ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) Danışmanlığı

ISO/IEC 27001, kurumların bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için bir bilgi güvenliği yönetim sistemi (BGYS) kurmasını, işletmesini ve sürekli iyileştirmesini tarif eden uluslararası standarttır. Standart belirli bir ürün ya da teknoloji dayatmaz; kuruma özgü riskleri tespit etmeyi, bu risklere uygun kontrolleri seçmeyi ve tüm bunları belgelenmiş, denetlenebilir bir yönetim döngüsüyle yürütmeyi ister. ISO 27001 danışmanlığı ise bu sistemin kurum içinde doğru kapsamla, gerçekçi bir risk yaklaşımıyla ve günlük işleri aksatmadan kurulmasına rehberlik eden hizmettir. Pedante Bilişim olarak BGYS’yi hem yönetim sistemi hem de teknik uygulama tarafıyla birlikte ele alıyoruz.

Kimler için?

ISO 27001, ölçeği ne olursa olsun bilgi güvenliğini sistematik yönetmek isteyen her kuruma uygundur. Talep en çok şu kurumlardan gelir:

• Kurumsal müşterilerinden veya ihalelerden ISO 27001 belgesi talebi alan yazılım, bulut ve hizmet firmaları,
• Müşteri verisi işleyen çağrı merkezleri, lojistik, finans ve sağlık sektörü tedarikçileri,
• BDDK veya SPK gibi düzenleyicilerin denetimine tabi kurumlarla çalışan ve tedarikçi güvenliği sorularına cevap vermesi gereken şirketler,
• KVKK kapsamındaki teknik ve idari tedbirleri bir yönetim sistemiyle sürdürülebilir hâle getirmek isteyen kurumlar,
• Yurt dışı müşterilerle çalışan ve uluslararası kabul gören bir güvenlik çerçevesine ihtiyaç duyan ihracatçılar.

Neden önemli?

Siber saldırılar, veri sızıntıları ve hizmet kesintileri artık yalnızca BT’nin değil, yönetimin ve satış ekibinin de sorunudur. Kurumsal müşteriler tedarikçilerine giderek daha ayrıntılı güvenlik anketleri gönderiyor; her anketi sıfırdan cevaplamak hem zaman alıyor hem tutarsız yanıtlara yol açıyor. İyi kurulmuş bir BGYS, güvenlik kararlarının kişilere değil süreçlere bağlı olmasını sağlar; olaylardan ders çıkarmayı, riskleri yönetim diliyle raporlamayı ve müşteri sorularına belgeyle cevap vermeyi mümkün kılar. Belge ise bu sistemin bağımsız bir kuruluş tarafından denetlendiğini gösterir.

Hizmet kapsamı

Bağlam ve kapsam belirleme

Kurumun iç ve dış konuları, ilgili tarafların beklentileri (müşteriler, düzenleyiciler, çalışanlar, tedarikçiler) ve yasal yükümlülükler analiz edilir. BGYS kapsamı; hangi lokasyonları, süreçleri, hizmetleri ve sistemleri içereceği net bir kapsam ifadesiyle tanımlanır. Kapsamı gereğinden geniş tutmak projeyi ağırlaştırır; gereğinden dar tutmak ise müşterilerin beklentisini karşılamayabilir. Doğru dengeyi iş hedeflerine göre kurarız.

Varlık envanteri ve risk değerlendirmesi

Bilgi varlıkları (veriler, uygulamalar, sunucular, bulut hizmetleri, cihazlar, kâğıt kayıtlar, kilit personel bilgisi) envantere alınır. Kuruma uygun bir risk değerlendirme metodolojisi belirlenir; tehditler, zafiyetler, olasılık ve etki puanlanarak risk seviyeleri çıkarılır. Her risk için sahibi, kabul ölçütleri ve işleme seçeneği (azaltma, kaçınma, transfer, kabul) tanımlanır.

Ek A kontrolleri ve uygulanabilirlik bildirgesi

Standardın Ek A bölümü, organizasyonel, insan, fiziksel ve teknolojik temalarda gruplanmış bir referans kontrol setidir. Risk işleme planına göre hangi kontrollerin uygulanacağı, hangilerinin neden kapsam dışı tutulduğu uygulanabilirlik bildirgesi (SoA) ile belgelenir. Kontroller bir kontrol listesi gibi değil, riske cevap veren tedbirler olarak ele alınır.

