Sık Sorulan Sorular (SSS'ler)
ISO 27001 Gereksinimleri Nelerdir?
ISO 27001 sertifikası almak için bir kuruluş, belgelendirmenin kapsamını, hedefleri, risk değerlendirmesini ve siber ve bilgi güvenliğini yönetme sürecini belirlemeye odaklanan standardın ana maddelerini uygulamalıdır. Bir risk değerlendirmesinin ardından, belirlenen riskleri azaltmak için kontroller uygulanmalıdır. ISO 27001 Ek A, politika, prosedür ve teknik kontrollerin geliştirilmesini ve uygulanmasını içeren kapsamlı bir kontrol seti sağlar.
Bu kontroller sürekli olarak uygulanmalı ve yönetilmelidir. Belgelendirme süreci, bir Belgelendirme Kuruluşu (17021) ile çalışmayı gerektirir ve genellikle Türkiye Akreditasyon Servisi (TÜRKAK) tarafından akredite edilmiş bir kuruluş önerilir. Bu, iki aşamalı bir denetimi içerecektir; ilk aşama dokümantasyona, ikincisi ise uygulanan kontrollerin etkinliğine odaklanacaktır.
ISO 27001 İşime Nasıl Yardımcı Olabilir ?
ISO 27001, bir bilgi güvenliği yönetim sistemi (BGYS) için bir çerçeve sağlayan uluslararası bir standarttır. Standart, kuruluşların siber ve bilgi güvenliği ile ilgili olarak doğru yönetimin yürürlükte olmasını sağlayan bilgi güvenliği riskini yönetmek için süreçler ve kontroller uygulamasına yardımcı olmak için tasarlanmıştır.
ISO 27001, işletmenizin yeni müşteriler çekmesine de yardımcı olabilir, çünkü bu genellikle birçok kuruluşla çalışmak için bir ön koşul olarak görülür. ISO 27001'e sahip olmak, kişisel verilerin korunmasına ilişkin yasal yükümlülüklerin yerine getirilmesine yardımcı olmanın yanı sıra müşterilerinize siber ve bilgi güvenliği risklerini yönetmek için önlemler aldığınıza dair güvence de sağlayabilir.
ISO 27001:2013 SERTİFİKASINA SAHİP KURULUŞLARI NASIL ETKİLEYECEK ?
Uluslararası Akreditasyon Forumu (IAF), ISO 27001:2022'nin yayınlanmasından itibaren kuruluşların geçiş yapmak için 36 ayları olduğunu belirten bir belge yayınladı.
Buna dayanarak tahmini olarak geçiş süreci aşağıdaki gibi gerçekleşecek ve kuruluşların Ekim 2025'e kadar güncellenen Standarda uyması gerekecektir.
• 24 Ekim 2025'ten sonra tüm ISO 27001:2013 sertifikalarının geçerliliği sona erecektir. Bu nedenle Ekim 2025 tarihine kadar BGYS'nizin güncellenmesi ve sertifikanızın ISO 27001:2022'ye geçirilmesi gerekmektedir.
• Belgelendirme kuruluşunuzun bu süre içinde bir geçiş değerlendirmesi yapması ve size güncellenmiş bir sertifika vermesi gerekecektir.
• Geçiş değerlendirmesi, BGYS'nizi Ek A kontrollerindeki değişiklikler de dahil olmak üzere ISO 27001:2022'nin yeni gerekliliklerine göre güncelleyip güncellemediğinizi
• Gözetim denetimi yeniden belgelendirme denetimi veya bağımsız bir değerlendirmeyle geçiş yapabilirsiniz.
ISO 27001 ve ISO 27002 Standartlarının 2022 Sürümü Değişiklikleri
EK-A
ISO 27002:2022’de, ISO 27002:2013'ün 114 kontrolü yerine 93 kontrol listelenecek.
Bu kontroller artık 14 maddede değil 4 ana başlık halinde gruplandırılacak:
-İnsanlar (8 kontrol)
-Organizasyonel (37 kontrol)
-Teknolojik (34 kontrol)
-Fiziksel (14 kontrol)
ISO 27001 nedir?
Kuruluşların verileri güvende tutmasına yardımcı olan ISO 27000 küresel olarak tanınan standartlar ailesinin bir parçası. ISO 27001 nedir, Bilgi Güvenliği Yönetim Sistemi (BGYS) için bir dizi “en iyi uygulama” belirler. Bu gereksinimler, bir kuruluşun bilgiye ilişkin riski etkin bir şekilde yönetmek için kullanabileceği politikaları, prosedürleri ve teknik kontrolleri kapsar.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) nedir?
Hassas verilerin güvenli kalması için yönetilmesine yönelik sistematik, riske dayalı bir yaklaşımdır.
ISO 27001 Risk Değerlendirmesi nedir?
ISO 27001 Risk Değerlendirmesi veya risk analizi, ISO 27001 uygulamasının kilit unsurlarından biridir. Amacı, gizlilik kaybı, bütünlük ve bilgi varlıklarının kullanılabilirliği ile ilişkili riskleri tanımlamak ve risk azaltma çabalarına odaklanmak için her bir riskin önemini sıralamaktır.
