İçindekiler
ISO 27001 belgesi, bilgi güvenliği yönetim sistemini kurup akreditasyonlu bir belgelendirme kuruluşunun iki aşamalı denetimini geçerek alınır. Sistemi hazır bir kuruluş için süreç genellikle 4–6 hafta sürer.
Bu rehber, ISO 27001 Belgesi sürecini başvurudan belge teslimine kadar adım adım anlatır.
ISO 27001 Belgesi Almak İçin 9 Adım
ISO 27001’de sürecin kalbi risk değerlendirmesidir. Diğer tüm adımlar bu çalışmanın sonuçlarına göre şekillenir.
1. Kapsamı Belirleyin
Sistemin hangi birimleri, lokasyonları, sistemleri ve hizmetleri kapsadığı yazılır. Kapsam dar tutulabilir, ancak arayüzleri ve bağımlılıkları açıkça tanımlanmalıdır.
2. Başvuru ve Teklif
Kapsamdaki çalışan sayısı, lokasyonlar ve BT altyapısı bilgileri iletilir. Denetim süresi ISO/IEC 27006 kurallarına göre hesaplanır.
3. Bilgi Varlıkları Envanteri
Donanım, yazılım, veri, hizmet ve insan kaynakları dahil bilgi varlıkları listelenir. Her varlığın bir sahibi belirlenir.
4. Risk Değerlendirmesi ve Risk İşleme
Varlıklara yönelik tehditler ve açıklıklar belirlenip riskler puanlanır. Yöntem ve örnek tablo için ISO 27001 Risk Değerlendirmesi rehberine bakın.
5. Uygulanabilirlik Bildirgesi
Ek A’daki 93 kontrolün her biri için uygulanıp uygulanmadığı ve gerekçesi yazılır. Bu doküman denetimin temel girdisidir.
6. Kontrollerin Uygulanması
Erişim yönetimi, yedekleme, şifreleme, olay yönetimi ve tedarikçi güvenliği gibi kontroller devreye alınır. Politika ve prosedürler yazılır, çalışanlar bilgilendirilir.
7. İç Tetkik ve Yönetimin Gözden Geçirmesi
Sistem ve kontroller içeriden denetlenir. Üst yönetim risk durumu ve olayları değerlendirir.
8. Aşama 1 ve Aşama 2 Denetimi
Aşama 1’de kapsam, risk değerlendirmesi ve Uygulanabilirlik Bildirgesi incelenir. Aşama 2’de kontrollerin uygulandığı kayıtlar, sistem ekranları ve görüşmelerle doğrulanır.
9. Belge Kararı
Denetim dosyası bağımsız bir karar verici tarafından incelenir. Olumlu karar sonrası TÜRKAK akreditasyonlu ISO 27001 belgesi düzenlenir.
ISO 27001 Sertifikasına Nasıl Hazırlanılır?
Hazırlık, mevcut durumun standartla karşılaştırılmasıyla başlar. İyi bir hazırlık, denetimde çıkacak bulguları önceden ortaya koyar.
Boşluk Analizi
Mevcut politikalar, erişim düzeni ve teknik önlemler standardın şartlarıyla karşılaştırılır. Sonuç, öncelik sırasına konmuş bir eksik listesidir.
Farkındalık Eğitimi
Tüm çalışanlara oltalama, parola güvenliği ve olay bildirimi anlatılır. Denetçi, çalışanlarla görüşerek farkındalığı doğrudan test eder.
Ölçme ve İzleme
Kontrollerin etkinliği için ölçülebilir göstergeler belirlenir. Örneğin yamaların kaç günde uygulandığı veya yedek geri yükleme testlerinin sonucu izlenir.
Deneme Denetimi
Belgelendirme öncesi tüm kapsamı içeren bir iç tetkik yapılır. Bulunan eksikler Aşama 1 denetiminden önce kapatılır.
ISO 27001 Başvurusu İçin Gerekli Bilgiler
Başvuruda kuruluşun yasal varlığı ve kapsamın teknik çerçevesi istenir. Bilgiler dijital olarak iletilebilir.
- Doldurulmuş ve imzalanmış başvuru formu
- Vergi levhası ve ticaret sicil gazetesi veya oda kayıt belgesi
- Kapsamdaki çalışan sayısı ve lokasyonlar
- Sunucu, bulut ve veri merkezi kullanımına dair genel bilgi
- Kapsamdaki ana hizmet ve sistemlerin tanımı
Zorunlu dokümanlar ISO 27001 Belgesi Şartları yazısında listelenmiştir.
ISO 27001 Belgesi Kaç Günde Alınır?
Süreyi en çok etkileyen, risk değerlendirmesinin ve teknik kontrollerin olgunluğudur. Teknik altyapısı düzenli firmalarda süre belirgin biçimde kısalır.
| Durum | Tahmini toplam süre |
|---|---|
| Sistem kurulu, kontroller uygulanıyor | 4–6 hafta |
| Teknik kontroller var, dokümantasyon eksik | 2–3 ay |
| Sistem sıfırdan kurulacak | 3–6 ay |
Süreyi kısaltmak için ISO 27001 Danışmanlığı alabilirsiniz.
Denetimde En Sık Karşılaşılan Uygunsuzluklar
ISO 27001 denetimlerinde bulgular çoğunlukla belge ile uygulama arasındaki farklarda çıkar. Aşağıdakileri önceden kontrol etmek denetimi kolaylaştırır.
Uygulamayla Uyuşmayan Uygulanabilirlik Bildirgesi
Bildirgede “uygulanıyor” denen bir kontrolün kanıtı yoksa uygunsuzluk yazılır. Gerekçesiz dışarıda bırakılan kontroller de bulgu sebebidir.
Ayrılan Personelin Erişimleri
İşten ayrılan çalışanların hesaplarının zamanında kapatılmaması sık görülür. Erişim gözden geçirmeleri düzenli yapılmalıdır.
Test Edilmemiş Yedekler
Yedek alınması yeterli değildir; geri yükleme testleri de yapılmalıdır. Test sonuçları kayıt altına alınmalıdır.
Tedarikçi Güvenliği
Kritik tedarikçilerle gizlilik ve güvenlik şartları içeren sözleşmeler bulunmalıdır. Bulut hizmet sağlayıcıları da bu kapsamdadır.
Belge Aldıktan Sonra
Belge 3 yıl geçerlidir ve her yıl gözetim denetimi yapılır. Gözetimde risk değerlendirmesinin güncelliği ve olay kayıtları incelenir.
Maliyet kalemleri için ISO 27001 Belgesi Fiyatı yazısını inceleyebilirsiniz.
Sıkça Sorulan Sorular
Kapsam sadece BT birimi olabilir mi?
Evet, kapsam belirli bir birim veya hizmetle sınırlandırılabilir. Ancak kapsamın sınırları ve dışarıyla bağlantıları açıkça tanımlanmalıdır.
Sızma testi yaptırmak zorunlu mu?
Standart sızma testini adıyla şart koşmaz. Ancak teknik açıklıkların yönetimi kontrolü için yaygın ve güçlü bir kanıttır.
Uzaktan çalışan ekipler kapsama girer mi?
Evet, uzaktan çalışma için ayrı bir kontrol bulunur. Uzaktan erişim güvenliği denetimde sorgulanır.
Denetim uzaktan yapılabilir mi?
Bazı denetim bölümleri akreditasyon kurallarına uygun olarak uzaktan yapılabilir. Fiziksel güvenlik kontrolleri için genellikle yerinde denetim gerekir.