ISO 27001 belgesi almak isteyen küçük ve orta ölçekli işletmelerin sıkça karşılaştığı sorulardan biri, şirket bünyesinde bilgi işlem personeli bulunmasının zorunlu olup olmadığıdır.

Özellikle yazılım, danışmanlık, mühendislik ve hizmet sektörlerinde faaliyet gösteren bazı işletmeler, bilgi teknolojileri altyapılarını dışarıdan aldıkları desteklerle yönetmektedir. Bu firmalar ISO 27001 belgesi almak istediklerinde, ayrıca bir bilgi işlem uzmanı istihdam etmeleri gerekip gerekmediğini merak etmektedir.

ISO 27001 belgesi almak için işletmenin kendi bünyesinde tam zamanlı bilgi işlem personeli çalıştırması zorunlu değildir. Ancak bilgi güvenliğiyle ilgili görevlerin belirlenmesi, gerekli teknik yeterliliklerin sağlanması ve bilgi güvenliği risklerinin etkin biçimde yönetilmesi gerekir.

İşletmeler bu gereklilikleri kendi çalışanlarıyla karşılayabilecekleri gibi uygun koşullarda dış hizmet sağlayıcılarından da destek alabilir.

ISO 27001 İçin Bilgi İşlem Uzmanı Zorunlu mu?

ISO/IEC 27001:2022 standardı, bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesine yönelik şartları belirler.

Standart, kuruluşların büyüklüğünden ve faaliyet alanından bağımsız olarak uygulanabilecek şekilde hazırlanmıştır.

Bu nedenle ISO 27001 belgesi almak isteyen her işletmenin ayrı bir bilgi işlem departmanı oluşturması veya belirli sayıda teknik personel çalıştırması gerektiğine ilişkin genel bir şart bulunmamaktadır.

Ancak bu durum, bilgi güvenliğiyle ilgili teknik sorumlulukların yerine getirilmeyeceği anlamına gelmez.

İşletmenin kullandığı bilgisayarlar, sunucular, yazılımlar, bulut hizmetleri, müşteri bilgileri ve diğer bilgi varlıkları için gerekli güvenlik önlemlerinin belirlenmesi ve uygulanması gerekir.

ISO/IEC 27001:2022 standardının resmî açıklamasında, bilgi güvenliği yönetim sisteminin farklı tür ve büyüklükteki kuruluşlarda uygulanabileceği belirtilmektedir. 

ISO 27001 Bilgi Güvenliği Sorumlusu Kim Olabilir?

ISO 27001 belgelendirme çalışmalarında bilgi güvenliği yönetim sisteminin koordinasyonundan sorumlu kişilerin belirlenmesi gerekir.

Bu görev yalnızca bilgi işlem uzmanları tarafından yürütülmek zorunda değildir.

Örneğin küçük bir işletmede kalite yönetim sisteminden sorumlu personel, operasyon yöneticisi veya işletme yöneticisi bilgi güvenliği yönetim sistemiyle ilgili koordinasyon görevlerini üstlenebilir.

Ancak görevlendirilen kişinin sorumluluklarını yerine getirebilecek yeterliliğe sahip olması ve ihtiyaç duyduğu kaynaklara erişebilmesi önemlidir.

ISO/IEC 27001:2022 standardının 5.3 maddesi, bilgi güvenliğiyle ilgili görev, sorumluluk ve yetkilerin belirlenmesini ve kuruluş içerisinde duyurulmasını gerektirir.

Bu kapsamda bilgi güvenliği yönetim sisteminin standart şartlarına uygunluğunun sağlanması ve sistem performansının üst yönetime raporlanması için sorumlulukların atanması gerekir. (27001)

Bilgi güvenliği sorumlusu olmak ile bütün bilgi teknolojileri sistemlerini teknik olarak yönetmek aynı görev değildir.

Örneğin bilgi güvenliği sorumlusu risk değerlendirme çalışmalarını koordine ederken sunucu güvenliği ve yedekleme faaliyetleri dışarıdan hizmet alınan bir bilgi işlem firması tarafından gerçekleştirilebilir.

Bilgi İşlem Personeli Olmayan Firmalar ISO 27001 Belgesi Alabilir mi?

Evet. İşletmenin faaliyetlerine uygun bir bilgi güvenliği yönetim sistemi oluşturulması ve standart şartlarının karşılanması halinde bilgi işlem personeli bulunmayan firmalar da ISO 27001 belgelendirme sürecine başvurabilir.

Örneğin on çalışanı bulunan bir mühendislik firmasını değerlendirelim.

Firma, bütün bilgisayarlarını ve kullanıcı hesaplarını dışarıdan hizmet aldığı bir bilgi işlem firması aracılığıyla yönetiyor olabilir.

