Bilgi Güvenliği Yönetimi (ISO/IEC 27001) Belgelendirmesi

ISO/IEC 27001, bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için bilgi güvenliği yönetim sistemi (BGYS) şartlarını tanımlar. Risk temellidir: kuruluş kendi varlıklarını ve tehditlerini değerlendirir, Ek A'daki kontrollerden hangilerini uygulayacağını gerekçesiyle birlikte Uygulanabilirlik Bildirgesinde (SoA) belgeler. Yürürlükteki sürüm ISO/IEC 27001:2022'dir ve Ek A dört tema altında 93 kontrol içerir.

• Yazılım, SaaS ve bulut hizmet sağlayıcıları
• Müşteri verisi işleyen finans, sağlık ve e-ticaret kuruluşları
• Kurumsal müşterilerin güvenlik sorularına (vendor assessment) yanıt vermesi gereken tedarikçiler
• Kritik altyapı ve kamu hizmeti sağlayan kuruluşlar
• KVKK/GDPR kapsamında teknik ve idari tedbirlerini kanıtlaması gereken veri sorumluları

Genel olarak zorunlu değildir; sektörel istisnalar vardır. Uygulamadaki asıl itici güç sözleşmedir: büyük kurumsal alıcılar tedarikçilerinden ISO/IEC 27001 belgesi ister. KVKK ve GDPR belge zorunluluğu getirmez ama uygun teknik ve idari tedbirlerin alınmasını şart koşar; belge bu tedbirlerin kanıtı olarak kullanılır.

• Madde 4-10 — BGYS şartları: bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme, iyileştirme
• Risk değerlendirme ve risk işleme süreci; Uygulanabilirlik Bildirgesi (SoA)
• Ek A / Tema 1 — Kurumsal kontroller (37 kontrol): politikalar, roller, varlık yönetimi, tedarikçi ilişkileri, olay yönetimi, süreklilik, uyum
• Ek A / Tema 2 — Kişi kontrolleri (8 kontrol): tarama, çalışma şartları, farkındalık ve eğitim, disiplin süreci, uzaktan çalışma
• Ek A / Tema 3 — Fiziksel kontroller (14 kontrol): güvenli alanlar, giriş kontrolü, ekipman güvenliği, temiz masa
• Ek A / Tema 4 — Teknolojik kontroller (34 kontrol): uç nokta güvenliği, ayrıcalıklı erişim, kriptografi, günlük kaydı, açıklık yönetimi, ağ güvenliği, güvenli geliştirme, veri sızıntısı önleme

1. 1BaşvuruKuruluşun faaliyet alanı, çalışan sayısı, saha sayısı ve kapsam sınırları belirlenir. Denetim gün sayısı bu bilgilere göre hesaplanır.
2. 2Doküman İncelemesi (Aşama 1)Yönetim sistemi dokümantasyonu, kapsam tanımı, risk değerlendirmesi ve iç denetim/YGG kayıtları incelenir; sahada denetime hazır olup olunmadığı değerlendirilir.
3. 3Belgelendirme Denetimi (Aşama 2)Sistemin sahada uygulandığı ve etkin olduğu yerinde doğrulanır. Bulgular majör/minör uygunsuzluk ve gözlem olarak sınıflandırılır.
4. 4Uygunsuzlukların KapatılmasıKuruluş kök neden analizi ve düzeltici faaliyet planı sunar. Majör uygunsuzluklar kapatılmadan belge düzenlenmez.
5. 5Belge DüzenlenmesiBağımsız bir karar vericinin gözden geçirmesinin ardından belge düzenlenir. Denetimi yapan ekip belge kararını veremez.
6. 6Gözetim DenetimleriBelge süresi boyunca yılda en az bir kez gözetim denetimi yapılır. İlk gözetim, Aşama 2'nin son gününden itibaren 12 ayı aşamaz.
7. 7Yeniden BelgelendirmeÜç yılın sonunda sistemin tamamı yeniden denetlenir; belge süresi dolmadan tamamlanması gerekir.

Yönetim sistemi belgeleri üç yıl geçerlidir. Bu süre boyunca yılda en az bir gözetim denetimi yapılır; gözetim yapılmazsa belge askıya alınır. Üçüncü yılın sonunda yeniden belgelendirme denetimi tamamlanır.

• Ticaret sicil kaydı ve faaliyet belgesi
• Kuruluş organizasyon şeması ve çalışan sayısı
• Kapsam kapsamındaki saha/şube listesi
• Yönetim sistemi el kitabı veya süreç dokümantasyonu
• İç denetim ve yönetimin gözden geçirmesi kayıtları
• Varsa yasal izin, ruhsat ve faaliyet belgeleri

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Kapsama giren çalışan sayısı (denetim gün sayısını doğrudan belirler)
• Saha ve şube sayısı; çok sahalı örnekleme uygulanıp uygulanmadığı
• Faaliyetin risk seviyesi ve süreç karmaşıklığı
• Belgelendirilecek standart sayısı — entegre denetim gün sayısını düşürür
• Üç yıllık döngü: belgelendirme + iki gözetim denetimi

Yönetim sistemi belgelendirmesi ISO/IEC 17021-1 kapsamında yürütülür. Belgelendirme kuruluşu, IAF çok taraflı tanınma anlaşmasına (IAF MLA) taraf bir akreditasyon kuruluşu tarafından akredite edilir; bu anlaşma, bir ülkede düzenlenen belgenin diğer ülkelerde de kabul görmesini sağlayan uluslararası tanınma zincirini kurar. EUROLAB, ISO/IEC 17021-1 kapsamında IAF üyesi akreditasyon kuruluşlarından alınmış, uluslararası tanınan akreditasyona sahiptir.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 20000-1BT Hizmet Yönetimi
• ISO 22301İş Sürekliliği
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi
• ISO 9001Kalite Yönetim Sistemi
• ISO 10002Müşteri Memnuniyeti ve Şikâyet Yönetimi