Özkan Yılmaz

Konular / ISO ve yönetim sistemleri / ISO 27001

ISO 27001

Bilgi güvenliği yönetim sistemi standardı. Ek A'daki 93 kontrolüyle ISO ailesinin en somut, aynı zamanda en çok yanlış anlaşılan standardı.

Standart nedir

ISO/IEC 27001, bilgi güvenliği yönetim sisteminin (BGYS) şartlarını tanımlar. 9001 ve 14001 ile aynı 10 maddelik iskelete oturur; ayrıldığı yer, standardın sonundaki Ek A'dır — 93 güvenlik kontrolünden oluşan bir referans liste.

Mevcut baskı ISO/IEC 27001:2022'dir. 2013 baskısına göre en büyük değişiklik Ek A'nın yeniden düzenlenmesidir: kontrol sayısı 114'ten 93'e indi, 14 alan yerine 4 tema geldi, ve 11 yeni kontrol eklendi (tehdit istihbaratı, bulut hizmetleri güvenliği, veri sızıntısı önleme, güvenli kodlama gibi).

Standardın en çok yanlış anlaşılan yanı şu: 93 kontrolün hepsini uygulama zorunluluğu yoktur. Ek A bir kontrol listesi değil, bir referanstır. Hangi kontrolün uygulanacağını risk değerlendirmen belirler; uygulamadığın kontrolün gerekçesini yazarsın. Bu belge uygulanabilirlik bildirgesidir.

Gizlilik, bütünlük, erişilebilirlik

Bilgi güvenliği üç boyutta ele alınır ve bir varlık için hangi boyutun kritik olduğu, alınacak kontrolün türünü doğrudan belirler. Aynı veri tabanı için gizlilik öncelikliyse şifreleme ve erişim yetkilendirmesi, erişilebilirlik öncelikliyse yedekleme ve yedekli altyapı gündeme gelir.

Üç boyutun kargo operasyonundaki karşılıkları.
BoyutNe demekKargo operasyonunda ihlali
GizlilikBilgiye yalnızca yetkili erişebilirAlıcı adres ve telefon verisinin dışarı sızması
BütünlükBilgi doğru ve değiştirilmemişGönderi ağırlık kaydının değiştirilip ücretin yanlış hesaplanması
ErişilebilirlikBilgiye ihtiyaç duyulduğunda ulaşılabilirTakip sisteminin çökmesi, barkod okuyucuların çevrimdışı kalması
Üç boyutun aynı anda en üst düzeye çıkarılması mümkün değildir, çünkü aralarında doğal bir gerilim vardır. Erişilebilirliği artırmak için sistemi daha geniş bir kullanıcı kitlesine açmak gizliliği düşürür; gizliliği artırmak için erişimi daraltmak ise işin yavaşlamasına yol açar. Bilgi güvenliği yönetim sistemi kurmak, bu dengenin nerede kurulacağına bilinçli olarak karar vermek ve kararı yazılı hale getirmektir.

Ek A — 93 kontrol

ISO/IEC 27001:2022 Ek A tema dağılımı. Toplam 93 kontrol.
TemaAlanKontrolPayÖrnek kontroller
A.5Organizasyonel37%39,8Politikalar, roller, tedarikçi ilişkileri, olay yönetimi
A.6İnsan8%8,6Tarama, farkındalık eğitimi, disiplin süreci, gizlilik sözleşmesi
A.7Fiziksel14%15,1Güvenli alanlar, ekipman koruma, temiz masa, kablolama
A.8Teknolojik34%36,6Erişim yönetimi, şifreleme, yedekleme, günlük kayıt, güvenli geliştirme
Toplam93%100
Organizasyonel pay = 37 ÷ 93 × 100 = %39,8
Organizasyonel + insan = (37 + 8) ÷ 93 × 100 = %48,4
Teknolojik pay = 34 ÷ 93 × 100 = %36,6

Bu dağılımın söylediği şey önemlidir: kontrollerin yalnızca %36,6'sı teknolojik. Neredeyse yarısı (%48,4) organizasyonel ve insan kaynaklı. BGYS'yi bilgi işlem departmanına havale eden kuruluş, standardın yarısını kapsam dışı bırakmış olur. Bu yüzden BGYS bir yönetim sistemi projesidir, bir BT projesi değil.

Risk işleme

Standart risk değerlendirme yöntemini dayatmaz ve seçimi kuruluşa bırakır. En yaygın uygulama, her varlık ile ona yönelen tehdit çifti için olasılık ve etkiyi puanlamak ve bu ikisinin çarpımından bir risk skoru üretmektir. Yöntem basit olduğu kadar şeffaftır; hangi riskin neden öne çıktığı tabloya bakılarak izlenebilir.