E-posta hizmetleri bulut ortamında, muhasebe programı ise dış hizmet sağlayıcısının altyapısında çalışıyor olabilir.

Bu durumda işletmenin kendi bünyesinde bilgi işlem uzmanı bulunmaması, tek başına ISO 27001 belgesi almasına engel değildir.

Ancak kullanılan hizmetlerin bilgi güvenliği açısından değerlendirilmesi gerekir.

Örneğin kullanıcı erişim yetkilerinin nasıl yönetildiği, verilerin nasıl yedeklendiği, güvenlik güncellemelerinin kim tarafından yapıldığı ve olası bilgi güvenliği olaylarında hangi işlemlerin gerçekleştirileceği belirlenmelidir.

İşletme, dışarıdan hizmet aldığı firmayla görev ve sorumluluklarını açık biçimde tanımlamalıdır.

ISO 27001 İçin Dışarıdan Bilgi İşlem Desteği Alınabilir mi?

ISO 27001 kapsamında bilgi teknolojileri hizmetlerinin dışarıdan alınması mümkündür.

Birçok işletme sunucu yönetimi, ağ güvenliği, teknik destek, yazılım bakım ve bulut altyapısı gibi hizmetleri dış kaynak kullanımı yoluyla yürütmektedir.

Ancak bilgi teknolojileri hizmetlerinin dışarıdan alınması, işletmenin bilgi güvenliği sorumluluğunu tamamen ortadan kaldırmaz.

Örneğin işletmenin müşteri bilgileri bir bulut hizmetinde saklanıyorsa bu bilgilerin korunmasına ilişkin sorumlulukların nasıl paylaşıldığı belirlenmelidir.

Benzer şekilde dışarıdan hizmet alınan bilgi işlem firmasının işletmenin sistemlerine hangi yetkilerle erişebildiği ve bu erişimlerin nasıl kontrol edildiği değerlendirilmelidir.

ISO 27001 belgelendirme denetimlerinde dış hizmet sağlayıcılarla ilgili sözleşmeler, risk değerlendirmeleri, erişim yetkileri ve hizmetlerin izlenmesine ilişkin kayıtlar incelenebilir.

Dış kaynak kullanımı ISO 27001 açısından engel değildir. Önemli olan dış kaynaklardan doğan bilgi güvenliği risklerinin yönetilmesidir.

ISO 27001 İçin Bilgi Güvenliği Eğitimi Almak Gerekir mi?

ISO 27001 standardının 7.2 maddesi, bilgi güvenliği performansını etkileyen görevlerde çalışan kişilerin gerekli yeterliliğe sahip olmasını gerektirir.

Bu yeterlilik eğitim, öğrenim veya deneyim yoluyla sağlanabilir.

Ayrıca gerekli durumlarda yeterliliğin geliştirilmesi ve buna ilişkin uygun kayıtların tutulması beklenir.

Standardın 7.3 maddesi ise çalışanların bilgi güvenliği politikası ve kendi görevleriyle ilgili bilgi güvenliği sorumlulukları konusunda farkındalık sahibi olmasını gerektirir. (iTeh Standards)

Bu nedenle ISO 27001 belgesi almak isteyen işletmelerin çalışanlarına görevleriyle ilişkili bilgi güvenliği farkındalık çalışmaları gerçekleştirmesi önemlidir.

Ancak bütün çalışanların ISO 27001 başdenetçi eğitimi alması veya teknik bilgi güvenliği uzmanı olması gerekmez.

Örneğin muhasebe personelinin bilgi güvenliği açısından dikkat etmesi gereken konularla sistem yöneticisinin sahip olması gereken teknik yeterlilikler aynı değildir.

Eğitim ve yeterlilik ihtiyaçları, çalışanların görevlerine göre belirlenmelidir.

ISO 27001 Denetiminde Bilgi İşlem Personeli Yoksa Ne Olur?

ISO 27001 belgelendirme denetimlerinde denetçiler, işletmenin bilgi güvenliği yönetim sisteminin nasıl uygulandığını değerlendirir.

İşletmenin kendi bünyesinde bilgi işlem personeli bulunmuyorsa teknik faaliyetlerin kim tarafından yürütüldüğü sorulabilir.

Örneğin denetçi, kullanıcı hesaplarının nasıl oluşturulduğunu veya işten ayrılan personelin erişim yetkilerinin nasıl kaldırıldığını öğrenmek isteyebilir.

İşletme bu faaliyetleri dışarıdan hizmet aldığı bir firmayla yürütüyorsa ilgili sorumlulukların ve uygulama kayıtlarının gösterilmesi gerekir.

