ISO 27001 Belgesi Nedir Nasıl Alınır?

• ISO 27001 Bilgi güvenliği nedir?
• ISO 27001 Belgesi nasıl alınır?
• ISO 27001 Bilgi güvenliği yönetim sistemi
• ISO 27001 Standart maddeleri nelerdir?
• ISO 27001 Standartı toplam 6 ana aşamadan oluşur
• ISO 27001 Standartı toplam 12 kısımdan oluşur
• ISO 27001 Ailesinde bulunan diğer standard kodları

ISO 27001 belgesi demek, kuruluşu meydana getiren tüm bilgilerin ve bu bilgilerin saklandığı, oluşturulduğu sanal veya fiziki ortamların, ekipman ve cihazların belirlenip, öncelik değerlerine göre listelenmesi ve olası her türlü bozulmaya karşı korunması anlamına gelir. Bu amaçla envanter listesin hazırlanması ISO 27001 bilgi güvenliği yönetim sisteminin uygulanmasında ve 2022 revizyonuna geçişte ilk yapılması gereken çalışmadır.

ISO 27001 bilgi güvenliği yönetim sistemi kısaca "BGYS" her büyüklükteki kurum veya kuruluşun; kuruluşa ait bilgilerini, müşteri bilgilerini ve diğer bilgilerini sınıflandırması, risk öncelik değerlerine göre sıralaması ve bu bilgilerin saklandığı ekipman ve cihazların (bilgi varlıkları envanter listeleri) listesini, son olarak belirlenen bu verilerin potansiyel risklere karşı bunların korunmalarını talep eden yönetim sistemidir.

Bilgilerin nasıl sınıflanacağı, hangi bilgilerin öncelikli olduğunun belirlenmesi, bilginin güvenliğinin sağlanması ve sürdürülmesi ile ISO 27001: 2022 sertifikasının alınması en doğru yaklaşımdır. Bu koşulların ne olduğu ise 2022 güncel standardında maddeler halinde açıklanmıştır. ISO 27001 sertifikasıyla birlikte tüm bu hazırlıkların tamamlanmış olduğu ve kuruluşun BGYS kapsamında hata yapmadığının güvencesidir.

ISO 27001 Bilgi Güvenliği Nedir?

Bilgi sistemlerinin ve bileşenlerinin hukuka aykırı veya yetkisiz her türlü müdahale veya etkiden korunması; bilgi ile ilgili yapılan her türlü işlemde bilginin gizliliğinin, bütünlüğünün ve erişilebilirliğinin temini ve bu işlemlerin sadece yetkili kişiler tarafından yapılmasının sağlanmasına ISO 27001 bilgi güvenliği denir.

ISO 27001 Yönetim Sistemi içerisinde bilgi güvenliği, bilgilerin izinsiz ve uygunsuz kullanımıyla izinsiz şekil, biçim ve yöntemlerle ifşa edilmesi (3.kişilerle paylaşılması), izinsiz yok edilmesi (silinmesi veya ortadan kaldırılması), izinsiz ve yetkisiz olarak bilgilerin değiştirilmesi, bilgilere hasar verilmesini engellemek amacıyla koruma altına almak veya bilgilere yapılacak olan izinsiz erişimleri gereken tüm tedbirleri alarak engelleme işlemlerinin tümüne "Bilgi Güvenliği" adı verilir.

ISO 27001 Standard İçeriğinde Hangi Bilgiler Bulunuyor?

ISO 27001:2022 standartının içerisinde tüm bunları kendi kuruluşunuz için nasıl uygulayacağınız ve "Bilgi Güvenliğini" işletmede ne şekilde sağlayacağınıza yardımcı önemli fikirler içermektedir.

ISO 27001 envanter listesinin en başından doğru oluşturulması, bilgi güvenliği için yönetim sistemi kurmanın anahtarı olduğu dikkate alınması gereken en önemli bilgidir. Bilgi varlıklarının envanterinin çıkarılması yeni revizyon (2022) çerçevesinde de zorunludur.

