Özet: ISO/IEC 27001 belgesi nasıl alınır rehberi: Kapsam belirleme, risk değerlendirmesi ve SoA hazırlığı, 3 aylık sistem işletimi, iç tetkik, YGG ve TÜRKAK/IAF akreditasyonlu Aşama 1 - Aşama 2 dış denetim süreci.
Kapsam ve Çerçeve: ISO/IEC 27001:2022 ve ISO/IEC 17021-1 akreditasyon kuralları uyarınca Türkiye'de ve uluslararası pazarlarda BGYS belgelendirme denetimi yol haritası.
(Bu metin, proje sahibi tarafından onaylandığı takdirde CMS yönetim panelinde yeni revizyon olarak yayına alınacaktır. Orijinal 2015 tarihli gövde ve SHA-256 bütünlüğü geriye dönük mutabakat için sistemde korunmaktadır.)
Giriş: ISO 27001 Belgesi Nedir?
ISO 27001 Belgesi (Sertifikası); bir kuruluşun bilgi varlıklarını korumak amacıyla kurduğu Bilgi Güvenliği Yönetim Sistemi’nin (BGYS), uluslararası ISO/IEC 27001 standardı şartlarına tam uyumlu olduğunu bağımsız ve tarafsız bir denetimle kanıtlayan resmi uygunluk belgesidir.
Bu belge; müşterilere, iş ortaklarına ve yasal düzenleyici otoritelere şirketin veri gizliliği, bütünlüğü ve erişilebilirliğini sağlamak için sistematik bir risk yönetim mimarisine sahip olduğunu gösteren en güçlü uluslararası kanıttır.
Kurumsal Roller ve Yetki Sınırları
Belgelendirme ekosisteminde üç temel aktör bulunur ve görev alanları uluslararası kurallarla kesin olarak ayrılmıştır:
- Akreditasyon Kurumu (Accreditation Body):
- Uluslararası Akreditasyon Forumu (IAF) ve Avrupa Akreditasyon Birliği (EA) çok taraflı tanınma anlaşmalarına (MLA) imza atmış ulusal üst otoritelerdir (Türkiye’de TÜRKAK, Almanya’da DAkkS, İngiltere’de UKAS vb.).
- Belgelendirme kuruluşlarının yetkinliğini, bağımsızlığını ve denetim kalitesini periyodik olarak denetler ve yetkilendirir. Doğrudan şirketlere ISO 27001 belgesi vermez.
- Akredite Belgelendirme Kuruluşu (Certification Body):
- Akreditasyon kurumundan ISO/IEC 17021-1 ve ISO/IEC 27006 kapsamında yetki almış bağımsız üçüncü taraf denetim firmalarıdır.
- Sahaya bağımsız denetçiler göndererek denetim yapar ve şartların karşılandığına kanaat getirirse resmi ISO 27001 sertifikasını düzenler.
- Tarafsızlık Yasağı (ISO/IEC 17021-1 Madde 5.2): Belgelendirme kuruluşu danışmanlık hizmeti sunamaz; danışmanlık verdiği bir kuruluşu hiçbir şekilde belgelendirme denetimine tabi tutamaz.
- Danışman / Bağımsız Uzman:
- Kuruluşun mevcut durumunu analiz eder, boşluk analizi (GAP) yapar, risk metodolojisi kurar, politika taslaklarını hazırlar ve iç tetkik simülasyonları yürütür.
- Danışmanlar sertifika düzenleyemez veya belge satamaz. Görevleri sistemi kurmak ve kurumu akredite denetime hazır hale getirmektir.
Akreditasyon Güven Zinciri
Piyasada akredite olmayan kurumlarca düzenlenen ve uluslararası geçerliliği bulunmayan belgelere karşı dikkatli olunmalıdır. Geçerli bir sertifikanın doğrulama zinciri şu şekildedir:
flowchart TD
A["IAF (International Accreditation Forum)"] --> B["Ulusal Akreditasyon Kurumu (Örn: TÜRKAK, UKAS)"]
B --> C["Akredite Belgelendirme Kuruluşu (ISO/IEC 17021-1 & 27006 Yetkili)"]
C --> D["Belgelendirilen Kuruluş (Şirket / Kurum)"]Düzenlenen belgenin üzerinde akreditasyon kurumunun logosu bulunmalı ve sertifika ilgili akreditasyon kurumunun resmî sorgulama portalından (örneğin TÜRKAK TBDS) doğrulanabilmelidir.
ISO 27001 Belgesi Alma Sürecinin 4 Temel Adımı
1. Hazırlık, Kapsam ve Boşluk Analizi
- BGYS Kapsamının Belirlenmesi (Madde 4.3): Sistemin hangi iş süreçlerini, bilgi sistemlerini ve fiziksel lokasyonları kapsayacağı netleştirilir.
- Boşluk Analizi: Mevcut güvenlik seviyesi standart şartlarıyla karşılaştırılır.
2. Risk Değerlendirmesi ve Kontrollerin Kurulması
- Risk değerlendirme metodolojisi işletilir, tehdit ve zafiyetler analiz edilir (Madde 6.1.2).
- Uygulanabilirlik Bildirgesi (SoA - Madde 6.1.3 d) hazırlanarak hangi kontrollerin seçildiği ve gerekçeleri belgelenir.
- Gerekli güvenlik politikaları ve prosedürleri hayata geçirilir.
3. Sistemin İşletilmesi ve Kanıt Toplama
- Sistem belirli bir süre (tipik olarak 2-3 ay) fiilen işletilerek log incelemeleri, yetki kontrolleri, yedekleme testleri ve güvenlik kayıtları üretilir.