Politikalar ve prosedürler

Bilgi güvenliği politikası başta olmak üzere erişim kontrolü, kabul edilebilir kullanım, varlık yönetimi, kriptografi, yedekleme, değişiklik yönetimi, tedarikçi güvenliği, olay yönetimi ve iş sürekliliği gibi konularda kurumun gerçekte uygulayacağı, sade ve okunabilir dokümanlar hazırlanır. Şablon yığını yerine yaşayan dokümanlar hedeflenir.

Teknik kontrollerin uygulanması

Risk işleme planında çıkan teknik eksikler; MFA ve kimlik yönetimi, uç nokta güvenliği, log toplama ve izleme, yedekleme ve geri dönüş testleri, güvenlik açığı taraması, yama yönetimi ve ağ segmentasyonu gibi başlıklarda Racurity çözüm ortaklarımız aracılığıyla hayata geçirilebilir.

Farkındalık, iç denetim ve yönetimin gözden geçirmesi

Çalışanlara rol bazlı bilgi güvenliği farkındalık eğitimleri planlanır. Belgelendirme öncesinde, sistemin standardın gerekliliklerini karşılayıp karşılamadığını görmek için bağımsız bir iç denetim yürütülür; uygunsuzluklar için düzeltici faaliyetler takip edilir. Üst yönetimin BGYS performansını değerlendirdiği yönetimin gözden geçirmesi toplantısı hazırlanır ve kayıt altına alınır.

BGYS’yi işler hâlde tutan kayıtlar

Denetçiler bir yönetim sisteminin gerçekten çalıştığını dokümanlardan çok kayıtlardan anlar. Bu nedenle kurulum sırasında hangi kayıtların, hangi araçta, kim tarafından üretileceğini baştan planlarız: erişim yetkisi talepleri ve dönemsel yetki gözden geçirmeleri, değişiklik kayıtları, yedek geri dönüş testleri, güvenlik açığı tarama sonuçları ve kapatma takibi, olay kayıtları ve alınan dersler, tedarikçi değerlendirmeleri, eğitim katılımları. Bu kayıtların mümkün olduğunca mevcut sistemlerin kendiliğinden ürettiği verilerden gelmesi, BGYS’nin ek bir bürokrasi yükü olmasını engeller ve ekiplerin sistemi sahiplenmesini kolaylaştırır.

Belgelendirme nasıl işler?

ISO 27001 belgesini danışmanlık firmaları değil, akredite bağımsız belgelendirme kuruluşları verir. Belgelendirme denetimi genellikle iki aşamada yapılır: birinci aşamada dokümantasyon ve hazırlık durumu, ikinci aşamada sistemin sahada etkin şekilde uygulanıp uygulanmadığı incelenir. Belge alındıktan sonra belgelendirme döngüsü boyunca gözetim denetimleri yapılır ve döngü sonunda yeniden belgelendirme denetimi gerçekleştirilir. Danışman olarak görevimiz kurumu bu denetimlere hazırlamaktır; belgelendirme kararı tamamen belgelendirme kuruluşuna aittir ve hiçbir danışmanlık sonucu garanti edemez. Danışmanlık ile belgelendirme hizmetinin aynı kuruluştan alınmaması da tarafsızlık ilkesinin gereğidir.

Belgelendirme kuruluşunun seçimi de kurumun kararıdır. Akreditasyon durumunu, denetçilerin sektör deneyimini ve müşterilerinizin hangi akreditasyonu tanıdığını önceden kontrol etmenizi öneririz.

Çalışma süreci

1. Ön değerlendirme (boşluk analizi): Mevcut durum standardın gerekliliklerine göre değerlendirilir, eksikler ve yaklaşık iş yükü çıkarılır.
2. Proje planı: Kapsam, sorumlular, toplantı takvimi ve teslimatlar netleştirilir.
3. Kurulum: Bağlam analizi, varlık envanteri, risk değerlendirmesi, SoA, politikalar ve kayıtlar hazırlanır.
4. Uygulama ve işletme: Kontroller devreye alınır, sistemin kayıt üretmesi için yeterli işletme süresi tanınır.
5. İç denetim ve yönetimin gözden geçirmesi: Uygunsuzluklar kapatılır, yönetim kararları kayıt altına alınır.
6. Belgelendirme denetimine hazırlık: Kurumun seçtiği belgelendirme kuruluşunun denetimlerine destek verilir, sonrasında gözetim dönemleri için sürdürme desteği sunulur.

