ISO 27001 Danışmanlığı | Kapsam, Süre ve Süreç

ISO 27001 danışmanlığı, kuruluşun bilgi güvenliği yönetim sistemini standarda uygun kurması ve belgelendirme denetimine hazırlanması için verilen uzman desteğidir. Risk değerlendirmesi ve Uygulanabilirlik Bildirgesi, danışmanlığın merkezinde yer alır.

Bu yazı, ISO 27001 Belgesi sürecindeki danışmanlık hizmetini anlatır. Tüm standartlardaki danışmanlık hizmetlerimiz ISO Danışmanlığı sayfasında yer alır.

ISO 27001 Danışmanlığı Kimler İçin Uygundur?

Müşterisi ISO 27001 isteyen ve belgeye hızla ihtiyaç duyan bilişim firmaları danışmanlıktan en çok fayda görür. Bilgi güvenliği birimi olmayan KOBİ’ler için de uygundur.

Yazılım ve SaaS Firmaları

Kurumsal müşterilerin güvenlik anketleri belge olmadan zorlaşır. Danışmanlık, geliştirme süreçlerini de kapsayan bir sistem kurar.

Finans, Sağlık ve E-Ticaret

Kritik ve kişisel veri işleyen sektörlerde risk değerlendirmesi kapsamlı olmalıdır. KVKK uyumuyla birlikte planlanır.

BT Ekibi Olan Ama Sistemi Olmayan Kuruluşlar

Teknik kontroller çoğu zaman vardır, eksik olan yönetim yapısıdır. Danışmanlık, mevcut uygulamaları standarda bağlar.

ISO 27001 Danışmanlık Süreci

Danışmanlık beş aşamada ilerler. Her aşamanın sonunda somut bir çıktı teslim edilir.

1. Kapsam ve Boşluk Analizi

Kapsam, müşteri beklentisi ve maliyet dengesi gözetilerek belirlenir. Mevcut durum standardın şartları ve Ek A kontrolleriyle karşılaştırılır.

2. Varlık Envanteri ve Risk Değerlendirmesi

Bilgi varlıkları listelenir ve sahipleri atanır. Riskler belirlenir, puanlanır ve risk işleme planı hazırlanır.

3. Uygulanabilirlik Bildirgesi ve Politikalar

Ek A kontrollerinin seçimi gerekçeleriyle yazılır. Erişim kontrolü, olay yönetimi ve tedarikçi güvenliği gibi politikalar hazırlanır.

4. Kontrollerin Uygulanması ve İç Tetkik

BT ekibiyle birlikte teknik kontroller devreye alınır ve kayıt üretilir. Sistem iç tetkikle denetlenir, yönetimin gözden geçirmesi yapılır.

5. Denetime Hazırlık

Bildirgedeki her kontrolün kanıtı denetim öncesinde son kez kontrol edilir. Uygunsuzluk çıkarsa düzeltici faaliyetler birlikte kapatılır.

Danışmanlık Sonunda Teslim Edilenler

Danışmanlık bittiğinde kuruluşun elinde denetime hazır bir bilgi güvenliği yönetim sistemi olur. Başlıca çıktılar şunlardır:

BGYS kapsamı ve bilgi güvenliği politikası
Bilgi varlıkları envanteri
Risk değerlendirmesi ve risk işleme planı
Uygulanabilirlik Bildirgesi
Erişim, olay yönetimi, yedekleme ve tedarikçi politikaları
Farkındalık eğitimi kayıtları
İç tetkik raporu ve yönetimin gözden geçirmesi tutanağı

Zorunlu dokümanların tam listesi ISO 27001 Belgesi Şartları yazısındadır.

ISO 27001 Danışmanlığı Ne Kadar Sürer?

Süre, kapsamın genişliğine ve mevcut teknik kontrollerin olgunluğuna bağlıdır. Aşağıdaki süreler tipik projeler içindir.

Kuruluş tipi	Tahmini süre
1–20 kişilik yazılım veya hizmet firması	6–10 hafta
21–100 kişilik kuruluş	2–4 ay
Çok lokasyonlu veya kritik veri işleyen kuruluş	4–8 ay

Danışmanlık sonrası belgelendirme adımları için ISO 27001 Belgesi Nasıl Alınır rehberine bakın.

ISO 27001 Danışmanlığının Faydaları

Bilgi güvenliği, teknik ve idari bilgiyi birlikte gerektirir. Danışmanlık bu iki tarafı aynı planda buluşturur.

Risk değerlendirmesi tekrarlanabilir bir yönteme oturur.
Gereksiz kontrol ve doküman yükü ayıklanır.
BT ekibinin zamanı denetim hazırlığı yerine asıl işine kalır.
KVKK ve sektörel düzenlemelerle ortak çalışma tek seferde yapılır.
Belgelendirme denetiminde bulgu sayısı belirgin şekilde azalır.

Sıkça Sorulan Sorular

ISO 27001 danışmanlığı zorunlu mu?

Hayır, danışmanlık zorunlu değildir. Sistemini kendi ekibiyle kurabilen kuruluşlar doğrudan belgelendirme denetimine başvurabilir.

Danışmanlık teknik kurulum da yapar mı?

Danışmanlık, hangi teknik kontrollerin gerektiğini belirler ve uygulamayı yönlendirir. Kurulumu genellikle kuruluşun BT ekibi veya tedarikçisi yapar.

Sızma testi danışmanlığa dahil mi?

Sızma testi ayrı bir teknik hizmettir. Danışmanlıkta testin kapsamı ve sonuçlarının sisteme nasıl bağlanacağı planlanır.

ISO 27001 ve KVKK birlikte yürütülebilir mi?

Evet, teknik ve idari tedbirler ortak çalışılabilir. Hukuki süreçler ise KVKK uzmanlarıyla birlikte tamamlanmalıdır.

Danışmanlık online yürütülebilir mi?

Evet, ISO 27001 danışmanlığının büyük kısmı online yürütülebilir. Fiziksel güvenlik kontrolleri için saha ziyareti önerilir.