ISO 27001 danışmanlığı neleri kapsar ve kurumumuza ne kazandırır?
ISO 27001 danışmanlığı; mevcut durum boşluk analizi, bilgi varlık envanteri, tehdit ve risk değerlendirmesi, politika dokümantasyonu, Annex A kontrollerinin uygulanması, iç tetkik ve belgelendirme denetimi hazırlığını kapsar; bilgi varlıklarını korurken mevzuat uyumu sağlar.
Kapsam Özeti: Türkiye genelindeki kamu ve özel sektör kuruluşlarına yönelik, ISO/IEC 27001:2022 standardına uyumlu kurumsal BGYS danışmanlığı.
Bilgi Varlıklarının Güvence Altına Alınması
ISO/IEC 27001, kurumların bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik (CIA) ilkeleri doğrultusunda korumalarını sağlayan dünyanın en saygın bilgi güvenliği yönetim sistemi standardıdır.
Bu danışmanlık programı, yalnızca bir sertifika edinmeyi değil; kurumun iş yapış biçimine entegre olan, operasyonel verimliliği artıran ve siber tehditlere karşı kurumsal dayanıklılık sağlayan yaşayan bir BGYS kurmayı hedefler.
%100 Satıcı Bağımsızlığı / Donanım ve Yazılım Satışsız Danışmanlık
Danışmanlık yaklaşımımın en temel ilkesi çıkar çatışmasız tarafsızlıktır. Herhangi bir donanım, güvenlik yazılımı, firewall, SIEM veya lisans satışı yapmamaktayım.
Pazardaki birçok entegratörün aksine, amacımız kuruluşunuza ek ürün satmak değil; mevcut teknolojik ve organizasyonel kaynaklarınızı en etkin biçimde değerlendirerek ISO/IEC 27001:2022 standart şartlarını optimum bütçe ve gerçek risk odaklı yaklaşımla karşılamaktır.
Danışmanlık Metodolojisi ve Uygulama Aşamaları
Danışmanlık süreci, kurumun ölçeğine ve kapsam sınırlarına göre yapılandırılmış 5 aşamadan oluşur:
- Hazırlık ve Boşluk (GAP) Analizi: Mevcut yönetimsel ve teknik kontroller ISO/IEC 27001:2022 maddeleri ve 93 adet Ek-A kontrolüyle karşılaştırılır; eksiklikler önceliklendirilerek kuruma özel bir uyum yol haritası çıkarılır.
- Kapsam, Varlık ve Risk Değerlendirme: BGYS sınırları belirlenir. Kurumun tüm bilgi varlıkları envanterlenir; tehdit ve zafiyetler ISO/IEC 27005 metodolojisiyle puanlanarak risk işleme planı hazırlanır.
- Kontrol Mimarisi ve Uygulanabilirlik Bildirgesi (SoA): Standardın Ek-A kontrolleri doğrultusunda kurumun ihtiyaç duyduğu güvenlik politikaları, rol tanımları, tedarikçi güvenliği prosedürleri, erişim matrisleri ve olay müdahale planları tasarlanır; SoA tablosu oluşturulur.
- Süreç İşletimi ve Farkındalık: Çalışanlara yönelik bilgi güvenliği farkındalık oturumları icra edilir; tasarlanan kontroller sahada uygulanarak kayıt ve denetim kanıtları üretilir.
- Bağımsız İç Tetkik ve Belgelendirme Denetimi Refakati: Akredite belgelendirme denetimi öncesinde kapsamlı bir iç tetkik icra edilerek prova denetim yapılır; Aşama 1 ve Aşama 2 denetimlerinde denetçi heyetinin sorularının karşılanmasında kuruma rehberlik edilir.
Somut Proje Çıktıları ve Teslimatlar
Danışmanlık projesi süresince kuruma teslim edilen resmî çalışma çıktıları:
- Ayrıntılı Boşluk Analizi (GAP) Raporu: Mevcut durum, risk puanları ve eylem planı.
- BGYS Politika ve Prosedür Kütüphanesi: Üst politika, erişim, parola, temiz masa, kriptografi, uzaktan çalışma vb. dokümantasyon seti.
- Bilgi Varlıkları Envanteri ve Risk Değerlendirme Matrisi: ISO 27005 uyumlu puanlama ve risk işleme tablosu.
- Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA): 93 kontrolün dahil edilme ve hariç tutulma teknik gerekçeleri.
- Bağımsız İç Tetkik Raporu: Denetim bulguları, düzeltici faaliyet talepleri (DÖF) ve kapanış tutanağı.
- Yönetimin Gözden Geçirmesi (YGG) Sunumu: Üst yönetim karar tutanakları ve toplantı ajandası.
