ISO 27001 neyi ister?
ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS · Bilgi Güvenliği Yönetim Sistemi) için uluslararası bir standarttır. Kuruma, bilgi varlıklarını korumak için riskleri sistematik değerlendiren, uygun kontrolleri uygulayan ve bunu sürekli iyileştiren bir yönetim döngüsü kurmayı şart koşar. Bu, bir kontrol listesini işaretlemenin ötesinde işleyen bir sistem kurmak anlamına gelir; döngü hem yönetsel (politika, rol, farkındalık) hem teknik (erişim, şifreleme, loglama) kontrolleri kapsar.
Bu yüzden hazırlık, tek seferlik bir proje olmaktan çok, kurulan bir sistemin işletilmeye başlanmasıdır. Sertifika, bu sistemin bağımsız bir denetimle doğrulanmasıyla alınır.
Hazırlık adımları nelerdir?
- Kapsam belirleme: Yönetim sistemine hangi birimler, süreçler ve bilgi varlıkları dâhil olacak? Kapsam net çizilir; bu, tüm sonraki adımların sınırını tanımlar.
- Risk değerlendirmesi: Kapsamdaki varlıklara yönelik tehditler ve açıklar değerlendirilir; riskler önceliklendirilir.
- Kontroller ve SoA: Risklere karşı uygulanacak kontroller seçilir ve bir uygulanabilirlik bildiriminde (Statement of Applicability) gerekçesiyle belgelenir.
- Dokümantasyon: Politikalar, prosedürler, roller ve sorumluluklar yazılı hâle getirilir; sistem izlenebilir olur.
- İç denetim ve gözden geçirme: Sistem bir süre işletilir, iç denetimle olgunluğu ölçülür ve yönetim gözden geçirmesiyle iyileştirilir.
Bu adımlar sırayla ve gerçekten işletilerek tamamlandığında, kurum dış denetime hazır hâle gelir. Sertifikasyonun temeli, gerçekten çalışan bir sistemdir; belgeler bu sistemi yansıttığı ölçüde değer taşır.
Teknik tedbirler bu haritanın neresinde?
Erişim kontrolü, şifreleme, loglama, yedekleme, ağ güvenliği ve olay müdahalesi gibi teknik tedbirler, ISO 27001 kontrol setinde önemli bir yer tutar. Bunlar, risk değerlendirmesinde belirlenen tehditlere karşı somut savunmayı oluşturur. Ancak sertifikasyon teknik tedbirleri bütünsel bir çerçevede değerlendirir: politikalar, roller, farkındalık ve sürekli iyileştirme döngüsüyle birlikte.
Bu haritadaki rolümüz, teknik tedbirlerin sağlam kurulmasıdır: ağ ve veri katmanındaki kontrolleri standardın gereklilikleriyle uyumlu biçimde tasarlar, kurar ve işletiriz. Yönetim sisteminin belgelendirilmesi ve sertifikasyon denetimi ise belgelendirme kuruluşları ve danışmanlık kapsamında yürüyen ayrı bir süreçtir.
Sahada en sık gördüğümüz yanılgı, ISO 27001'i bir teknik kurulum projesi sanmak. Teknik tedbirler kritik, ancak sertifikasyonu belirleyen şey çoğu zaman sistemin gerçekten işletilip işletilmediği: politikalar uygulanıyor mu, loglar gözden geçiriliyor mu, olaylar kayda alınıp değerlendiriliyor mu? Biz teknik katmanı sağlam kuruyoruz; en iyi sonuç, bu katman kurumun yönetsel süreçleriyle ve düzenli iç denetimle birlikte işletildiğinde ortaya çıkıyor.
Teknik hazırlık hangi kontrollerle güçlenir?
ISO 27001'e hazırlığın teknik tarafı, aslında iyi güvenlik mimarisinin gerektirdiği kontrollerle örtüşür: kimlik ve erişim yönetimi, en az yetki ilkesi, merkezi loglama ve izleme, düzenli yedekleme ve test edilmiş kurtarma, ağ segmentasyonu. Bu kontroller, hem standardın gerekliliklerini karşılar hem de kurumu gerçek tehditlere karşı güçlendirir; sertifikasyondan bağımsız olarak da değer üretir.
Bu teknik katmanı, SIEM ve log yönetimi notundaki görünürlükle, NAC notundaki erişim kontrolüyle ve yedekleme ve felaket kurtarma notundaki süreklilik güvencesiyle birlikte kuruyoruz. Tümü, yönetilen hizmetler çözümünün parçasıdır.
