ISO Belgelendirme Danışmanlığı
ISO 27001 — Bilgi Güvenliği Yönetimi
Dijital varlıklarınızı ve müşteri verilerini koruyun
ISO 27001 Nedir?
ISO/IEC 27001:2022, Bilgi Güvenliği Yönetim Sistemi'nin (BGYS - ISMS) uluslararası standardıdır ve bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini (CIA triad) korumaya yönelik sistematik bir yaklaşımı belgeler. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve AB GDPR uyumu için güçlü bir temel oluşturur. Standard; 93 güvenlik kontrolünü içeren Annex A (EK A) kapsamında teknik, organizasyonel, fiziksel ve insan kaynakları güvenlik tedbirlerini zorunlu kılar. Bankacılık, fintech, sağlık, savunma sanayi, yazılım ve bulut hizmet sağlayıcıları için kritik öneme sahiptir.
- Mevcut versiyon: ISO/IEC 27001:2022 (93 kontrol, 4 tema)
- CIA ilkesi: Gizlilik (Confidentiality), Bütünlük (Integrity), Erişilebilirlik (Availability)
- 6698 sayılı KVKK ve AB GDPR uyumunu güçlü biçimde destekler
- Siber saldırı (ransomware, phishing, DDoS) risklerini azaltır
- Banka, fintech, BDDK/EPDK/SPK düzenlemeleri için ön şart
- Kurumsal müşteri ihale ve güvenlik değerlendirmelerinde gerekli
- Bulut hizmet sağlayıcıları (ISO 27017, 27018) ile birlikte değerlendirilir
Annex A — 93 Güvenlik Kontrolü
ISO 27001:2022 Annex A, 4 ana tema altında 93 güvenlik kontrolü tanımlar: Organizasyonel kontroller (37), Kişi kontrolleri (8), Fiziksel kontroller (14) ve Teknolojik kontroller (34). Kuruluş, risk değerlendirmesi sonucunda hangi kontrolleri uygulayacağını SoA (Statement of Applicability - Uygulanabilirlik Beyanı) ile dokümante eder. Uygulanmayan kontroller için gerekçe zorunludur. 2022 revizyonunda kontrol sayısı 114'ten 93'e indirilmiş ve yeni kontroller eklenmiştir (ör: tehdit istihbaratı, bulut güvenliği, veri sızıntısı önleme).
- A.5 Organizasyonel kontroller (37): Politikalar, roller, tedarikçi güvenliği
- A.6 Kişi kontrolleri (8): İşe alım, eğitim, disiplin, gizlilik sözleşmeleri
- A.7 Fiziksel kontroller (14): Saha güvenliği, kart/biyometrik erişim, CCTV
- A.8 Teknolojik kontroller (34): Şifreleme, log yönetimi, yedekleme, MFA
- Uygulanabilirlik Beyanı (SoA) — hangi kontrollerin uygulandığının dokümantasyonu
- Risk değerlendirme metodolojisi ve risk işleme planı
- Olay yönetimi, sızma testi (pentest), vulnerability yönetimi süreçleri
KVKK ve Düzenleyici Uyum
ISO 27001 belgesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki 'teknik ve idari tedbirler' yükümlülüğünün kanıtlanmasında güçlü bir araçtır. Kişisel Verileri Koruma Kurumu (KVKK Kurumu) tarafından yayımlanan 'Kişisel Veri Güvenliği Rehberi' ISO 27001 kontrol çerçevesiyle örtüşür. Ayrıca BDDK, EPDK, SPK düzenlemeleri ve KVKK Veri Sorumluları Sicili (VERBİS) kayıt zorunluluğu ile uyumludur. Veri ihlali durumunda (SMK m.12) uygulanabilecek idari para cezalarına karşı kanıtlanabilir savunma sağlar.
- KVKK m.12 teknik ve idari tedbirler yükümlülüğü uyumu
- VERBİS kaydı ve Kişisel Veri Envanteri uyumlu yapılanma
- AB GDPR Art.32 güvenlik tedbirleri uyumu
- BDDK Bankaların Bilgi Sistemleri Yönetmeliği uyumu
- EPDK Enerji Sektörü Siber Güvenlik Yönetmeliği uyumu
- SPK Bilgi Sistemleri Yönetimi Tebliği uyumu
- Veri ihlali idari para cezalarına karşı kanıtlanabilir savunma
Özellikle Kimler Almalı?
ISO 27001, kişisel veri işleyen, dijital varlık üzerine iş yapan ve düzenlenmiş sektörlerde faaliyet gösteren tüm kurumlar için kritiktir. Özellikle büyük kurumsal müşteriler, tedarikçi değerlendirme süreçlerinde ISO 27001 belgesini ön şart olarak aramaktadır. Bulut sağlayıcılar (AWS, Azure, GCP), SaaS ürünleri, B2B yazılım şirketleri için marka güvenilirliğinin ön koşuludur.
- Yazılım, SaaS, bulut hizmet sağlayıcıları ve teknoloji şirketleri
- Fintech, ödeme hizmeti, kripto ve e-ticaret platformları
- Sağlık veri işleyen kuruluşlar (hastane, e-nabız entegrasyonu, klinik)
- Bankacılık, sigorta ve finansal kuruluşlar (BDDK düzenlemeleri)
- Kamu kurumlarıyla çalışan BT firmaları, savunma sanayi tedarikçileri
- Telekomünikasyon, veri merkezi ve hosting şirketleri
- Hukuk büroları, muhasebe/denetim firmaları (müşteri veri gizliliği)
ISO 27001 Belgenizi Alalım
Bilgi güvenliğinizi uluslararası standarda taşıyın.