- Temmuz 1, 2020
- Yayınlayan: Okan Afşar
- Kategori: Bilgi Güvenliği
ISO – IEC ve Bilginin Değeri
Bilgi hangi sektörde olursa olsun büyük-küçük tüm kuruluşlar için değerli bir varlıktır. Günümüz şartlarını düşündüğümüzde kuruluşların sahip olduğu bilginin ve bu bilgiyi dış etkenlere karşı korumanın öneminin gün geçtikçe arttığı görülmektedir. ISO/IEC 27001 de bu amaca yönelik eylemlere rehberlik eden, kabul görmüş en iyi Bilgi Güvenliği Yönetim Sistemi standardıdır.
Tüm kuruluşların sahip olduğu ve değer verdiği bilgiyi güvende tutabilmek, bütünlüğünü koruyabilmek ve bunun sürdürülebilir bir şekilde sürekliliğini saylayabilmek için uyulması gereken birtakım standartlar ve kurallar bütünü oluşturulmalıdır.
Uluslararası Standart Organizasyonu- ISO (International Organization of Standardization), belirli ürün ve hizmetler için tüm dünyada kabul görmüş standartlar hazırlayarak, kurum ve kuruluşların bu standartlar çerçevesinde ürün ve hizmetlerini belirli bir kalitede sunmasını sağlamaya çalışan sivil bir organizasyondur.
IEC (International Electrotechnical Commission), herhangi bir hükümetten bağımsız olarak çalışan kâr amacı gütmeyen bir kuruluş olan Uluslararası Elektroteknik Komisyonu anlamına gelir.
ISO/IEC 27001:2013 Nedir?
ISO 27001, herhangi bir büyüklükteki veya herhangi bir sektördeki kuruluşlarda bulunan tüm bilgilerin güvenliğinin sağlanmasına yönelik yöntem ve esaslara rehberlik etmesi, yol göstermesi için ISO tarafından yayımlanmış ve uluslararası kabul görmüş en iyi Bilgi Güvenliği Yönetim Sistemi (BGYS) standardıdır. Bu Uluslararası Standart, bir bilgi güvenliği yönetim sisteminin oluşturulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gereklilikleri sağlamak üzere hazırlanmıştır.
Bilgi güvenliği standardının temelleri İngiliz Standartlar Enstitüsü (BSI) tarafından 1990 yılının ortalarında BS7799 adıyla ortaya çıkan ve 1995 yılında yayınlanan standarttır. 2000 yılında ISO tarafından ISO 17799 adıyla yayınlanan standart, 2005 yılında ISO 27001:2005 olarak revize edilerek yeniden yayınlanmıştır. Günümüzde en son gözden geçirilmiş ve revize edilmiş hali olarak ISO 27001:2013 versiyonu kullanılmaktadır.
ISO 27001 standardı 10 ana madde ve alt maddelerden oluşmaktadır. Bu maddeler arasında zorunlu olarak yerine getirilmesi gereken şartlar, 4 ile 10 ‘uncu maddeler arasında tanımlanmıştır. Bunlar 4.Kuruluşun bağlamı, 5. Liderlik, 6. Planlama, 7. Destek, 8. İşletim, 9. Performans değerlendirme ve 10. İyileştirme başlıklarını içeren maddelerdir. Standardın Ek A bölümünde 14 Bölüm ana bölüm ve alt bölümler yer almaktadır. Burada, 114 maddeden oluşan referans kontrol kontrolleri ve amaçları listelenmektedir.
Bilgi güvenliği yönetim sistemi, bir risk yönetimi süreci uygulayarak bilgilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini korur ve ilgili taraflara risklerin yeterince yönetildiği konusunda güven verir. Kuruluşunuzun bilgi güvenliğine verdiği önemi ve yaklaşımı gösterir. Ayrıca kuruluşların insanlara, süreçlere ve teknolojiye hitap ederek bilgi güvenliğini yönetmelerine yardımcı olan en iyi yaklaşımdır.
Bilgi güvenliği gizlilik, bütünlük ve erişilebilirlik olarak üç temel unsurdan meydana gelir. Bu üç temel güvenlik unsurundan herhangi biri zarar görürse güvenlik zafiyeti oluşur.
Gizlilik: Bilginin yetkisiz kişilerin eline geçmesine ve yetkisiz erişime karşı korunmasıdır.
Bütünlük: Bilginin yetkisiz kişiler tarafından değiştirilmemesidir.
Erişilebilirlik: Bilginin yetkili kişilerce ihtiyaç duyulduğunda ulaşılabilir ve kullanılabilir durumda olmasıdır. (Kaynak: http://www.bilgimikoruyorum.org.tr)
ISO/IEC 27000 Ailesi
ISO/IEC 27000 ailesinde bir düzineden fazla standart olmasına rağmen, bilgi güvenliği yönetim sistemi (BGYS) için gereksinimler sağlayan standart olarak ISO/IEC 27001 yaygın olarak bilinmektedir.
