ISO/IEC 27001 nedir?
- Information Security Management System (ISMS/BGYS) için gereksinim standardı.
- Güncel sürüm olarak ISO/IEC 27001:2022'yi resmi ISO kaynağından doğrula.
BGYS nedir?
- Politika belgesi değil; risk temelli, sürekli iyileştirilen yönetim sistemi.
- People/process/technology üçlüsü.
ISO 27001 sertifikası ne anlama gelir?
- Kuruluş kapsamı içinde yönetim sisteminin standarda uygunluğunun bağımsız denetimi.
ISO 27001 maddeleri ve Annex A
- Standardın telifli metnini uzun kopyalama; kontrol isimlerini/numaralarını güncel ve izin verilen ölçüde resmi kaynakla doğrula.
2022 sürümünde kontrol temaları
- Organizational, People, Physical, Technological kontrol grupları.
- 93 kontrol sayısını resmi kaynakla doğrula; standard metnini yeniden üretme.
Kapsam nasıl belirlenir?
- Lokasyon, süreç, sistem, çalışan, network ve cloud servisleri.
- Kapsamı yapay biçimde daraltmanın iş riskleri.
Kuruluş bağlamı
- İç/dış konular, ilgili taraflar, gereksinimler.
- IT'nin teknik input sağlaması.
Liderlik ve roller
- Üst yönetim sponsorluğu, ISMS owner, IT, HR, legal, department owners.
- ISO 27001'i yalnız IT projesi sanmama.
Bilgi güvenliği politikası
- Üst seviye politika ile prosedür/iş talimatı farkı.
- Kağıt politika yerine uygulanabilir kontrol.
Risk değerlendirmesi
- Asset/process/threat/vulnerability/impact/likelihood yaklaşımı.
- Risk metodolojisinin tutarlı olması.
Risk işleme planı
- Avoid/modify/share/retain gibi risk treatment seçenekleri.
- Owner, deadline, control ve residual risk.
Statement of Applicability (SoA)
- Kontrollerin uygulanabilirliği ve gerekçesi.
- Risk treatment ile bağlantı.
Varlık envanteri
- Donanım, yazılım, veri, servis, bilgi, personel, tedarikçi.
- Owner ve classification.
Bilgi sınıflandırması
- Public/internal/confidential gibi kurum özelinde sınıflar.
- Labeling/handling.
Erişim kontrolü
- Least privilege, role-based access, periodic review.
- Joiner-Mover-Leaver.
Privileged access
- Admin accounts, MFA, separate admin identity, logging.
Kimlik doğrulama
- MFA, password, service account, shared account riski.
- Microsoft 365, VPN, AD örnekleri.
Endpoint güvenliği
- Patch, AV/EDR, encryption, local admin, USB policy.
- Mobile device/BYOD.
Network güvenliği
- Firewall, VLAN, segmentation, Wi-Fi, VPN, admin management plane.
- Network diagram ve rule review.
Cloud security
- Microsoft 365/Azure/AWS shared responsibility, access, logging, backup.
- Cloud supplier evaluation.
Logging ve monitoring
- Critical systems, authentication, admin activity, firewall.
- Log retention'in risk/legal ihtiyaca göre tanımlanması.
Vulnerability ve patch management
- Asset + vulnerability discovery, severity, remediation SLA.
- Legacy systems exception.
Backup ve recovery
- Backup policy, RPO/RTO, restore test, offsite/immutable.
- Evidence olarak job log değil restore test.
Business continuity
- BIA, critical services, recovery procedures, exercises.
Incident management
- Detection, reporting, triage, containment, recovery, lessons learned.
- Incident register/evidence.
Supplier security
- SaaS, hosting, MSP, software vendor; contract/security requirements.
- Supplier access review.
Secure change management
- Firewall rule, server config, cloud policy değişiklikleri.
- Approval, testing, rollback, evidence.
Secure development
- WordPress/custom software/API varsa code security, secrets, testing.
- Outsourced development.
Physical security
- Server room, network cabinet, visitor, UPS/environment.
- Depo/şube örnekleri.
Awareness ve training
- Phishing, password, reporting, data handling.
- Annual checkbox eğitim yerine role-based.
Doküman kontrolü
- Version, owner, approval, review date, distribution.
- Eski prosedürlerin aktif kalmaması.
Evidence / kayıtlar
- Access review, backup test, patch report, meeting minutes, training record, incident.
- Kontrolün uygulandığını kanıtlayan kayıt.
İç tetkik
- Independent review, audit program, finding.
- Self-check ile certification audit'i ayır.
Management review
- KPI, incidents, risks, audit findings, improvement.
- Üst yönetim kararları.
Uygunsuzluk ve corrective action
- Root cause, corrective action, effectiveness check.
Continual improvement
- Risk, incident, technology and business change sonrası BGYS güncelleme.
ISO 27001 denetiminde IT'den istenebilecek kanıtlar
- User list/access review, firewall rules, backup/restore proof, patching, asset inventory, incident logs, admin accounts.
En sık yapılan hatalar
- Belgeyi yazıp uygulamamak.
- Riskleri kopyala-yapıştır oluşturmak.
- Envanter owner'ı yok.
- Restore testi olmaması.
- Eski çalışan erişimlerinin açık kalması.
- IT ve BGYS ekiplerinin ayrı çalışması.
Pillar içerisinde önerilen karşılaştırma tabloları
- ISO 27001 vs ISO 27002
- ISO 27001 vs KVKK
- Risk Assessment vs Vulnerability Assessment
- Policy vs Procedure vs Work Instruction
- Backup vs Business Continuity
- Internal Audit vs Certification Audit
Gerçek hayat senaryoları
- Microsoft 365 tenant'ında MFA/admin/access review kanıtlarıyla ISO hazırlığı.
- FortiGate firewall rule review ve değişiklik kayıtlarının kontrol evidence haline getirilmesi.
- QNAP/File Server backup restore testlerinin BGYS kayıtlarına bağlanması.
- Personel offboarding kontrol listesiyle eski hesap riskini azaltma.
- 8.000 m² depo dahil scope'ta fiziksel/network varlık envanteri çıkarma.
Sık sorulan sorular
- ISO 27001 nedir?
- BGYS nedir?
- ISO 27001 2022 nedir?
- ISO 27001 Annex A nedir?
- SoA nedir?
- ISO 27001 risk analizi nasıl yapılır?
- ISO 27001 kapsamı nasıl belirlenir?
- Varlık envanteri nedir?
- ISO 27001 IT departmanının görevi nedir?
- ISO 27001 backup zorunlu mu?
- ISO 27001 MFA zorunlu mu?
- ISO 27001 log tutulmalı mı?
- ISO 27001 iç tetkik nedir?
- ISO 27001 yönetimin gözden geçirmesi nedir?
- ISO 27001 denetiminde IT'den ne istenir?
- ISO 27001 sertifikası siber saldırıyı önler mi?
- ISO 27001 ile KVKK aynı mı?
- ISO 27001 dokümanları neler?