Çözümlü örnek — risk kütüğünden 4 kayıt

Olasılık (O) ve Etki (E) 1–5 arası puanlanır. Risk skoru R = O × E. Kuruluşun kabul edilebilir risk eşiği: R ≤ 8. Eşiğin üstündeki her risk için işleme kararı verilmesi zorunludur.

VarlıkTehditOERKarar
Alıcı kişisel veri tabanıYetkisiz erişim / sızıntı3515Azalt
Takip sistemiHizmet kesintisi4416Azalt
Kurye mobil cihazlarıCihaz kaybı / çalınması4312Azalt
Basılı sevk irsaliyesi arşiviYangın144Kabul et
Eşik üstü risk sayısı = 3 / 4  ·  oran = %75
En yüksek risk = takip sistemi kesintisi, R = 4 × 4 = 16
Azaltma sonrası hedef (mobil cihaz): O 4 → 2  ⇒  R = 2 × 3 = 6 (eşik altına iner)

Dört işleme seçeneği vardır ve hepsi meşrudur:

  1. Azalt — kontrol uygula. Mobil cihaz riski için A.8.1 (uç nokta cihazları) ve A.8.24 (şifreleme): cihazlarda tam disk şifreleme ve uzaktan silme.
  2. Aktar — sigorta veya sözleşmeyle üçüncü tarafa devret.
  3. Kaçın — riski üreten faaliyeti bırak. Basılı arşivi tümüyle dijitalleştirmek gibi.
  4. Kabul et — eşik altındaysa gerekçesiyle kabul edilir. Yangın riski R = 4, eşik 8'in altında; kayıt kütükte kalır ama kontrol uygulanmaz.

Kritik nokta: "Kabul et" bir eylemsizlik değil, yazılı bir karardır ve karar sahibi bellidir. Denetçi bu kararın kim tarafından, hangi gerekçeyle verildiğini sorar.

Uygulanabilirlik bildirgesi

Uygulanabilirlik bildirgesi (SoA — Statement of Applicability), Ek A'daki 93 kontrolün her biri için üç şeyi yazan belgedir: uygulanıyor mu, uygulanma gerekçesi ne, uygulanmıyorsa neden.

BGYS'nin zorunlu ve en çok denetlenen belgesidir. Denetçinin ilk istediği doküman genelde budur, çünkü tek başına sistemin olgunluğunu gösterir.

Örnek — SoA'dan 3 satır

KontrolAdıDurumGerekçe
A.5.7Tehdit istihbaratıUygulanıyorRisk 16 (takip sistemi kesintisi) için erken uyarı ihtiyacı
A.8.24Kriptografi kullanımıUygulanıyorRisk 15 ve 12 için; KVKK 6698 uyumu
A.7.11Destekleyici hizmetler (elektrik, su)UygulanmıyorVeri merkezi hizmeti dış sağlayıcıdan alınıyor; kontrol sözleşmeyle devredilmiş

Üçüncü satırdaki gibi bir "uygulanmıyor" kaydı sorun değildir — gerekçesiz uygulanmıyor kaydı sorundur. 93 kontrolün hepsini "uygulanıyor" işaretlemek ise daha büyük bir sorundur: risk değerlendirmesinin yapılmadığını gösterir.

Sık karşılaşılan hatalar

Doksan üç kontrolün tamamını uygulamaya çalışmak. Ek A bir referans listesidir, doldurulması gereken bir kontrol listesi değil. Riskle ilişkilendirilmeden uygulanan her kontrol, karşılığı olmayan bir kaynak harcaması anlamına gelir.

Bilgi güvenliği yönetim sistemini bir BT projesi sanmak. Kontrollerin yalnızca %36,6'sı teknolojik; geri kalanın büyük kısmı organizasyonel ve insan kaynaklı. Sistem bilgi işlem departmanına havale edildiğinde standardın yarısından fazlası kapsam dışında kalır.

Varlık envanterini atlamak. Neyin korunduğu bilinmeden risk değerlendirilemez. Envanteri olmayan bir kuruluşun risk kütüğü, gerçek varlıklara değil hatırlananlara dayanan bir tahmin listesidir.

Risk kütüğünü bir kez doldurup bir daha açmamak. 9.1 maddesi periyodik gözden geçirme ister. Güncellenmeyen bir kütük denetimde kanıt olarak kabul edilmez, çünkü riskler değişirken kayıt sabit kalmıştır.

Kişisel veri mevzuatıyla karıştırmak. ISO 27001 bilgi güvenliğinin tamamını kapsar; kişisel veri koruması bunun bir alt kümesidir. O taraf için ISO 27701 eklentisi ve 6698 sayılı kanun ayrı olarak ele alınmalıdır.