Bilgi Güvenliği Yönetimi için ISO/IEC 27001 (ISMS) Belgelendirmesi

ISO 27001, Bilgi Güvenliği Yönetim Sistemi (BGYS) için gereklilikleri tanımlayan uluslararası yönetim sistemi standardıdır. Standart, riskleri yönetmek ve hafifletmek üzere denetimleri tanımlamak, analiz etmek ve uygulamak için en iyi uygulama çerçevesini sağlayarak, bilgi güvenliği ihlali olasılığını azaltır.
Boyutu ve sektörü ne olursa olsun her kuruluş, bağımsız olarak belgelendirilebilecek etkin bir BGYS'yi uygulamak için ISO 27001 içindeki gerekliliklerden ve kontrollerden yararlanabilir.

Tanınmış ve bağımsız bir belgelendirme kuruluşu tarafından sağlanan akredite ISO 27001 belgelendirmesi, BGYS'nizin sağlamlığı ve etkinliği konusunda tarafsız bir görüş sağlayarak bilgi güvenliğine yönelik bir taahhüt sergiler. Bu, sözleşmeden doğan yükümlülüklerin yerine getirilmesine yardımcı olur ve çoğu durumda ticaret için bir lisans görevi görür.

Verilerinizi ve itibarınızı koruyun

ISO 27001 belgelendirmesi, bilgi güvenliği için aşağıdaki konularda en iyi uygulamaları yürüten sistematik, risk tabanlı bir yaklaşım oluşturduğunuzu gösterir: 

• Bilgi ve siber güvenlik risklerini tanımlama
• Riskleri, etki ve olasılığa dayanarak analiz etme
• Riskleri değerlendirme ve işinizle ilgili faktörlere bağlı olarak ele alındıklarında önceliklendirme
• Riskleri işleme seçeneklerini belirleme

Yasalara, yönetmeliklere ve sözleşme gerekliliklerine yasal uyumu kanıtlayın

ISO 27001 belgesini edinmek, yürürlükte olan mevzuatı tanımlamanızı gerektirir, örneğin EU GDPR veya HIPAA gibi yönetmelikler. Bunun risk yönetimi ve kurumsal yönetişim üzerinde olumlu bir etkisi vardır, yasal uyumu kanıtlamanıza ve sözleşme gerekliliklerini yerine getirmenize yardımcı olur.

Rekabet avantajı

LRQA'nın belgelendirme hizmetleri, müşterilere ve paydaşlara -BT, insan, fiziksel çevre ve iş sürekliliği ile ilgili olabilecek- güvenlik risklerinin, bilgilerini korumak için uygun biçimde ele alındığına dair güven verir.

ISO 27001 belgelendirmesi, kapasitenize ilişkin net bir beyan sağlayarak ve uluslararası alanda kabul görmüş en iyi uygulamalarla uyumlu faaliyet gösterdiğinizi kanıtlayarak, yeni işler kazanmanıza yardımcı olur.

ISO 27001 denetimleri, diğer Ek SL tabanlı yönetim sistemleri ile aynı yaklaşımı izler. Eğitim ve boşluk analizi ile başlayabilirsiniz ancak resmi süreç BGYS tasarımının denetimini (Aşama 1) ve işleyişinin denetimini (Aşama 2) içerir. Bu denetimlerin çıktıları, tutarlılığı ve akreditörler tarafından tanımlanan en iyi uygulamalara olan bağlılığımızla uyumu sağlamak için LRQA'daki nitelikli, bağımsız bir yetkili tarafından teknik olarak incelenir.

ISO 27001 belgeniz onaylandıktan sonra, üç yıl süren -ve daha sonraki üç yılı tekrar oluşturacak bir yenileme denetimine zemin hazırlayan- ara kontrol denetimleri döngüsüne başlarsınız. Ara kontrol hem LRQA'nın hem de şirketinizin değişiklikleri yönetmesini ve denetimlerin güncel sektör gereksinimleri ile ilgili olmasını sağlar.

Belge, onaylandıktan sonra ara kontrol programı ile kanıtlanan etkin sistem bakımına bağlı olarak üç yıl boyunca geçerlidir.

Tipik bir Bilgi Güvenliği Yönetim Sistemi/BGYS (Information Security Management System/ISMS) sertifikasının kapsamına, ürün ve hizmetlerin sağlanmasıyla ilgili faaliyetler dahildir. Şirket içi faaliyetlerin veya BGYS proseslerinin dahil edilmesi gerekmez. Amaç, okuyucunun ürün veya hizmetin alınması sırasında sağlanan bilgilerin korunduğundan emin olmasını sağlamaktır.

