Bir Kuruluştaki işlerin sürekliliğinin sağlanması, işlerde meydana gelebilecek aksaklıkların azaltılması ve yatırımlardan gelecek faydanın artırılması için bilginin geniş çaplı tehditlerden korunmasını sağlayan kalite yönetim standardıdır.
Günümüzde ticari şirketler ve devlet kurumları işlerini sürdürebilmek için yoğun bir şekilde bilgi kullanımına yönelmişlerdir. Zaman geçtikçe bilginin önemi artmış, sadece güvenli bir şekilde saklanması ve depolanması gelişen ihtiyaçlara cevap verememiş aynı zamanda bir yerden bir yere nakil edilmesi de kaçınılmaz bir ihtiyaç haline gelmiştir. Bilgiye olan bu bağımlılık bilginin korunması ihtiyacını gündeme getirmiştir. Bu anlamda bilgi, kurumun sahip olduğu varlıklar arasında çok önemli bir yere sahiptir. Bilgiye yönelik olası saldırılar, tahrip edilmesi, silinmesi, bütünlüğünün ve/veya gizliliğinin zarar görmesi, bilgi altyapısının bozulmasına ve bu da beraberinde işlerin aksamasına neden olmaktadır.
Bilgi, kurumdaki diğer varlıklar gibi, kurum için önem taşıyan ve bu nedenle de en iyi şekilde korunması gereken bir varlıktır. ISO 27001 Bilgi güvenliği yönetim sistemi ; kurumdaki işlerin sürekliliğinin sağlanması, işlerde meydana gelebilecek aksaklıkların azaltılması ve yatırımlardan gelecek faydanın artırılması için bilginin geniş çaplı tehditlerden korunmasını sağlar.
Bilgi birçok biçimde bulunabilir. Bilgi, kâğıt üzerinde yazılı olabilir, elektronik olarak saklanıyor olabilir, posta ya da elektronik posta yoluyla bir yerden bir yere iletilebilir ya da kişiler arasında sözlü olarak ifade edilebilir. Bilgi hangi formda olursa olsun, mutlaka uygun bir şekilde korunmalıdır. Bilgi güvenliğinin sağlanabilmesi bilginin gizliliğinin, bütünlüğünün ve kullanılabilirliğinin yeterli düzeylerde sağlanabilmesi ile mümkündür.
Bu kavramları biraz daha açacak olursak gizlilik, bilginin yetkisiz kişilerin erişimine kapalı olması şeklinde tanımlanabilir. Bir diğer tarif ile gizlilik bilginin yetkisiz kişilerce açığa çıkarılmasının engellenmesidir. Bütünlük, bilginin yetkisiz kişilerce değiştirilmesi, silinmesi ya da herhangi bir şekilde tahrip edilmesi tehditlerine karşı içeriğinin korunmasıdır. Bütünlük için kısaca kazara veya kasıtlı olarak bilginin bozulmaması diyebiliriz. Kullanılabilirlik, bilginin her ihtiyaç duyulduğunda kullanıma hazır durumda olması demektir. Herhangi bir sorun ya da problem çıkması durumunda bile bilginin erişilebilir olması kullanılabilirlik özelliğinin bir gereğidir. Bu erişim kullanıcının hakları çerçevesinde olmalıdır.
Kullanılabilirlik ilkesince her kullanıcı erişim hakkının bulunduğu bilgi kaynağına, yetkili olduğu zaman diliminde mutlaka erişebilmelidir.
Başa DönDaha önceden kullanılan BS 7799–2’ nin yenilenmiş ve ISO’ nun uluslararası sürümüdür.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi , kurumun hassas bilgilerini yönetebilmek amacıyla benimsenen sistematik bir yaklaşımdır. Bu sistemin temel amacı hassas bilginin korunmasıdır. Bu sistem çalışanları, iş süreçlerini ve bilgi teknolojileri (BT) sistemlerini kapsar.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi deyimi ilk kez 1998 yılında BSI (British Standards Institute) tarafından yayınlanan BS 7799-2 standardında kullanılmıştır. Daha sonra bu standart Uluslararası Standartlar Kurumu ISO tarafından kabul edilmiş ve ISO/IEC 27001:2005 olarak yayınlanmıştır.
