Özet: ISO/IEC 27001:2022 Ek A yapısı: 114 kontrolden 93 kontrole geçiş, 4 ana tema, 11 yeni güvenlik kontrolü ve SoA uygulanabilirlik bildirgesi rehberi.
Kapsam ve Çerçeve: ISO/IEC 27001:2022 Ek A yapısı: 114 kontrolden 93 kontrole geçiş, 4 ana tema, 11 yeni güvenlik kontrolü ve SoA uygulanabilirlik bildirgesi rehberi.
Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından yayımlanan ISO/IEC 27001:2022, bilgi güvenliği yönetim sistemlerinin (BGYS) dünyadaki temel standardıdır.
Bu revizyonun en radikal ve operasyonel değişimi, standardın normatif referans kataloğu olan Ek A (Annex A) kontrollerinde gerçekleşmiştir. Ek A'nın kılavuz karşılığı olan ISO/IEC 27002:2022 standardı ile tam uyumlu hale getirilen yeni kontrol seti, bulut bilişim, uzaktan çalışma ve modern siber tehdit ortamını doğrudan yansıtmaktadır.
---
1. 2013 ile 2022 Sürümleri Arasındaki Yapısal Dönüşüm
2013 sürümünde yer alan 14 kontrol alanı ve 114 kontrol, 2022 revizyonunda sadeleştirilerek 4 ana tema altında toplanmış ve kontrol sayısı 93'e indirilmiştir:
```mermaid flowchart LR Old["ISO 27001:2013 Ek A<br/>14 Kontrol Alanı<br/>114 Kontrol"] Old --> Trans["Birleştirme, Sadeleştirme &<br/>11 Yeni Kontrol İlavesi"] Trans --> New["ISO 27001:2022 Ek A<br/>4 Güvenlik Teması<br/>93 Kontrol"]
New --> T1["Madde 5: Organizasyonel (37)"] New --> T2["Madde 6: Kişisel (8)"] New --> T3["Madde 7: Fiziksel (14)"] New --> T4["Madde 8: Teknolojik (34)"] ```
---
2. Dört Ana Kontrol Teması ve Kontrol Dağılımı
- Madde 5: Organizasyonel Kontroller (37 Kontrol):
Bilgi güvenliği politikaları, roller, varlık yönetimi, bilgi sınıflandırması, tedarikçi ilişkileri, iş sürekliliği ve yasal uyum gereksinimlerini kapsar.
- Madde 6: Kişisel Kontroller (8 Kontrol):
İstihdam öncesi tarama, çalışma esnasında farkındalık eğitimleri, uzaktan çalışma kuralları ve gizlilik sözleşmelerini yönetir.
- Madde 7: Fiziksel Kontroller (14 Kontrol):
Fiziksel güvenlik sınırları, giriş kontrolleri, ofis ve ekipman güvenliği, temiz masa/temiz ekran politikası ve kablolama güvenliğini düzenler.
- Madde 8: Teknolojik Kontroller (34 Kontrol):
Kullanıcı kimlik doğrulama, ağ güvenliği, şifreleme, güvenlik açığı yönetimi, loglama, kaynak kod güvenliği ve veri maskelemeyi içerir.
---
3. Ek A'ya Eklenen 11 Yeni Kontrolün Analizi
2022 revizyonuyla ilk kez standarda giren 11 kontrol, günümüzün siber güvenlik zorluklarına doğrudan cevap vermektedir:
| Kontrol No | Kontrol Adı (Türkçe / İngilizce) | Tema | Amacı ve Uygulama Şekli |
|---|---|---|---|
| 5.7 | Tehdit İstihbaratı (Threat intelligence) | Organizasyonel | Kuruma yönelik tehdit aktörleri, saldırı vektörleri ve sektör trendleri hakkında bilgi toplayıp analiz etmek. |
| 5.23 | Bulut Hizmetlerinde Bilgi Güvenliği (Cloud security) | Organizasyonel | SaaS, PaaS ve IaaS sağlayıcılarının seçimi, sözleşmeleri, veri lokasyonları ve paylaşılan sorumluluk modelinin yönetimi. |
| 5.30 | İş Sürekliliği İçin BİT Hazırlığı (ICT readiness) | Organizasyonel | Kritik kesintilerde bilgi sistemlerinin RTO ve RPO hedefleri doğrultusunda yedeklilik ve felaket kurtarma kapasitesi. |
| 7.4 | Fiziksel Güvenlik İzleme (Physical security monitoring) | Fiziksel | Tesis sınırları, veri merkezleri ve hassas alanların kamera (CCTV), alarm ve izinsiz giriş tespit sistemleriyle 7/24 izlenmesi. |
| 8.9 | Konfigürasyon Yönetimi (Configuration management) | Teknolojik | Sunucu, ağ cihazı ve yazılımların varsayılan şifrelerle bırakılmaması, standart hardened konfigürasyon şablonlarının takibi. |
