ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) ve 2022 Revizyon Danışmanlığı
Kurumsal bilginin Gizlilik, Bütünlük ve Erişilebilirlik (CIA) prensiplerini garanti altına alıyor, siber saldırı ve veri sızıntısı risklerini sıfıra indiriyoruz. 6698 sayılı KVKK, Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Rehberi, EPDK ve Gelir İdaresi Başkanlığı (e-Fatura/e-Defter) regülasyonlarına tam uyumlu; ISO/IEC 27001:2022 yeni kontrol kümesine (93 Kontrol) göre güncellenmiş TÜRKAK ve IAF akreditasyonlu BGYS belgelendirme sürecinizi uçtan uca yönetiyoruz.
Dijital Çağın En Değerli Varlığını Koruyun: ISO/IEC 27001 BGYS
Verinin petrolden daha değerli kabul edildiği dijital çağda; müşteri veri tabanları, kaynak kodlar, finansal kayıtlar ve ticari sırlar şirketlerin en kritik sermayesidir. Tek bir sızıntı, firmanın milyonlarca liralık idari para cezasıyla karşılaşmasına ve telafisi imkansız güven kaybına yol açar.
ISO/IEC 27001, kurumsal bilginin korunmasını sistematik, denetlenebilir ve risk tabanlı bir yönetim modeline bağlayan küresel siber güvenlik standardıdır. Standart; bilginin gizliliğini (yetkisiz erişimi engelleme), bütünlüğünü (verinin değiştirilmesini önleme) ve erişilebilirliğini (ihtiyaç duyulduğunda hazır olma) teminat altına alır. ISO 27001:2022 revizyonu ile birlikte Tehdit İstihbaratı, Bulut Bilişim Güvenliği, Veri Maskeleme ve Veri Sızıntısı Önleme (DLP) gibi 11 yeni kontrol sisteme entegre edilmiştir.
Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca veri sorumlularının almak zorunda olduğu teknik ve idari tedbirlerin omurgasını ISO 27001 kontrolleri oluşturur. Ayrıca Enerji Piyasası Düzenleme Kurumu (EPDK), Gelir İdaresi Başkanlığı (e-Fatura özel entegratörleri), Gümrük ve Ticaret Bakanlığı (Yetkilendirilmiş Yükümlü Statüsü - YYS) ve kamu yazılım ihalelerinde akredite ISO 27001 sertifikası kanuni bir zorunluluktur.
Pi Marka Tescil olarak, kalite belgelendirme vizyonumuzla BGYS kurulumunu; siber saldırı sonrası kesintisiz ayağa kalkış sağlayan ISO 22301 İş Sürekliliği, kurumsal yönetim sağlayan ISO 9001 ve veri ihlallerinde müşteri haklarını koruyan ISO 10002 Müşteri Memnuniyeti sistemleriyle entegre olarak hayata geçiriyoruz.
ISO/IEC 27001:2022 Kapsamında Kurduğumuz 4 Kontrol Teması
Yeni revizyon uyarınca 93 kontrol maddesinin organizasyonunuza eksiksiz uyarlanması:
Organizasyonel Kontroller (37 Kontrol)
Bilgi güvenliği politikaları, varlık envanteri, temiz masa ve temiz ekran kuralları, tedarikçi güvenlik protokolleri ve bilgi güvenliği ihlal olayı yönetim prosedürlerinin tanzimidir.
İnsan Kaynakları Güvenliği (8 Kontrol)
İşe alım öncesi güvenlik taramaları, gizlilik sözleşmeleri (NDA), uzaktan çalışma protokolleri, disiplin süreçleri ve personelin oltalama (phishing) farkındalık eğitimleridir.
Fiziksel Güvenlik Kontrolleri (14 Kontrol)
Sistem odası güvenliği, kartlı geçiş ve CCTV kayıtları, kablolama güvenliği, ekipman bakımı ve güvenli imha (kağıt öğütme ve manyetik disk silme) talimatlarının kurgulanmasıdır.
Teknolojik Kontroller (34 Kontrol)
Erişim yönetimi, şifreleme (kriptografi), ağ güvenliği, sızıntı önleme (DLP), log yönetimi (SIEM), güvenli yazılım geliştirme (SSDLC) ve sızma testlerinin (Pentest) koordinasyonudur.
Uygulanabilirlik Bildirgesi (SoA) Hazırlığı
Ek A'da yer alan kontrollerin kurumun risk seviyesine göre hangilerinin uygulanacağının, hangilerinin gerekçeli olarak hariç tutulacağının resmi beyannameye dökülmesidir.
