Bir müşteri tedarikçi değerlendirme formu gönderiyor ve formda tek bir soru öne çıkıyor: "ISO 27001 sertifikanız var mı?" Bu yazı ISO 27001'in ne olduğunu, sertifikanın kim tarafından verildiğini ve bir şirketin bu sürece nasıl hazırlanabileceğini anlatıyor.
ISO 27001 nedir?
Resmî adıyla ISO/IEC 27001, bilgi güvenliği yönetim sistemleri (BGYS; İngilizcesi ISMS) için uluslararası standarttır. ISO'nun tanımıyla dünyada bu alanda en çok bilinen standarttır ve bir bilgi güvenliği yönetim sisteminin karşılaması gereken şartları tanımlar.
Standart her büyüklükte ve her sektördeki şirkete yöneliktir. Amacı, şirketin bilgi güvenliği yönetim sistemini kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için bir çerçeve sunmaktır.
Kısaltma hakkında küçük bir not: Günlük dilde "ISO 27001" denir. Ancak standart ISO ile Uluslararası Elektroteknik Komisyonu (IEC) tarafından ortak yayımlandığı için resmî kısaltması ISO/IEC 27001'dir.
Güncel sürüm hangisi?
ISO'nun standart sayfasına göre yürürlükteki sürüm ISO/IEC 27001:2022. Standardın üçüncü baskısı Ekim 2022'de yayımlandı. Önceki 2013 sürümü geri çekildi. 2022 sürümüne 2024'te iklim eylemiyle ilgili değişiklikler getiren bir ek yayımlandı (ISO/IEC 27001:2022/Amd 1:2024).
Bu ayrıntı önemli, çünkü ISO standarda her zaman tam künyesiyle atıf yapılmasını öneriyor: "ISO 27001 belgeli" yerine "ISO/IEC 27001:2022'ye göre belgelendirilmiş" ifadesi. Bir tedarikçinin belgesini incelerken hangi sürüme göre verildiğine bakmak gerekir.
Standardın korumaya çalıştığı üç şey
ISO, standardın temelini bilgi güvenliğinin üç ilkesiyle açıklıyor:
| İlke | ISO'nun açıklaması | Risk örneği (ISO) |
|---|---|---|
| Gizlilik | Bilgiye yalnız yetkili kişiler erişebilir | Müşteri giriş bilgilerinin çalınıp satılması |
| Bütünlük | Veri güvenilir biçimde saklanır, silinmez, bozulmaz | Bir çalışanın işlem sırasında dosyadan yanlışlıkla satır silmesi |
| Erişilebilirlik | Bilgiye gerektiğinde ulaşılabilir | Sunucu sorunu ve yetersiz yedek yüzünden veritabanının devre dışı kalması |
ISO'ya göre standardın şartlarını karşılayan bir sistem, bu üç özelliği risk yönetimi süreci uygulayarak korur ve ilgili taraflara risklerin yeterince yönetildiğine dair güven verir. Standart bunu yalnız teknolojiyle değil; insanlar, politikalar ve teknolojiyi birlikte ele alan bütüncül bir yaklaşımla yapar.
Sertifikayı kim verir?
En sık karıştırılan nokta bu. ISO'nun kendi açıklaması net: ISO belgelendirme yapmaz ve sertifika vermez. Belgelendirme bağımsız belgelendirme kuruluşları tarafından yapılır. Yani bir şirket "ISO tarafından" belgelendirilemez.
ISO iki kavramı şöyle ayırıyor:
- Belgelendirme: Bağımsız bir kuruluşun, bir ürün, hizmet ya da sistemin belirli şartları karşıladığına dair yazılı güvence (sertifika) vermesi.
- Akreditasyon: Bağımsız bir kurumun (akreditasyon kurumunun), bir belgelendirme kuruluşunun uluslararası standartlara göre çalıştığını resmî olarak tanıması.
