ISO/IEC 27001:2022 belgelendirme yol haritası: boşluk analizinden denetime
Bir Baş Denetçi gözüyle ISO 27001 sürecinin adımları, en sık yapılan hatalar ve denetçinin ilk bakacağı yerler.
Yayın: · 2 dk okuma · HilfeX Güvenlik Ekibi
- ISO/IEC 27001:2022 ek A’sında 93 kontrol dört temada toplanır: kurumsal, insan, fiziksel ve teknolojik.
- Sürecin kalbi risk değerlendirmesi ve Uygulanabilirlik Bildirgesidir.
- Belgelendirme denetimi iki aşamadır; sonrasında yıllık gözetim denetimleri yapılır.
ISO/IEC 27001, bir bilgi güvenliği yönetim sisteminin (BGYS) gerekliliklerini tanımlar. Belge, müşterilere ve iş ortaklarına bilgi güvenliğini sistematik olarak yönettiğinizi gösterir. 2013 sürümünden 2022 sürümüne geçiş dönemi 31 Ekim 2025’te sona erdi; yeni belgelendirmeler 2022 sürümüne göre yapılır.
Yol haritası
- Boşluk analizi: Mevcut uygulamalarınız standardın neresinde? Bu analiz gerçekçi bir takvim ve bütçe çıkarır.
- Kapsam ve bağlam: Hangi lokasyonlar, süreçler ve sistemler kapsamda? İlgili tarafların beklentileri neler?
- Risk değerlendirmesi ve işleme: Varlıklar, tehditler ve zafiyetler üzerinden riskleri belirleyin, kabul kriterlerine göre işleme planı oluşturun.
- Uygulanabilirlik Bildirgesi (SoA): Ek A’daki 93 kontrolün hangilerinin uygulandığını ve neden uygulanmadığını gerekçeleriyle belgeleyin.
- Uygulama: Politikalar, prosedürler, teknik kontroller ve farkındalık eğitimleri.
- İç denetim ve yönetimin gözden geçirmesi: Sistemin çalıştığını kendi gözünüzle doğrulayın ve yönetimin kararlarını kayda alın.
- Belgelendirme denetimi: Aşama 1’de dokümantasyon ve hazırlık, aşama 2’de uygulamanın etkinliği değerlendirilir.
2022 sürümünde ek A
Kontroller dört temada toplanır: kurumsal (37), insan (8), fiziksel (14) ve teknolojik (34). Tehdit istihbaratı, bulut hizmetlerinin güvenliği, veri maskeleme ve güvenli kodlama gibi yeni kontroller eklenmiştir.
En sık hatalar
- Şablon politikaları kuruma uyarlamadan kullanmak.
- Risk değerlendirmesini bir kez yapıp güncellememek.
- Farkındalık eğitimini kanıtlayamamak (katılım ve sonuç kayıtları).
- Tedarikçi güvenliğini yalnızca sözleşmeye bırakmak.
Belgeden sonra
Belge genellikle üç yıl geçerlidir; bu sürede yıllık gözetim denetimleri yapılır ve üçüncü yılın sonunda yeniden belgelendirme gerekir. BGYS’nin canlı kalması için iç denetimleri ve risk değerlendirmesini düzenli tekrarlayın.
HilfeX ekibi ISO 27001 ve ISO 22301 Baş Denetçi deneyimiyle kurulumdan denetime kadar eşlik eder; IQ Portal da farkındalık ve tedarikçi kanıtlarını denetime hazır biçimde saklar.
Sık sorulan sorular
ISO 27001 belgesi ne kadar sürede alınır?
Kurumun olgunluğuna ve kapsamına göre değişir; orta ölçekli kurumlarda hazırlık genellikle birkaç aydan bir yıla kadar sürer.
Tüm ek A kontrollerini uygulamak zorunlu mu?
Hayır. Risk değerlendirmesine göre gerekli olanlar uygulanır; uygulanmayanların gerekçesi Uygulanabilirlik Bildirgesi’nde açıklanır.
ISO 27001 ile KVKK uyumu aynı şey mi?
Hayır, ancak güçlü biçimde örtüşürler. İyi kurulmuş bir BGYS, KVKK’nın veri güvenliği yükümlülüklerini karşılamayı büyük ölçüde kolaylaştırır.
