ISO 27001 Belgesi Nasıl Alınır? Sertifikasyon Süreci, Süresi ve Gereklilikleri

Bilgi güvenliği, işletmelerin yalnızca teknik altyapısıyla ilgili değildir. Çalışanların yetkileri, iş süreçleri, tedarikçiler, müşteri verileri, sunucular ve bulut hizmetleri de bilgi güvenliğinin parçasıdır.

Bu nedenle kurumsal güvenlik yalnızca firewall, antivirüs veya yedekleme sistemi kurularak tamamlanamaz.

ISO/IEC 27001, bilgi güvenliğinin sistematik olarak yönetilmesi için kullanılan uluslararası standartlardan biridir.

Peki ISO 27001 belgesi nasıl alınır? Sertifikasyon süreci ne kadar sürer, hangi hazırlıklar gerekir ve işletmeler nereden başlamalıdır?

ISO 27001 nedir?

ISO/IEC 27001, Bilgi Güvenliği Yönetim Sistemi (BGYS) için gereklilikleri tanımlayan uluslararası bir standarttır.

Standardın amacı bilgi güvenliğine ilişkin risklerin belirlenmesi, değerlendirilmesi ve uygun kontrollerle yönetilmesidir.

Gizlilik, bütünlük ve erişilebilirlik ilkeleri bilgi güvenliğinin temel unsurları arasındadır.

ISO 27001 yalnızca BT departmanının uygulayacağı teknik önlemlerden oluşmaz. İnsan kaynakları, satın alma, hukuk, yönetim ve diğer iş birimlerinin sorumluluklarını da kapsayabilir.

BGYS nedir?

BGYS, bir kurumun bilgi güvenliği risklerini yönetmek için oluşturduğu politika, süreç, rol, kayıt ve kontrol mekanizmalarının bütünüdür.

Bir BGYS kapsamında örneğin:

• Bilgi güvenliği kapsamı belirlenir.
• Riskler değerlendirilir.
• Görev ve sorumluluklar tanımlanır.
• Kontroller uygulanır.
• Güvenlik olayları yönetilir.
• İç denetimler yürütülür.
• İyileştirme çalışmaları planlanır.

BGYS kurmak ile ISO 27001 belgesi almak aynı işlem değildir. Kurum standardın gerekliliklerine göre bir sistem kurabilir; belgelendirme ise yetkin bir belgelendirme kuruluşunun yürüttüğü ayrı bir süreçtir.

ISO 27001 belgesi nasıl alınır?

1. Mevcut durum analizi yapılır

Sertifikasyon hazırlığının ilk aşaması, kurumun mevcut bilgi güvenliği uygulamalarının incelenmesidir.

Bu çalışma genellikle fark analizi (gap analysis) olarak adlandırılır.

Politikalar, teknik sistemler, çalışan yetkileri, risk yönetimi, olay kayıtları ve diğer ilgili süreçler değerlendirilir.

Amaç yalnızca eksikleri listelemek değil, uygulanabilir bir proje planı oluşturmaktır.

2. BGYS kapsamı belirlenir

ISO 27001 kapsamında hangi faaliyetlerin, lokasyonların, süreçlerin ve bilgi varlıklarının yer alacağı belirlenmelidir.

Kapsamın gerçek faaliyetlerle uyumlu olması önemlidir.

Örneğin bir işletme yalnızca belirli hizmet süreçlerini kapsama alıyorsa, sertifikanın hangi faaliyetlere ilişkin olduğu açık olmalıdır.

3. Bilgi varlıkları ve riskler değerlendirilir

Kurum için önemli bilgi varlıkları ve süreçler belirlenir.

Sunucular, uygulamalar, bulut hizmetleri, müşteri verileri, sözleşmeler, çalışan bilgileri ve iş süreçleri bu değerlendirmeye dahil edilebilir.

Ardından tehditler, zafiyetler ve olası etkiler analiz edilir.

Riskler uygun yöntemlerle değerlendirilir; kabul edilecek veya azaltılacak riskler belirlenir.

4. Güvenlik kontrolleri planlanır

Risk değerlendirmesi ve uygulanabilir standardın gereklilikleri doğrultusunda güvenlik kontrolleri belirlenir.