ISO 27001 bilgilerin güvenli saklanmasını temin eder. Bilgi transferini kontrol altına alır. E-Posta hareketlerini prosedür altına alır. Bilginin teknolojik cihazlar ile kopyalanmasını düzenler. Paylaşılan bilgilere ait kriterleri ortaya koyar. İşletme sahipleri ve müşterilere güven verir.

Ticari meta sayılacak tüm verilerin güvenle yönetilmesine yardımcıdır. Tüm bunları mümkün kılan standard ISO 27001' dir. Bilgi güvenliğini sağlamak amacıyla alınan tüm tedbirlere bilgi güvenliği yönetim sistemi adı verilmektedir. Bilgiye verilen değerin kayıt altına alınarak korunmasını gösterir.

ISO 27001 bilgi güvenliği yönetim sistemi içerisinde diğer sistemlerde olduğu gibi prosedür, talimat, plan, görev tanımı, listeler ve formlar yer almaktadır.

Amaç proseslerin yetkililerini sorumluluklarını ve işleyişlerini bilgi güvenliğini sağlayacak şekilde hazırlamaktır.

Özellikle bilgi güvenliğinin riskli olduğu proses parçalarına dikkat etmelidir. Bilgilerin nasıl saklandığı, kim tarafından yedeklendiği belirtilmelidir. Cep telefonu, kişisel bilgisayarların kullanım talimatları ISO 27001 2017 standardına uygun oluşturulmalıdır.

ISO 27001'in sunduğu hizmet sizden daha çok müşterilerinizin bilgilerinin korunmasına katkı sağlayacaktır. Bunun nedeni ise; sizin kendi firmanızı iyi biliyor olmanız ancak müşterilerinizin bilmiyor olmasıdır. ISO 27001 BGYS size ve müşterilerinize bu güveni kayıt altına alarak vermektedir.

Kuruluşların en değerli sermayesi bilgidir. Çünkü parayı bilginiz ve yeteneğiniz ile kazanırsınız. Bilgi alınıp satılabilir değerlerdir. Bilgi olmadan üretemezsiniz. Farklılığınızı ortaya koyamazsınız. Sizi rakiplerinizden ayıran yegane işletme sermayeniz bilgidir.

ISO 27001:2022 ana amaç olarak bilginin güvenli saklanması, aktarılması, iletilmesi gibi çok sayıda sanal verinin korunmasını sağlamak amacıyla bir takım tedbirleri bu standartı uygulamak isteyenlere sunar. Ticari manada bilgi, sahip olduğumuz bize özel tecrübelerimizin bütünüdür.

Üretim metotları, satış pazarlama teknikleri, sözleşmeler, anlaşmalar, ticari kayıtlar, dijital haberleşme içeriklerinin tamamı ISO 27001 kapsamında ele alınmalıdır. Sadece bilginiz ile sıfırdan iş kurabilirsiniz. Sermayeniz sadece bilgi olsa dahi! Ama hiç bilginizin olmadığı bir yatırımı yapabilmek amacıyla önce gerekli bilgileri edinmek için uğraşırsınız.

ISO 27001 Belgesi Nasıl Alınır?

ISO 27001 belgesi ilk defa 2005’te yayınlanmış son olarak ise 2022'de revize edilmiştir. Bilgi güvenliği yönetim sistemi olarak adlandırılmış bir iso standartı olduğundan yukarıda söz etmiştik. Bu durumda iso 27001 belgesi nasıl alınır kısaca özetlemeye çalışalım.

Diğer yönetim sistemlerinin temel mantığıyla iso 27001 bilgi güvenliği yönetim sisteminin mantığıyla parallellik göstermektedir. Bilgi güvenliği yönetim sistemi diğer sistemler nasıl kuruluyor ve veriliyorsa aynı yol ve yöntemler izlenerek alınabilmektedir. Sistemin nasıl oluşturulacağının öğrenilmesi. Bundan sonra nasıl denetim tarihi alınır hedeflerin tespiti ve neler yapılması gerektiğini gösteren yol haritasının nasıl oluşturulması gerektiğini sizlere danışmanlarımız açıklayacaktır.

