ISO/IEC 27001, kuruluşların bilgi varlıklarını korumak için bir Bilgi Güvenliği Yönetim Sistemi (BGYS) kurmasını, uygulamasını, sürdürmesini ve sürekli iyileştirmesini sağlayan uluslararası standarttır. Güncel sürümü ISO/IEC 27001:2022’dir. Standart, bilgi güvenliğini yalnızca teknik bir konu olarak değil; insan, süreç ve teknolojiyi birlikte ele alan, risk temelli bir yönetim konusu olarak tanımlar.
Bilgi Güvenliğinin Üç Unsuru
- Gizlilik: Bilgiye yalnızca yetkili kişilerin erişebilmesi
- Bütünlük: Bilginin doğru, eksiksiz ve yetkisiz değişikliğe karşı korunmuş olması
- Erişilebilirlik: Bilginin ihtiyaç duyulduğunda yetkili kişilerce kullanılabilir olması
Standardın Yapısı
ISO 27001, diğer yönetim sistemi standartlarıyla ortak olan 4–10. maddelerde bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme şartlarını tanımlar. Bunlara ek olarak Ek A’da, 2022 sürümünde dört başlık altında toplanan 93 kontrol yer alır:
- A.5 Kurumsal kontroller: Politikalar, roller, varlık yönetimi, tedarikçi ilişkileri, olay yönetimi, iş sürekliliği
- A.6 İnsan kontrolleri: İşe alım, farkındalık eğitimi, gizlilik anlaşmaları, uzaktan çalışma
- A.7 Fiziksel kontroller: Fiziksel giriş, güvenli alanlar, ekipman güvenliği
- A.8 Teknolojik kontroller: Erişim yönetimi, zararlı yazılımdan korunma, yedekleme, kayıt, ağ güvenliği, güvenli geliştirme
Kuruluş, risk değerlendirmesinin sonucuna göre hangi kontrolleri uygulayacağını belirler ve bunu Uygulanabilirlik Bildirgesi’nde gerekçeleriyle açıklar.
ISO 27001 Kimler İçin?
Bilgiyi değerli bir varlık olarak gören her kuruluş için uygundur. Yazılım ve bulut hizmeti sağlayıcıları, internet servis sağlayıcıları, veri merkezleri, finans, sağlık, e-ticaret ve kamuya hizmet veren firmalar başta olmak üzere müşterilerinin verisini işleyen tüm şirketler için hem güven göstergesi hem de giderek daha sık aranan bir tedarikçi şartıdır. ISO 27001, KVKK kapsamındaki teknik ve idari tedbirlerin sistematik olarak uygulanmasına da güçlü bir zemin oluşturur.
ISO 27001 Belgesi Nasıl Alınır?
Boşluk analiziyle başlayan süreç; eğitimler, kapsam ve risk analizi, Uygulanabilirlik Bildirgesi, politika ve prosedürler, teknik kontrollerin uygulanması, iç tetkik ve yönetimin gözden geçirmesiyle devam eder. Sistem hazır olduğunda akredite bir belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimleriyle belge alınır.
Ayrıntılar için ISO 27001 danışmanlığı, ISO 27001 belgelendirme ve ISO 27001 eğitimleri sayfalarımıza göz atabilirsiniz.
Ücretsiz ön görüşmede kapsamınızı ve takviminizi birlikte değerlendirelim.
Sıkça Sorulan Sorular
BGYS ne demek?
BGYS, Bilgi Güvenliği Yönetim Sistemi’nin kısaltmasıdır; bilgi varlıklarını risk temelli bir yaklaşımla koruyan, ISO/IEC 27001’e dayalı yönetim sistemidir.
ISO 27001 ile ISO 27002 arasındaki fark nedir?
ISO 27001 belgelendirilebilir şartları tanımlar. ISO 27002 ise Ek A’daki kontrollerin nasıl uygulanabileceğine dair rehberlik sunar ve tek başına belgelendirilmez.
