(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2015 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: ISO/IEC 27000 Serisi Nedir?
Kurumsal bilgi güvenliği tek bir dokümandan veya kural setinden ibaret değildir. Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) ortaklığıyla geliştirilen ISO/IEC 27000 serisi, bilgi güvenliği ve gizlilik yönetim sistemlerinin kurulması, işletilmesi, denetlenmesi ve sürekli iyileştirilmesi için bütüncül bir standart ekosistemi sunar.
Pek çok kişi bu aileyi yalnızca “ISO 27001” olarak bilse de, ekosistemde risk yönetiminden bulut güvenliğine, denetim kurallarından bağımsız gizlilik yönetimine kadar geniş bir standart kataloğu yer almaktadır.
Standartların Türleri ve Belgelendirilebilirlik Statüsü
Uluslararası standartlar yapısal ve işlevsel olarak iki temel kategoriye ayrılır:
- Gereksinim / Şartlar Standartları (Requirements - Type A):
- İçerisinde kuruluşların uymakla yükümlü olduğu bağlayıcı şartları (“shall” / “-melidir”) barındıran standartlardır.
- ISO/IEC 27001:2022 (BGYS) bu kategorinin temel çekirdeğidir.
- ISO/IEC 27701:2025 (PIMS), 14 Ekim 2025 tarihinde yayımlanan yeni sürümüyle birlikte artık ISO 27001’in bir eki değil, bağımsız bir Gizlilik Bilgi Yönetim Sistemi gereksinim standardı haline gelmiştir.
- Bu standartlar yapısal olarak üçüncü taraf bağımsız uygunluk değerlendirmesine ve belgelendirmeye uygundur.
- Kılavuz ve İyi Uygulama Standartları (Guidance / Code of Practice - Type B):
- Zorunlu şart içermeyen, gereksinimlerin nasıl uygulanacağını açıklayan rehberlerdir (“should” / “-melidir tavsiyesi”).
- ISO/IEC 27002, 27003, 27004, 27005 bu gruptadır. Bu standartlar doğrudan tek başına bağımsız bir sertifikasyon konusu yapılamaz; Type A standartlarının uygulanmasına rehberlik eder.
Temel Çekirdek Standartlar Kataloğu
1. ISO/IEC 27000:2018 — Genel Bakış ve Sözlük
Serinin temel terimler ve tarifler standardıdır. Bilgi güvenliği yönetim sistemlerinde kullanılan ortak kavramları (artık risk, tehdit, zafiyet, etki, gizlilik, bütünlük, erişilebilirlik) tanımlar.
2. ISO/IEC 27001:2022 — Bilgi Güvenliği Yönetim Sistemleri: Gereksinimler
Bilgi güvenliği alanında akredite belgelendirmeye konu ana yönetim sistemi şartlar standardıdır. Madde 4 ile 10 arasındaki 7 temel yönetim maddesini ve Ek A kontrollerini içerir.
3. ISO/IEC 27002:2022 — Bilgi Güvenliği Kontrolleri Kılavuzu
ISO 27001 Ek A kontrollerinin nasıl uygulanacağına dair ayrıntılı rehberlik sağlar. 2022 sürümünde 93 kontrol ve 4 ana tema (Organizasyonel, Kişisel, Fiziksel, Teknolojik) altında toplanmıştır.
4. ISO/IEC 27003:2017 — BGYS Kurulum ve Uygulama Rehberi
ISO/IEC 27001 gereksinimlerinin adım adım bir organizasyonda nasıl hayata geçirileceğini açıklayan uygulama kılavuzudur.
5. ISO/IEC 27004:2016 — İzleme, Ölçme, Analiz ve Değerlendirme
BGYS performansını ve kontrollerin etkinliğini ölçmek için güvenlik metriklerinin (KPI / KRI) nasıl tasarlanacağını ve değerlendirileceğini gösterir.
6. ISO/IEC 27005:2022 — Bilgi Güvenliği Risk Yönetimi Kılavuzu
ISO/IEC 27001 Madde 6.1 kapsamındaki risk değerlendirme ve risk işleme süreçlerinin nasıl yürütüleceğini detaylandıran kapsamlı rehberdir.
Gizlilik ve Mahremiyet: ISO/IEC 27701:2025 Devrimi
ISO/IEC 27701:2025 (Yayımlanma Tarihi: 14 Ekim 2025):
- Önceki sürüm olan ISO/IEC 27701:2019, ISO/IEC 27001 ve ISO/IEC 27002 standartlarına bağımlı bir “eklentili kılavuz” (extension) niteliğindeydi.