ISO/IEC 27001:2022'nin Ek A bölümü; organizasyonel, insan, fiziksel ve teknolojik kontrol başlıkları altında referans kontroller içerir.

Uygulanabilir kontroller ve gerekçeleri, Uygulanabilirlik Bildirgesi (Statement of Applicability / SoA) gibi ilgili BGYS dokümantasyonunda ele alınır.

Kontroller yalnızca belgede yazılı kalmamalı; uygulanmalı ve gerektiğinde doğrulanabilir olmalıdır.

5. Politika ve prosedürler oluşturulur

Bilgi güvenliği politikaları, roller, risk değerlendirme yöntemi, olay yönetimi, iş sürekliliği ve diğer ilgili süreçler için gerekli dokümantasyon hazırlanır.

Dokümanlar kurumun gerçek uygulamalarıyla uyumlu olmalıdır.

İnternetten alınmış genel şablonların şirketin bütün ihtiyaçlarını karşıladığı varsayılmamalıdır.

6. İç denetim ve yönetimin gözden geçirmesi yapılır

Kurumun BGYS uygulamaları iç denetimle değerlendirilir.

Tespit edilen uygunsuzluklar ve iyileştirme fırsatları ele alınır.

Üst yönetim, BGYS'nin performansını ve gerekli kararları gözden geçirir.

Bu süreçler yalnızca sertifika almak için değil, yönetim sisteminin çalıştığını ortaya koymak için önemlidir.

7. Belgelendirme denetimi gerçekleştirilir

Hazırlık tamamlandığında uygun bir belgelendirme kuruluşuyla süreç başlatılabilir.

Belgelendirme denetimi genel olarak dokümantasyon ve hazırlık değerlendirmesi ile uygulamanın doğrulanmasına yönelik aşamalar içerir.

Denetimde uygunsuzluk tespit edilirse gerekli düzeltici faaliyetlerin tamamlanması istenebilir.

Belgelendirme kararı, ilgili kuruluşun prosedürleri ve uygulanabilir akreditasyon çerçevesinde verilir.

ISO 27001 sertifikasyon süreci ne kadar sürer?

ISO 27001 belgesi için bütün işletmelere uygulanabilecek tek bir süre bulunmaz.

Hazırlık süresini etkileyen faktörler şunlardır:

• Kurumun büyüklüğü
• Lokasyon ve çalışan sayısı
• BGYS kapsamı
• Mevcut bilgi güvenliği olgunluğu
• Risklerin niteliği
• Uygulanacak kontrol sayısı
• Dokümantasyon ve kayıtların durumu
• İç denetim hazırlığı
• Belgelendirme kuruluşunun takvimi

Bazı kurumlar hazırlıklarını birkaç ay içerisinde tamamlayabilirken, daha karmaşık yapılarda süreç altı ila on iki ay veya daha uzun sürebilir.

Bu süreler garanti değil, proje planlaması için değerlendirme aralıklarıdır.

ISO 27001 belgesi maliyeti nasıl belirlenir?

ISO 27001 sertifikasyon maliyeti yalnızca belgelendirme ücretinden oluşmayabilir.

Toplam maliyette aşağıdaki kalemler rol oynayabilir:

Fark analizi ve danışmanlık: Kurumun mevcut durumunun değerlendirilmesi ve proje desteği.

İç kaynak kullanımı: Çalışanların proje, denetim ve dokümantasyon süreçlerine ayırdığı zaman.

Teknik iyileştirmeler: Risk değerlendirmesinde ihtiyaç duyulan güvenlik kontrolleri.

Belgelendirme denetimi: Yetkin belgelendirme kuruluşunun ücretleri.

Süreklilik: Gözetim denetimleri, risk değerlendirmeleri, eğitimler ve yönetim sisteminin iyileştirilmesi.

Maliyet kurumun büyüklüğü ve kapsamı bilinmeden güvenilir şekilde hesaplanamaz.

ISO 27001 için hangi teknik önlemler gerekir?

Teknik kontroller, kurumun risklerine ve gereksinimlerine göre belirlenir.

