Bilgi, günümüz kuruluşlarının en değerli varlıklarından biridir. ISO/IEC 27001, bilgi güvenliğini tek seferlik bir önlem olarak değil, sürekli yönetilen bir sistem olarak ele almanın uluslararası çerçevesini sunar.
ISO 27001 nedir?
ISO 27001, bir kuruluşun bilgi güvenliği yönetim sistemini (BGYS) kurması, işletmesi ve sürekli iyileştirmesi için gereken şartları tanımlayan standarttır. Gizlilik, bütünlük ve erişilebilirlik ilkeleri etrafında risk temelli bir yaklaşım getirir.
Risk temelli yaklaşım
Standardın kalbinde risk değerlendirmesi yer alır. Kuruluş, bilgi varlıklarını ve bunlara yönelik tehditleri belirler, riskleri değerlendirir ve uygun kontrolleri seçerek bir uygulanabilirlik bildirgesi oluşturur. Böylece güvenlik yatırımları gerçek risklere göre önceliklendirilir.
- Bilgi varlıklarının ve sahiplerinin belirlenmesi.
- Tehdit ve açıkların risk düzeyine göre değerlendirilmesi.
- Ek-A kontrollerinin gerekçeli seçimi ve uygulanması.
Belgelendirme süreci
BGYS kurulup bir süre işletildikten sonra akredite bir kuruluş Aşama 1 ve Aşama 2 denetimlerini gerçekleştirir. Belge üç yıl geçerlidir ve yıllık gözetim denetimleriyle sürdürülür; her döngüde sistemin etkinliği yeniden teyit edilir.
Kuruluşa kazandırdıkları
ISO 27001 belgesi; müşteri ve iş ortaklarına kanıtlanmış güven verir, sözleşme ve ihale şartlarını karşılar, veri ihlali riskini azaltır ve yasal düzenlemelere uyumu kolaylaştırır.
