İçeriğe geç
parazade
Siber Güvenlik & Dolandırıcılık

ISO 27001 Nedir?

Yayın: · Son güncelleme:

ISO 27001 Nedir? Kısaca

ISO 27001, kurumların bilgi güvenliği yönetim sistemi kurması, işletmesi ve sürekli iyileştirmesi için şartları tanımlayan uluslararası standarttır. Uyum, akredite kuruluşların denetimiyle belgelendirilebilir.

ISO 27001 nedir?
İçindekiler
  1. ISO 27001 nedir?
  2. Neyi şart koşar?
  3. Belgelendirme nasıl işler?

ISO 27001 nedir?

ISO 27001, tam adıyla ISO/IEC 27001, Uluslararası Standardizasyon Örgütü ile Uluslararası Elektroteknik Komisyonu'nun ortak yayımladığı bir bilgi güvenliği standardıdır. Kurumdan belirli bir ürün kullanmasını değil, riskleri yöneten bir sistem kurmasını ister. Güncel sürümü 2022 yılında yayımlanmıştır.

Neyi şart koşar?

Standardın ana bölümleri bir bilgi güvenliği yönetim sistemi için gereken yönetim adımlarını anlatır. Kurum kapsamını belirler, risklerini değerlendirir, hedef koyar, çalışanlarını eğitir ve sistemi düzenli olarak gözden geçirir.

Ek A bölümü ise başvurulabilecek kontrollerin listesidir. 2022 sürümünde bu kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada toplanır. Kurum hangi kontrolü neden uyguladığını ya da neden dışarıda bıraktığını "uygulanabilirlik bildirgesi" adlı belgede açıklar.

Belgelendirme nasıl işler?

Süreç genellikle bir boşluk analiziyle başlar. Örneğin 40 çalışanlı bir yazılım firması, büyük bir müşterinin talebi üzerine standarda geçmeye karar veriyor. Firma önce mevcut durumunu standartla karşılaştırır, eksikleri kapatır, iç denetim yapar ve ardından akredite bir belgelendirme kuruluşunu davet eder.

Belge alındıktan sonra iş bitmez. Belgelendirme kuruluşu belge süresi boyunca düzenli gözetim denetimleri yapar. Standarda geçmeyi düşünüyorsanız önce hangi birim, ofis ve sistemleri kapsama alacağınızı netleştirin; kapsamı dar tutmak ilk belgelendirmeyi kolaylaştırır.

Sıkça Sorulan Sorular

ISO 27001 zorunlu mu?

Genel olarak gönüllü bir standarttır. Ancak bazı sektörlerde düzenlemeler, ihaleler veya büyük müşteriler bu belgeyi ya da eşdeğer güvenlik kanıtını şart koşabilir.

ISO 27001 ile ISO 27002 arasındaki fark nedir?

ISO 27001 şartları belirler ve belgelendirmenin dayandığı standarttır. ISO 27002 ise kontrollerin nasıl uygulanacağına dair rehberlik verir.

İlgili terimler

Bilgi Güvenliği Yönetim Sistemi(ISMS)Bilgi güvenliği yönetim sistemi (BGYS), bir kurumun bilgilerinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için politika, süreç, rol ve kontrolleri bir arada yöneten sistematik yaklaşımdır.Güvenlik Denetimi(Security Audit)Güvenlik denetimi, bir kurumun bilgi güvenliği politikalarının, teknik kontrollerinin ve süreçlerinin belirli bir standart, mevzuat ya da iç kurala uygun olup olmadığının sistematik olarak incelenmesidir.Risk Değerlendirmesi(Security Risk Assessment)Risk değerlendirmesi, bir kurumun bilgi varlıklarını, bunlara yönelik tehditleri ve açıkları belirleyip her riskin gerçekleşme olasılığını ve etkisini ölçerek hangi önlemlerin öncelikli olduğuna karar verme sürecidir.SOC 2SOC 2, hizmet şirketlerinin müşteri verilerini korumaya yönelik kontrollerini bağımsız denetçilerin incelediği ve AICPA'nın Güven Hizmetleri Kriterleri'ne dayanan bir denetim raporu çerçevesidir.Bilgi Güvenliği(Information Security)Bilgi güvenliği, dijital ya da kâğıt ortamdaki her türlü bilginin yetkisiz kişilerce görülmesini, değiştirilmesini veya yok edilmesini önlemeye yönelik ilke, süreç ve önlemlerin bütünüdür.Yazılım(Software)Yazılım, bir bilgisayarın ya da akıllı cihazın ne yapacağını adım adım tarif eden programların, verilerin ve talimatların bütünüdür. Donanım fiziksel parçaları, yazılım ise bu parçaları çalıştıran mantığı ifade eder.İç Denetim(Internal Audit)İç denetim, bir kurumun risk yönetimi, kontrol ve yönetişim süreçlerinin etkinliğini değerlendirip iyileştirmek için kurum içinde, ancak bağımsız ve tarafsız biçimde yürütülen güvence ve danışmanlık faaliyetidir.