ISO 27001 danışmanlığı neleri kapsar ve kurumumuza ne kazandırır?
ISO 27001 danışmanlığı; mevcut durum boşluk analizi, bilgi varlık envanteri, tehdit ve risk değerlendirmesi, politika dokümantasyonu, Annex A kontrollerinin uygulanması, iç tetkik ve belgelendirme denetimi hazırlığını kapsar; bilgi varlıklarını korurken mevzuat uyumu sağlar.
Kapsam Özeti: Türkiye genelindeki kamu ve özel sektör kuruluşlarına yönelik, ISO/IEC 27001:2022 standardına uyumlu kurumsal BGYS danışmanlığı.
Bilgi Varlıklarının Güvence Altına Alınması
ISO/IEC 27001, kurumların bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik (CIA) ilkeleri doğrultusunda korumalarını sağlayan dünyanın en saygın bilgi güvenliği yönetim sistemi standardıdır.
Bu danışmanlık programı, yalnızca bir sertifika edinmeyi değil, kurumun iş yapış biçimine entegre olan, operasyonel verimliliği artıran ve siber tehditlere karşı kurumsal dayanıklılık sağlayan yaşayan bir BGYS kurmayı hedefler.
Uçtan Uca Uygulama Yol Haritası
Danışmanlık süreci beş yapılandırılmış aşamadan oluşur:
- Hazırlık ve Boşluk Analizi: Mevcut güvenlik kontrolleri ISO/IEC 27001 standardı gereksinimlerine göre incelenir, eksiklikler tespit edilir ve öncelikli bir aksiyon planı oluşturulur.
- Varlık ve Risk Değerlendirme: Kurumun tüm bilgi varlıkları sınıflandırılır, tehdit ve zafiyetler belirlenerek ISO/IEC 27005 rehberliğinde risk puanlaması yapılır.
- Kontrol Tasarımı ve Uygulama Bildirgesi (SoA): Standardın Ek-A kontrolleri doğrultusunda kurumun ihtiyaç duyduğu güvenlik politikaları, erişim kontrol prosedürleri, yedekleme stratejileri ve olay müdahale planları tasarlanır.
- Farkındalık ve Süreç İşletimi: Kurum çalışanlarına yönelik rol bazlı farkındalık eğitimleri düzenlenir; kontroller sahada işletilerek kayıt altına alınır.
- İç Tetkik ve Sertifikasyon: Bağımsız bir iç tetkik icra edilerek denetim provası yapılır; ardından akredite belgelendirme denetimi başarıyla tamamlanır.
Kimler için?
- Bilgi güvenliği risklerini sistematik olarak yönetmek isteyen kuruluşlar
- BDDK, SPK, EPDK ve KVKK gibi mevzuatsal zorunluluklara tabi şirketler
- Müşteri ve iş ortaklarına güvenlik güvencesi sunmayı hedefleyen B2B teknoloji firmaları
- Kamu ihaleleri ve uluslararası tedarik zincirinde yer alan kuruluşlar
Kapsam
- Mevcut Durum Analizi ve Boşluk (Gap) Değerlendirmesi
- BGYS Kapsamının Belirlenmesi ve Liderlik Çerçevesi
- Bilgi Varlıkları Envanteri ve Sahiplik Yapısı
- ISO 27005 Uyumlu Risk Değerlendirme ve Risk İşleme Metodolojisi
- Ek-A (Annex A) Kontrollerinin Seçimi ve Uygulanabilirlik Bildirgesi (SoA) Tasarımı
- Politika, Prosedür ve Süreç Dokümantasyonu Mimarisi
- Tedarikçi Güvenliği, Erişim Kontrolü ve Olay Yönetimi Prosedürleri
- Bağımsız İç Tetkik ve Yönetimin Gözden Geçirmesi (YGG) Hazırlığı
- Belgelendirme Denetimi Aşama 1 ve Aşama 2 Rehberliği
Yaklaşım
- Aşama 1: Kapsam Belirleme ve Mevcut Durum Gap Analizi
- Aşama 2: Risk Değerlendirme, Varlık Envanteri ve Tehdit Modellemesi
- Aşama 3: Dokümantasyon Tasarımı ve Kontrol Uygulamaları
- Aşama 4: Farkındalık Çalıştayları ve Süreç İşletimi
- Aşama 5: İç Tetkik, YGG ve Belgelendirme Denetimi Desteği
Çıktılar
- Ayrıntılı Boşluk (Gap) Analizi ve Aksiyon Planı Raporu
- Kurumsal Bilgi Güvenliği Politikaları ve Alt Prosedürleri Paketi
- Bilgi Varlıkları Envanteri ve Risk Değerlendirme Matrisi
- Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA)
- İç Tetkik Raporu ve Düzeltici Faaliyet Takip Tablosu
- Yönetimin Gözden Geçirmesi (YGG) Toplantı Tutanağı ve Sunumu
Sık Sorulan Sorular
ISO/IEC 27001 belgelendirme süreci tipik olarak ne kadar sürer?
Kuruluşun ölçeğine, mevcut güvenlik olgunluğuna ve kapsamına bağlı olarak genellikle 3 ila 6 ay arasında tamamlanır. Süreç gap analizi ile başlar, sistem tasarımı, işletimi ve denetim aşamalarıyla devam eder.
ISO/IEC 27001:2022 revizyonu neleri değiştirdi?
Yeni sürümde kontroller 4 ana temada (Organizasyonel, İnsan, Fiziksel ve Teknolojik) 93 kontrole konsolide edilmiş; Tehdit İstihbaratı, Bulut Güvenliği, Veri Sızıntısı Önleme (DLP) ve Güvenli Kodlama gibi yeni kontroller eklenmiştir.
Belgelendirme denetiminde danışman desteği sağlanıyor mu?
Evet. Akredite belgelendirme kuruluşunun gerçekleştirdiği Aşama 1 ve Aşama 2 denetimlerinde, denetçilerin sorularının doğru karşılanması ve olası bulguların yönetilmesinde kuruma eşlik edilmektedir.