ISO 27001 Bilgi Güvenliği Yönetim Sistemi

ISO 27001 – Bilgi Güvenliği Yönetim Sistemi (BGYS)

ISO 27001 Nedir?

ISO/IEC 27001, kuruluşların bilgi varlıklarını korumak ve güvenli bir şekilde yönetmek amacıyla geliştirilen uluslararası bir standarttır.
Resmî adıyla ISO/IEC 27001:2022 – Information Security, Cybersecurity and Privacy Protection – Information Security Management Systems – Requirements olarak geçer.
Bu standart, bilgi güvenliğini korumak için bir yönetim sistemi kurulmasını, uygulanmasını, sürdürülmesini ve sürekli olarak iyileştirilmesini zorunlu kılar.

Amacı

ISO 27001’in temel amacı, bir kuruluşun sahip olduğu bilgilerin gizlilik, bütünlük ve erişilebilirlik ilkeleri çerçevesinde korunmasını sağlamaktır.
Standart, bilgi güvenliğini tehdit eden riskleri belirleyip kontrol altına almayı hedefler.
Ayrıca çalışanlarda güvenlik bilinci oluşturmayı ve kurum genelinde bilgi güvenliği kültürünü yerleştirmeyi amaçlar.

Bilgi Güvenliğinin Üç Temel İlkesi

1. Gizlilik (Confidentiality): Bilgilere yalnızca yetkili kişilerin erişebilmesi sağlanır.
2. Bütünlük (Integrity): Bilginin doğruluğu, tamlığı ve değişmezliği korunur.
3. Erişilebilirlik (Availability): Bilgiye, yetkili kişiler tarafından ihtiyaç duyulduğunda erişilebilir olması sağlanır.

ISO 27001 Neden Önemlidir?

Bilgi, modern dünyada şirketlerin en değerli varlıklarından biridir.
Ancak siber saldırılar, veri ihlalleri, sistem hataları ve insan kaynaklı hatalar gibi durumlar bilgi güvenliğini tehdit eder.
ISO 27001, bu tehditlere karşı sistematik bir yaklaşım sunar.

Bu standart sayesinde kuruluşlar:

• Bilgi güvenliği risklerini belirleyip yönetebilir,

• Veri kaybı ve sızıntılarını önleyebilir,

• Müşteri ve paydaş güvenini koruyabilir,

• Yasal gerekliliklere uyum sağlayabilir,

• Kurumsal itibarlarını güçlendirebilir.

ISO 27001 Standardının Yapısı

ISO 27001 standardı, ISO’nun yüksek seviyeli yapısına (High-Level Structure – HLS) uygun olarak hazırlanmıştır.
Bu yapı, diğer ISO yönetim sistemleriyle (örneğin ISO 9001 veya ISO 22301) entegrasyonu kolaylaştırır.

Standart şu ana başlıklardan oluşur:

1. Kapsam

2. Atıf yapılan standartlar

3. Terimler ve tanımlar

4. Kuruluşun bağlamı

5. Liderlik

6. Planlama

7. Destek

8. Operasyon

9. Performans değerlendirme

10. İyileştirme

Ek A Kontrolleri (Annex A)

ISO 27001 standardının önemli bir bölümü Ek A kısmıdır.
Bu bölümde bilgi güvenliği için uygulanabilecek kontrol maddeleri yer alır.
2022 versiyonu itibarıyla 93 kontrol maddesi bulunur ve bu maddeler dört ana gruba ayrılmıştır:

1. Kurumsal kontroller

2. İnsan kontrolleri

3. Fiziksel kontroller

4. Teknolojik kontroller

Bu kontroller, bilgi güvenliği risklerini azaltmak ve güvenliği artırmak için uygulanır.

ISO 27001 Uygulama Aşamaları

1. Kuruluşun bağlamı ve kapsamı belirlenir.

2. Bilgi varlıkları tanımlanır.

3. Bilgi güvenliği riskleri belirlenir ve değerlendirilir.

4. Riskleri azaltacak önlemler (kontroller) planlanır.

5. Bilgi güvenliği politikaları ve prosedürleri hazırlanır.

6. Eğitimler ve farkındalık çalışmaları yapılır.

7. Sistem uygulanır ve izlenir.

8. İç denetim ve yönetim gözden geçirmesi gerçekleştirilir.

9. Sürekli iyileştirme faaliyetleri yürütülür.

ISO 27001 Belgesi Almanın Faydaları

• Bilgi güvenliği riskleri azaltılır.

• Kurumun itibarı ve müşteri güveni artar.

• Veri gizliliği ve yasal uyum sağlanır.

• Kurumsal süreçler standartlaşır.

• İş sürekliliği ve dayanıklılık güçlenir.

• Uluslararası tanınırlık elde edilir.