Denetim sırasında aşağıdaki konular değerlendirilebilir:

• Bilgi güvenliği sorumluluklarının kimlere verildiği

• Teknik destek hizmetlerinin hangi firmadan alındığı

• Bilgi işlem hizmetlerine ilişkin sözleşme ve güvenlik şartları

• Kullanıcı erişim yetkilerinin nasıl yönetildiği

• Yedekleme ve güvenlik güncellemelerinin nasıl takip edildiği

• Dış hizmet sağlayıcıların nasıl değerlendirildiği

• Bilgi güvenliği olaylarında kimin hangi işlemleri gerçekleştirdiği

Bu konuların değerlendirilmesi, işletmenin bilgi güvenliği faaliyetlerini kontrol altında tutup tutmadığının anlaşılmasına yardımcı olur.

Denetim sırasında dış hizmet sağlayıcısının ilgili teknik sorumlusu da uygun koşullarda bilgi verebilir.

Ancak dış hizmet sağlayıcısının denetime katılması, işletmenin kendi bilgi güvenliği yönetim sistemi sorumluluklarını ortadan kaldırmaz.

Küçük Firmalarda ISO 27001 Görevleri Nasıl Dağıtılabilir?

Küçük işletmelerde bilgi güvenliği yönetim sistemi görevlerinin birden fazla departmana dağıtılması her zaman mümkün olmayabilir.

Bu nedenle mevcut çalışanların görevlerine uygun bir sorumluluk yapısı oluşturulabilir.

Örneğin işletme yöneticisi bilgi güvenliği politikasının onaylanması ve gerekli kaynakların sağlanmasından sorumlu olabilir.

Kalite veya operasyon sorumlusu bilgi güvenliği yönetim sistemi dokümantasyonunu ve ilgili kayıtları takip edebilir.

Dışarıdan hizmet alınan bilgi işlem firması ise sözleşmede tanımlanan teknik güvenlik faaliyetlerini gerçekleştirebilir.

Bununla birlikte görevlerin aynı kişide toplanması halinde görevler ayrılığı, bağımsız değerlendirme ve çıkar çatışması gibi hususların da dikkate alınması gerekir.

Özellikle iç tetkik faaliyetlerinde tetkikin objektifliği ve tarafsızlığı korunmalıdır.

Küçük firmalarda önemli olan çok sayıda personel görevlendirmek değil, gerekli sorumlulukların açıkça belirlenmesi ve etkin biçimde yerine getirilmesidir.

ISO 27001 Danışmanı Bilgi İşlem Personelinin Yerine Geçebilir mi?

ISO 27001 danışmanlık hizmeti ile bilgi işlem hizmetleri birbirinden farklıdır.

ISO 27001 danışmanı, işletmenin bilgi güvenliği yönetim sisteminin kurulması ve belgelendirme denetimine hazırlanması konusunda destek sağlayabilir.

Bu çalışmalar kapsamında mevcut durum analizi, bilgi güvenliği politikaları, risk değerlendirmesi, SOA, dokümantasyon, eğitim, iç tetkik ve yönetimin gözden geçirmesi faaliyetleri bulunabilir.

Ancak danışmanlık hizmeti alınması, işletmenin teknik güvenlik faaliyetlerinin otomatik olarak yerine getirildiği anlamına gelmez.

Örneğin işletmenin sunucu güvenliği, ağ yapılandırması veya yedekleme altyapısıyla ilgili teknik ihtiyaçları bulunuyorsa bu çalışmaların yetkin kişiler tarafından gerçekleştirilmesi gerekir.

ISO 27001 danışmanlık hizmeti, bilgi güvenliği yönetim sisteminin koordinasyonunu ve standart şartlarına uygunluğunu destekler.

Teknik bilgi işlem hizmetlerinin kapsamı ise ayrıca değerlendirilmelidir.

ISO 27001 Belgesi İçin Yeni Personel Almak Gerekir mi?

ISO 27001 belgesi almak isteyen işletmelerin yalnızca belgelendirme amacıyla yeni personel istihdam etmesi her durumda gerekli değildir.

Öncelikle mevcut çalışanların görevleri ve yeterlilikleri değerlendirilmelidir.

İşletme, gerekli sorumlulukları mevcut çalışanlarıyla ve dış hizmet sağlayıcılarıyla karşılayabiliyorsa ilave personel ihtiyacı bulunmayabilir.

Ancak bilgi güvenliği faaliyetlerinin yürütülmesi için yeterli kaynak veya teknik yetkinlik bulunmuyorsa ek eğitim, dış destek veya personel istihdamı gerekebilir.

