ISO 27001:2022 Bilgi Güvenliği Yönetim Sistemi

?ISO 27001:2022 nedir?

ISO/IEC 27001, bilgi güvenliği yönetim sistemleri için dünyada en yaygın kullanılan standarttır. Bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik açısından korumak için risk bazlı bir yönetim çerçevesi sağlar.

?ISO 27001 belgelendirme süreci nasıldır?

Önce bilgi varlıkları envanteri çıkarılır, risk değerlendirmesi yapılır ve uygun kontroller seçilir. Politikalar, prosedürler ve kayıtlar oluşturulur; iç tetkik ve yönetim gözden geçirmesi tamamlandıktan sonra akredite kuruluşa başvuru yapılarak belgelendirme denetimi gerçekleştirilir.

?ISO 27001 belgesinin faydaları nelerdir?

Bilgi güvenliği risklerini kontrol altına alır, veri ihlali riskini ve olası itibar kayıplarını azaltır, yasal ve sözleşmesel gerekliliklere uyumu kolaylaştırır ve müşteri güvenini artırır.

?ISO 27001 belgesinin maliyeti nelere bağlıdır?

Çalışan sayısı, lokasyon sayısı, bilgi sistemleri altyapısının büyüklüğü, dış kaynak kullanım düzeyi ve mevcut güvenlik kontrolleri maliyeti belirler. Denetim adam-gün süresi ve gerekiyorsa teknik/dokümantasyon danışmanlığı bütçeye eklenir.

?ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesi kimler için?

ISO 27001 her tür, boyut ve sektör kuruluşları için uygundur. Yeterli sayıda personeli olmayan işletmeler bile ISO 27001 Kalite Yönetim Sistemi Belgesine sahip olabilirler.

?ISO 27001 Belgesi zorunlu mudur?

Gümrük ve Ticaret Bakanlığına bağlı Risk Yönetimi ve Kontrol Genel Müdürlüğünün Yetkili Yükümlü Sertifikası alacak firmalarda başvurularda arayacağı belgeler arasında ISO 27001 Belgesi alma zorunluluğu getirilmiştir. ISO 27001 Belgesinin alma zorunluluğunun yanı sıra ISO 9001 Belgesi de istenmektedir.

?ISO 27001:2022 revizyonundaki başlıca değişiklikler nelerdir?

• Yapısal değişiklikler: Standart, Annex SL yapısına uyumla diğer yönetim sistemleriyle hizalanmıştır.
• Kontrollerde güncellemeler: Annex A'daki kontrol sayısı 114’ten 93’e indirilmiş, yeni kontroller eklenmiş ve dört kategori altında yeniden gruplanmıştır.
• Risk yönetimi: Risklerin tanımlanması, değerlendirilmesi ve yönetimine dair gereklilikler netleştirilmiştir.
• Terminoloji ve tanımlar: Daha açık ve anlaşılır bir dil için güncellemeler yapılmıştır.
• Dokümantasyon gereksinimleri: Kuruluşların bağlamına göre uyarlanabilecek esneklikler tanımlanmıştır.