| 8.10 | Bilgi Silme (Information deletion) | Teknolojik | Yasal saklama süresi dolan veya talep edilen kişisel verilerin ve gizli bilgilerin kurtarılamaz biçimde güvenli silinmesi. |
| 8.11 | Veri Maskeleme (Data masking) | Teknolojik | Test ortamlarında ve yetkisiz personelin erişiminde hassas verilerin, PII ve kart bilgilerinin maskelenmesi veya anonimleştirilmesi. |
| 8.12 | Veri Sızıntısını Önleme (Data leakage prevention - DLP) | Teknolojik | Uç nokta, ağ ve e-posta katmanında hassas kurumsal verilerin dışarı çıkarılmasını engelleyen teknik tedbirlerin uygulanması. |
| 8.16 | Aktivite İzleme (Monitoring activities) | Teknolojik | Sistem, ağ ve kullanıcı hareketlerinin SIEM/SOC altyapısıyla merkezi olarak izlenmesi ve anomalilerin tespit edilmesi. |
| 8.23 | Web Filtreleme (Web filtering) | Teknolojik | Personelin zararlı, kimlik avı (phishing) veya yasa dışı web sitelerine erişiminin URL ve DNS filtreleme ile engellenmesi. |
| 8.28 | Güvenli Kod Geliştirme (Secure coding) | Teknolojik | Yazılım geliştirme yaşam döngüsünde (SDLC) OWASP standartları, kod analizi (SAST/DAST) ve güvenli kodlama ilkelerinin işletilmesi. |
---
4. 5 Kontrol Özniteliği (Attributes) Sistemi
ISO/IEC 27002:2022 ile birlikte her bir kontrole 5 farklı açıdan sınıflandırma yapmayı sağlayan meta etiketler (öznitelikler) getirilmiştir:
- Kontrol Türü (Control Type): Önleyici (Preventive), Tespit Edici (Detective), Düzeltici (Corrective).
- Bilgi Güvenliği Özelliği (Information Security Properties): Gizlilik (Confidentiality), Bütünlük (Integrity), Erişilebilirlik (Availability).
- Siber Güvenlik Kavramı (Cybersecurity Concepts): Tanımla (Identify), Koru (Protect), Tespit Et (Detect), Yanıt Ver (Respond), Kurtar (Recover) (NIST CSF uyumu).
- Operasyonel Yetenekler (Operational Capabilities): Yönetişim, Varlık Yönetimi, Bilgi Koruması, İK Güvenliği, Fiziksel Güvenlik vb.
- Güvenlik Alanları (Security Domains): Yönetişim ve Ekosistem, Koruma, Savunma, Dayanıklılık.
---
5. Uygulanabilirlik Bildirgesi (SoA) Hazırlığı
ISO/IEC 27001 Madde 6.1.3(d) uyarınca her kurum bir Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA) hazırlamak zorundadır. SoA hazırlanırken şu adımlar izlenir:
- 93 kontrolün tamamı listelenir.
- Risk değerlendirmesi çıktısına göre kontrolün dahil edilip edilmediği (Applicable: Yes/No) belirtilir.
- Kontrol dahil edilmişse uygulanma yöntemi ve ilgili kurum içi prosedür referans gösterilir.
- Kontrol hariç tutulmuşsa (Not Applicable), hariç tutmanın haklı teknik ve yasal gerekçesi dokümante edilir (örneğin yazılım geliştirmeyen bir firmanın Madde 8.28'i hariç tutması).
---
Sıkça Sorulan Sorular (FAQ)
ISO 27001:2013 sertifikamızın geçerliliği ne zaman sona eriyor?
ISO ve IAF kuralları gereğince ISO/IEC 27001:2013 sertifikalarının 3 yıllık geçiş dönemi 31 Ekim 2025 tarihinde resmen sona ermiştir. Tüm kurumların bu tarihe kadar 2022 revizyonu denetimini tamamlamış olması zorunludur.
11 yeni kontrolün tamamını uygulamak zorunda mıyız?
Eğer risk değerlendirmeniz veya tabi olduğunuz mevzuat gerektirmiyorsa bir kontrolü hariç tutabilirsiniz. Ancak bulut güvenliği (5.23), konfigürasyon yönetimi (8.9) ve tehdit istihbaratı (5.7) gibi kontroller modern BT altyapılarında dış denetçiler tarafından kolay kolay hariç tutulması kabul edilmeyen maddelerdir.
---
Okuyucu Yorumları
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya teknik değerlendirmelerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.