İlgili standarta göre hazırlıklar tamamlandığında iso 27001 denetimi sonunda belgelendirme yapılmaktadır. Bilgi kalitesi – nasıl alınır – önemini de belirler. ISO 27001 belgesi veren firmalar aracılığıyla gerekli tetkik günleri sizlere iletilecektir. BGYS (Bilgi Güvenliği Yönetim Sistemi) bir organizasyonun bilgi risk yönetim süreçlerinde tüm fiziksel ve hukuksal teknik kontrolleri içeren politika ve prosedürleri içeren çerçevedir.

Organizasyon olarak kendi bilgilerinize göre ISO 27001 standardını hayata geçiriyor olmak için; oluşturmak, uygulamak, işletmek, izlemek, incelemek, sürdürmek ve BGYS’ini geliştirmek sürekli iyileştirmek için çalışmaları nasıl yönetmek gerekmektedir. ISO 27001 yönetim sistemi baştan aşağıya, risk odaklı bir yönetim yaklaşımı belirler ayrıca teknolojiyi güvenilir olarak değerlendirmez. Güvenilir teknolojilere ise daha fazla ağırlık verme amacı taşır ve nasıl alınır?

ISO 27001 belgesi almak için öncelikle bilginin gkorunması gereken en değerli varlık olduğuna inanmanız gerekir. Aksi halde sadece a4 kağıda basılı sertifika sahibi olursunuz. Dikkate değer olan sertifika değil ISO 27001 standardının kendisidir.

Önce işletmenizi tam anlamıyla değerlendirmelisiniz. Bilgiyi korumanız gereken risk noktalarının tespiti yapılmalıdır. Risk içeren bu noktalar üzerinde risk değerlendirme puanınız olmalı. Puanlamaya göre artık tümüyle netleşen bu proseslere bilginin güvenli kullanımına uygun prosedür ve talimatlar oluşturulmalı.

Yetki ve sorumluluklar boşluğa mahal vermeyecek şekilde tanımlanmalı. Kullanılacak formlar oluşturulmalıdır. ISO 27001 belgesi almak ise bu zincirin son halkasıdır. Bilgi güvenliği yönetim sisteminiz hazır olduktan sonra yapılacak ISO 27001 belgelendirme denetimleriyle sertifikanızı alabilirsiniz.

Böyle sağlıklı çalışma neticesinde hem ISO 27001 belgesini almış hem de bu standardı uygulayan güvenilir bir işletme statüsüne ulaşmış olursunuz.

Bilginin herşey sayıldığı günümüzün rekabet koşullarını yakalamak isteyen ve müşterilerine bilginin güvenli aktarımını taahhüt etmek isteyen şirketlerce daha çok tercih edilmektedir. Bankalar, bilgi saklamayı gerektiren sektörler, film, dizi, nüfus müdürlükleri, tüm devlet kurumları, devletle çalışan firmalar çokca tercih etmektedirler.

Müşterilerinden ISO 27001 talep eden işletmelerin sayısı hızla artmaktadır. Çünkü kopyalanmış ve henüz tescil edilmemiş bilgilerin kaybolması, çalınması gibi durumlar itibar açısında olduğu kadar güvenlik açısından da önemli konular arasında yer almaktadır. Bilgiyi nasıl korumanız gerektiği anlatan bir sistem standartıdır.

Geçmişte olduğu gibi günümüzde de insanı değerli kılan faktör bilgidir. Bilgi aklın bir sonucudur. Bilgi olmadan yaşamın varlığından söz etmek olanaksızdır.

ISO 27001 standardı ile alakalı ticari bilgi; sahip olduğumuz tüm iş tecrübemizdir. Bu kadarla sınırlı da değil. Nasıl yöneteceğini bilen “Yönetici” olur. Nasıl yapılacağını biliyorsanız “Mühendis” olursunuz. Nasıl satılacağını bilenler “Pazarlama” alanında uzmanlaşır. Nasıl “İkna Edeceğini” bilen… şeklinde liste uzar gider.

