admin
1. Giriş
ISO 27001:2022, bilgi güvenliği yönetim sistemlerinin (BGYS) kurulumu, uygulanması, sürekli iyileştirilmesi ve risk bazlı yaklaşımla bilgi varlıklarının korunmasına yönelik uluslararası bir standarttır. Bu raporda, bir işletmenin ISO 27001 sertifikasyon sürecinde ihtiyacı olan temel unsurlar detaylandırılmaktadır.
2. ISO 27001:2022 Standardının Temel Maddeleri
2.1 Kapsam (Madde 1)
ISO 27001, bilgi güvenliği risklerini belirleyip, kontrol etmek ve sürekli iyileştirme sağlamak için gereksinimleri tanımlar.
2.2 Atıf Yapılan Standartlar ve Dokümanlar (Madde 2)
ISO 27001 uygulamasında, ISO 27002, ISO 27005 gibi ilgili diğer standartlarla ilişkili olduğu belirtilmiştir.
2.3 Terimler ve Tarifler (Madde 3)
Bilgi güvenliği terminolojisinin net olarak anlaşılması için kullanılan terimler ve tanımlar.
2.4 Kuruluşun Bağlamı (Madde 4)
- 4.1 Kuruluşun ve Bağlamının Anlaşılması: Bilgi güvenliği riskleri belirlenmelidir.
- 4.2 İlgili Tarafların Beklentilerinin Anlaşılması: Regülasyonlar ve iş ortaklarının beklentileri.
- 4.3 Bilgi Güvenliği Yönetim Sisteminin Kapsamını Belirleme: Kapsama dahil olan bilgi varlıklarını belirleme.
- 4.4 Bilgi Güvenliği Yönetim Sistemi: Tüm bilgi güvenliği süreçlerini kapsayan bir yapının kurulması.
2.5 Liderlik (Madde 5)
- 5.1 Liderlik ve Bağlılık: Yönetimin bilgi güvenliği konusundaki taahhüdü.
- 5.2 Politika: Bilgi güvenliği politikasının oluşturulması.
- 5.3 Kurumsal Roller, Sorumluluklar ve Yetkiler: Bilgi güvenliği rollerinin belirlenmesi.
2.6 Planlama (Madde 6)
- 6.1 Risk ve Fırsatları Ele Alan Faaliyetler: Risk yönetimi süreçleri.
- 6.2 Bilgi Güvenliği Amaçları ve Planlama: Belirlenen hedeflere ulaşmak için planlar.
2.7 Destek (Madde 7)
- 7.1 Kaynaklar: Bilgi güvenliği için gerekli kaynaklar.
- 7.2 Yeterlilik: Personelin yeterliliğinin sağlanması.
- 7.3 Farkındalık: Bilgi güvenliği farkındalığının arttırılması.
- 7.4 İletisim: Bilgi güvenliği ile ilgili etkili iletişim.
- 7.5 Yazılı Bilgiler: Politika ve prosedürlerin kaydedilmesi.
2.8 İşletim (Madde 8)
- 8.1 İşletimsel Planlama ve Kontrol
- 8.2 Bilgi Güvenliği Risk Değerlendirme
- 8.3 Bilgi Güvenliği Risk İşleme
2.9 Performans Değerlendirme (Madde 9)
- 9.1 İzleme, Ölçme, Analiz ve Değerlendirme
- 9.2 İç Tetkik
- 9.3 Yönetimin Gözden Geçirmesi
2.10 İyileştirme (Madde 10)
- 10.1 Uygunsuzluk ve Düzeltici Faaliyet
- 10.2 Sürekli İyileştirme
3. ISO 27001 Uygulama Rehberi
- Yönetimin Desteğini Alın: ISO 27001 sürecine yönetimin tam katılımı gereklidir.
- Bilgi Varlıklarını Belirleyin: Kritik bilgi varlıkların tanımlanması.
- Risk Değerlendirmesi Yapın: Bilgi varlıklarının risk analizi.
- Kontrolleri ve Politikaları Tanımlayın: ISO 27001 EK A kontrollerini uygulama.
- Denetim ve Tetkik Gerçekleştirin: Sertifikasyon öncesinde iç tetkiklerin yapılması.
- Sürekli İyileştirme: BGYS’nin düzeltici ve önleyici faaliyetlerle güçlendirilmesi.
4. Sonuç ve Öneriler
ISO 27001:2022, bilgi güvenliği risklerini minimize ederek işletmelerin siber tehditlere karşı dayanıklılığını artırmasını sağlar. Uygulamanın başarılı olması için liderlik desteği, risk bazlı yaklaşım ve sürekli iyileştirme prensipleri esas alınmalıdır.
