ISO 27001 Bilgi Güvenliği Yönetim Sistem Belgesi

ISO 27001 Nedir ve Ne İşe Yarar?

ISO 27001 Bilgi Güvenliği Yönetim Sistem Belgesi, bir kuruluşun bilgi güvenliği yönetimini sistematik ve sürekli bir şekilde sağladığını kanıtlayan uluslararası standart sertifikasıdır.

Bu standart; bilgi varlıklarını korumak için gerekli politikalar, prosedürler ve kontrollerin oluşturulmasını gerektirir. Temel amacı; bilgi güvenliği risklerini minimize etmek ve bilginin gizlilik, bütünlük ve erişilebilirlik prensiplerini sağlayarak kuruluşun veri güvenliğini yasal ve kurumsal düzeyde güvence altına almaktır.

Kimler Alabilir?

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi, veri güvenliğini kurumsal bir standart haline getirmek isteyen her türlü kuruluş tarafından alınabilir. Özellikle aşağıdaki sektör ve organizasyonlar için bir gerekliliktir:

• Kamu kurumları ve kuruluşları

• Özel şirketler (KOBİ’ler veya büyük ölçekli işletmeler)

• Finans kuruluşları ve bankalar

• Sağlık sektörü kuruluşları

• Bilişim Teknolojileri (BT) ve yazılım firmaları

• Telekomünikasyon şirketleri

• E-ticaret platformları ve dijital hizmet sağlayıcıları

• Üretim ve sanayi kuruluşları

• Eğitim kurumları

Başvuru ve Alma Şartları

ISO 27001 belgesini almak ve sistemi başarılı bir şekilde kurmak için aşağıdaki şartların yerine getirilmesi gerekmektedir:

1. BGYS Kurulumu: Standarda uygun olarak bilgi güvenliği politikaları, prosedürleri ve kontrollerini içeren bir yönetim sistemi (BGYS) kurulmalıdır.

2. Risk Değerlendirmesi ve Yönetimi: Bilgi varlıklarına yönelik riskler belirlenmeli, analiz edilmeli ve kabul edilebilir seviyeye indirmek için uygun önlemler (kontroller) alınmalıdır.

3. Dokümantasyon: Tüm süreçler, politikalar ve uygulamalar standart gerekliliklerine uygun olarak yazılı hale getirilmelidir.

4. Uygulama ve İşletme: Belirlenen politikalar etkin bir şekilde uygulanmalı ve günlük operasyonların bir parçası haline getirilmelidir.

5. İç Tetkik ve Yönetim Gözden Geçirmesi: Sistemin etkinliğini sağlamak için düzenli iç denetimler yapılmalı ve üst yönetim tarafından gözden geçirilmelidir.

6. Sürekli İyileştirme: Tespit edilen uygunsuzluklar düzeltilmeli ve iyileştirme faaliyetleri sürekli devam etmelidir.

7. Personel Eğitimi: Çalışanlar bilgi güvenliği konusunda bilinçlendirilmeli ve gerekli eğitimlerle donatılmalıdır.

8. Belgelendirme Denetimi: Bağımsız bir belgelendirme kuruluşu tarafından yapılan saha denetimi başarıyla geçilmelidir.

Belgelendirme Süreci ve Süresi

ISO 27001 belgesinin alınma süresi; kuruluşun büyüklüğüne, mevcut altyapısına ve hazırlık durumuna göre değişiklik gösterir. Standart bir işletme için öngörülen ortalama takvim şu şekildedir:

• Hazırlık ve BGYS Kurulumu: 2 ila 6 ay

• Dokümantasyon ve Uygulama: 1 ila 3 ay

• İç Tetkik ve Düzeltici Faaliyetler: 1 ila 2 ay

• Belgelendirme Denetimi: 1 ila 2 ay

  Toplam Süre: Süreç organizasyonun yapısına bağlı olarak ortalama 4 ila 9 ay (standart bir kurum için yaklaşık 6 ay) sürmektedir. İşletmenin önceden var olan bir altyapısı varsa bu süre kısalabilir.

