ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ

ISO 27001 – Bilgi Güvenliği Yönetim Sistemi (BGYS)

ISO 27001 Nedir?

ISO/IEC 27001, kuruluşların bilgi varlıklarını korumak ve güvenli bir şekilde yönetmek amacıyla geliştirilen uluslararası bir standarttır. Resmî adıyla ISO/IEC 27001:2022 – Information Security, Cybersecurity and Privacy Protection – Information Security Management Systems – Requirements olarak geçer.

Bu standart, bilgi güvenliğini korumak için bir yönetim sistemi kurulmasını, uygulanmasını, sürdürülmesini ve sürekli olarak iyileştirilmesini zorunlu kılar.

ISO 27001’in Amacı

ISO 27001’in temel amacı, bir kuruluşun sahip olduğu bilgilerin gizlilik, bütünlük ve erişilebilirlik ilkeleri çerçevesinde korunmasını sağlamaktır. Standardın amacı, bilgi güvenliğini tehdit eden riskleri belirleyip kontrol altına almak ve çalışanlarda güvenlik bilinci oluşturmaktır.

Bilgi Güvenliğinin Üç Temel İlkesi

1. Gizlilik (Confidentiality): Bilgilere yalnızca yetkili kişilerin erişebilmesi sağlanır.
2. Bütünlük (Integrity): Bilginin doğruluğu, tamlığı ve değişmezliği korunur.
3. Erişilebilirlik (Availability): Bilgiye, yetkili kişiler tarafından ihtiyaç duyulduğunda erişilebilir olması sağlanır.

ISO 27001 Neden Önemlidir?

Bilgi, modern dünyada şirketlerin en değerli varlıklarından biridir. Ancak siber saldırılar, veri ihlalleri, sistem hataları ve insan kaynaklı hatalar bilgi güvenliğini tehdit eder. ISO 27001, bu tehditlere karşı sistematik bir yaklaşım sunar.

• Bilgi güvenliği risklerini belirleyip yönetmek,
• Veri kaybı ve sızıntılarını önlemek,
• Müşteri ve paydaş güvenini korumak,
• Yasal gerekliliklere uyum sağlamak,
• Kurumsal itibarı güçlendirmek.

ISO 27001 Standardının Yapısı

ISO 27001 standardı, ISO’nun yüksek seviyeli yapısına (High-Level Structure – HLS) uygun olarak hazırlanmıştır. Bu yapı, diğer ISO yönetim sistemleriyle (örneğin ISO 9001 veya ISO 22301) entegrasyonu kolaylaştırır.

• Kapsam
• Atıf yapılan standartlar
• Terimler ve tanımlar
• Kuruluşun bağlamı
• Liderlik
• Planlama
• Destek
• Operasyon
• Performans değerlendirme
• İyileştirme

Ek A Kontrolleri (Annex A): ISO 27001 standardının önemli bir bölümüdür. 2022 versiyonunda 93 kontrol maddesi yer alır ve bu maddeler dört ana grupta toplanır:

• Kurumsal kontroller
• İnsan kontrolleri
• Fiziksel kontroller
• Teknolojik kontroller

ISO 27001 Uygulama Aşamaları

1. Kuruluşun bağlamı ve kapsamının belirlenmesi
2. Bilgi varlıklarının tanımlanması
3. Bilgi güvenliği risklerinin belirlenmesi ve değerlendirilmesi
4. Riskleri azaltacak kontrollerin planlanması
5. Politika ve prosedürlerin hazırlanması
6. Eğitim ve farkındalık çalışmalarının yapılması
7. Sistemin uygulanması ve izlenmesi
8. İç denetim ve yönetim gözden geçirmesinin yapılması
9. Sürekli iyileştirme faaliyetlerinin yürütülmesi

ISO 27001 Belgesi Almanın Faydaları

• Bilgi güvenliği riskleri azaltılır,
• Kurumun itibarı ve müşteri güveni artar,
• Veri gizliliği ve yasal uyum sağlanır,
• Kurumsal süreçler standartlaşır,
• İş sürekliliği ve dayanıklılık güçlenir,
• Uluslararası tanınırlık elde edilir.