ISO 27001 belgesi almak isteyen kuruluÅŸların yalnızca birkaç doküman hazırlaması yeterli deÄŸildir. BaÅŸarılı bir belgelendirme süreci; kurumun bilgi varlıklarını tanımasını, risklerini ölçmesini, uygun kontrolleri uygulamasını ve kurduÄŸu sistemi sürekli iyileÅŸtirmesini gerektirir. Bu rehberde ISO/IEC 27001:2022 belgelendirme sürecinin temel adımlarını açıklıyoruz.
ISO 27001 Belgesi Nedir?
ISO/IEC 27001, Bilgi GüvenliÄŸi Yönetim Sistemi için uluslararası gereklilikleri tanımlar. Standart; bilginin gizliliÄŸini, bütünlüÄŸünü ve eriÅŸilebilirliÄŸini korumayı hedefler. Belge, danışmanlık firması tarafından deÄŸil, bağımsız ve akredite bir belgelendirme kuruluÅŸunun yaptığı denetim sonucunda verilir.
ISO 27001 Belgesi Nasıl Alınır?
1. Kapsam ve hedefler belirlenir
Öncelikle yönetim sistemine dahil edilecek faaliyetler, lokasyonlar, bilgi sistemleri, çalışanlar ve iÅŸ süreçleri belirlenir. GereÄŸinden geniÅŸ veya belirsiz bir kapsam, projenin süresini ve maliyetini artırabilir.
2. Mevcut durum ve boşluk analizi yapılır
Kurumun mevcut politika, prosedür, teknik kontrol ve uygulamaları ISO/IEC 27001:2022 gereklilikleriyle karşılaÅŸtırılır. Eksikler önem ve risk seviyesine göre önceliklendirilerek uygulanabilir bir yol haritası hazırlanır.
3. Bilgi varlıkları ve riskler değerlendirilir
Veriler, yazılımlar, donanımlar, hizmetler, çalışan bilgisi ve kritik iÅŸ süreçleri envantere alınır. Tehditler, zafiyetler, olasılık ve iÅŸ etkileri deÄŸerlendirilir. Kabul edilemeyen riskler için risk iÅŸleme planı oluÅŸturulur.
4. Politika ve prosedürler hazırlanır
Bilgi güvenliÄŸi politikası, eriÅŸim kontrolü, varlık yönetimi, olay yönetimi, yedekleme, iÅŸ sürekliliÄŸi, tedarikçi güvenliÄŸi ve benzeri süreçler kuruma uygun biçimde dokümante edilir. Hazırlanan belgelerin gerçek iÅŸleyiÅŸle uyumlu olması gerekir.
5. Kontroller uygulanır ve kayıtlar oluşturulur
Ek A kontrolleri otomatik olarak aynı ÅŸekilde uygulanmaz; kuruluÅŸun risklerine göre seçilir ve gerekçelendirilir. Teknik ve idari kontroller hayata geçirilir, sorumlular belirlenir ve uygulamaların kanıtı olan kayıtlar düzenli ÅŸekilde tutulur.
6. EÄŸitim ve farkındalık çalışmaları yapılır
Çalışanların bilgi güvenliÄŸi sorumluluklarını bilmesi, olayları zamanında bildirmesi ve kurum politikalarına uygun hareket etmesi saÄŸlanır. EÄŸitimlerin katılım ve deÄŸerlendirme kayıtları korunur.
7. Ä°ç denetim ve yönetimin gözden geçirmesi tamamlanır
Belgelendirme denetiminden önce sistemin standarda ve kurumun kendi kurallarına uygunluÄŸu iç denetimle kontrol edilir. Üst yönetim; performansı, riskleri, olayları, hedefleri ve iyileÅŸtirme fırsatlarını deÄŸerlendirir.
8. Belgelendirme denetimine girilir
Akredite belgelendirme kuruluÅŸu genellikle birinci aÅŸamada dokümantasyon ve hazırlık seviyesini, ikinci aÅŸamada ise uygulamaların etkinliÄŸini inceler. Uygunsuzluklar giderildikten sonra uygun bulunan kuruluÅŸa ISO 27001 belgesi düzenlenir.
ISO 27001 Ä°çin Hangi Dokümanlar Gereklidir?
Gerekli dokümanlar kurumun kapsamına göre deÄŸiÅŸir. Genellikle kapsam dokümanı, bilgi güvenliÄŸi politikası, risk deÄŸerlendirme yöntemi ve sonuçları, risk iÅŸleme planı, Uygulanabilirlik Bildirgesi, hedefler, görev ve sorumluluklar, iç denetim kayıtları, yönetimin gözden geçirmesi kayıtları ile düzeltici faaliyet kayıtları bulunur.
ISO 27001 Belgelendirme Süreci Ne Kadar Sürer?
Süre; çalışan sayısı, kapsam, lokasyonlar, mevcut dokümantasyon, teknik altyapı ve bilgi güvenliÄŸi olgunluÄŸuna baÄŸlıdır. Küçük ve hazırlıklı bir kuruluÅŸ ile çok lokasyonlu, karmaşık bir kurumun proje takvimi aynı olmaz. SaÄŸlıklı süre tahmini için öncelikle boÅŸluk analizi yapılmalıdır.
ISO 27001 Danışmanlığı Neden Önemlidir?
Deneyimli danışmanlık; standardın gerekliliklerini kurumun gerçek süreçlerine uyarlamaya, gereksiz dokümantasyonu önlemeye ve kritik risklere öncelik vermeye yardımcı olur. Mira Sistem’in ISO 27001 danışmanlığı; mevcut durum analizi, risk yönetimi, dokümantasyon, uygulama, iç denetim ve belgelendirme hazırlığı aÅŸamalarını kapsar.
ISO 27001, KVKK ve Teknik Güvenlik Birlikte Ele Alınmalı
Bilgi güvenliÄŸi yönetim sistemi, kiÅŸisel veri uyumu ve teknik güvenlik kontrolleri birbirini tamamlar. Bu nedenle KVKK danışmanlığı, sızma testi ve siber güvenlik danışmanlığı çalışmalarının aynı risk yaklaşımıyla planlanması daha güçlü sonuç verir.
Sık Sorulan Sorular
ISO 27001 belgesi zorunlu mudur?
Genel olarak gönüllüdür. Ancak müÅŸteri sözleÅŸmeleri, ihaleler, sektör gereksinimleri veya tedarik zinciri ÅŸartları nedeniyle gerekli olabilir.
ISO 27001 danışmanı belge verebilir mi?
Hayır. Danışman kuruluşu denetime hazırlar; belgeyi bağımsız ve akredite belgelendirme kuruluşu verir.
ISO 27001 belgesi kaç yıl geçerlidir?
Belgelendirme döngüsü genellikle üç yıldır ve bu süre içinde periyodik gözetim denetimleri yapılır. Kesin program seçilen belgelendirme kuruluÅŸuna göre belirlenir.
ISO 27001 Yol Haritanızı Oluşturalım
Mira Sistem, Ä°stanbul ve Marmara öncelikli olmak üzere Türkiye genelinde yerinde ve uzaktan hizmet sunar. Kurumunuza uygun kapsamı ve proje planını belirlemek için bizimle iletiÅŸime geçin.