ISO 27001 İç Denetim nedir?
ISO 27001 sertifikası almak veya sürdürmek isteyen bir kuruluş, ISO 27001 standardının 9.2 maddesi uyarınca periyodik iç denetimler yapmalıdır. Kurum içi personel veya güvenilir bir üçüncü taraf tarafından yılda en az bir kez gerçekleştirilen iç denetimin amacı, yönetimin BGYS'nin etkinliğini doğrulamasına yardımcı olmaktır (ör. Kuruluşun kendi gerekliliklerine ve standardın gerekliliklerine uygun mu?) .
ISO 27001 Sertifikasyon Denetimi nedir?
Sertifikasyon kuruluşu tarafından yürütülen bir ISO 27001 Sertifikasyon Denetimi, bir kuruluşun Bilgi Güvenliği Yönetim Sisteminin (BGYS) ISO 27001 standardının gerekliliklerine uygun olup olmadığını belirler. Bulgular tatmin edici ise, ISMS standarda uygun olduğu onaylanmıştır. ISO 27001 Sertifikasyon Denetimi tüm BGYS'ni kapsar ve üç yıllık ISO 27001 sertifikasyon döngüsünün ilk yılında gerçekleşir.
ISO 27001 Gözetim Denetimi nedir?
ISO 27001 Gözetim Denetimleri, BGYS'nin bir alt kümesini kapsar ve üç yıllık ISO 27001 sertifikasyon döngüsünün ikinci ve üçüncü yıllarında bir sertifikasyon kuruluşu tarafından yürütülür.
ISO 27001 Belgesi Nereden/Nasıl Alınır?
ISO 27001 Bilgi Güvenliği Yönetim Sistemleri belgelendirilmesi, kuruluşun kurmuş olduğu Bilgi güvenliği yönetim sistemlerinin bağımsız ve akredite bir sertifikasyon (belgelendirme) kuruluşunun denetiminden başarıyla geçmesi ve bunun devamlılığını sağlaması ile mümkündür.
Kuruluş, Bilgi Güvenliği Yönetim Sistemi standardın gereksinimlerini karşılayacak şekilde kurduktan sonra, bu sistemin belgelendirilmesi için bir sertifikasyon (Belgelendirme) kuruluşu ile anlaşır. Sertifikasyon (Belgelendirme) kuruluşu, kuruluşun bilgi güvenliği sisteminin standardın gereksinimlerini karşılayıp karşılamadığını tespit etmek üzere bir sertifikasyon (Belgelendirme) denetimi yapar.
ISO 27001 Eğitimi Nedir?
ISO 27001 bilgi güvenliği yönetim sistemi standartlarının tanıtılması, standarda uygun yönetim sistemi kurmak isteyen kuruluşların, standardın gereklilikleri konusunda bilgilendirilmesi.
ISO 27001 Eğitimleri 27001-27002-27005-19011 Standartlarını kapsamaktadır.
ISO 27001 Faydaları Nelerdir?
Kuruluşa yönelik faydaları;
Bilgi varlıklarının gizliliğinin korunması,
Tehdit ve riskleri belirlenerek etkin bir risk yönetiminin sağlanması,
Kurumsal prestijin korunması,
İş sürekliliğinin sağlanması,
Bilgi kaynaklarına erişimin denetlenmesi,
Personelin, yüklenicilerin ve alt yüklenicilerin güvenlik konusunda farkındalık düzeyinin yükseltilmesi ve önemli güvenlik konularında bilgilendirilmesi,
Otomatik ve elle yönetilen sistemlerde, duyarlı bilgilerin uygun bir şekilde kullanıldığının garanti altına alınması amacıyla gerçekçi bir kontrol sistemi kurulması,
Bilgi varlıklarının bütünlüğünün ve doğruluğunun sağlanması,
Personelin, başkaları tarafından yapılabilecek olan suiistimal ve tacizlere karşı zan altında kalmasının engellenmesi,
Duyarlı bilgilerin uygun bir şekilde üçüncü taraflara ve denetçilere açık olmasının sağlanmasıdır.
Geçerli yasa ve düzenlemelere uygun davranıldığını bağımsız bir şekilde gösterir.
Sözleşmeden doğan gereklilikleri karşılayarak ve müşterilerinize bilgilerinin güvenliğine gösterdiğiniz özeni göstererek bir rekabet avantajı sağlar.
Bilgi güvenliği işlemleriniz, prosedürleriniz ve belgeleriniz biçimlendirilirken kurumsal risklerinizin gerektiği gibi tanımlandığını, değerlendirildiğini ve yönetildiğini bağımsız bir şekilde doğrular.
Düzenli değerlendirme işlemi performansınızı sürekli izlemenize ve geliştirmenize yardımcı olur. Üst yönetiminizin bilgilerinin güvenliğine olan taahhüdünü kanıtlar.
ISO 27001 Belge Zorunluluğu Var mı?
ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmak ve ISO 27001 Belgesini alması zorunlu olan özel sektör kuruluşları kısaca aşağıdaki kuruluşlardır.
Bilişim sektöründe faaliyet gösteren ve kamu ihalelerine giren yazılım, donanım ve entegratör firmalar
Elektronik Haberleşme şebekesi sağlayan ve alt yapısını işleten firmalar
Görev Sözleşmesi İmzalayan firmalar şirketler
İmtiyaz Sözleşmesi İmzalayan firmalar şirketler
Uydu Haberleşme Hizmeti Veren firmalar şirketler
Altyapı İşletmeciliği Hizmeti Veren firmalar şirketler
Sabit Telefon Hizmeti firmalar şirketler
GMPCS Mobil Telefon Hizmeti Veren firmalar şirketler
Sanal Mobil Şebeke Hizmeti firmalar şirketler
İnternet Servis Sağlayıcıları
Hava Taşıtlarında GSM 1800 Mobil Telefon Hizmeti veren firmalar şirketler
E fatura Özel Entegratör Yetkisi almak isteyen firmalar
Gümrük işleri Kolaylaştırma Yetkisi almak isteyen ihracatçı firmalar
ISO 27001 Bilgi Güvenliği Belgelendirme Süreci Nasıl Oluyor?
Doküman İnceleme: Belgelendirme talebiniz alındıktan sonra müracaat için gerekli ek evraklar ve ilgili yönetim sistemine ait dokümanların firmamıza iletilmesi sağlanmalıdır.
Kuruluşunuza ait dokümanlar
ISO 27001 standardına uygunluk açısından incelenecek ve düzeltilmesi gereken bir durum olması halinde, bir rapor ile tarafınıza bildirilecektir.
Belgelendirme firmasına tarafından incelenmesi sonrasında, dokümanlarda söz konusu olabilecek değişiklikler, belgelendirme denetimi öncesinde tamamlanmalı ve Belgelendirme firmasına ulaştırılmalıdır.
ISO 27001 Belgelendirme Geçerlilik Süresi
ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardına göre yapılan belgelendirme için belge geçerlilik süresi 3 (üç) yıldır.
ISO 27001 ve ISO 27002 Standartlarının 2022 Sürümü Değişiklikleri Nelerdir?
EK-A Maddeleri
ISO 27002:2022’de, ISO 27002:2013'ün 114 kontrolü yerine 93 kontrol listelenecek.
Bu kontroller artık 14 maddede değil 4 ana başlık halinde gruplandırılacak:
-İnsanlar (8 kontrol)
-Organizasyonel (37 kontrol)
-Teknolojik (34 kontrol)
-Fiziksel (14 kontrol)
ISO 27002:2022 bazı yeni kontrolleri içerecek:
-5.7 Tehdit istihbaratı /Siber
-5.23 Bulut hizmetlerinin kullanımı için bilgi güvenliği
-5.30 İş sürekliliği için Bilgi ve İletişim Teknolojileri hazırlığı
-7.4 Fiziksel güvenlik izleme
-8.9 Konfigürasyon yönetimi
-8.10 Bilgi silme
-8.11 Veri maskeleme
-8.12 Veri sızıntı/kaybı önleme
-8.16 İzleme faaliyetleri
-8.23 Web filtreleme
-8.28 Güvenli kodlama
Kontroller, kategorize edilmelerini kolaylaştırmak için artık beş tür özniteliğe sahip olacak:
-Kontrol tipi (önleyici, tespit edici, düzeltici)
-Bilgi güvenliği özellikleri (gizlilik, bütünlük, erişilebilirlik)
-Siber güvenlik kavramları (tanımlama, koruma, tespit etme, yanıt verme, kurtarma)
-Operasyonel yetenekler (yönetişim, varlık yönetimi, vb.)
-Güvenlik alanları (yönetişim ve ekosistem, koruma, savunma, dayanıklılık)
Uzun bir süredir güncellenmeyen bu iki standart 2022 yılı içinde güncellenecektir. İlk güncelleme 15 Şubat 2022 tarihinde ISO 27002 standardında gerçekleşmiştir.
Tedarikçi ilişkilerinde 27001 bilgi güvenliği nasıl oluyor?
Tedarikçinin kuruluşun varlıklarına erişimi ile ilgili riskleri azaltmak için 27001 bilgi güvenliği gereksinimleri tedarikçi ile kararlaştırılmalı ve yazılı hale getirilmelidir.
Kuruluş, politika da özellikle kuruluşun bilgilerine erişen tedarikçileri ele alarak 27001 bilgi güvenliği kontrollerini tanımlamalı ve zorlamalıdır. Bu kontroller, kuruluş tarafından uygulanan prosesleri ve prosedürleri ele almalıdır, bununla birlikte kuruluşun bu prosesleri ve prosedürleri tedarikçilere aşağıdaki hususları da içerecek
şekilde uygulaması gerekir.
Danışmanlık için Yardıma mı ihtiyacınız var?
Hemen Profesyonel Sertifika Hizmeti Alın