BSI tarafından yayınlanan bir diğer standart BS 7799-1 ise bilgi güvenliğinin sağlanmasında kullanılacak kontrollerden bahsetmektedir. Bu da yine ISO tarafından kabul edilmiş ve ISO/IEC 27002:2005 olarak yayınlanmıştır. ISO/IEC 27002:2005 bu standardın Temmuz 2007’den itibaren kullanılan ismidir, bu tarihe kadar standart ISO/IEC 17799:2005 olarak adlandırılıyordu.
Bilgi güvenliği sertifikası konusunda en yaygın olarak kullanılan standart, “ISO/IEC 27002:2005 Bilgi Güvenliği Yönetimi İçin Uygulama Prensipleri” standardıdır. Bu standart, işletmeler içerisinde bilgi güvenliği yönetimini başlatmak, gerçekleştirmek, sürdürmek ve iyileştirmek için genel prensipleri ve yönlendirici bilgileri ortaya koyar. ISO/IEC 27002:2005 rehber edinilerek kurulan Bilgi Güvenliği Yönetim Sistemi’nin belgelendirmesi için “ISO/IEC 27001:2005 Bilgi Güvenliği Yönetim Sistemleri – Gereksinimler” standardı kullanılmaktadır. Bu standart, dokümante edilmiş bir Bilgi Güvenliği Yönetim Sistemi’ni kurumun tüm iş riskleri bağlamında kurmak, gerçekleştirmek, izlemek, gözden geçirmek, sürdürmek ve iyileştirmek için gereksinimleri kapsamaktadır. İş risklerini karşılamak amacıyla ISO/IEC 27002:2005’te ortaya konan kontrol hedeflerinin kurum içerisinde nasıl uygulanacağı ve denetleneceği ISO/IEC 27001:2005’te belirlenmektedir.
Her iki standardın Türkçe hali TSE tarafından sırasıyla TS ISO/IEC 17799:2005 ve TS ISO/IEC 27001:2005 isimleri ile yayınlanmıştır.
Başa DönBilgi güvenliği sertifikası nasıl alınır ? ISO 27001 standardının tüm gereklerinin yerine getirilmesini takiben dış denetim için İntersistem Teknik’ e başvurulur. Denetimi gerçekleştirecek kurum önce dokümantasyonu gözden geçirir. Bu dokümantasyon güvenlik politikasını, risk değerlendirmesi dokümanlarını, risk eylem planını, uygunluk beyanı ve güvenlik prosedürlerini içermelidir. Bu incelemeyi takiben, ileri bir tarihte denetçiler tarafından yerinde denetim gerçekleştirilir. Bu denetimde, kuruluşunuzun büyüklüğüne ve işinizin tipine uygun kontrollerin, tarafınızca hazırlanmış bulunan prosedürlerde tanımladığınız şekilde yapılıp yapılmadığı gözden geçirilir.
Başarılı bir denetimi takiben ISO 27001 Bilgi güvenliği sertifikası alınır. Alınan sertifikadan sonra yılda bir ya da iki kez, sizin belirleyeceğiniz periyotlara göre yenilemeye yönelik gözden geçirme tetkikleri gerçekleştirilir.
Alınan belge 3 yıl geçerlidir ve 3. yılın sonunda yeniden belgelendirme tetkiki yapılarak süreç içerisindeki gelişmeleriniz gözden geçirilir.
Başa DönISO 27001 Sertifikası ' nı uluslararası akreditasyona sahip kuruluşlardan alabilirsiniz.