KVKK ve Regülasyon Entegrasyonu
VERBİS kayıtları, aydınlatma metinleri ve açık rıza formlarının ISO 27001 dokümantasyonu ile eşleştirilmesi, Kişisel Veri Güvenliği Rehberi teknik şartlarının sağlanmasıdır.
5 Aşamalı ISO 27001 Kurulum ve Sertifikasyon Süreci
Kurumunuzun mevcut BT ve veri altyapısından akredite ISO 27001 sertifikasına ulaşma takvimi:
Donanım, yazılım, veri ve personel varlıkları envantere işlenir; mevcut güvenlik açıkları raporlanır.
Olası tehditler puanlanır; 93 kontrol maddesi üzerinden Uygulanabilirlik Bildirgesi (SoA) tanzim edilir.
Parola, erişim, yedekleme ve siber olay yönetimi politikaları yazılır; personellere siber güvenlik eğitimi verilir.
TSE onaylı sızma testi (Pentest) yaptırılır; sertifikalı başdenetçilerimizle bağımsız denetim provası icra edilir.
TÜRKAK veya IAF akredite belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimleri refakatimizde geçilir.
Bilgi Güvenliğinde Karşılaşılan Kritik Hatalar ve Ağır Yaptırımlar
Yetersiz güvenlik önlemleri nedeniyle işletmelerin karşılaştığı devasa veri sızıntısı ve ceza riskleri:
| Yapılan Kritik Hata | Hatanın Nedeni | Hukuki ve Mali Sonucu | Pi Marka Tescil Profesyonel Çözümü |
|---|---|---|---|
| Şablon Dokümanla Belge Alma | Firmanın gerçek BT altyapısıyla ilgisi olmayan kopyala-yapıştır politikaların sunulması. | Denetimde sistemin işlemediğinin anlaşılmasıyla "Majör Uygunsuzluk" verilerek ret. | Kurumun sunucu, ağ ve veri mimarisine birebir oturan yaşayan ve uygulanabilir BGYS kurgusu. |
| Log Yönetiminin İhmali (5651 Sayılı Kanun) | İç ve dış ağ trafiği loglarının zaman damgasıyla kriptolu olarak tutulmaması. | Siber saldırıda faillerin bulunamaması ve yasal yaptırımlara maruz kalma. | Zaman damgalı, değiştirilemez merkezi loglama ve SIEM mekanizması standartları. |
| Kullanıcı Yetkilerinin Sınırlandırılmaması | Tüm çalışanlara "Admin" yetkisi verilmesi; ayrılan personelin hesaplarının açık kalması. | Fidye yazılımlarının saniyeler içinde tüm ağa yayılması ve veri hırsızlığı. | "En Az Yetki" (Least Privilege) prensibi, rol bazlı yetkilendirme ve anlık hesap kapama protokolü. |
| Sızma Testinin (Pentest) Yapılmaması | Sistem açıklarının bağımsız beyaz şapkalı korsanlarca test ettirilmemesi. | KVKK Kurumu tarafından veri ihlali durumunda en üst sınırdan idari para cezası. | Yetkili uzmanlarca yılda en az bir kez zorunlu Web, Ağ ve Sosyal Mühendislik sızma testleri. |
ISO/IEC 27001:2013 ile 2022 Yeni Versiyonu Karşılaştırma Tablosu
Yeni revizyonun getirdiği yapısal değişiklikler ve geçiş gereksinimleri:
| Karşılaştırma Kriteri | ISO/IEC 27001:2013 (Eski Versiyon) | ISO/IEC 27001:2022 (Güncel Versiyon) | Pratik Fark ve Kazanım |
|---|---|---|---|
| Kontrol Sayısı | 114 Kontrol Maddesi | 93 Kontrol Maddesi (Sadeleştirilmiş) | Kontroller birleştirilerek bürokrasi azaltıldı. |
| Kategori Yapısı | 14 Ayrı Güvenlik Alanı | 4 Ana Tema (Organizasyon, İnsan, Fiziksel, Teknoloji) | Daha mantıklı ve süreç odaklı sınıflandırma. |
| Yeni Kontroller | Bulut ve siber istihbarat eksikti. | 11 Yeni Kritik Kontrol Eklendi | Tehdit istihbaratı, bulut güvenliği ve DLP şartı geldi. |
| Öznitelikler (Attributes) | Öznitelik sistemi bulunmuyordu. | 5 Farklı Bakış Açısıyla Öznitelik Etiketleme | Kontrollerin NIST ve CIS standartlarıyla eşleşmesi kolaylaştı. |
| Geçiş Zorunluluğu | Geçerliliğini yitirdi / yitiriyor. | Mevcut belgeler için zorunlu geçiş şartı. | Tüm yeni başvurular doğrudan 2022 versiyonundan yapılır. |
ISO 27001 Bilgi Güvenliği Hakkında Sıkça Sorulan Sorular
Yasal zorunluluklar, geçiş süreçleri ve teknik denetimler hakkında en çok merak edilen konular:
Hangi şirketlerin ISO 27001 belgesi alması yasal olarak zorunludur?
