Standart nedir
ISO/IEC 27001, bilgi güvenliği yönetim sisteminin (BGYS) şartlarını tanımlar. 9001 ve 14001 ile aynı 10 maddelik iskelete oturur; ayrıldığı yer, standardın sonundaki Ek A'dır — 93 güvenlik kontrolünden oluşan bir referans liste.
Mevcut baskı ISO/IEC 27001:2022'dir. 2013 baskısına göre en büyük değişiklik Ek A'nın yeniden düzenlenmesidir: kontrol sayısı 114'ten 93'e indi, 14 alan yerine 4 tema geldi, ve 11 yeni kontrol eklendi (tehdit istihbaratı, bulut hizmetleri güvenliği, veri sızıntısı önleme, güvenli kodlama gibi).
Standardın en çok yanlış anlaşılan yanı şu: 93 kontrolün hepsini uygulama zorunluluğu yoktur. Ek A bir kontrol listesi değil, bir referanstır. Hangi kontrolün uygulanacağını risk değerlendirmen belirler; uygulamadığın kontrolün gerekçesini yazarsın. Bu belge uygulanabilirlik bildirgesidir.
Gizlilik, bütünlük, erişilebilirlik
Bilgi güvenliği üç boyutta ele alınır ve bir varlık için hangi boyutun kritik olduğu, alınacak kontrolün türünü doğrudan belirler. Aynı veri tabanı için gizlilik öncelikliyse şifreleme ve erişim yetkilendirmesi, erişilebilirlik öncelikliyse yedekleme ve yedekli altyapı gündeme gelir.
| Boyut | Ne demek | Kargo operasyonunda ihlali |
|---|---|---|
| Gizlilik | Bilgiye yalnızca yetkili erişebilir | Alıcı adres ve telefon verisinin dışarı sızması |
| Bütünlük | Bilgi doğru ve değiştirilmemiş | Gönderi ağırlık kaydının değiştirilip ücretin yanlış hesaplanması |
| Erişilebilirlik | Bilgiye ihtiyaç duyulduğunda ulaşılabilir | Takip sisteminin çökmesi, barkod okuyucuların çevrimdışı kalması |
Ek A — 93 kontrol
| Tema | Alan | Kontrol | Pay | Örnek kontroller |
|---|---|---|---|---|
| A.5 | Organizasyonel | 37 | %39,8 | Politikalar, roller, tedarikçi ilişkileri, olay yönetimi |
| A.6 | İnsan | 8 | %8,6 | Tarama, farkındalık eğitimi, disiplin süreci, gizlilik sözleşmesi |
| A.7 | Fiziksel | 14 | %15,1 | Güvenli alanlar, ekipman koruma, temiz masa, kablolama |
| A.8 | Teknolojik | 34 | %36,6 | Erişim yönetimi, şifreleme, yedekleme, günlük kayıt, güvenli geliştirme |
| — | Toplam | 93 | %100 |
Organizasyonel + insan = (37 + 8) ÷ 93 × 100 = %48,4
Teknolojik pay = 34 ÷ 93 × 100 = %36,6
Bu dağılımın söylediği şey önemlidir: kontrollerin yalnızca %36,6'sı teknolojik. Neredeyse yarısı (%48,4) organizasyonel ve insan kaynaklı. BGYS'yi bilgi işlem departmanına havale eden kuruluş, standardın yarısını kapsam dışı bırakmış olur. Bu yüzden BGYS bir yönetim sistemi projesidir, bir BT projesi değil.
Risk işleme
Standart risk değerlendirme yöntemini dayatmaz ve seçimi kuruluşa bırakır. En yaygın uygulama, her varlık ile ona yönelen tehdit çifti için olasılık ve etkiyi puanlamak ve bu ikisinin çarpımından bir risk skoru üretmektir. Yöntem basit olduğu kadar şeffaftır; hangi riskin neden öne çıktığı tabloya bakılarak izlenebilir.