Uluslararası Akreditasyona sahip kuruluşlardan olan İntersistemteknik Sertifikasyon 2007 yılından itibaren sektörde yer alan öncü ve güvenilir kuruluşlardan bir tanesidir.
Uzman personelimizle sizlere yardımcı olmaktan mutluluk duyarız.
Başvuru işlemleri için sayfamızda bulanan hızlı başvuru formunu doldurabilir veya +902163054666 telefon numarasından bize ulaşabilirsiniz.
Başa Dönİlk Adım; Doküman İnceleme Denetimi (Sahada) yaklaşık 2 adam/gün - 4 adam/gün = 3.000,00 TL - 6.000,00 TL
İkinci Adım; Saha İncelemesi yaklaşık 4 adam/gün - 30 adam/gün = 20.000,00 TL - 150.000,00 TL
Belge (Sertifika) Fiyatı= 12.000, 00 TL - 36.000,00 TL arasındadır.
Toplamda, ISO 27001 Sertifikası Fiyatı 2024 yılı itibarıyla 37.000,00 TL ile 192.000,00 TL dir.
En uygun ISO 27001 Sertifikası Fiyatı için İntersistemtemteknik Belgelendirme’ yi tercih ederek kazananlardan olabilirsiniz!
Başa DönISO 27001 Bilgi Güvenliği Sertifikası'nın alınması; kuruluşunuzun bilgi güvenliğini dikkate aldığını, gerekli Aşamaları uyguladığını ve kontrol ettiğini göstermektedir. Fakat sertifikasyonun getirileri bununla sınırlı değildir;
ISO 27001 Bilgi Güvenliği Sertifikası, hangi ülkeden veya hangi sektörden olursa olsun büyük - küçük tüm kuruluşlara uygundur. Bu standart, finans, sağlık, kamu ve BT sektörleri gibi bilginin korunmasının büyük öneme sahip olduğu alanlarda özellikle gereklidir.
ISO/IEC 27001, BT barındırma, Telekom, internet ve servis şirketleri gibi bilgiyi başkaları adına yöneten kuruluşlar için de oldukça önemlidir; müşterilere bilgilerinin koruma altında olduğu güvencesini vermek için kullanılabilir.
Başa DönISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi Standardının Tarihçesi ;
2005 yılının ortalarında son taslak duyurulmuş, Ekim 2005’de ise bu standart yayımlanmıştır.
ISO/IEC 17799 revize edildi – Haziran 2005 (ISO/IEC 27002 olarak 2007’de numaralandırıldı)
ISO/IEC 27001 yeni yayınlandı – Ekim 2005
ISO/IEC 27001 güncel revizyonu yayınlandı – 2013
Başa DönÖncelikle sağlıklı işleyiş ve yarar sağlaması açısından Bilgi Güvenliği Yönetim Sistemi kurulum isteği kurumun üst yönetimi tarafından benimsenmelidir. Üst yönetim desteği Bilgi Güvenliği Yönetim Sistemi’nin başarıya ulaşması açısından hayati öneme sahiptir. Öncelikle üst yönetim Bilgi Güvenliği Yönetim Sistemi’nin gerekliliğine ve faydasına inanmalıdır. Bu birincil şarttır. Diğer önemli bir husus, Bilgi Güvenliği Yönetim Sistemi kurulumu bir BT ürünü veya sistemi kurulumuyla karıştırılmamalıdır. Bilgi Güvenliği Yönetim Sistemi kurumun iş yapma tarzını etkileyen köklü bir sistemdir ve kurumu tümden etkiler. Tüm kademelerdeki çalışanların işini yaparken bilgi güvenliği prensiplerine uygun hareket etmesini gerekli kılar. Bu bilincin oluşması ve işleyişe geçmesi de bir gelişim sürecinin sonucu olacaktır. Bir önceki bölümde bahsedildiği gibi Bilgi Güvenliği Yönetim Sistemi sürekli bir gelişim sürecidir.
