ISO 27001 Bilgi Güvenliği Yönetim Sistemi

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Nedir?

Bilgi, kâğıt veya dijital ortamlarda kaydedilmiş, anlaşılabilen ve iletilebilen veriler topluluğudur. Günümüzde bilgi, kuruluşların en önemli ve değerli varlıklarından biridir. Bilgi güvenliği; elektronik ortamlarda verilerin saklanması ve taşınması sırasında bilgilerin kaybolmasını önlemeyi, izinsiz erişimlerden korumayı ve bütünlüğünü muhafaza etmeyi kapsar. Kullanıcı ile alıcı arasında gizliliği ve bütünlüğü bozulmadan iletim de bilgi güvenliğinin konusuna girer.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) standardı, her büyüklükteki ve tüm faaliyet sektörlerindeki kuruluşlara bir bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi konusunda rehberlik sağlar. Kuruluşlar bu sistemle; bilgi varlıklarının değerini fark etme, onları koruyabilme, bilgi kaynaklarına sürekli erişimle iş sürekliliğini sağlama ve paydaşlarla güven ortamında iş yapma gibi avantajlara kavuşur.

ISO 27001 belgesi, bir kuruluşun sahip olduğu veya işlediği verilerin güvenliğiyle ilgili riskleri yönetmek için ISO 27001 sistemini uygulamaya koyduğunu gösterir. Sistem; insanları, süreçleri ve teknolojiyi içeren politikaları, prosedürleri ve diğer kontrolleri kapsar.

ISO 27001 Belgesi Neden Önemlidir?

Günümüzde veri hırsızlığı, siber suçlar ve gizlilik sızıntıları tüm kuruluşların dikkate alması gereken riskler arasındadır. Her işletmenin bilgi güvenliği ihtiyaçlarını kendi hedefleri, süreçleri, büyüklüğü ve yapısıyla ilişkilendirerek stratejik biçimde ele alması gerekmektedir.

ISO 27001 Belgesi birçok kuruluş için farklı kamu kurumları tarafından zorunlu kılınmıştır. Zorunluluk kapsamındaki başlıca alanlar şunlardır:

1. Kurulu gücü 100 MW ve üzerinde olan üretim tesisleri
2. İletim ve Dağıtım Lisansı Sahibi kuruluşlar
3. Rafinerici Lisansı Sahibi kuruluşlar
4. Yetkili Yükümlü Sertifikası (YYS) alacak ithalatçı ve ihracatçılar
5. Fatura Özel Entegratörlüğü için başvuru yapan kuruluşlar
6. Elektronik haberleşme güvenliğini sağlama yükümlülüğü olan işletmeciler (görev ve imtiyaz sözleşmesi imzalayanlar, uydu ve altyapı işletmecileri, sabit ve mobil telefon hizmeti sağlayıcıları, internet servis sağlayıcıları dahil)

Sanayi ve Teknoloji Bakanlığı tarafından 29 Haziran 2022 tarihinde yayımlanan Yönetmelik ve 29 Aralık 2022 tarihli Kamu İhale Genel Tebliği değişikliğiyle, 29 Eylül 2023 tarihinden itibaren kamu idarelerinin bilişim hizmet alımı ihalelerine girebilmek için Kamu Bilişim Yetki Belgesi, Sızma Yetki Belgesi veya Yazılım Yetki Belgesi zorunlu hale getirilmiştir. Bu yetki belgelerinin alınabilmesi için aranan en önemli kriter ISO 27001 belgesidir.

ISO 27001 Bilgi Güvenliği Sisteminin Faydaları

• Büyüyen siber saldırı tehditlerine karşı savunma
• Gelişen güvenlik risklerine yanıt verebilme kapasitesi
• Mali tablolar, fikri mülkiyet hakları, çalışan verileri ve üçüncü taraf bilgileri gibi varlıkların güvenli kalmasının sağlanması
• Kâğıt tabanlı, bulut tabanlı ve dijital veriler dahil her türlü bilginin güvence altına alınması
• Sızıntıların önlenmesi ve verimlilik artışıyla maliyet tasarrufu
• Veri ihlallerinin yol açabileceği mali cezalardan ve kayıplardan korunma
• Tehdit ortamı değiştikçe yeni zorluklara hazırlıklı olma
• Kurum imajına katkı ve paydaşlara güven ortamı sunma

ISO 27001 Kontrol Alanları

ISO 27001 standardı aşağıdaki temel kontrol alanlarını kapsar:

1. Bilgi güvenliği politikaları
2. Bilgi güvenliği organizasyonu
3. İnsan kaynakları güvenliği
4. Varlık yönetimi
5. Erişim kontrolü
6. Kriptografi — şifreleme
7. Fiziksel ve çevresel güvenlik
8. Operasyon güvenliği — yedekleme ve kurtarma prosedürleri
9. İletişim güvenliği
10. Sistem edinimi, geliştirilmesi ve bakımı
11. Tedarikçi ilişkileri
12. Bilgi güvenliği olay yönetimi
13. İş sürekliliği yönetiminin güvenlik yönleri
14. Uyumluluk — yasal gereksinimlere uygunluk