Denetçi Perspektifiyle Hazırlık
Akredite belgelendirme kuruluşları adına uzun yıllardır baş denetçilik yürüten ve TÜRKAK akreditasyon tanık denetimlerinde yer alan bir uzman olarak; denetim heyetlerinin sahada hangi nesnel kanıtları aradığını, uygunsuzlukların nasıl değerlendirildiğini ve denetim psikolojisini doğrudan sürece yansıtmaktayım.
Kurumunuzun ISO/IEC 27001:2022 uyum ve belgelendirme hazırlık sürecini başlatmak için iletişim sayfamızdan ön değerlendirme ve teklif talep edebilirsiniz.
Kimler için?
- Bilgi güvenliği risklerini sistematik olarak yönetmek isteyen kuruluşlar
- BDDK, SPK, EPDK ve KVKK gibi mevzuatsal zorunluluklara tabi şirketler
- Müşteri ve iş ortaklarına güvenlik güvencesi sunmayı hedefleyen B2B teknoloji firmaları
- Kamu ihaleleri ve uluslararası tedarik zincirinde yer alan kuruluşlar
Kapsam
- Mevcut Durum Analizi ve Boşluk (Gap) Değerlendirmesi
- BGYS Kapsamının Belirlenmesi ve Liderlik Çerçevesi
- Bilgi Varlıkları Envanteri ve Sahiplik Yapısı
- ISO 27005 Uyumlu Risk Değerlendirme ve Risk İşleme Metodolojisi
- Ek-A (Annex A) Kontrollerinin Seçimi ve Uygulanabilirlik Bildirgesi (SoA) Tasarımı
- Politika, Prosedür ve Süreç Dokümantasyonu Mimarisi
- Tedarikçi Güvenliği, Erişim Kontrolü ve Olay Yönetimi Prosedürleri
- Bağımsız İç Tetkik ve Yönetimin Gözden Geçirmesi (YGG) Hazırlığı
- Belgelendirme Denetimi Aşama 1 ve Aşama 2 Rehberliği
Yaklaşım
- Aşama 1: Kapsam Belirleme ve Mevcut Durum Gap Analizi
- Aşama 2: Risk Değerlendirme, Varlık Envanteri ve Tehdit Modellemesi
- Aşama 3: Dokümantasyon Tasarımı ve Kontrol Uygulamaları
- Aşama 4: Farkındalık Çalıştayları ve Süreç İşletimi
- Aşama 5: İç Tetkik, YGG ve Belgelendirme Denetimi Desteği
Çıktılar
- Ayrıntılı Boşluk (Gap) Analizi ve Aksiyon Planı Raporu
- Kurumsal Bilgi Güvenliği Politikaları ve Alt Prosedürleri Paketi
- Bilgi Varlıkları Envanteri ve Risk Değerlendirme Matrisi
- Uygulanabilirlik Bildirgesi (Statement of Applicability - SoA)
- İç Tetkik Raporu ve Düzeltici Faaliyet Takip Tablosu
- Yönetimin Gözden Geçirmesi (YGG) Toplantı Tutanağı ve Sunumu
Sık Sorulan Sorular
ISO/IEC 27001 belgelendirme süreci tipik olarak ne kadar sürer?
Kuruluşun ölçeğine, mevcut güvenlik olgunluğuna ve kapsamına bağlı olarak genellikle 3 ila 6 ay arasında tamamlanır. Süreç gap analizi ile başlar, sistem tasarımı, işletimi ve denetim aşamalarıyla devam eder.
ISO/IEC 27001:2022 revizyonu neleri değiştirdi?
Yeni sürümde kontroller 4 ana temada (Organizasyonel, İnsan, Fiziksel ve Teknolojik) 93 kontrole konsolide edilmiş; Tehdit İstihbaratı, Bulut Güvenliği, Veri Sızıntısı Önleme (DLP) ve Güvenli Kodlama gibi yeni kontroller eklenmiştir.
Belgelendirme denetiminde danışman desteği sağlanıyor mu?
Evet. Akredite belgelendirme kuruluşunun gerçekleştirdiği Aşama 1 ve Aşama 2 denetimlerinde, denetçilerin sorularının doğru karşılanması ve olası bulguların yönetilmesinde kuruma eşlik edilmektedir.
Hizmet Değerlendirmeleri ve Sorular
Bu danışmanlık hizmeti için henüz bir değerlendirme bulunmuyor. Hizmet kapsamı veya kurumsal ihtiyaçlarınız hakkındaki sorularınızı iletebilirsiniz.
Hizmet Hakkında Soru / Değerlendirme Gönder
Danışmanlık metodolojisi, denetim kapsamı veya kurumsal ihtiyaçlarınız hakkındaki sorularınızı paylaşabilirsiniz. Yorumlar onaylandıktan sonra yayımlanmaktadır.