ISO/IEC 27001

ISO/IEC 27001 nedir?

ISO/IEC 27001, bir kurumun bilgi güvenliği yönetim sistemini (BGYS) kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereken şartları tanımlayan uluslararası standarttır. Teknik bir ürün değil, risk yönetimine dayalı bir yönetim çerçevesidir ve bağımsız kuruluşlarca belgelendirilebilir.

Standart, hangi güvenlik ürününün kullanılacağını söylemez; kurumun kendi risklerini belirleyip uygun kontrolleri seçmesini ve bunları sürdürülebilir bir süreçle yönetmesini bekler.

Nasıl çalışır?

ISO/IEC 27001, kapsamın belirlenmesi, risk değerlendirmesi, risk işleme planı, kontrollerin uygulanması, izleme, iç denetim ve yönetimin gözden geçirmesi gibi döngüsel adımlara dayanır. Ek kısmında yer alan kontrol kümesi, kurumun seçtiği güvenlik önlemleri için bir referans sunar.

Belgelendirme, akredite bir belgelendirme kuruluşunun denetimiyle yapılır ve düzenli gözetim denetimleriyle sürdürülür.

Sunucu ve hosting ortamında

Hosting ve veri merkezi sağlayıcıları için bu belge, bilgi güvenliğini yönetilen bir süreç olarak ele aldıklarının göstergesidir. Erişim yönetimi, değişiklik yönetimi, yedekleme, günlükleme, olay yönetimi ve tedarikçi ilişkileri gibi konular kontroller kapsamında ele alınır.

Müşteri olarak bir sağlayıcı seçerken belgenin kapsamına bakmak önemlidir. Belge, sağlayıcının tüm hizmetlerini değil yalnızca belirli bir kapsamı içeriyor olabilir.

Nelere dikkat edilmeli?

• Belgelendirme kapsamını, hangi hizmet ve lokasyonları içerdiğini kontrol edin.
• Belgenin geçerlilik tarihini ve veren kuruluşun akreditasyonunu doğrulayın.
• Kendi kurumunuzda önce varlık envanteri ve risk değerlendirmesi yapın.
• Politika ve prosedürleri uygulamanın içine yedirin, yalnızca belge üretmeyin.
• İç denetim ve yönetim gözden geçirmelerini düzenli yapın.
• Hukuki ve sözleşmesel yükümlülükler için uzmandan destek alın.

Sık yapılan hatalar

• Belgeyi sadece bir sertifika için alınan kâğıt işi olarak görmek.
• Kapsamı gereğinden dar tutarak anlamsız hâle getirmek.
• Risk değerlendirmesini yapmadan kontrolleri seçmek.
• ISO 27001 sertifikasını mutlak güvenlik garantisi sanmak.