Çukurova Patent | ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi

ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi

ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi, bir kuruluşun bilgi güvenliği yönetimini sistematik ve sürekli bir şekilde sağladığını belgeleyen uluslararası standart sertifikadır.

Bu standart, bilgi varlıklarını korumak için gerekli politikalar, prosedürler ve kontrollerin oluşturulmasını ve uygulanmasını gerektirir. Amaç; bilgi güvenliği risklerini minimize etmek, gizlilik, bütünlük ve erişilebilirlik gibi temel bilgi güvenliği prensiplerini sağlamak ve böylece kuruluşun veri güvenliğini güvence altına almaktır.

Ne İşe Yarar?

Kimler Alabilir?

ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi, bilgi güvenliğini yönetmek isteyen her türlü kuruluş tarafından alınabilir. Özellikle aşağıdaki türdeki organizasyonlar için uygundur:

Kamu kurumları

Özel şirketler (KOBİ’ler veya büyük ölçekli şirketler)

Finans kuruluşları ve bankalar

Sağlık sektörü kuruluşları

BT ve yazılım firmaları

Telekomünikasyon şirketleri

E-ticaret ve dijital hizmet sağlayıcıları

Üretim ve sanayi kuruluşları

Eğitim kurumları

Alma Şartları Nelerdir?

ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi almak için genel olarak aşağıdaki şartlar yerine getirilmelidir:

Bilgi Güvenliği Yönetim Sistemi (BGYS) Kurulumu:

Kuruluş, ISO 27001 standardına uygun olarak bilgi güvenliği politikaları, prosedürleri ve kontrollerini içeren bir yönetim sistemi kurmalıdır.

Risk Değerlendirmesi ve Yönetimi:

Kuruluş, bilgi varlıklarına yönelik riskleri belirlemeli, analiz etmeli ve kabul edilebilir seviyeye indirgemek için uygun önlemler (kontroller) almalıdır.

Dokümantasyon:

Tüm süreçler, politikalar, prosedürler ve uygulamalar yazılı hale getirilmelidir. Bu dokümantasyon, standart gerekliliklerine uygun olmalıdır.

Uygulama ve İşletme:

Kuruluş, belirlenen politikaları ve kontrolleri etkin şekilde uygulamalı ve bilgi güvenliği yönetimini günlük operasyonlarının parçası haline getirmelidir.

İç Tetkik ve Yönetim Gözden Geçirmesi:

BGYS'nin etkinliğini ve uygunluğunu sağlamak için düzenli iç denetimler yapılmalı, yönetim tarafından gözden geçirilmelidir.

Sürekli İyileştirme:

Bulunan uygunsuzluklar düzeltilmeli, iyileştirme faaliyetleri sürekli devam etmelidir.

Belgelendirme Denetimi:

Bağımsız bir belgelendirme kuruluşu tarafından yapılan denetimi başarıyla geçmek gereklidir.

Personel Eğitimi ve Farkındalık:

Çalışanlar bilgi güvenliği konusunda bilinçlendirilmeli ve eğitimlerle donatılmalıdır.

Alınma Süresi Kaç Aydır?

ISO 27001:2005 Belgesinin alınma süresi, kuruluşun büyüklüğü, mevcut bilgi güvenliği uygulamaları ve hazırlık durumuna göre değişir. Ancak genel olarak süreç şu şekilde işler:

Hazırlık ve BGYS Kurulumu: 2 ila 6 ay arası (bazı durumlarda daha uzun olabilir)

Dokümantasyon ve Uygulama: 1 ila 3 ay

İç Tetkik ve Düzeltici Faaliyetler: 1 ila 2 ay

Belgelendirme Denetimi: 1 ila 2 ay

Toplamda ortalama 4 ila 9 ay sürebilir.

Eğer kuruluş önceden bazı sistemlere sahipse veya hazırsa bu süre kısalabilir. Çok büyük veya karmaşık yapılarda ise süre uzayabilir.

Yani, standart bir süreç olarak 6 ay civarı kabul edilebilir ama bu tamamen kurumun durumuna bağlıdır.

Akreditasyon Türleri Nelerdir?

Ulusal Akreditasyon:

Belgelendirme kuruluşlarının kendi ülkelerinde yetkili akreditasyon kurumları tarafından verilen akreditasyondur. Örneğin, Türkiye’de TÜRKAK (Türk Akreditasyon Kurumu) tarafından verilir.

Uluslararası Akreditasyon:

Ulusal akreditasyon kurumlarının uluslararası platformlarda tanınmasını sağlayan ve akreditasyonun geçerliliğini artıran türdür. Örneğin, IAF (International Accreditation Forum) üyesi olan akreditasyon kurumları tarafından verilenler.