Bilgi Güvenliği Yönetim Sistemi ile ilgili en yaygın yanlış kanılardan bir tanesi de bunun sadece kurumun BT bölümüne ait bir iş olduğunun düşünülmesidir. Bilgi Güvenliği Yönetim Sistemi bir teknoloji meselesi veya teknik bir iş değildir. Tüm kurumun aktif halde katılımıyla hedefine ulaşabilecek bir sistemdir. En üst kademe yöneticiden en alt seviye çalışana kadar katılım ve destek şarttır. Aksi halde Bilgi Güvenliği Yönetim Sistemi’den beklenen faydanın elde edilmesi mümkün değildir. Etkin bir Bilgi Güvenliği Yönetim Sistemi kurulumu konusunda ilk yapılması gereken işlerden bir diğeri de kurum içinde bir Bilgi Güvenliği Komisyonu oluşturulmasıdır. Bilgi güvenliği komisyonu (Güvenlik Forumu da denir) kurum içindeki her bölümden temsilcilerden oluşur. Bilgi işlem, iç denetim, muhasebe, insan kaynakları, güvenlik ve diğer tüm bölümlerden temsilciler bu komisyondayer almalıdır. Komisyon temsilcileri bilgi güvenliği konusunda deneyimli ve bilgili, bununyanında kendi bölümlerini temsil edebilme yetkisine sahip kişiler olmalıdır.
Komisyon temsilcileri bilgi güvenliği konusunda yeterli bilgi seviyesine sahip değilse mutlaka Bilgi Güvenliği Yönetim Sistemi eğitimleri almalıdır. Tüm bölümlerden temsilcilerin komisyonda yer alması Bilgi Güvenliği Yönetim Sistemi’nin başarı şansını arttırır. Bilgi Güvenliği Yönetim Sistemi’in kurumun tamamına nüfuz etmesini kolaylaştırır. Kurum çapındaki güvenlik ihtiyaçlarının daha etkin bir biçimde farkında olunmasını sağlar. Bu durum Bilgi Güvenliği Yönetim Sistemi’in doğru planlanması ve sağlıklı işlemesi açısından hayati öneme sahiptir. Her bölümden bir temsilcinin katılımı yönetim ve teknik kadro arasındaki iletişim kopukluğunu gidermeye de yarar. Sorunları ve ihtiyaçları yerinde yaşayan kişiler belli konularda yönetimin daha rahat ikna edilmesini sağlar. Bilgi güvenliği komisyonu sayesinde Bilgi Güvenliği Yönetim Sistemi ile ilgili görev ve sorumluluklar da kurum içinde dağıtılmış olur. Daha önce de belirtildiği gibi Bilgi Güvenliği Yönetim Sistemi sadece BT bölümüne ait bir iş değildir.
Bilgi Güvenliği Yönetim Sistemi konusunda temel başvuru kaynakları ISO/IEC 27001 ve ISO/IEC 27002 standartlarıdır. Bilgi Güvenliği Yönetim Sistemi kurulumu öncesinde bu standartların mutlaka dikkatlice okunup anlaşılması gerekmektedir. Bilgi Güvenliği Yönetim Sistemi kurulumu TS ISO/IEC 27001:2005’teki “4.2.1 Bilgi Güvenliği Yönetim Sistemi’nin Kurulması” ve TS 13268-1 “4.3 Bilgi Güvenliği Yönetim Sistemi’nin kurulması” başlıkları altında detaylı olarak açıklanmaktadır.