Türkiye'de akreditasyon kurumu TÜRKAK (Türk Akreditasyon Kurumu). ISO, akredite bir kuruluştan alınan sertifikanın ek bir güven katmanı sağlayabileceğini belirtiyor, çünkü belgelendirme kuruluşunun yetkinliği bağımsız olarak doğrulanmıştır. Aynı açıklamada akreditasyonun zorunlu olmadığı ve akredite olmamanın kuruluşun güvenilmez olduğu anlamına gelmediği de yazıyor.
Belgelendirme kuruluşu nasıl seçilir?
ISO'nun önerileri üç maddede toplanıyor:
- Birkaç kuruluşu karşılaştırın.
- Kuruluşun belgelendirme sürecinde ilgili CASCO standardını (ISO'nun uygunluk değerlendirme komitesinin standartları) kullanıp kullanmadığını kontrol edin.
- Akredite olup olmadığını kontrol edin. Bunun için ülkenizdeki ulusal akreditasyon kurumuna başvurabilir ya da uluslararası IAF CertSearch veritabanına bakabilirsiniz.
Bir sertifika nasıl doğrulanır?
Tedarikçinin sunduğu bir belgeyi doğrulamak için ISO iki yol gösteriyor: IAF CertSearch veritabanında sertifikayı aramak ya da belgeyi düzenleyen belgelendirme kuruluşuna veya akreditasyon kurumuna doğrudan sormak. Türkiye'de TÜRKAK'ın Belge Doğrulama Sistemi, TÜRKAK tarafından akredite edilmiş kuruluşların düzenlediği yönetim sistemi sertifikalarının elektronik ortamda doğrulanmasını sağlıyor.
Sertifikaya hazırlık: nereden başlanır?
Standardın kendisi bir şart listesi olduğu için hazırlık, bir yönetim sistemi kurma işidir; tek seferlik bir teknik proje değildir. Aşağıdaki sıra standardın maddeleri değil, hazırlığı planlamak için genel bir çerçevedir:
- Kapsamı belirleyin. Sistem şirketin tamamını mı, belirli birimleri ya da hizmetleri mi kapsayacak?
- Bilgi varlıklarını çıkarın. Hangi veriler, sistemler ve süreçler korunacak?
- Riskleri değerlendirin. Her varlık için gizlilik, bütünlük ve erişilebilirlik açısından neyin ters gidebileceğini ve etkisini yazın.
- Kontrolleri seçin ve uygulayın. Erişim yetkileri, yedekleme, tedarikçi yönetimi, olay müdahalesi gibi alanlarda riske göre önlem alın.
- Çalışanları dahil edin. ISO'nun vurguladığı gibi bilgi güvenliği yalnız teknoloji değil, insan ve politika işidir.
- İç denetim ve yönetimin gözden geçirmesini yapın. Ardından seçtiğiniz belgelendirme kuruluşunun denetimine başvurun.
Belgelendirme gönüllüdür. ISO'ya göre bazı şirketler standardı yalnız içerdiği iyi uygulamalardan yararlanmak için uygular, bazıları ise müşterilerine güvence vermek için belge de alır.
Ne kadar yaygın?
ISO'nun aktardığı ISO Survey 2022 verisine göre, 150 ülkede ve tarımdan imalata, sosyal hizmetlere kadar tüm ekonomik sektörlerde 70.000'in üzerinde ISO/IEC 27001 sertifikası raporlandı. ISO Survey 2021'e göre geçerli sertifikaların yaklaşık beşte biri bilgi teknolojisi sektöründeydi.
Sonuç
ISO 27001, bilgi güvenliğini bir BT konusu olmaktan çıkarıp şirket yönetiminin bir parçası hâline getiren bir çerçeve. Sertifika yolculuğuna başlamadan önce üç soruyu netleştirmek işinizi kolaylaştırır: Kapsam ne olacak, en kritik bilgi varlıkları hangileri ve belgeyi hangi akredite kuruluştan alacaksınız?
İlgili yazılar: Siber ihlalde olay müdahalesi · Tedarikçi kaynaklı veri ihlalleri ve KVKK
#interimmanagement #forwarddeployedengineering