Pedante Bilişim ve Racurity farkı

Birçok ISO 27001 projesi, kâğıt üzerinde mükemmel ama sahada uygulanmayan dokümanlarla sonuçlanır. Biz yönetim sistemi danışmanlığını teknik ekiplerimizle birlikte yürütüyoruz: risk değerlendirmesinde çıkan “log kayıtları merkezi olarak tutulmalı” maddesi, aynı çatı altındaki SIEM ve SOC ekibimizle; “düzenli sızma testi yapılmalı” maddesi sızma testi hizmetimizle hayata geçer. Racurity, uzman çözüm ortaklarımızın altyapısını Racurity güvencesiyle ve tek muhatapla sunar. KVKK uyum çalışmalarını ve BGYS’yi tek bir varlık envanteri ve risk yapısı üzerinde birleştirerek mükerrer işi önleriz.

Sık yapılan hatalar

• Hazır doküman setlerini kurumun gerçek süreçlerine uyarlamadan kullanmak,
• BGYS’yi yalnızca BT ekibinin sorumluluğuna bırakıp üst yönetimi dahil etmemek,
• Risk değerlendirmesini bir kez yapıp hiç güncellememek,
• Ek A kontrollerini risk bağlantısı kurmadan mekanik şekilde işaretlemek,
• Sistemi belgelendirme denetiminden hemen önce kurup kayıt üretmesine zaman tanımamak,
• Belge alındıktan sonra iç denetim ve yönetimin gözden geçirmesini ihmal etmek.

İlgili hizmetler

BGYS çalışmasıyla birlikte en sık ele alınan hizmetler: KVKK ve GDPR uyum danışmanlığı, siber güvenlik hizmetleri, kimlik ve erişim yönetimi, yedekleme ve felaket kurtarma, yazılım varlık yönetimi ve yapay zekâ kullanan kurumlar için ISO 42001 yapay zekâ yönetim sistemi. Tüm başlıklar için kurumsal BT çözümleri sayfamızı inceleyebilir, ücretsiz ilk görüşme için toplantı planlayabilirsiniz.

Tüm bilişim hizmetlerimizi görmek için kurumsal BT çözümleri sayfamıza göz atabilirsiniz.

Sık sorulan sorular

ISO 27001 belgesini siz mi veriyorsunuz?

Hayır. ISO 27001 belgesi akredite bağımsız belgelendirme kuruluşlarınca verilir. Biz BGYS’nin kurulmasına ve belgelendirme denetimine hazırlığa danışmanlık veriyoruz; belgelendirme kararı tamamen belgelendirme kuruluşuna aittir.

Danışmanlık alırsak belge almamız garanti mi?

Hiçbir danışmanlık belgelendirme sonucunu garanti edemez. Bizim hedefimiz, sistemin standardın gerekliliklerini karşılayacak şekilde kurulması, uygulanması ve kayıtlarla desteklenmesidir. Denetim sonucunu kurumun sahadaki uygulaması belirler.

Küçük bir şirket ISO 27001 kurabilir mi?

Evet. Standart ölçeğe göre uyarlanabilir. Küçük şirketlerde kapsam daha dar, dokümanlar daha sade ve kontroller daha az karmaşık olur; önemli olan risklerin gerçekçi şekilde değerlendirilmesi ve sistemin gerçekten işletilmesidir.

Uygulanabilirlik bildirgesi (SoA) nedir?

SoA, Ek A’daki referans kontrollerden hangilerinin kurumda uygulandığını, hangilerinin neden kapsam dışı tutulduğunu ve uygulama durumunu gösteren zorunlu bir BGYS dokümanıdır. Risk değerlendirmesi ve risk işleme planıyla tutarlı olmalıdır.

ISO 27001 ile KVKK uyumu arasında ilişki var mı?

ISO 27001 doğrudan KVKK uyumu anlamına gelmez; ancak BGYS kapsamında kurulan erişim kontrolü, kayıt tutma, şifreleme, olay yönetimi ve tedarikçi güvenliği gibi kontroller KVKK’nın teknik ve idari tedbirleriyle büyük ölçüde örtüşür. İki çalışmayı tek varlık envanteri üzerinden yürütmek verimlilik sağlar.

Belge aldıktan sonra ne yapmak gerekiyor?

BGYS sürekli işletilmelidir: risk değerlendirmesi güncellenir, iç denetimler ve yönetimin gözden geçirmesi tekrarlanır, olaylar ve düzeltici faaliyetler kaydedilir. Belgelendirme kuruluşu belgelendirme döngüsü boyunca gözetim denetimleri yapar.

İletişim

Merkez ofisimiz: Atatürk Mah., Sait Cordan Sk. No:10, 34758 Ataşehir / İstanbul. İstanbul’daki firmalarla yüz yüze, Türkiye genelindeki markalarla online toplantı ve planlı ziyaretlerle çalışıyoruz. 0551 044 08 69 numaralı WhatsApp hattımızdan yazabilir, toplantı planlayabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.