Değerlendirilebilecek alanlar arasında:

• Kullanıcı ve yönetici hesapları
• Çok faktörlü kimlik doğrulama
• Firewall ve ağ güvenliği
• Sunucu güvenliği
• Güvenlik güncellemeleri
• Loglama ve olay izleme
• Antivirüs ve uç nokta güvenliği
• Veri kaybı önleme (DLP)
• Yedekleme ve geri yükleme testleri
• Bulut altyapısı güvenliği
• Tedarikçi erişimleri
• Güvenlik açığı yönetimi

bulunabilir.

Bu başlıklar bütün kurumlarda aynı ürünün veya aynı mimarinin zorunlu olduğu anlamına gelmez.

ISO 27001 ve KVKK aynı şey mi?

Hayır.

ISO 27001 bilgi güvenliği yönetim sistemi için uluslararası bir standarttır.

KVKK ise kişisel verilerin korunmasına ilişkin hukuki yükümlülükleri düzenler.

ISO 27001 kapsamında uygulanan risk yönetimi, erişim kontrolü, loglama ve olay yönetimi gibi kontroller KVKK kapsamındaki teknik ve idari tedbirleri destekleyebilir.

Ancak ISO 27001 sertifikası tek başına KVKK'ye tam uyumluluk sağlamaz.

İlgili rehber: KVKK ve ISO 27001 Birlikte Nasıl Yürütülür?

ISO 27001 için en sık yapılan hazırlık hataları

1. BGYS'yi yalnızca BT projesi olarak görmek
2. Risk analizi yapmadan kontrol satın almak
3. Gerçek süreçleri yansıtmayan belgeler hazırlamak
4. Çalışan sorumluluklarını tanımlamamak
5. İç denetimi yalnızca formalite olarak ele almak
6. Denetim sonrasında iyileştirme çalışmalarını durdurmak
7. Sertifikayı bütün siber güvenlik risklerinin ortadan kalktığı şeklinde yorumlamak

Bu hatalar, BGYS'nin sürdürülebilirliğini olumsuz etkileyebilir.

ISO 27001 sürecine nereden başlanmalı?

İlk adımda kurumun mevcut BT ve bilgi güvenliği altyapısı değerlendirilmelidir.

Bu değerlendirme kapsamında:

• Bilgi varlıklarının mevcut durumu
• Teknik güvenlik kontrolleri
• Erişim yetkileri
• Yedekleme ve iş sürekliliği
• Politika ve prosedürler
• Risk yönetimi
• Olay kayıtları
• Tedarikçi yönetimi

incelenebilir.

Ardından kapsam, proje planı ve sorumlular belirlenerek BGYS hazırlığı başlatılabilir.

RelGen Teknoloji ile ISO 27001 hazırlığı

RelGen Teknoloji, işletmelerin mevcut bilgi güvenliği uygulamalarını ve BT altyapısını değerlendirerek ISO 27001 hazırlığının teknik boyutunda destek sunar.

Ağ ve sunucu güvenliği, erişim kontrolleri, loglama, yedekleme, risklerin teknik açıdan değerlendirilmesi ve gerekli iyileştirmelerin planlanması bu çalışmaların parçası olabilir.

RelGen Teknoloji'nin teknik hazırlık ve danışmanlık desteği, bağımsız belgelendirme kuruluşunun yürüttüğü sertifika verme işleminden farklıdır.

Bilgi Güvenliği ve Bilişim Uyumluluk çözümlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçebilirsiniz.

Sık sorulan sorular

ISO 27001 belgesini kim verir?

Belgelendirme kararı yetkin bir belgelendirme kuruluşu tarafından verilir. İlgili akreditasyon kapsamının doğrulanması önemlidir.

ISO 27001 yalnızca büyük şirketler için mi?

Hayır. Standardın gereklilikleri farklı büyüklüklerdeki kuruluşlar tarafından uygulanabilir. Kapsam ve risklere göre proje değişir.

ISO 27001 belgesi bütün siber saldırıları önler mi?

Hayır. ISO 27001 risklerin sistematik yönetimini destekler; bütün güvenlik olaylarının engelleneceği anlamına gelmez.

Resmî kaynak: ISO/IEC 27001:2022 — Information Security Management Systems