ISO 27001 ‘in de içinde bulunduğu ISO 27000 ailesi kısaca şöyledir;
ISO/IEC 27000 – BGYS Genel Bilgiler ve Tanımlar
ISO/IEC 27001 – BGYS Gereksinimleri
ISO/IEC 27002 – BGYS Uygulama Pratikleri ve Kontrolleri
ISO/IEC 27003 – BGYS Risk Yönetimi Uygulama Rehberi
ISO/IEC 27004 – BGYS Etkinlik Ölçüm Rehberi
ISO/IEC 27005 – BGYS Risk Yönetimi Rehberi
ISO/IEC 27006 – BGSY Belgelendirme Kurumları İçin Rehber
ISO/IEC 27007 – BGYS Denetim Rehberi
ISO/IEC 27008 – Bilgi güvenliği kontrollerine ilişkin denetçiler için yönergeleri içermektedir.
ISO/IEC 27010 –Sektörler arası ve kurumlar arası iletişim için bilgi güvenliği yönetimine dair bilgileri içerir.
ISO/IEC 27011 – Telekomünikasyon Kuruluşları için BGYS
ISO/IEC 27013 – ISO/IEC 27001 ve ISO/IEC 20000-1 entegre uygulanması konusunda rehberlik bilgilerini içerir.
ISO/IEC 27017 – Bulut hizmetleri için ISO / IEC 27002 tabanlı bilgi güvenliği kontrolleri için uygulama kodu
ISO/IEC 27018 – Bulut bilişiminin kişisel olarak tanımlanan bilgiler ile ilgili gizlilik boyutlarını kapsamaktadır.
ISO/IEC 27019 – Enerji endüstrisinde proses kontrolü için bilgi güvenliği
ISO/IEC 27031 – İş sürekliliği için bilgi ve iletişim teknolojisine hazır olma yönergeleri
ISO/IEC 27701 – Gizlilik Bilgi Yönetim Sistemi (PIMS), Gizlilik bilgileri yönetimi için ISO / IEC 27001 ve ISO/IEC 27002’ye genişletme
ISO/IEC 27799 – Sağlık Kuruluşları için BGYS Rehberi
(Kaynak: www.iso.org)
Ayrıca birçok kamu kurum ve kuruluşlarının da ISO/IEC 27001 belgesi alması zorunlu hale getirilmiştir. Ulaştırma, Denizcilik ve Haberleşme Bakanlığı 21 Haziran 2017 tarihinde KamuNet Ağına Bağlanma Ve KamuNet Ağının Denetimine İlişkin Usul ve Esaslar Hakkında Tebliğe göre kamu kurumlarının KamuNet’e bağlı bilgi ve iletişim sistemlerine ilişkin olarak karşılaması gereken asgari gereklilikler arasında ISO/IEC 27001 belgesi alması zorunluluğu getirilmiştir.
ISO 27001:2013 genel bilgi güvenliği gereksinimlerini sağlamanın yanı sıra KVKK, GDPR, PCI DSS ve ISO 22301 gibi diğer yasalara ve standartlara uymanıza da yardımcı olur.
ISO/IEC 27001:2013 Sertifikası Nasıl Alınır?
ISO/IEC 27001:2013 Belgesi almak isteyen kuruluşlar öncelikle kendi kurumlarında ISO/IEC 27001:2013 standardının gereklerine göre Bilgi Güvenliği Yönetim Sistemini (BGYS) kurmalıdır. Standardın belirlediği çerçeveler içerisinde bilgi güvenliği ile ilgili hem teknik olarak gerekli olan yatırımları yapmalı hem de yönetim sistemi olarak gerekli dokümantasyonu oluşturmalı, uygulamalı ve sürdürülebilir kılmalıdır.
BGYS kurulduktan sonra ISO/IEC 27001:2013 belgesi vermeye yetkili ulusal veya uluslararası akredite kuruluşlar tarafından akredite edilmiş belgelendirme firmalarına başvurmaları gerekmektedir. Belgelendirme firmaları gerekli başvuru talebini aldıktan sonra firma ile iletişime geçer ve kurumun ISO/IEC 27001:2013 BGYS kurduğuna ilişkin gerekli bilgileri ister. Daha sonra iki aşamalı denetim için bir plan oluşturulur.
Birinci aşama denetimde, ağırlıklı olarak kuruluşun ISO/IEC 27001:2013 standardının gereklerini sağladığı dokümantasyon kontrol edilir. Daha sonra planlanan tarihte ikinci aşama denetim gerçekleştirilir.