Bu karar işletmenin faaliyetlerine, risklerine ve bilgi güvenliği yönetim sisteminin ihtiyaçlarına göre verilmelidir.

ISO 27001 Bilgi İşlem Personeli Hakkında Sık Sorulan Sorular

ISO 27001 belgesi için şirkette IT uzmanı olmak zorunda mı?

Hayır. ISO 27001 standardı, her işletmenin kendi bünyesinde tam zamanlı IT uzmanı çalıştırmasını genel bir şart olarak belirlemez. Ancak bilgi güvenliğiyle ilgili teknik faaliyetlerin yetkin kişiler tarafından yürütülmesi gerekir.

ISO 27001 bilgi güvenliği sorumlusu bilgisayar mühendisi olmak zorunda mı?

Hayır. Bilgi güvenliği yönetim sistemi sorumlusunun mutlaka bilgisayar mühendisi olması gerektiğine ilişkin genel bir ISO 27001 şartı bulunmamaktadır. Ancak görevin gerektirdiği yeterliliğe sahip olması gerekir.

Dışarıdan bilgi işlem hizmeti alan firmalar ISO 27001 alabilir mi?

Evet. Dış hizmet sağlayıcılarının bilgi güvenliği açısından değerlendirilmesi, sorumlulukların belirlenmesi ve ilgili risklerin yönetilmesi şartıyla ISO 27001 belgelendirme süreci yürütülebilir.

ISO 27001 için ayrı bir bilgi güvenliği departmanı kurulmalı mı?

Hayır. İşletmenin büyüklüğüne ve organizasyon yapısına göre bilgi güvenliği görevleri mevcut çalışanlar arasında dağıtılabilir. Önemli olan görev, yetki ve sorumlulukların belirlenmesidir.

ISO 27001 belgesi almak için teknik bilgi gerekli mi?

Bilgi güvenliği yönetim sisteminin kurulması ve uygulanması için gerekli teknik yeterliliklerin sağlanması gerekir. Ancak işletmedeki bütün çalışanların ileri düzey teknik bilgiye sahip olması beklenmez.

ISO 27001 danışmanı bütün teknik eksiklikleri giderir mi?

Bu durum danışmanlık sözleşmesinin kapsamına bağlıdır. Yönetim sistemi danışmanlığı ile sunucu, ağ ve sistem güvenliği gibi teknik hizmetler ayrı uzmanlık alanlarıdır.

ISO 27001 belgesi almak için çalışanlara eğitim verilmeli mi?

Çalışanların görevleriyle ilgili gerekli yeterliliğe ve bilgi güvenliği farkındalığına sahip olması gerekir. Eğitim, bu yeterlilik ve farkındalığı sağlamanın yöntemlerinden biridir.

ISO 27001 Danışmanlık ve Belgelendirme Hizmetleri – YYS Danışmanlık

ISO 27001 belgesi almak isteyen işletmelerin bilgi işlem personeli bulunup bulunmadığından önce, mevcut bilgi güvenliği uygulamalarının değerlendirilmesi önemlidir.

Özellikle küçük ve orta ölçekli işletmelerde bilgi güvenliği yönetim sisteminin mevcut organizasyon yapısına uygun şekilde oluşturulması, gereksiz personel ve dokümantasyon yükünün önlenmesine yardımcı olabilir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, dokümantasyon, risk değerlendirmesi, eğitim, iç tetkik ve belgelendirme sürecine hazırlık konularında hizmet sunuyoruz.

Bilgi işlem faaliyetlerini dışarıdan hizmet alarak yürüten işletmelerin de mevcut yapılarını değerlendirerek ISO 27001 belgelendirme çalışmalarının planlanmasına destek sağlıyoruz.

ISO 27001 belgesi almak, mevcut bilgi güvenliği uygulamalarınızı değerlendirmek veya danışmanlık hizmetlerimiz hakkında bilgi edinmek için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi almak için işletmenin kendi bünyesinde bilgi işlem personeli çalıştırması her durumda zorunlu değildir.

Bilgi güvenliği yönetim sistemiyle ilgili sorumluluklar mevcut çalışanlar arasında dağıtılabilir ve teknik faaliyetler uygun koşullarda dış hizmet sağlayıcıları aracılığıyla yürütülebilir.

Ancak işletmenin bilgi güvenliği risklerini yönetmesi, gerekli teknik kontrolleri uygulaması ve bu faaliyetlerin etkinliğini takip etmesi gerekir.

ISO 27001 belgesi almak isteyen işletmeler için önemli olan bilgi işlem departmanının bulunması değil, bilgi güvenliği sorumluluklarının doğru belirlenmesi ve yönetim sisteminin etkin biçimde uygulanmasıdır.