ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) kurmak ve belgelendirmek için uluslararası standarttır. Bu rehberde 2022 sürümünün zorunlu maddelerini, Ek A kontrollerini ve belgelendirme denetiminde en çok sorulan dokümanları özetliyoruz.
Güncel sürüm: ISO/IEC 27001:2022
Standardın yürürlükteki sürümü ISO/IEC 27001:2022'dir. 2013 sürümünden geçiş için tanınan süre Ekim 2025'te sona ermiştir; bu nedenle geçerli belgelerin 2022 sürümüne göre olması gerekir. 2024'te yayımlanan değişiklikle, kuruluşun bağlamı değerlendirilirken iklim değişikliğinin ilgili bir konu olup olmadığının dikkate alınması da şartlara eklenmiştir.
Zorunlu maddeler (4–10)
Madde 4 – Kuruluşun bağlamı
İç ve dış konuların, ilgili tarafların beklentilerinin belirlenmesi ve BGYS kapsamının tanımlanması.
Madde 5 – Liderlik
Üst yönetimin taahhüdü, bilgi güvenliği politikası ve rollerin atanması.
Madde 6 – Planlama
Bilgi güvenliği risk değerlendirmesi ve risk işleme süreci, ölçülebilir bilgi güvenliği hedefleri ve değişikliklerin planlanması. Uygulanabilirlik Bildirgesi (SoA) bu maddenin çıktısıdır.
Madde 7 – Destek
Kaynaklar, yetkinlik, farkındalık, iletişim ve dokümante bilginin kontrolü.
Madde 8 – Operasyon
Risk değerlendirme ve risk işleme planlarının uygulanması, dış kaynaklı süreçlerin kontrolü.
Madde 9 – Performans değerlendirme
İzleme ve ölçme, iç tetkik ve yönetimin gözden geçirmesi.
Madde 10 – İyileştirme
Uygunsuzlukların ele alınması, düzeltici faaliyetler ve sürekli iyileştirme.
Ek A: 93 kontrol, 4 tema
2022 sürümünde Ek A, 114 kontrolden 93 kontrole sadeleştirildi ve dört temada toplandı:
- Organizasyonel kontroller (37): Politikalar, varlık yönetimi, tedarikçi ilişkileri, olay yönetimi, iş sürekliliği.
- İnsan kontrolleri (8): İşe alım öncesi tarama, farkındalık eğitimi, uzaktan çalışma.
- Fiziksel kontroller (14): Güvenli alanlar, ekipman güvenliği, fiziksel güvenlik izleme.
- Teknolojik kontroller (34): Erişim yönetimi, şifreleme, yedekleme, kayıt tutma, güvenli yazılım geliştirme.
Yeni eklenen kontroller arasında tehdit istihbaratı, bulut hizmetleri güvenliği, veri maskeleme, veri sızıntısını önleme ve yapılandırma yönetimi bulunur.
Denetimde en çok istenen dokümanlar
- BGYS kapsamı ve bilgi güvenliği politikası
- Risk değerlendirme metodolojisi, risk değerlendirme raporu ve risk işleme planı
- Uygulanabilirlik Bildirgesi (SoA)
- Bilgi güvenliği hedefleri ve izleme sonuçları
- Yetkinlik ve farkındalık eğitim kayıtları
- İç tetkik programı ve raporları, yönetimin gözden geçirme kayıtları
- Uygunsuzluk ve düzeltici faaliyet kayıtları
Belgelendirme süreci
Aşama 1'de dokümantasyon ve hazırlık, Aşama 2'de kontrollerin sahada uygulanması denetlenir. Belge 3 yıl geçerlidir ve yıllık gözetim denetimleriyle sürdürülür. KVKK uyumu, müşteri güveni ve ihale şartları ISO 27001'i özellikle yazılım, finans, sağlık ve e-ticaret şirketleri için kritik hale getirir.
Sık Sorulan Sorular
ISO 27001 belgesi almak ne kadar sürer?
Hazırlık düzeyine göre değişir; sistemi hiç kurulmamış kuruluşlarda birkaç ay, hazır kuruluşlarda Aşama 1 ve Aşama 2 denetimleri birkaç hafta içinde tamamlanabilir.
Ek A'daki tüm kontrolleri uygulamak zorunlu mu?
Hayır. Hangi kontrollerin uygulanacağı risk değerlendirmesiyle belirlenir; uygulanmayan kontroller gerekçesiyle Uygulanabilirlik Bildirgesi'nde belirtilir.
ISO 27001:2013 belgem hâlâ geçerli mi?
Hayır. 2013 sürümünden 2022 sürümüne geçiş süresi Ekim 2025'te sona erdi.
ISO 27001 KVKK uyumu sağlar mı?
Tek başına KVKK uyumu anlamına gelmez; ancak kişisel verilerin güvenliğine ilişkin teknik ve idari tedbirlerin sistematik olarak yönetilmesine büyük katkı sağlar.