ISO 27001 Nedir? Risk Analizinden Belgelendirmeye Süreç

ISO/IEC 27001, bilgi güvenliğini tek tek ürünler ve dağınık önlemler üzerinden değil, risk temelli ve sürekli iyileştirilen bir yönetim sistemi üzerinden ele alan uluslararası bir standarttır. Kurumsal müşterilerin tedarikçi güvenlik anketlerinde, ihalelerde ve yurt dışı iş ortaklıklarında sıkça sorulan bu belge, doğru kurgulandığında yalnızca bir sertifika değil, bilgi güvenliğini yönetmenin kalıcı bir yöntemi hâline gelir. Bu rehberde ISO 27001'in ne olduğunu, sürecin kalbi olan risk değerlendirmesinin nasıl yapılacağını ve belgelendirmeye giden adımları anlatıyoruz.

ISO 27001 ve BGYS Nedir, Kimler İçin Gereklidir?

Bilgi Güvenliği Yönetim Sistemi (BGYS), bir kurumun bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için kurduğu politikalar, süreçler, roller ve kontroller bütünüdür. ISO 27001 bu sistemin gereksinimlerini tanımlar ve belgelendirmeye esas alınan standarttır. Standardın ana maddeleri; kurumun bağlamını anlamayı, üst yönetimin liderliğini, risk temelli planlamayı, kaynak ve farkındalık gibi destek süreçlerini, operasyonu, performans değerlendirmesini ve sürekli iyileştirmeyi kapsar.

ISO 27001 genel olarak yasal bir zorunluluk değildir. Ancak şu kurumlar için belirgin bir değer taşır:

• Kurumsal müşterilere yazılım, bulut, BT veya dış kaynak hizmeti veren şirketler
• Müşteri verisi, sağlık verisi veya finansal veri işleyen kurumlar
• İhalelerde veya büyük müşterilerin tedarikçi değerlendirmelerinde belge talebiyle karşılaşan işletmeler
• Bilgi güvenliğini birkaç kişinin bilgisine bağımlı olmaktan çıkarıp sistemli hâle getirmek isteyen büyüyen şirketler

Kapsam belirleme ilk ve en stratejik karardır. BGYS tüm şirketi kapsayabileceği gibi yalnızca belirli bir hizmeti, lokasyonu veya ürünü de kapsayabilir. Dar kapsam süreci hızlandırır; ancak müşterinin güvence beklediği hizmet kapsam dışında kalıyorsa belge beklenen güveni vermez.

Risk Değerlendirme Yöntemleri: Varlık, Tehdit, Zafiyet

ISO 27001'in merkezinde risk değerlendirmesi vardır. Standart belirli bir yöntemi dayatmaz; tutarlı, tekrarlanabilir ve karşılaştırılabilir sonuç üreten bir yöntem ister. Risk yönetimi konusunda ayrıntılı rehberlik için ISO/IEC 27005 standardından yararlanılabilir. Belge hedeflemeyen bir işletme de veri ihlallerini önlemek için aşağıdaki yöntemleri doğrudan kullanabilir; risk değerlendirmesi, hangi kontrole önce yatırım yapılacağına karar vermenin en sağlam yoludur.

Varlık tabanlı yaklaşım

En yaygın yöntemdir ve şu adımlarla ilerler:

1. Varlık envanteri: Bilgi varlıklarını listeleyin: müşteri veritabanı, e-posta sistemi, dosya sunucusu, ERP, dizüstü bilgisayarlar, kâğıt arşiv ve kritik bilgiye sahip kişiler. Her varlık için bir sahip atayın ve gizlilik, bütünlük ve erişilebilirlik açısından değerini belirleyin.
2. Tehdit analizi: Her varlığı neyin tehdit ettiğini belirleyin: fidye yazılımı, kimlik avı, içeriden kötüye kullanım, donanım arızası, yangın veya su baskını, tedarikçi kesintisi.
3. Zafiyet analizi: Tehdidin gerçekleşmesini kolaylaştıran zayıflıkları tespit edin: yaması geciken sistemler, çok faktörlü doğrulamanın olmaması, test edilmemiş yedekler, belgelenmemiş yetkiler. Zafiyet taramaları ve sızma testi sonuçları bu adımın en somut girdileridir.
4. Olasılık ve etki değerlendirmesi: Her risk senaryosu için olasılığı ve etkiyi önceden tanımlanmış bir ölçekle puanlayın. Etki; finansal kayıp, hizmet kesintisi, yasal yaptırım ve itibar boyutlarıyla birlikte düşünülmelidir.
5. Risk seviyesi ve kabul kriteri: Olasılık ve etkinin birleşimiyle risk seviyesini hesaplayın ve hangi seviyenin üzerindeki risklerin mutlaka işleneceğini önceden tanımlayın.

Basit bir örnek: Muhasebe dosya sunucusu varlığı için fidye yazılımı tehdidi ile test edilmemiş yedek zafiyeti birlikte ele alındığında olasılık orta, etki yüksek çıkabilir. Bu risk kabul kriterinin üzerindeyse işleme planına değiştirilemez yedekleme, periyodik geri dönüş testi ve ağ segmentasyonu gibi kontroller yazılır. Kontroller uygulandıktan sonra kalan risk yeniden puanlanır ve risk sahibi tarafından kabul edilir.