Sahip olduğunuz tüm nitelik ve yetenekler bilgilerinizin sonucudur. Dolayısıyla bilgi seviyeniz sizin kim ve ne olacağınızı belirler. Bilgi edinme süreci tümevarım piramidiyle hareket eder. Çok sayıda bilgi zaman içerisinde kademeli olarak en uç noktaya ulaştığında sizi siz yapan veya işletmenizi siz yapan tek bir cümleye kadar indirgenir.

Yıllar içerisinde tecrübe ile elde ettiğiniz bilgileri bilgisayarlara yükleyip kaybetmeyi kimse istemez. Şirketiniz içerisinde sahip olduğunuz tüm yönetimsel değerleri korumak istersiniz. ISO 27001 Bilgi Güvenliği tam anlamıyla bilginin korunma tedbirlerinin (ISO 27001 Standardı) işletmenizde uygulanmasına yol gösterir.

Hiçbir güvenliğiniz yok ise kaybedilen bilgiye sahip çıkabilmenizde zor olacaktır. Kayıt bu sebeple önemlidir. ISO 27001, bilginin saklandığı, oluşturulduğu, arşivlendiği, yedeklendiği ve transfer edildiği alanlarda korunmaya çok daha muhtaçtır.

Diğer insanların nasıl çalıştığını veya yapıldığını bile bilmediği şeyleri üretir ve satarsınız. Sattığınız her ürün ya da hizmette size ait olan her bilgi daha değerlidir. Size özeldir. Sizin markanızdır. Rakiplerinizin eline geçmesini istemezsiniz.

Buna en uygun örnek bugün uluslar arası teknoloji devi olan Apple Firmasının hikayesinde olduğu gibidir. Akıllı telefonları icat eden ve piyasaya yayılmasını sağlayan Apple, üretimini Çin’e kaydırınca sahip olduğu bilgilerin çok büyük kısmını Dünya’ya sızdırmış olmadı mı? Bugün daha yeni bir model piyasaya sürülmeden önce fabrikada üretime girdiği anda Çinli işçinin telefonunda çekilen resmi tüm dünyada yayınlanıyor.

Bugün gizli denemeleri yapılan uçaklar düşürülüp içerdiği bilgi teknolojisini diğer ülkeler öğrenmeye çalışıyor. Bilgi sizi siz yapan şeylerin toplamıdır. Bilginin hızlı yayılımı ve artan kullanımıyla birlikte toplumsal beynin gelişimi ortaklaşmıştır.

Netice olarak sahip olduğunuz bilgileri yatırımlarınız en başında ISO 27001 Bilgi Güvenliği gibi uluslar arası düzeyde kalitesini ispatlamış yönetim sistemiyle güvence altına almak mantıklı bir yoldur.

ISO 27001 nedir sorusuna cevap aramak üzere önce bilgi nedir sorusu nasıl irdelenmelidir. Bilgi günümüzde sadece kütüphane ya da kitaplarda bulunan bir meta olmaktan çoktan çıktı. İnternet teknolojilerinin yaygınlaşması teknolojinin süratle gelişiyor olması bilgiyi nasıl kolay elde edilebilen ve herkese açık ortamlarda nasıl online paylaşılabilen bir konuma getirdi. Durum sanılanın aksine bilgiye değer kaybettirmemekle kalmayıp aksine değerini daha da artırdı. Kabloların bağladığı tüm bilgisayar sistemleri aracılığıyla bilgi hırsızlığı da kolaylaştı. En değerli bilgilerinizi fiber kabloları aşabilen nasıl yazılımlarla bir kaç saniye içinde yok edebiliyorlar.