Çözümlü örnek — risk kütüğünden 4 kayıt
Olasılık (O) ve Etki (E) 1–5 arası puanlanır. Risk skoru R = O × E. Kuruluşun kabul edilebilir risk eşiği: R ≤ 8. Eşiğin üstündeki her risk için işleme kararı verilmesi zorunludur.
| Varlık | Tehdit | O | E | R | Karar |
|---|---|---|---|---|---|
| Alıcı kişisel veri tabanı | Yetkisiz erişim / sızıntı | 3 | 5 | 15 | Azalt |
| Takip sistemi | Hizmet kesintisi | 4 | 4 | 16 | Azalt |
| Kurye mobil cihazları | Cihaz kaybı / çalınması | 4 | 3 | 12 | Azalt |
| Basılı sevk irsaliyesi arşivi | Yangın | 1 | 4 | 4 | Kabul et |
En yüksek risk = takip sistemi kesintisi, R = 4 × 4 = 16
Azaltma sonrası hedef (mobil cihaz): O 4 → 2 ⇒ R = 2 × 3 = 6 (eşik altına iner)
Dört işleme seçeneği vardır ve hepsi meşrudur:
- Azalt — kontrol uygula. Mobil cihaz riski için A.8.1 (uç nokta cihazları) ve A.8.24 (şifreleme): cihazlarda tam disk şifreleme ve uzaktan silme.
- Aktar — sigorta veya sözleşmeyle üçüncü tarafa devret.
- Kaçın — riski üreten faaliyeti bırak. Basılı arşivi tümüyle dijitalleştirmek gibi.
- Kabul et — eşik altındaysa gerekçesiyle kabul edilir. Yangın riski R = 4, eşik 8'in altında; kayıt kütükte kalır ama kontrol uygulanmaz.
Kritik nokta: "Kabul et" bir eylemsizlik değil, yazılı bir karardır ve karar sahibi bellidir. Denetçi bu kararın kim tarafından, hangi gerekçeyle verildiğini sorar.
Uygulanabilirlik bildirgesi
Uygulanabilirlik bildirgesi (SoA — Statement of Applicability), Ek A'daki 93 kontrolün her biri için üç şeyi yazan belgedir: uygulanıyor mu, uygulanma gerekçesi ne, uygulanmıyorsa neden.
BGYS'nin zorunlu ve en çok denetlenen belgesidir. Denetçinin ilk istediği doküman genelde budur, çünkü tek başına sistemin olgunluğunu gösterir.
Örnek — SoA'dan 3 satır
| Kontrol | Adı | Durum | Gerekçe |
|---|---|---|---|
| A.5.7 | Tehdit istihbaratı | Uygulanıyor | Risk 16 (takip sistemi kesintisi) için erken uyarı ihtiyacı |
| A.8.24 | Kriptografi kullanımı | Uygulanıyor | Risk 15 ve 12 için; KVKK 6698 uyumu |
| A.7.11 | Destekleyici hizmetler (elektrik, su) | Uygulanmıyor | Veri merkezi hizmeti dış sağlayıcıdan alınıyor; kontrol sözleşmeyle devredilmiş |
Üçüncü satırdaki gibi bir "uygulanmıyor" kaydı sorun değildir — gerekçesiz uygulanmıyor kaydı sorundur. 93 kontrolün hepsini "uygulanıyor" işaretlemek ise daha büyük bir sorundur: risk değerlendirmesinin yapılmadığını gösterir.
Sık karşılaşılan hatalar
Doksan üç kontrolün tamamını uygulamaya çalışmak. Ek A bir referans listesidir, doldurulması gereken bir kontrol listesi değil. Riskle ilişkilendirilmeden uygulanan her kontrol, karşılığı olmayan bir kaynak harcaması anlamına gelir.
Bilgi güvenliği yönetim sistemini bir BT projesi sanmak. Kontrollerin yalnızca %36,6'sı teknolojik; geri kalanın büyük kısmı organizasyonel ve insan kaynaklı. Sistem bilgi işlem departmanına havale edildiğinde standardın yarısından fazlası kapsam dışında kalır.
Varlık envanterini atlamak. Neyin korunduğu bilinmeden risk değerlendirilemez. Envanteri olmayan bir kuruluşun risk kütüğü, gerçek varlıklara değil hatırlananlara dayanan bir tahmin listesidir.
Risk kütüğünü bir kez doldurup bir daha açmamak. 9.1 maddesi periyodik gözden geçirme ister. Güncellenmeyen bir kütük denetimde kanıt olarak kabul edilmez, çünkü riskler değişirken kayıt sabit kalmıştır.
Kişisel veri mevzuatıyla karıştırmak. ISO 27001 bilgi güvenliğinin tamamını kapsar; kişisel veri koruması bunun bir alt kümesidir. O taraf için ISO 27701 eklentisi ve 6698 sayılı kanun ayrı olarak ele alınmalıdır.