"Uygulanabilirlik" ifadesi, seçilen kontrollerin listesi ile ilgilidir. Bu kontrollerin ayrıntılarını sağlamasa da, son ISO 27001 denetiminin temeli olarak kullanılan bir kontrol beyanına izlenebilir bir referans sağlar. Bazen şirketler ISO 27001 Ek A'dan seçilen kontrolleri listeleyen, paylaşılabilir bir genel versiyona sahiptir; ancak bu zorunlu bir koşul değildir.

Maliyet, BGYS kapsamında çalışan kişi sayısı ile bağlantılı olarak belirlenecek olan denetim günlerinin sayısına bağlıdır. Denetim günlerinin sayısı, akreditasyon standardı ISO 27006'da yayınlanır ve herkes tarafından görüntülenebilir. LRQA gibi akredite bir belgelendirme kuruluşu ile çalışmak, en iyi sektör uygulamalarına dayanan ve diğer tüm akredite belgelendirme kuruluşları ile karşılaştırılabilecek, önerilen bir denetim süresi sağlar.

Örneğin, 100 Tam Zamanlı Çalışana (TZÇ) sahip bir kuruluş, faaliyet gösterdiği sektöre, çalışma ortamının karmaşıklığına, yazılım geliştirme sürecine dahil olup olmadıklarına veya ürüne güvenlik eklemeleri gerekip gerekmediğine bağlı olarak 8 ila 12 gün arasında bir ilk denetim süresi (Aşama 1 + Aşama 2) beklemelidir. Sonraki ara kontrol programı yılda 3-4 gün ve yenileme 6-8 gün gerektirecektir.

Evet; hem ISO 9001 hem de ISO 27001 yönetim sistemlerine yönelik en iyi genel uygulama modeli olan Ek SL'e dayandığından, temel yönetim süreçleri her iki standardın da gerekliliklerini karşılayacak şekilde optimize edilebilir. Aslında, her ikisini de ele alacak bir sistem tasarlamak, kurumsal yönetişimin etkinliğini artırır. Örneğin, büyüme gibi iş hedefleri genellikle güvenliğin tipik olarak pazar beklentilerine uygun bir kalite standardı olarak kabul edildiği yeni ürünlerin geliştirilmesini gerektirir. Entegrasyon, yinelemeyi en aza indirerek denetim süresini kısaltabilen uygun maliyetli bir seçenek de olabilir.

Kuruluşunuzun ISO 27001 belgesini elde etmek için uyguladığı yol, diğer faktörlerin yanı sıra, genellikle şirketinizin bilgi güvenliği ve daha geniş risk yönetimi ile ilgili olgunluk düzeyine bağlıdır. Ancak ISO 27001 belgesini almak için tipik süreç 3 ana adımdan oluşur.

• 1. Aşama Denetim - belge incelemesi ve planlama: Denetçiniz yönetim sisteminizin tasarımını ve dokümantasyonunu inceleyecektir - bu süreç çoğu durumda uzaktan gerçekleştirilir.
• 2. Aşama Denetim - uygulamanızın değerlendirilmesi: Denetçiniz, BGYS'nizin ISO 27001 gerekliliklerine uygun şekilde uygulanmasını ve etkinliğini değerlendirecektir. Herhangi bir uygunsuzluk tespit edilmezse, belgenizi alırsınız. Bu aşama uzaktan veya yerinde gerçekleştirilebilir.
• ISO 27001 belgelendirmenizi duyurun: Belgelendirmeniz, uluslararası alanda kabul görmüş en iyi uygulamalara ve sürekli gelişmeye olan bağlılığınızı kanıtlayarak, yeni işler kazanmanıza ve müşteri taleplerini karşılamanıza yardımcı olur.

ISO 27002:2022 düzenlemesi, 2013'e kadar uzanan ISO 27001'de bulunan kontrollerin listesini günceller. Gözden geçirilmiş kontroller, hem tehditlere hem de güncel en iyi uygulamalara ilişkin gelişmeleri yansıtır ve ISO 27002'nin genişletilmiş kapsamı, risk yönetimi önlemlerinin geniş kapsamlı ve etkili olmasını sağlamaya yardımcı olur. Şirketler, tespit ettikleri riskleri ele almak veya potansiyel boşlukları keşfetmek için kapsamlı kontrol listesini kullanabilirler. Bu da, şirketlerin günümüzde karşı karşıya kaldığı karmaşık ve gelişen tehdit manzarasının bir adım önünde kalmalarına yardımcı olur.

25 Ekim 2022'de yeni bir ISO 27001 sürümü yayınlandı. ISO 27002:22 tarafından özetlenen yeni kontrolleri içeren şirketlerin, risk değerlendirmelerini yeniden gözden geçirmeleri ve yeni risk iyileştirmelerinin uygulanmasının gerekip gerekmediğini belirlemeleri gerekecektir.