Türkiye'de EPDK lisansı sahibi enerji şirketleri, Gelir İdaresi Başkanlığı'na (GİB) bağlı e-Fatura/e-Arşiv özel entegratörleri, Gümrük ve Ticaret Bakanlığı Yetkilendirilmiş Yükümlü Statüsü (YYS) alan ihracatçılar, elektronik haberleşme işletmecileri ve kamu kurumlarına yazılım veya BT hizmeti sağlayan tedarikçiler için ISO 27001 belgesi yasal zorunluluktur.
ISO 27001 belgesi almak KVKK cezalarından korur mu?
Evet, çok büyük ölçüde korur. Kişisel Verileri Koruma Kurulu (KVKK), bir veri sızıntısı incelemesinde şirketin ISO 27001 belgesine sahip olup olmadığını ve Ek A kontrollerini uygulayıp uygulamadığını "Teknik Tedbirler" kapsamında esas kriter kabul eder. Belgesi olan ve sistemini işleten kurumlar ihmal suçlamasından kurtulur ve cezalardan korunur.
Sızma Testi (Penetrasyon Testi / Pentest) zorunlu mudur?
Evet. ISO 27001 standardının teknik zafiyet yönetimi kontrolleri gereğince, kurumun dış ve iç ağının yetkili ve sertifikalı siber güvenlik uzmanlarınca yılda en az bir kez penetrasyon testine tabi tutulması ve çıkan zafiyetlerin kapatıldığının doğrulanması denetimin olmazsa olmaz şartıdır.
Küçük ölçekli yazılım şirketleri veya ajanslar ISO 27001 alabilir mi?
Evet. 3 kişilik bir yazılım start-up'ı dahi ISO 27001 belgesi alabilir. Standart ölçek gözetmez; önemli olan müşteri verisinin, kaynak kodların ve sunucu erişimlerinin nasıl korunduğudur. Yazılım ihracatı yapan firmalar için yurt dışı kurumsal müşterilerin ilk aradığı belge ISO 27001'dir.
KOSGEB ISO 27001 belgelendirme masraflarını destekliyor mu?
Evet. KOSGEB İşletme Geliştirme Destek Programı kapsamında KOBİ'lerin TÜRKAK akreditasyonlu kuruluşlardan alacağı ISO 27001 belgelendirme masrafları %50 ila %70 oranında hibe desteği kapsamındadır. Pi Marka Tescil ekibi KOSGEB dosyanızı da eksiksiz hazırlamaktadır.
Belgelendirme süreci ortalama ne kadar sürer?
Varlık envanterinin çıkarılması, risk analizleri, politikaların yazılması, personellerin eğitilmesi ve sızma testinin tamamlanmasıyla birlikte süreç ortalama 4 ila 6 hafta içerisinde tamamlanarak akredite sertifika teslim edilir.
ISO 27001 Başvurusu İçin Gerekli Resmi Evraklar
BGYS dosyanızın açılması ve teknik denetim hazırlığının başlayabilmesi için gereken temel evraklar:
- Vergi Levhası ve İmza Sirküleri: Şirket resmi kurumsal kimlik belgeleri.
- Ticaret Sicil Gazetesi ve Faaliyet Belgesi: Güncel şirket sicil evrakları.
- BT Altyapı Şeması (Topoloji): Sunucular, firewall, ağ anahtarları ve bulut yapısı.
- SGK Hizmet Listesi: Şirkette çalışan toplam personel sayısı dökümü.
- Yazılım ve Donanım Listesi: Kullanılan kritik lisanslar ve cihaz envanteri.
- Varsa Mevcut Sızma Testi Raporu: Son 1 yıl içinde yapılmış güvenlik testleri.