Kurumlarda ISO/IEC 27001:2022 Uygulaması
ISO/IEC 27001:2022 belgelendirmesinin kurumlarda nasıl kurulacağını, kapsam belirlemeden sertifikasyon denetimine kadar adım adım anlatan uygulama rehberi.
ISO/IEC 27001:2022, kurumların bilgi varlıklarını korumak için kurduğu yönetim sistemini uluslararası bir standarda göre belgelendirmesini sağlar. Standart tek bir teknik önlemden değil, riskin sürekli değerlendirildiği ve kontrollerin düzenli gözden geçirildiği bir yönetim döngüsünden oluşur. Bu rehber, sistemi adım adım nasıl kuracağınızı ve belgelendirmeye nasıl hazırlanacağınızı anlatır. Standardın kendisi ücretlidir ve bu sayfa onun yerini tutmaz; madde numaraları ve kontrol sayıları için ISO’nun veya ulusal standart kuruluşunun yayımladığı güncel metne bakın.
ISO/IEC 27001:2022 nedir?
Standart, bir Bilgi Güvenliği↗ Yönetim Sistemi (BGYS) kurmanızı ister: bilgi güvenliğiyle ilgili politika, sorumluluk, süreç ve kontrollerin bir bütün olarak yönetildiği yapı. 2022 sürümü, 2013 sürümünün yerini almıştır. Ek A’daki kontrol kümesi yeniden gruplanmış ve güncel konulara (bulut hizmetleri, tehdit istihbaratı↗, veri sızıntısı önleme gibi) yer verilmiştir; sayılar ve tam liste için standart metnine bakın.
Zorunlu bölümler ve Ek A ayrımı
| Parça | Niteliği | Ne içerir? |
|---|---|---|
| Ana gövde (4–10. maddeler) | Zorunlu; belgelendirilmek için karşılanmalıdır | Kurumun bağlamı, liderlik, planlama (risk), destek, işletim, performans değerlendirme, iyileştirme |
| Ek A | Risk işlemeye göre seçilir; dışarıda bıraktığınız kontrolün gerekçesi yazılır | Organizasyonel, insan, fiziksel ve teknolojik kontroller |
Kurumunuza katkısı
- Bilgi güvenliği çalışmalarını dağınık önlemlerden ölçülebilir ve denetlenebilir bir sisteme taşır.
- Müşteri ve tedarikçi sözleşmelerinde aranan bir güven belgesi sağlar.
- Kişisel verilerin korunmasına yönelik yükümlülüklerin karşılanmasını kolaylaştırır; ancak tek başına KVKK↗ uyumu anlamına gelmez.
- Olay öncesinde risklerin görülmesini, olay sonrasında sorumluluğun netliğini sağlar.
Uygulama adımları
1. Kapsam ve bağlamı belirleyin
BGYS’nin hangi birimleri, sistemleri ve konumları kapsayacağını yazılı tanımlayın. Kapsam çok genişse süreç yavaşlar, çok darsa belgenin değeri düşer. İç ve dış paydaşları (müşteriler, düzenleyiciler, tedarikçiler) ve beklentilerini listeleyin.
2. Liderlik ve politika
Üst yönetim, bilgi güvenliği politikasını onaylar, rolleri atar ve kaynak ayırır. Yönetimin desteği olmadan sistem kâğıt üzerinde kalır.
3. Risk değerlendirmesi yapın
Bilgi varlıklarınızı (veri, sistem, donanım, insan) çıkarın; gizlilik, bütünlük ve erişilebilirlik açısından riskleri belirleyin ve risk kabul ölçütlerinizi yazılı hale getirin. Risk değerlendirmesi tek seferlik değildir; planlı aralıklarla ve önemli değişikliklerde tekrarlanır.
4. Kontrolleri seçin (Ek A) ve Uygulanabilirlik Bildirgesi
Risk işleme planınıza göre gerekli kontrolleri belirleyin. Seçtiğiniz ve dışarıda bıraktığınız kontrolleri gerekçeleriyle birlikte Uygulanabilirlik Bildirgesi’nde (SoA) belgelendirin. Tedarikçi ve iş ortaklarından kaynaklanan riskler bu aşamada sık gözden kaçar.
5. Politika, prosedür ve farkındalık
Seçilen kontrolleri destekleyen yazılı politika ve prosedürleri hazırlayın; rolleri açık tanımlayın; çalışanlara görevlerine uygun düzenli farkındalık eğitimi verin.
6. İzleme, iç denetim ve yönetim gözden geçirmesi
Sistemin çalıştığını görmek için ölçüm yapın, belgelendirme denetiminden önce bağımsız bir iç denetim gerçekleştirin ve bulguları düzeltici faaliyetlerle kapatın. Üst yönetim sistemi planlı aralıklarla resmî olarak gözden geçirir.
7. Belgelendirme denetimi
Bağımsız bir belgelendirme kuruluşu denetimi genellikle iki aşamada yürütür: önce dokümantasyonun standarda uygunluğu, sonra uygulamanın sahada işlediği incelenir. Belge alındıktan sonra gözetim denetimleri ve süre sonunda yeniden belgelendirme yapılır. Kuruluşun akreditasyonunu ve belgelendirme programını önceden kontrol edin.
Sık yapılan hatalar
- Belgeyi amaç haline getirip günlük iş süreçlerinden kopuk tutmak.
- Risk değerlendirmesini bir kez yapıp güncellememek.
- Kontrolleri seçerken tedarik zincirinden gelen riskleri göz ardı etmek.
- Farkındalığı yalnızca belgelendirme öncesinde tek seferlik eğitimle sınırlamak.
- Uygulanabilirlik Bildirgesi’ni gerekçesiz doldurmak.
Belgelendirme sonrası: sürekli iyileştirme
Belge son adım değil, sürecin başlangıcıdır. BGYS’nin değerini koruması için olay yönetimi ve iş sürekliliği↗ süreçlerinin belgelendirme sonrasında da düzenli işletilmesi gerekir.
ISO/IEC 27001:2022, tek seferlik bir belge değil, riskin sürekli değerlendirildiği bir yönetim döngüsüdür.
Kaynaklar ve son gözden geçirme
- ISO/IEC 27001:2022, Information security management systems — Requirements (standart metni için ISO veya Türk Standardları Enstitüsü).
Son gözden geçirme: 21 Ekim 2026. Bu içerik bilgilendirme amaçlıdır; standart metninin yerine geçmez.