Bu durum bilgiyi koruma ihtiyacını nasıl gündeme taşırken 2005 yılında ilk bilgi güvenliği yönetim sistemi yayınlandı. Bu sadece internet üzerinden olabilecek muhtemel kayıtları değil bilginin nakli ve oluşturulması esnasında kullanılan tüm aşamaları kapsamaktadır. ISO 27001 Bilgi Güvenliği Yönetim Sistemi bilginin de artık yönetilebilir sistemler içine dahil olmasını sağlamış oldu. Tüm bu bilgilerin ışığında iso 27001 belgesi nasıl alınır sorusuyla devam edelim.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi

Bu standart ile bilginin korunması amaçlanmıştır. Aynı zamanda kurumsal özel yazılımlar çok sayıda firmada kullanılmaktadır. Özellikle özel şirketlerin büyük meblağlar ödeyerek özel yazılım dilleri ile çalışmalarının sebebi bilgi güvenliğinin sağlanmasıdır.

Bu sistem sadece standarı uygulamakta olan firmaya değil, bu firma ile çalışmak ve işbirliği ya da ortaklık gerçekleştirmek arzusunda olan kuruluşlar içinde piyasa güveninin artışı ve kredisinin yüksek olmasını sağlayacaktır.

ISO 27001 belgesi sahibi kuruluşlar ile çalışmak, iş ortağı firmanın da bilgi güvenliğini güven altına almak anlamına gelecektir. Ciro anlamında bu avantajı yakalamak için çok sayıda kuruluş belgesini almaktadır.

Ticari işletmelerin faal işlerinin önemli bir kısmının internet altyapısını kullanarak paylaşıma ve kriptolu olsa bile riske açık olduğu dikkate alındığında bilgi güvenliğinin neden giderek daha fazla önem kazandığı daha net anlaşılacaktır.

Bilgi güvenliği sadece internet ile sınırlı olmayıp tüm çalışanların ve diğer paylaşıma kapalı alanların da kontrolünü kapsamaktadır. Sizde bilgi güvenliği yönetim sistemine yönelik daha fazla bilgi sahibi olmak ve ISO 27001 belgesi nasıl alınır için gerekli şartları öğrenmek istiyorsanız 0216 390 22 32 numaralı telefonumuzdan bize ulaşabilirsiniz.

ISO 27001 Standart Maddeleri Nelerdir?

• [Madde 1] Kapsam
• [Madde 2] Atıf yapılan standard ve/veya dokümanlar
• [Madde 3] Terimler ve tarifler
• [Madde 4] Kuruluşun bağlamı
  • [Alt Madde 4.1] Kuruluşun ve bağlamının anlaşılması
  • [Alt Madde 4.2] İlgili tarafların ihtiyaç ve beklentilerinin anlaşılması
  • [Alt Madde 4.3] Bilgi güvenliği yönetim sisteminin kapsamının belirlenmesi
  • [Alt Madde 4.4] Bilgi güvenliği yönetim sistemi
• [Madde 5] Liderlik
  • [Alt Madde 5.1] Liderlik ve bağlılık
  • [Alt Madde 5.2] Politika
  • [Alt Madde 5.3] Kurumsal roller, sorumluluklar ve yetkiler
• [Madde 6] Planlama
  • [Alt Madde 6.1] Risk ve fırsatları ele alan faaliyetler
  • [Alt Madde 6.2] Bilgi güvenliği amaçları ve bu amaçları başarmak için planlama
• [Madde 7] Destek
  • [Alt Madde 7.1] Kaynaklar
  • [Alt Madde 7.2] Yeterlilik
  • [Alt Madde 7.3] Farkındalık
  • [Alt Madde 7.4] İletişim
  • [Alt Madde 7.5] Yazılı bilgiler
• [Madde 8] İşletim
  • [Alt Madde 8.1] İşletimsel planlama ve kontrol
  • [Alt Madde 8.2] Bilgi güvenliği risk değerlendirme
  • [Alt Madde 8.3] Bilgi güvenliği risk işleme
• [Madde 9] Performans değerlendirme
  • [Alt Madde 9.1] İzleme, ölçme, analiz ve değerlendirme
  • [Alt Madde 9.2] İç tetkik
  • [Alt Madde 9.3] Yönetimin gözden geçirmesi
• [Madde 10] İyileştirme
  • [Alt Madde 10.1] Uygunsuzluk ve düzeltici faaliyet
  • [Alt Madde 10.2] Sürekli iyileştirme
• [EK-A] Referans kontrol amaçları ve kontroller

