ISO 27001 belgesi, kuruluşun bilgi güvenliği yönetim sisteminin (BGYS) ISO/IEC 27001:2022 standardına uygun kurulduğunu ve işletildiğini gösterir. Müşteri sözleşmelerinde, ihalelerde ve tedarikçi değerlendirmelerinde giderek daha sık istenen bu belgeye ulaşmak için izlenen adımlar şunlardır. Standardın temellerini merak ediyorsanız önce ISO 27001 nedir yazımızı okuyabilirsiniz.
1. Kapsamın Belirlenmesi
Hangi süreçlerin, lokasyonların, sistemlerin ve hizmetlerin BGYS kapsamına gireceği tanımlanır. Kapsam ne kadar net olursa risk analizi o kadar sağlıklı olur ve denetim süresi doğru hesaplanır.
2. Varlık Envanteri ve Risk Değerlendirmesi
Bilgi varlıkları (veriler, sunucular, uygulamalar, ağ cihazları, kişiler, tedarikçiler) listelenir; her biri için tehditler ve zafiyetler değerlendirilerek risk seviyeleri belirlenir. Envanterin nasıl hazırlanacağını varlık envanteri yazımızda örnek tabloyla anlattık.
3. Risk İşleme ve Uygulanabilirlik Bildirgesi
Kabul edilemeyen riskler için kontroller seçilir. Ek-A’daki 93 kontrolün her biri için uygulanıp uygulanmadığı ve gerekçesi Uygulanabilirlik Bildirgesi’nde (SoA) belgelenir. Kontrollerin içeriğini ISO 27001 maddeleri ve Ek-A yazımızda bulabilirsiniz.
4. Politikalar, Prosedürler ve Teknik Kontroller
- Bilgi güvenliği politikası ve konu bazlı politikalar (erişim, şifreleme, yedekleme, uzaktan çalışma vb.)
- Kullanıcı yetki yönetimi, loglama ve izleme, zafiyet yönetimi
- Tedarikçi güvenliği ve sözleşme şartları
- Olay yönetimi ve iş sürekliliği hazırlıkları
- Gerekiyorsa firewall, EDR, DLP gibi güvenlik ürünlerinin devreye alınması
5. Farkındalık ve Eğitim
Çalışanlar bilgi güvenliği kurallarını ve olay bildirme yollarını bilmelidir. Sistemi yürütecek ekip için ISO 27001 temel ve iç denetçi eğitimleri planlanır.
6. İç Tetkik ve Yönetimin Gözden Geçirmesi
Sistem belirli bir süre işletildikten sonra iç tetkikle doğrulanır, bulgular kapatılır ve üst yönetim BGYS performansını değerlendirir.
7. Aşama 1 ve Aşama 2 Belgelendirme Denetimi
Akredite belgelendirme kuruluşu önce dokümantasyonu ve hazırlığı (Aşama 1), ardından kontrollerin sahada uygulanmasını (Aşama 2) denetler. Uygunsuzluklar kapatıldıktan sonra belge düzenlenir; belge üç yıl geçerlidir ve her yıl gözetim denetimi yapılır. Bu süreci başvurudan sertifikanın kaydına kadar nasıl yönettiğimizi ISO 27001 belgelendirme sayfamızda bulabilirsiniz.
Sık Yapılan Hatalar
- Kapsamı gereğinden geniş tutup sistemi yönetilemez hale getirmek
- Hazır doküman setini kuruluşa uyarlamadan kullanmak
- Risk analizini bir kez yapıp güncellememek
- Teknik kontrolleri yalnızca kâğıt üzerinde bırakmak; denetçi kanıt ister
ISO 27001 danışmanlığı kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
ISO 27001:2022 Maddeleri ve Ek-A Kontrolleri
ISO 27001 maddeleri nelerdir? 4–10. maddelerin şartları, Ek-A’daki 93 kontrolün 4 temaya göre dağılımı ve 2022 sürümüyle gelen 11 yeni kontrol.
ISO 27001 Varlık Envanteri Nasıl Hazırlanır?
ISO 27001 varlık envanteri nedir, nasıl hazırlanır? Varlık türleri, varlık sahipliği, gizlilik-bütünlük-erişilebilirlik değerlendirmesi ve örnek tablo.
ISO 27001, KVKK ve GDPR Uyumu Nasıl Birleşir?
ISO 27001 ile KVKK ve GDPR arasındaki ilişki: ortak gereklilikler, farklar ve tek bir yönetim sistemiyle üç alanda birden uyum sağlamanın yolu.Sıkça Sorulan Sorular
ISO 27001 sertifikası ne kadar sürede alınır?
Süre; kapsamın genişliğine, çalışan ve lokasyon sayısına, teknik altyapının olgunluğuna göre değişir. Hazırlığı iyi olan küçük kuruluşlarda süreç birkaç ayda tamamlanabilir.
ISO 27001 için hangi dokümanlar zorunludur?
Kapsam, bilgi güvenliği politikası, risk değerlendirme ve işleme süreci ile sonuçları, Uygulanabilirlik Bildirgesi, hedefler, yetkinlik kanıtları, iç tetkik ve yönetimin gözden geçirmesi kayıtları başlıca zorunlu dokümante bilgilerdir.
ISO 27001:2013 belgeleri hâlâ geçerli mi?
Hayır. 2013 sürümünden 2022 sürümüne geçiş süresi Ekim 2025’te sona erdi; güncel belgelendirmeler ISO/IEC 27001:2022’ye göre yapılır.