4. Zorunlu Ön Şartlar: İç Tetkik ve Yönetimin Gözden Geçirmesi (YGG)
Belgelendirme denetimine başvurabilmek için iki faaliyetin tamamlanmış olması şarttır:
- İç Tetkik (Madde 9.2): Sistemin tüm maddeleri ve kontrolleri bağımsız bir iç denetçi ekibi tarafından denetlenmiş ve raporlanmış olmalıdır.
- Yönetimin Gözden Geçirmesi (Madde 9.3): Üst yönetim, iç tetkik sonuçlarını ve güvenlik performansını resmi bir toplantıda değerlendirip tutanağa bağlamış olmalıdır.
Belgelendirme Denetimi: Aşama 1 ve Aşama 2
Akredite belgelendirme kuruluşu denetimi iki aşamada yürütür:
| Denetim Aşaması | Odak Alanı ve Amacı | Sonuç ve Çıktı |
|---|---|---|
| Aşama 1 Denetimi (Stage 1 Audit) | Dokümantasyon ve Hazırlık Değerlendirmesi: Kapsam dokümanı, zorunlu politikalar, SoA, iç tetkik ve YGG kayıtlarının varlığı incelenir. Sistemin sahada denetlenmeye hazır olup olmadığı teyit edilir. | Aşama 2’ye geçiş onayı veya giderilmesi gereken eksiklikler raporlanır. |
| Aşama 2 Denetimi (Stage 2 Audit) | Saha ve Uygulama Etkinliği: Denetçiler sahada kontrollerin fiili işleyişini; çalışan mülakatları, sistem logları, konfigürasyon kontrolleri ve fiziksel güvenlik kanıtlarıyla inceler. | Denetim bulguları (Majör/Minör uygunsuzluk, İyileştirme fırsatı) sunulur; şartlar karşılandığında sertifika onaylanır. |
3 Yıllık Belgelendirme Döngüsü
ISO 27001 sertifikası 3 yıl süreyle geçerlidir ve şu döngüyle yürütülür:
- Başlangıç Belgelendirmesi: Aşama 1 ve Aşama 2 denetimlerinin tamamlanmasıyla belge yayımlanır.
- 1. Gözetim Denetimi (Surveillance 1 — 12. Ay): Sistemin canlılığı ve temel kontroller incelenir.
- 2. Gözetim Denetimi (Surveillance 2 — 24. Ay): Sürekli iyileşme ve açık kalan aksiyonlar doğrulanır.
- Yeniden Belgelendirme Denetimi (Recertification — 36. Ay Sonu): Belgenin 3 yıl daha yenilenmesi amacıyla kapsamlı bir denetim gerçekleştirilir.
ISO/IEC 27001:2022 Revizyonu ve Geçiş Süreci
IAF MD 26 uyarınca yayımlanan geçiş kuralları gereğince, eski ISO/IEC 27001:2013 standardına sahip kuruluşlar için 3 yıllık bir geçiş takvimi işletilmiştir. Yeni sertifika alacak kuruluşların doğrudan ISO/IEC 27001:2022 sürümüne göre belgelendirilmesi esastır.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- Boşluk Analizi Rehberi: Belgelendirme öncesi hazırlık durumunuzu ölçmek için ISO 27001 Boşluk Analizi (GAP Analizi) makalesine başvurabilirsiniz.
- Zorunlu Kayıtlar Listesi: Denetimde istenecek zorunlu dokümanlar için ISO 27001 Zorunlu Dokümante Edilmiş Bilgiler rehberini inceleyebilirsiniz.
- Standartlar Ekosistemi: BGYS ailesindeki standartların rolleri için ISO 27000 Standartlar Ailesi rehberini okuyabilirsiniz.
Sık Sorulan Sorular
Aşama 1 ve Aşama 2 denetimi arasındaki fark nedir?
Aşama 1 denetiminde baş denetçi; BGYS kapsamını, politikaları, Uygulanabilirlik Bildirgesini (SoA), iç denetim ve YGG kayıtlarını inceleyerek kuruluşun Aşama 2 saha denetimine hazır olup olmadığını değerlendirir. Aşama 2 denetiminde ise kontrollerin sahada fiilen uygulanıp uygulanmadığı test edilir.
ISO 27001 belgesi almak ne kadar sürer?
Kuruluşun büyüklüğüne, çalışan sayısına, süreç karmaşıklığına ve mevcut bilgi güvenliği olgunluğuna bağlı olarak hazırlık süreci 3 ila 6 ay sürer. Belgelendirme denetimi ve sertifikanın basılması ise ortalama 3–6 hafta içinde tamamlanır.
Akreditasyonsuz veya "merdiven altı" belge alınabilir mi?
TÜRKAK veya IAF çok taraflı tanıma anlaşması (MLA) imzalamamış tabela kuruluşlarından alınan akreditasyonsuz sertifikalar; kamu ihalelerinde, EPDK/BDDK gibi düzenleyici kurumlarda ve kurumsal müşteri denetimlerinde geçersiz sayılır.
Kaynaklar ve Referanslar
Bu makalede atıfta bulunulan uluslararası standartlar, akreditasyon kılavuzları ve kurumsal çerçeveler:
Yorumlar ve Değerlendirmeler
Bu makale için henüz bir yorum bulunmuyor. Denetim tecrübelerinizi veya aklınıza takılan soruları aşağıdan ilk yorum olarak paylaşabilirsiniz.
Yorum Gönder
Sorularınızı, katkılarınızı veya eleştirilerinizi paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.