Senaryo tabanlı yaklaşım

Varlıkları tek tek incelemek yerine, muhasebe bilgisayarından başlayan bir fidye yazılımı saldırısının tüm dosya sunucusunu şifrelemesi gibi olay senaryoları üzerinden ilerler. Yönetimle iletişimde daha anlaşılırdır ve küçük kurumlarda hızlı sonuç verir.

Değerlendirme niteliksel, yani düşük, orta ve yüksek gibi ölçeklerle ya da niceliksel, yani parasal değerlerle yapılabilir. KOBİ ölçeğindeki kurumlarda niteliksel bir risk matrisi çoğu zaman yeterli ve sürdürülebilir bir çözümdür. Hangi yöntemi seçerseniz seçin, risk değerlendirmesi bir kez yapılıp bırakılmamalı; önemli değişikliklerde ve planlı aralıklarla tekrarlanmalıdır.

Risk İşleme ve Ek A Kontrolleri

Belirlenen her risk için dört seçenekten biri seçilir:

• Azaltma: Kontrol uygulayarak olasılığı veya etkiyi düşürmek. En sık seçilen yoldur.
• Kaçınma: Riske yol açan faaliyeti durdurmak veya değiştirmek.
• Paylaşma: Riski sigorta veya bir dış hizmet sağlayıcıyla paylaşmak. Sorumluluğun tamamen devredilmediği unutulmamalıdır.
• Kabul etme: Risk, kabul kriterlerinin altındaysa risk sahibinin onayıyla bilinçli olarak üstlenmek.

Azaltma için kontroller seçilirken standardın Ek A bölümü referans alınır. Standardın güncel sürümünde Ek A; organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört tema altında toplanmış 93 kontrol içerir. Erişim yönetimi, tedarikçi ilişkileri, olay yönetimi, iş sürekliliği, yedekleme, log kayıtları, zafiyet yönetimi ve güvenli yazılım geliştirme bu kontrollere örnektir. Kontrollerin nasıl uygulanabileceğine dair ayrıntılı rehberlik ise ISO/IEC 27002 standardında yer alır.

Bu aşamanın çıktısı iki temel belgedir: risk işleme planı ve Uygulanabilirlik Beyanı. Uygulanabilirlik Beyanı, Ek A'daki her kontrolün uygulanıp uygulanmadığını ve gerekçesini gösterir; denetçinin ilk incelediği belgelerden biridir. Bir kontrolü kapsam dışı bırakmak mümkündür, ancak gerekçesi risk değerlendirmesiyle tutarlı olmalıdır.

Belgelendirme Süreci Adım Adım

1. Yönetim taahhüdü ve kapsam: Üst yönetimin desteğini alın, bir BGYS sorumlusu atayın ve kapsamı yazılı olarak tanımlayın.
2. Mevcut durum analizi: Standardın gereksinimlerine göre bir boşluk analizi yapın.
3. Politika ve risk metodolojisi: Bilgi güvenliği politikasını, risk değerlendirme yöntemini ve kabul kriterlerini belirleyin.
4. Risk değerlendirmesi ve işleme: Risk envanterini, işleme planını ve Uygulanabilirlik Beyanı'nı hazırlayın.
5. Kontrollerin uygulanması: Teknik ve idari kontrolleri hayata geçirin, prosedürleri yazın ve kayıt üretmeye başlayın.
6. Farkındalık eğitimi: Tüm çalışanlara rollerine uygun eğitim verin.
7. İç denetim: Sistemin standarda uygunluğunu bağımsız bir gözle denetleyin.
8. Yönetimin gözden geçirmesi: Üst yönetimin BGYS performansını değerlendirmesini ve kararlarını kayıt altına almasını sağlayın.
9. Belgelendirme denetimi: Akredite bir belgelendirme kuruluşu iki aşamalı denetim yapar. Birinci aşamada dokümantasyon ve hazırlık, ikinci aşamada kontrollerin sahada etkin biçimde uygulanıp uygulanmadığı incelenir.
10. Gözetim ve yeniden belgelendirme: Belge genellikle üç yıllık bir döngü için verilir; bu süre içinde yıllık gözetim denetimleri yapılır ve döngü sonunda yeniden belgelendirme denetimiyle yenilenir.

Denetçiler yalnızca belgelere değil, kanıtlara bakar. Erişim gözden geçirme kayıtları, yedekten geri dönüş testleri, eğitim katılım listeleri ve olay kayıtları gibi kanıtların sistem kurulduktan sonra bir süre boyunca üretilmiş olması gerekir. Bu nedenle kontrollerin uygulanması ile ikinci aşama denetimi arasında yeterli zaman bırakılmalıdır. Denetimde tespit edilen büyük uygunsuzluklar giderilmeden belgelendirme kararı verilmez; küçük uygunsuzluklar için ise bir düzeltici faaliyet planı sunulur ve kapanışları sonraki denetimlerde kontrol edilir.