- 14 Ekim 2025’te yürürlüğe giren yeni sürüm, ISO Uyumlaştırılmış Yapı (Harmonized Structure / Annex SL) çerçevesinde baştan sona yeniden kurgulanmış ve bağımsız bir Gizlilik Bilgi Yönetim Sistemi (PIMS) Şartlar Standardı haline getirilmiştir.
- Madde 4 ile 10 arasında PIMS gereksinimlerini kendi içinde bağımsız olarak tanımlar.
- Veri Sorumluları (PII Controllers) ve Veri İşleyenler (PII Processors) için ayrı kontrol setleri içerir; KVKK, GDPR ve küresel veri koruma mevzuatlarıyla doğrudan haritalandırma sağlar.
- 2019 sürümüne sahip kuruluşlar için uluslararası akreditasyon geçiş kuralları doğrultusunda belirlenen bir uyum süreci işletilmektedir.
Denetim ve Akreditasyon Standartları
- ISO/IEC 27006-1:2024: BGYS belgelendirmesi sağlayan kuruluşlar için akreditasyon şartlarını belirleyen uluslararası standarttır (Mart 2024’te yayımlanmış olup eski ISO/IEC 27006:2014 sürümünün yerini almıştır).
- ISO/IEC 27007:2020: BGYS iç ve dış denetimlerinin ISO 19011 doğrultusunda nasıl yürütüleceğine dair denetçilere özel rehberlik sunar.
- ISO/IEC TR 27008:2019: Bilgi güvenliği kontrollerinin teknik denetimi ve değerlendirilmesi kılavuzudur.
Sektörel ve Bulut Standartları
| Standart | Güncel Sürüm | Odak Alanı ve Amacı |
|---|---|---|
| ISO/IEC 27017 | 2015 | Bulut bilişim hizmet sağlayıcıları ve müşterileri için ISO 27002 kontrollerine ek bulut güvenlik kontrolleri tanımlar. |
| ISO/IEC 27018 | 2019 | Genel bulut hizmetlerinde kişisel verilerin (PII) korunması için rehberlik sağlar. |
| ISO/IEC 27019 | 2017 | Enerji sektörü proses kontrol sistemlerinde (SCADA/ICS) bilgi güvenliği kılavuzudur. |
ISO 27000 Serisi Güncel Özet Tablosu
| Standart Kodu | Resmî Başlık / Kapsam | Standart Türü | Belgelendirme Uygunluğu |
|---|---|---|---|
| ISO/IEC 27000:2018 | Genel Bakış ve Sözlük | Terimler Standardı | Hayır (Rehber / Sözlük) |
| ISO/IEC 27001:2022 | BGYS Şartları | Yönetim Sistemi Şartları (Type A) | Evet (Akredite Sertifikasyon) |
| ISO/IEC 27002:2022 | Güvenlik Kontrolleri Rehberi | İyi Uygulamalar Kılavuzu (Type B) | Hayır (Uygulama Rehberi) |
| ISO/IEC 27003:2017 | BGYS Uygulama Kılavuzu | Kurulum Rehberi (Type B) | Hayır (Uygulama Rehberi) |
| ISO/IEC 27004:2016 | İzleme, Ölçme ve Değerlendirme | Metrik Kılavuzu (Type B) | Hayır (Uygulama Rehberi) |
| ISO/IEC 27005:2022 | Bilgi Güvenliği Risk Yönetimi | Risk Yönetimi Kılavuzu (Type B) | Hayır (Uygulama Rehberi) |
| ISO/IEC 27006-1:2024 | Belgelendirme Kuruluşları Şartları | Akreditasyon Şartı | Belgelendirme Kuruluşları İçin |
| ISO/IEC 27017:2015 | Bulut Güvenliği Kontrolleri | Sektörel Rehber (Type B) | ISO 27001 Denetim Kapsamında Değerlendirilir |
| ISO/IEC 27018:2019 | Bulutta Kişisel Veri Güvenliği | Gizlilik Rehberi (Type B) | ISO 27001 Denetim Kapsamında Değerlendirilir |
| ISO/IEC 27701:2025 | Gizlilik Bilgi Yönetim Sistemi (PIMS) | Yönetim Sistemi Şartları (Type A) | Evet (Bağımsız PIMS Şartlar Standardı) |
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Sertifikasyon Süreci Rehberi: Akredite ISO 27001 belgelendirme süreci için ISO 27001 Belgesi Nasıl Alınır? rehberini inceleyebilirsiniz.
- Boşluk Analizi Rehberi: Mevcut yapıyı standart şartlarıyla karşılaştırmak için ISO 27001 Boşluk Analizi (GAP Analizi) makalesine başvurabilirsiniz.
- Zorunlu Dokümantasyon: Standardın zorunlu kıldığı dokümante edilmiş bilgiler için ISO 27001 Zorunlu Dokümante Edilmiş Bilgiler makalesini okuyabilirsiniz.