Başa DönBilgi Güvenliği Yönetim Sistemi’nin kapsamı ve sınırları belirlenmelidir. Bilgi Güvenliği Yönetim Sistemi’nin kapsamı kurumun belli bir kısmı olabileceği gibi, kurumun bütünü de olabilir. Ancak, her iki durumda da, kurumun Bilgi Güvenliği Yönetim Sistemi kapsamını ve sınırlarını eksiksiz ve doğru bir biçimde tanımlaması gerekmektedir. Örneğin sadece kurum içindeki bir bölüm veya bir bölümün verdiği tek bir hizmet için de bir Bilgi Güvenliği Yönetim Sistemi hayata geçirilebilir. Bilgi Güvenliği Yönetim Sistemi kapsamı, üst yönetimin niyeti ve kurumun bilgi güvenliği hedefleri dikkate alınarak belirlenir. ISO/IEC 27001 ve ISO/IEC 27002 standartlarının bu konuda belli bir yönlendirmesi veya zorlaması söz konusu değildir. Kapsam belirlenirken Bilgi Güvenliği Yönetim Sistemi dışında bırakılan varlıklarla ve diğer kurumlarla olan etkileşimleri de dikkate almak gereklidir.
Kapsam dışında bırakılanların hangi sebeplerle dışarıda bırakıldıklarını kurumun sağlam gerekçelerle açıklayabilmesi gerekmektedir. Bu
Aşamaın sonunda bir kapsam dokümanı yayınlanmalı ve üst yönetim tarafından onaylanmalıdır.
Ardından Bilgi Güvenliği Yönetim Sistemi politikasının oluşturulması gerekmektedir. Bu politika, hedefleri ortaya koyan, yönetime yön veren ve harekete geçiren, hangi riskin değerlendirmeye alınacağına ilişkin risk yönetim kapsamı ve kriterini belirleyen bir çerçeve sunmalıdır. Bilgi Güvenliği Yönetim Sistemi politikasının amacını bulması için yönetim politika içeriğindeki maddelerin uygulamaya geçirileceğine ilişkin kararlarlığını çalışanlara hissettirmelidir.
Bilgi güvenliği politikası temel alınarak sistematik bir risk değerlendirme yaklaşımı belirlenmelidir. Kurum kendine uygun bir metodoloji seçmekte serbesttir. Seçilen risk değerlendirme metodolojisi kıyaslanabilir ve tekrarlanabilir sonuçlar üretmeyi garanti etmelidir. Bu Aşamada kabul edilebilecek risk seviyeleri belirlenmeli ve bunlar için ölçütler geliştirilmelidir. Risk değerlendirme metodu seçiminde kurumlar risk değerlendirme konusunda daha fazla bilgi veren BS 7799-3 standardına başvurabilirler.
Korunması gereken varlıkları tehdit eden riskler, Aşama 3’te belirlenen yöntem kullanılarak tespit edilmelidir. Bilgi Güvenliği Yönetim Sistemi içerisindeki tüm varlıkların tanımlanması, yani varlık envanterinin çıkarılması risk değerlendirme işinin esasını oluşturur. Kurum Bilgi Güvenliği Yönetim Sistemi kapsamına dahil edeceği tüm varlıkların sahiplerini, türünü ve önem derecesini bir envanter listesi şeklinde belgelemelidir. Bir varlığın önem derecesini belirlemek için bu varlığın gizliliğine, bütünlüğüne ve kullanılabilirliğine gelecek zararın kuruma yapacağı etkinin derecesini baştan ortaya koymak gerekmektedir.
Varlıkların bu üç temel güvenlik özelliğine gelecek zararlar farklı etki derecelerine sahip olabilirler. Örneğin çok gizli seviyede bir bilginin açığa çıkması kuruma büyük zararlar verebilecekken aynı gizli bilginin kullanılamaz hale gelmesi o kadar büyük zarar yaratmayabilir.
Tespit edilen risklerin analizi ve derecelendirilmesi yapılmalıdır. Bu Aşama bir önceki Aşamada tespit edilen risklerin yorumlanması olarak görülebilir. Risk analizi yaparken riske neden olan tehdit ve açıklıklardan yola çıkılmalıdır. Risk, açıklığın bir tehdit tarafından kullanılmasıyla oluşur. Örneğin duvarı delik bir ev düşünelim. Duvardaki delik açıklığı temsil eder. Olası bir sel ise burada tehdidi oluşturur.