KVKK ile ISO 27001 Arasındaki İlişki

6698 sayılı Kanun, veri sorumlularına kişisel verilerin güvenliği için uygun güvenlik düzeyini sağlama yükümlülüğü getirir. ISO 27001 bu yükümlülüğü yerine getirmek için güçlü bir çerçeve sunar: Risk değerlendirmesi, erişim yönetimi, log kayıtları, tedarikçi yönetimi ve olay yönetimi gibi kontroller, KVKK kapsamında beklenen teknik ve idari tedbirlerle büyük ölçüde örtüşür.

Ancak ISO 27001 belgesi tek başına KVKK uyumu anlamına gelmez. Aydınlatma yükümlülüğü, işleme şartları, açık rıza, ilgili kişi başvuruları, VERBİS ile saklama ve imha politikası gibi hukuki yükümlülükler ayrıca ele alınmalıdır. Kişisel verileri BGYS risk değerlendirmesine ayrı bir varlık grubu olarak dahil etmek, iki çalışmayı birbirine bağlamanın pratik bir yoludur. Gizlilik yönetimini daha ileri taşımak isteyen kurumlar için ISO/IEC 27701, ISO 27001'in üzerine inşa edilen bir kişisel veri yönetimi uzantısı sunar. KVKK tarafındaki adımlar için KVKK uyum rehberimize göz atabilirsiniz.

Süre ve Maliyeti Belirleyen Faktörler

ISO 27001 projesinin süresi ve maliyeti kurumdan kuruma büyük farklılık gösterir. Belirleyici faktörler şunlardır:

• Kapsamın genişliği: Kapsama dahil edilen lokasyon, hizmet ve çalışan sayısı; belgelendirme kuruluşunun denetim süresi de büyük ölçüde bu faktörlere göre belirlenir.
• Mevcut olgunluk: Yazılı politikaları, düzenli yedekleri, merkezi kimlik yönetimi ve log altyapısı olan bir kurum çok daha hızlı ilerler.
• Teknik eksikler: Risk değerlendirmesi; çok faktörlü doğrulama, merkezi log yönetimi veya felaket kurtarma altyapısı gibi yatırım gerektiren eksikleri ortaya çıkarabilir.
• İç kaynak: Projeye zaman ayırabilecek çalışanların varlığı ve üst yönetimin süreci sahiplenmesi.
• Danışmanlık modeli: Sürecin büyük bölümünü danışmana bırakmak ya da danışmanın rehberliğinde iç ekibin çalışması.
• Belgelendirme kuruluşu ücretleri: İlk belgelendirme denetimi ile sonraki yıllardaki gözetim denetimleri.

İş sürekliliği gereksinimleri de standardın bir parçasıdır; bu konuyu iş sürekliliği planı rehberimizde ayrıntılı ele aldık.

Sık Yapılan Hatalar ve Danışman Seçimi

• Belgeyi amaç hâline getirmek: Denetimi geçmek için hazırlanmış ama kimsenin uygulamadığı dokümanlar, ilk gözetim denetiminde veya ilk gerçek olayda işlevsiz kalır.
• Şablon risk analizi: Başka bir kurumdan kopyalanmış risk listesi gerçek riskleri yansıtmaz ve denetçi tarafından kolayca fark edilir.
• Her şeyi BT'ye bırakmak: BGYS bir BT projesi değil, İK'dan satın almaya kadar tüm birimleri içeren bir yönetim sistemidir.
• Aşırı dokümantasyon: Kurumun ölçeğine uygun olmayan, yönetilemeyecek kadar çok prosedür yazmak.
• Kanıt üretmemek: Kontrollerin yazılı olması, ancak uygulandığına dair kayıt bulunmaması.
• Belge sonrası rehavet: Belge alındıktan sonra risk değerlendirmesini ve iç denetimi güncellememek.

Danışman seçerken dokümanların kurumunuza özel hazırlanıp hazırlanmayacağını, iç ekibinize bilgi aktarımı yapılıp yapılmayacağını ve teknik kontrollerin uygulanmasında destek verilip verilmeyeceğini sorun. Tarafsızlık gereği, sizi belgelendirecek kuruluşun aynı zamanda danışmanlığınızı yapamayacağını da unutmayın; bu iki rol ayrı kuruluşlarca üstlenilmelidir.

Sonuç

ISO 27001, doğru bir kapsam ve gerçek bir risk değerlendirmesiyle kurgulandığında bilgi güvenliğini kişilere bağımlı olmaktan çıkarır, müşterilerinize somut bir güvence verir ve KVKK uyumuna sağlam bir teknik zemin hazırlar. Ümraniye Bilişim olarak siber güvenlik hizmetlerimiz kapsamında boşluk analizinden risk değerlendirmesine ve Ek A kontrollerinin teknik uygulamasına kadar BGYS yolculuğunuzda destek oluyoruz. Kapsamınızı ve hazırlık seviyenizi birlikte değerlendirmek için ücretsiz ön görüşme planlayalım.