ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi Danışmanlığı

Bilgi Varlıklarının Güvence Altına Alınması

ISO/IEC 27001, kurumların bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik (CIA) ilkeleri doğrultusunda korumalarını sağlayan dünyanın en saygın bilgi güvenliği yönetim sistemi standardıdır.

Bu danışmanlık programı, yalnızca bir sertifika edinmeyi değil; kurumun iş yapış biçimine entegre olan, operasyonel verimliliği artıran ve siber tehditlere karşı kurumsal dayanıklılık sağlayan yaşayan bir BGYS kurmayı hedefler.

%100 Satıcı Bağımsızlığı / Donanım ve Yazılım Satışsız Danışmanlık

Danışmanlık yaklaşımımın en temel ilkesi çıkar çatışmasız tarafsızlıktır. Herhangi bir donanım, güvenlik yazılımı, firewall, SIEM veya lisans satışı yapmamaktayım.

Pazardaki birçok entegratörün aksine, amacımız kuruluşunuza ek ürün satmak değil; mevcut teknolojik ve organizasyonel kaynaklarınızı en etkin biçimde değerlendirerek ISO/IEC 27001:2022 standart şartlarını optimum bütçe ve gerçek risk odaklı yaklaşımla karşılamaktır.

Danışmanlık Metodolojisi ve Uygulama Aşamaları

Danışmanlık süreci, kurumun ölçeğine ve kapsam sınırlarına göre yapılandırılmış 5 aşamadan oluşur:

1. Hazırlık ve Boşluk (GAP) Analizi: Mevcut yönetimsel ve teknik kontroller ISO/IEC 27001:2022 maddeleri ve 93 adet Ek-A kontrolüyle karşılaştırılır; eksiklikler önceliklendirilerek kuruma özel bir uyum yol haritası çıkarılır.
2. Kapsam, Varlık ve Risk Değerlendirme: BGYS sınırları belirlenir. Kurumun tüm bilgi varlıkları envanterlenir; tehdit ve zafiyetler ISO/IEC 27005 metodolojisiyle puanlanarak risk işleme planı hazırlanır.
3. Kontrol Mimarisi ve Uygulanabilirlik Bildirgesi (SoA): Standardın Ek-A kontrolleri doğrultusunda kurumun ihtiyaç duyduğu güvenlik politikaları, rol tanımları, tedarikçi güvenliği prosedürleri, erişim matrisleri ve olay müdahale planları tasarlanır; SoA tablosu oluşturulur.
4. Süreç İşletimi ve Farkındalık: Çalışanlara yönelik bilgi güvenliği farkındalık oturumları icra edilir; tasarlanan kontroller sahada uygulanarak kayıt ve denetim kanıtları üretilir.
5. Bağımsız İç Tetkik ve Belgelendirme Denetimi Refakati: Akredite belgelendirme denetimi öncesinde kapsamlı bir iç tetkik icra edilerek prova denetim yapılır; Aşama 1 ve Aşama 2 denetimlerinde denetçi heyetinin sorularının karşılanmasında kuruma rehberlik edilir.

Somut Proje Çıktıları ve Teslimatlar

Danışmanlık projesi süresince kuruma teslim edilen resmî çalışma çıktıları:

• Ayrıntılı Boşluk Analizi (GAP) Raporu: Mevcut durum, risk puanları ve eylem planı.
• BGYS Politika ve Prosedür Kütüphanesi: Üst politika, erişim, parola, temiz masa, kriptografi, uzaktan çalışma vb. dokümantasyon seti.
• Bilgi Varlıkları Envanteri ve Risk Değerlendirme Matrisi: ISO 27005 uyumlu puanlama ve risk işleme tablosu.
• Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA): 93 kontrolün dahil edilme ve hariç tutulma teknik gerekçeleri.
• Bağımsız İç Tetkik Raporu: Denetim bulguları, düzeltici faaliyet talepleri (DÖF) ve kapanış tutanağı.
• Yönetimin Gözden Geçirmesi (YGG) Sunumu: Üst yönetim karar tutanakları ve toplantı ajandası.

Denetçi Perspektifiyle Hazırlık

Akredite belgelendirme kuruluşları adına uzun yıllardır baş denetçilik yürüten ve TÜRKAK akreditasyon tanık denetimlerinde yer alan bir uzman olarak; denetim heyetlerinin sahada hangi nesnel kanıtları aradığını, uygunsuzlukların nasıl değerlendirildiğini ve denetim psikolojisini doğrudan sürece yansıtmaktayım.

Kurumunuzun ISO/IEC 27001:2022 uyum ve belgelendirme hazırlık sürecini başlatmak için iletişim sayfamızdan ön değerlendirme ve teklif talep edebilirsiniz.