ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi
ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi
ISO/IEC 27001 bilgi güvenliğinin yönetimi için hazırlanmış özel bir standarttır. Sadece bilgisayarlar üzerinde bilgi oluşturan değil her ortamda ve her türlü bilgiyi korumak isteyen ve tüm sektörlerde faaliyet gösteren kurumlar için uygulanabilir bir standarttır.
Bilgi ister kağıt üzerine yazılmış olsun, ister elektronik olarak saklansın, ister posta ile gönderilmiş olsun, ister film karesi olsun isterse de konuşuluyor olsun, tüm bunların bir disiplin içinde güvenliğinin sağlanması gerekmektedir. Bilgi her ne şekilde olursa olsun, ISO/IEC 27001 bunların güvenli şekilde saklanmasını temin etmektedir.
Bilgi güvenliği şu şekilde tarif edilebilir;
- Gizlilik - Bilgiye erişimin uygun şekilde yetkilendirilmesi
- Bütünlük - Bilginin ve işlenmesinin doğruluğunun ve tamlığının güvence altına alınması
- Erişilebilirlik - İhtiyacı olduğunda yetkili olan kişilerin bilgiye kolaylıkla erişebilmesinin temin edilmesi
ISO/IEC 27001 birtakım kontrollerden oluşmaktadır. Bunlar:
- Kurumsal kontroller
- Kişi kontrolleri
- Fiziksel kontroller
- Teknolojik kontroller
Neden bilgi güvenliğine ihtiyaç bulunmaktadır?
Bilgi tüm dünyada artık en kritik varlık olarak görünmektedir. Bununla birlikte gizliliği, bütünlüğü ve istendiğinde erişilebilir olması, kurumların rekabetçi olmalarında, nakit akışlarını yönetmelerinde, karlılıklarında ve ticari görünümlerinde çok büyük önem göstermektedir. ISO/IEC 27001 genel olarak bu noktalarda kurumlara yardım etmek için hazırlanmıştır. Bilginin hasar gördüğü durumları öngörmek kolaydır. Bilgiler kaybolabilir, tahrip edilebilir, yakılabilir, sele kapılabilir veya sabote edilebilir. Bunun neticesinde firmalar batmak ta dahil olmak üzere çok büyük zarara maruz kalırlar.
ISO/IEC 27001 faydaları nelerdir?
3. taraf bir belgelendirme kuruluşundan belge alarak bilgi güvenliğinizi sağladığınızı güvence altına almış olursunuz. Ancak bununla sınırlı kalmayarak ISO/IEC 27001 sertifikası size şu faydaları da sağlayabilir ;
- Bilginin güvende olduğunu bilerek müşterileriniz, çalışanlarınız ve ticari ortaklarınızın içi rahat eder.
- Kredibilite ve güven sağlar.
- Maliyetlerde azalmayı sağlar.
- Sadece bir bilginin kaybolmaması ve güvenli olması firmalara büyük tasarruflar getirir.
- İlgili yasa ve yönetmeliklere uygun olduğu gösterir.
- Organizasyonun tüm seviyelerinde bilgi güvenliği konusunda tüm çalışanların katılımı sağlanır.
ISO/IEC 27001 çalışmalarına nasıl başlayacaksınız?
1. Bilgi Yönetim Çercevesinin oluşturulması
Bu güvenlik sistemi ile ilgili bir yön ve hedeflerin oluşturulması için önemlidir. Böylelikle bir politika belirlenmiş olur ve yönetimin katılımı oluşturulur.
2. Güvenlik Risklerinin belirlenmesi ve değerlendirilmesi
Bir metodoloji kullanılarak güvenlik gerekleri belirlenir ve güvenlik riskleri değerlendirilir. Bu risk değerlendirilmesi neticesinde uygun yönetim faaliyetlerinin belirlenmesi ve güvenlikle ilgili önceliklerin belirlenmesine yardımcı olur.
3. Kontrollerin belirlenmesi ve uygulanması
Güvenlik gerekleri belirlendikten sonra kontrol metodları seçilir ve uygulamaya geçilir. Kontroller organizasyonun güvenlik seviyesi olarak hedeflerini karşılayacak düzeyde olmalıdır. Kontrol yöntemleri arasında politikalar, uygulamalar, prosedürler, organizasyonel yapılar bulunabilir. Bu yöntemler organizasyondan organizasyona değişiklik gösterecektir.
ISO/IEC 27001’i kurumunuza adapte etmeniz güvenlik aksaklıkları yaşamayacağınızı garanti etmez, ancak bu tür olaylarla karşılaştığınızda almanız gereken önlemler hakkında hazırlıklı olmanızı sağlar.
ISO/IEC 27001 İçin İlk Belgelendirme
ISO/IEC 27001 ile ilgili tüm şartları yerine getirdikten sonra sıra dış değerlendirmeye ve denetime gelmiş demektir. Bu çalışma Vericert gibi 3. taraf bağımsız bir kuruluş tarafından gerçekleştirilmelidir. Denetim çalışmasına başlandığında öncelikle dokümanlarınız gözden geçirilecektir ve ISO/IEC 27001’in tüm şartlarının karşılandığı güvence altına alınacaktır. Gözden geçirilecek dokümanlar arasında risk değerlendirmeleri, risk yönetme planları, uygulama planları ve güvenlik prosedürleri yer almaktadır.
Bunun ardından kurumunuzda saha çalışması yapılarak kayıtların kontrolü başlayacak ve sisteminizde belirttiğiniz prosedürlere uyduğunuz gözlenerek sisteminizin yürürlükte olduğu güvence altına alınacaktır.
Başarılı bir denetimin ardından ISO/IEC 27001 belgeniz yayınlanmaktadır. Sisteminizin işlerliği, Vericert denetçileri tarafından senede bir veya iki defa yapılacak gözetim denetimleri ile sürdürülmektedir.