Akreditasyon Türleri (TÜRKAK, IAF vb.)

• Ulusal Akreditasyon: Belgelendirme kuruluşlarının kendi ülkelerindeki resmi kurumlarca (Örn: Türkiye'de TÜRKAK) yetkilendirilmesidir.

• Uluslararası Akreditasyon: Ulusal kurumların uluslararası platformlarda tanınmasını sağlayan IAF (International Accreditation Forum) gibi üst düzey onay mekanizmalarıdır.

• Sektörel ve Gözetim Akreditasyonları: Sektöre özel ihtiyaçlara göre verilen ve belgelendirme kuruluşlarının periyodik denetimlerle geçerliliğini koruduğu süreçlerdir.

KOSGEB Desteği Var Mı?

Evet. KOSGEB; özellikle KOBİ statüsündeki işletmelerin bilgi güvenliği altyapılarını kurmalarını ve kurumsallaşmalarını teşvik etmek amacıyla ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi alım süreçlerini finansal olarak desteklemektedir.

İhalelerde İsteniyor Mu?

Evet. Günümüzde dijitalleşme ve siber güvenlik hassasiyeti nedeniyle, özellikle bilişim, yazılım, teknoloji ve veri yönetimi içeren birçok kamu ve özel sektör ihalesinde ISO 27001 belgesi resmi bir katılım şartı olarak talep edilmektedir.

Gerekli Evraklar ve Hazırlanması Gereken Dokümanlar

1. Resmi ve Ticari Evraklar:

• Başvuru Formu (Belgelendirme kuruluşu için)

• Ticaret Sicil Gazetesi, Vergi Levhası ve Faaliyet Belgesi

• Varsa KOSGEB vb. destek proje başvuru dokümanları

2. Zorunlu Sistem (BGYS) Dokümantasyonları:

• Bilgi Güvenliği Politikası: Üst yönetim tarafından onaylanmış ana taahhüt belgesi.

• Kapsam Belgesi: Sistemin uygulanacağı alanın (fiziki ve dijital) sınırları.

• Risk Değerlendirme ve Yönetim Raporları: Bilgi varlıklarının analiz ve aksiyon planları.

• Temel Prosedürler ve Talimatlar:

  • Erişim Kontrol Prosedürü

  • Olay Yönetimi Prosedürü

  • İş Sürekliliği Yönetimi Prosedürü

  • Varlık Yönetimi Prosedürü

  • Eğitim ve Farkındalık Prosedürü

• Sistem Kayıtları: İç tetkik raporları, düzeltici ve önleyici faaliyet (DÖF) kayıtları, yönetim gözden geçirme (YGG) toplantı tutanakları ve personel eğitim sertifikaları/kayıtları.

Süreci Hangi Bölümler Yürütür/Yönetir?

ISO 27001 sadece bir "Bilgi İşlem" projesi değil, tüm kurumu kapsayan entegre bir yönetim sistemidir:

• Üst Yönetim: Sürece liderlik eder, vizyonu belirler ve gerekli bütçe/kaynağı sağlar.

• Bilgi Güvenliği Yöneticisi: Sistemin kurulumu, uygulanması ve takibinden birinci derecede sorumludur.

• Bilişim Teknolojileri (BT) Departmanı: Teknik güvenlik önlemlerini, yazılımsal ve donanımsal kontrolleri sahada uygular.

• İnsan Kaynakları (İK): Personelin gizlilik sözleşmelerini, işe alım/çıkış süreçlerindeki güvenlik adımlarını ve farkındalık eğitimlerini yürütür.

• Kalite ve İç Denetim Birimi: Planlı iç tetkiklerle sistemin işleyişini ve uygunluğunu denetler.

• Tüm Çalışanlar: Kurallara uymak ve şüpheli durumları (olay yönetimi) bildirmekle yükümlüdür.

Süreçlerinizin her adımında, profesyonel kadromuzla yanınızdayız.