ISO 27001 Standardı Toplam 6 Ana Aşamadan Oluşur

• Güvenlik Politikası
• Bilgi Güvenliği Yönetim Sistemi kapsamının belirlenmesi
• Risk değerlendirmesi
• Tespit edilen risklerin yönetimi
• Kontrol ve denetim hedefleri oluşturulmuş gerekli denetim planları
• Elde edilen sonuçların uygulanabilirliği

ISO 27001 dokümantasyonu kapsamında yönetimin sorumluluğu, iç denetim, sürekli iyileştirme, düzeltici ve önleyici faaliyet çalışmaları bulunmak zorundadır. Standart nasıl alınır ISO 27001 belgesi veren işletmelerin tüm bölümleri arasında tam bir işbirliğini şart koşar. Ele alınır tüm konuların atlanmadan değerlendirilmesi gerekmektedir.

ISO 27001 Standardı Toplam 12 Kısımdan Oluşur

• Risk değerlendirmesi
• Güvenlik politikası
• Organizasyon yapısının oluşturulması
• Kaynak yönetimi
• İnsan kaynakları güvenliği
• Fiziksel ve çevresel güvenlik şartları
• İletişim ve operasyonel faaliyetler
• Erişim izinleri ve kontolleri
• Bilgi güvenlik yazılımlarının edinimi geliştirilmesi ve bakımları
• Bilgi güvenliği olay kontrolleri
• İş akış yönetim yapısının
• Süreçler ve prosesler arası uyumluluk kontrolü

ISO 27001 bilgi yönetim sistemine nasıl alınır sahip her işletme sahip olduğu riskler doğrultusunda planlanan denetimlerini uygulamak zorundadır. ISO 27001 nasıl alınır için belgelendirme kuruluşu tarafından denetlenmek gerekmektedir.iso 27001 bilgi güvenligi nedir?

ISO 27001 Ailesinde Bulunan Diğer Standard Kodları

27003; Uygulama Kılavuzu nasıl alınır
27004; BGYS yönetim sistemi ölçüm standartı nedir
27005; 2008 tarihli BGYS risk yönetim standardı nedir
27006; Bilgi güvenliği yönetim sistemi akreditasyonuna sahip veya olmak isteyen kuruluşlar için hazırlık ve başvuru rehberi.
27007; Bilgi güvenliği yönetim sistemi denetim kılavuzu nasıl yapılır

ISO 27001 bilgi güvenliği standardının amacı işletmelerin ticari bilgileri güven altına almaktır. Ticari bilgi en önemli kuruluş kaynaklarındandır. Büyük küçük tüm işletmelerin bilgi işlem departmanları uzun yıllardır mevcut olmakla birlikte bilgi güvenliği yönetim sistemi belgesi gereğince bilginin güvenliğini korumayı gerektiren en önemli birimin bilgi işlem prosesi olduğu söylenebilir.

Ancak iso 27001 belgesi sadece bu kısıma yönelik bir çalışma değildir. Şirketin tüm birimlerini kapsamakla birlikte temel açıdan bakıldığında yoğunlaştığı alan yönetim bölümü olmaktadır. En kaliteli ve saf ticari bilgi nedir yönetim bölgesinde yer aldığından şartları doğal olarak burada merkezileşecektir.

Bilgi güvenliği yönetim standardı veya daha bilinen adıyla ilk defa 1998 yılında İngiliz standart enstitüsü tarafından yayınlanan BS 7799-2 standardında kullanılmıştır. ISO 27001 standardı bugünkü halini; uluslararası standartlar kurumu tarafından kabul edildikten sonra ve ISO 27001:2022 olarak yayınlandıktan sonra almıştır.