sizin için kritik olduğunu birlikte netleştirelim. Teknik kurulum BT ekibinizde kalır; sistem, ölçeğinize göre kurulur.
Sık sorulan sorular
Merak edilenler
ISO 27001 belgesi için hangi şartlar gerekir?
Bağlam analizi, kapsam beyanı, bilgi varlığı envanteri, risk değerlendirme metodolojisi, risk işleme planı, Uygulanabilirlik Bildirgesi (SoA) ve Ek A'daki 93 kontrolün değerlendirilmesi, politika seti, farkındalık, iç tetkik ve yönetimin gözden geçirmesi. Standart bir ürüne değil, kuruluşun kendi risklerine göre uygulanır.
ISO 27001 zorunlu mu?
Yasal olarak zorunlu değildir; ancak bankalar, ödeme kuruluşları ve kurumsal müşteriler tedarikçilerinden sözleşmesel olarak isteyebilir. KVKK'ya tabi kuruluşlarda idari ve teknik tedbirlerin sistematik kanıtı olarak da kullanılır.
ISO 27001 için teknik yatırım gerekir mi?
Her zaman değil. Risk değerlendirmesi mevcut kontrollerin hangi riskleri karşıladığını gösterir; yatırım yalnızca kabul edilemez riskler için önceliklendirilir. Teknik kurulumları BT ekibiniz ya da hizmet sağlayıcınız yapar.
ISO 27001 ile ISO 9001 birlikte alınabilir mi?
Evet. İkisi de yüksek düzeyli yapıda (HLS) yazıldığı için ortak doküman altyapısı tek kez kurulur; entegre denetim mümkündür ve maliyet düşer.
Bilgi güvenliği ekibimiz yok, yine de alabilir miyiz?
Alabilirsiniz. ISO 27001 bir BT projesi değil, yönetim sistemidir; roller ve sorumluluklar mevcut kadroya tanımlanır. Denetçi sahada sürecin işlediğini kanıtlarla arar.