İkinci aşama denetimde ise birinci aşamada bahsi geçen uygulamalar ve süreçlerin saha denetimi çerçevesinde kontrolü sağlanır. Denetim, kuruluşun büyüklüğüne bağlı olarak Baş Denetçi, Denetçi ve Teknik Uzmanlardan oluşan bir denetim ekibi tarafından yapılabileceği gibi sadece Baş Denetçi tarafından da yapılabilir.
Denetim sonucunda Baş Denetçi tarafından hazırlanan rapora göre belgelendirme firması kuruluşun standardın şartlarını yerine getirdiğine karar verirse kuruma ISO/IEC 27001 belgesi verilir. Belge üç yıl geçerlidir. İlk yıl belgelendirme denetimi yapılır ve belge verilir. Bir sonraki ve ondan sonraki yıl gözetim denetimi yapılır. Bu denetimlerde sistemin uygulanıp uygulanmadığı, ISO/IEC 27001:2013 standardının gerekliliklerinin yerine getirilip getirilmediği ve sürekli iyileşmenin sağlanıp sağlanmadığı ile ilgili kontroller gerçekleştirilir.
Kuruluşunuzda ISO/IEC 27001:2013 Bilgi Güvenliği Yönetim Sisteminin uygulanması ve sertifikalandırılması, tüm ilgili taraflar ve düzenleyici kurumların kuruluşunuzun bilgi güvenliğini ciddiye aldığını, belirlenen riskleri kabul edilebilir bir düzeye indirildiğini ve mümkün olduğunca etkili bir şekilde yönetildiğini göstermenizi sağlayacaktır.
ISO/IEC 27001:2013 Belgesinin sağladığı avantajlar arasında aşağıdakileri sayabiliriz;
- Kuruluşunuzun bilgi güvenliği ve veri koruma risklerinin azaltılmasını sağlamak,
- Yeni müşteriler kazandırmak ve mevcut müşterileri elde tutmak,
- Zaman ve kaynak tasarrufu sağlamak,
- İtibarı artırmak ve kuruluşunuza duyulan güveni güçlendirmek
ISO/IEC 27001: 2013 sertifikası aldığınızda, Bilgi Güvenliği Yönetim Sisteminizin (BGYS) uygulama, bakım ve sürekli iyileştirme modelinin ISO standartlarını karşıladığını kanıtlamış olursunuz.
ISO/IEC 27001 Sertifikası Almak Hangi Kuruluşlar için Zorunlu?
Yönetmelikler ve yasalar gereği özel sektörde bulunan bazı kuruluşlara ISO/IEC 27001 sertifikası alma zorunluluğu getirilmiştir. Bunlar kısaca başlıklar halinde aşağıda belirtilmiştir;
- Gümrük İşlerini Kolaylaştırma Yönetmeliği Kapsamında Yetkili Yükümlü Sertifikası (YYS) alacak İthalat ve İhracatçılar
- Elektrik Piyasası Düzenleme Kurulu (EPDK) Petrol Piyasası Lisans Yönetmeliği uyarınca
- Maliye Bakanlığı Gelir İdaresi Başkanlığı E fatura Özel Entegratörlük için Başvuru yapan Firmalar
- Elektrik Piyasası Düzenleme Kurulu (EPDK) Doğal Gaz Piyasası Lisans Yönetmeliği uyarınca
- Kamu İhale Kanunu (KİK) uyarınca
- Sivil Havacılık Genel Müdürlüğüne göre, havayolu işletmeleri, yer hizmet kuruluşları, havaalanı işleticileri, terminal işleticileri ve hava seyrüsefer hizmet sağlayıcısı kurumlar
- Elektronik Haberleşme Güvenliğini Sağlama Yükümlülüğü olan firmaların işletmeleri
- Görev Sözleşmesi İmzalayan şirketler
- İmtiyaz Sözleşmesi İmzalayan şirketler
- Uydu Haberleşme Hizmeti Veren şirketler
- Altyapı İşletmeciliği Hizmeti Veren şirketler
- Sabit Telefon Hizmeti şirketler
- GMPCS Mobil Telefon Hizmeti Veren şirketler
- Sanal Mobil Şebeke Hizmeti şirketler
- İnternet Servis Sağlayıcıları
- Hava Taşıtlarında GSM 1800 Mobil Telefon Hizmeti veren şirketler
ISO/IEC 27001 sertifikası ile daha detaylı bilgiye yahut danışmanlığa mı ihtiyacınız var? İletişim sayfamızı kullanarak bizlere ulaşabilir, sorularınızı sorabilir ve tecrübeli ekibimizden danışmanlık alabilirsiniz.
Okan AFŞAR
VERİS Ege Bölge Müdürü