Sektörel Akreditasyon:

Bazı özel sektörlerde veya belirli uygulama alanlarında geçerli olan ve sektörel ihtiyaçlara göre verilen akreditasyon türüdür.

Gözetim ve Yenileme Akreditasyonu:

Belgelendirme kuruluşlarının periyodik olarak denetlendiği ve akreditasyonun devamlılığını sağlayan süreçtir.

KOSGEB Desteği Var Mı?

Evet, KOSGEB, ISO 27001:2005 Bilgi Güvenliği Yönetim Sistemi Belgesi alımını desteklemektedir. Bu destek, özellikle KOBİ'lerin bilgi güvenliği yönetim sistemlerini kurmalarını ve belgelendirmelerini teşvik etmeyi amaçlamaktadır.

Gerekli Evraklar Nelerdir?

ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi başvurusu ve belgelendirme sürecinde genellikle aşağıdaki evraklar talep edilir:

Başvuru Formu:

Belgelendirme kuruluşuna yapılan resmi başvuru formu.

Kuruluş Bilgileri:

Şirketin veya kurumun ticaret sicil gazetesi, vergi levhası, faaliyet belgesi gibi temel resmi dokümanları.

BGYS Dokümantasyonu:

Bilgi Güvenliği Politikası

Risk Değerlendirme ve Yönetim Raporları

Prosedürler ve Talimatlar

İç tetkik raporları

Yönetim gözden geçirme kayıtları

Eğitim Kayıtları:

Personelin bilgi güvenliği eğitimi aldığını gösteren belgeler.

İç Tetkik ve Düzeltici Faaliyet Kayıtları:

İç denetim raporları ve yapılan iyileştirmelerin kayıtları.

Diğer İlgili Belgeler:

Eğer KOSGEB gibi destek programlarına başvuruluyorsa, destek başvuru evrakları ve proje dokümanları.

Bu evraklar, kuruluşun bilgi güvenliği yönetim sistemini standartlara uygun şekilde kurduğunu ve uyguladığını kanıtlamak için gereklidir.

İhalelerde İsteniyor Mu?

Evet, ISO 27001:2005 Bilgi Güvenliği Yönetim Sistem Belgesi günümüzde özellikle birçok kamu ve özel sektör ihalesinde güvenlik ve bilgi yönetimi gerekliliği olarak talep edilmektedir.

Hazırlanması Gereken Dokümanlar

Bilgi Güvenliği Politikası
Kuruluşun bilgi güvenliği konusundaki genel amaçları ve taahhütlerini içeren üst yönetim tarafından onaylanmış doküman.
Kapsam Belgesi
Bilgi Güvenliği Yönetim Sisteminin kapsamını ve uygulama alanını belirten doküman.
Risk Değerlendirme ve Risk Yönetimi Dokümanları
Bilgi varlıklarının risk analizi, risklerin değerlendirilmesi ve bunlara karşı alınacak önlemleri içeren raporlar.
Prosedürler ve Talimatlar
- Erişim Kontrol Prosedürü
- Olay Yönetimi Prosedürü
- İş Sürekliliği Yönetimi Prosedürü
- Varlık Yönetimi Prosedürü
- Eğitim ve Farkındalık Prosedürü
İç Tetkik Planı ve Raporları
BGYS’nin etkinliğini değerlendirmek için yapılan iç denetimlerin planlanması ve sonuçları.
Düzeltici ve Önleyici Faaliyet Kayıtları
Tespit edilen uygunsuzlukların giderilmesine yönelik alınan önlemler.
Yönetim Gözden Geçirme Raporları
Üst yönetimin BGYS performansını değerlendirdiği toplantı tutanakları ve sonuçları.
Eğitim Kayıtları
Personelin bilgi güvenliği konusunda aldığı eğitim ve farkındalık çalışmaları kayıtları.
Belgelendirme Başvuru ve İlgili Evraklar
Başvuru formları, resmi yazışmalar ve benzeri dokümanlar.

Süreci Hangi Bölümler Yürütür/Yönetir?

ISO 27001 süreci, üst yönetim tarafından yönlendirilir ve gerekli kaynaklar sağlanır. Bilgi Güvenliği Yöneticisi, sistemin kurulumu, uygulanması ve takibinden sorumludur. BT departmanı teknik güvenlik önlemlerini uygular, İnsan Kaynakları ise eğitim ve farkındalık çalışmalarını yürütür. Kalite veya İç Denetim birimi, iç tetkiklerle süreci değerlendirir. Tüm çalışanlar da bilgi güvenliği kurallarına uymakla yükümlüdür. Böylece kurum genelinde işbirliğiyle sistem yönetilir.