Bu ikisinin bir araya gelmesiyle risk oluşur ki bu örnekte risk evi su basmasından dolayı evdeki insanların veya eşyaların zarar görmesidir.
Riskin derecelendirilmesi veya değerinin belirlenebilmesi için öncelikle tehdidin gerçekleşme olasılığı ile etki derecesi hesaplanmalıdır. Bunlar sayısal değerler kullanılarak hesaplanabileceği gibi rakamlarla ifadenin zor olduğu durumlarda düşük, orta, yüksek gibi nitel değerlerle de belirlenebilir. Riskin kabul edilebilir olup olmadığı Aşama 3’te belirlenen ölçütler kullanılarak tespit edilmelidir. Tüm bu hesaplama ve değerlemeler uygulanmakta olan mevcut kontroller de dikkate alınarak yapılmalıdır. Kontroller risk değerini azaltabilir.
Bu Aşama sonunda bir risk değerlendirme sonuç raporu yayınlanmalıdır.
Bu Aşamada risk değerlendirme sonuç raporundan yola çıkılarak uygun risk işleme (risk treatment) yöntemleri belirlenmelidir. Belli bir risk karşısında dört farklı tavır alınabilir:
Risk işleme süreci sonuçlarına uygun kontrol ve kontrol hedeflerinin seçilmesi gerekir. TS ISO/IEC 17799:2005’te bu kontrollerden detaylı bir biçimde bahsedilmektedir. Bu kontroller standartta yol gösterici olması amacıyla verilmiştir. Kurum kendisine ek olarak başka kontroller de seçmekte serbesttir. TS ISO/IEC 17799:2005’te bulunan kontroller, sektör tecrübelerinden faydalanmak suretiyle, standart etki alanlarında olabildiğince geniş kapsamlı olarak belirlenmiş olsa da dış kaynaklı kontrollere ihtiyaç olabilmektedir. Sadece TS ISO/IEC 17799:2005’ten değil herhangi bir bilgi güvenliği kaynağından uygun kontrol seçilebileceği gibi kurumun kendine özel geliştirebileceği kontroller de olabilmektedir. Fakat gözden kaçan önemli bir kontrol hedefi veya kontrol olmadığından emin olmak için bu listeyi bir başlangıç noktası olarak kullanmakta fayda görülmektedir.
Risk işleme süreci sonrasında geriye kalan riske artık risk (residual risk) denir. Bunlar kabul edilen riskler veya tamamen ortadan kaldırılamayan riskler olabilir. Kurum üst yönetimi artık riskler için onay vermelidir. Bu Aşama sonunda artık risk onay belgesi oluşturulmalıdır.
Risk yönetimi Aşamalarını geçtikten sonra Bilgi Güvenliği Yönetim Sistemi işletimi ve uygulamasını yapmak için yönetimden onay almak gerekmektedir.
Son olarak risklere karşı seçilen kontrolleri içeren bir Uygulanabilirlik Bildirgesi hazırlanarak Bilgi Güvenliği Yönetim Sistemi kurulum işi tamamlanır. Uygulanabilirlik Bildirgesi Aşama 7’de seçilen kontrollerin neler olduğu ve bunların hangi gerekçelerle seçildiğini anlatmalıdır. TS ISO/IEC 27001 EK A’dan seçilmeyen kontrollerin neler olduğu ile bunların seçilmeme gerekçeleri de Uygulanabilirlik Bildirgesinde verilmelidir. Ayrıca mevcut durumda uygulanmakta olan kontroller de yine bu belge içinde yer bulmalıdır.
Başa DönKuruluş, dökümante edilmiş bir Bilgi Güvenliği Yönetim Sistemi’ ni, kuruluşun tüm ticari faaliyetleri ve karşılaştığı riskleri bağlamında kurmalı, gerçekleştirmeli, işletmeli, izlemeli, gözden geçirmeli, sürdürmeli ve iyileştirmelidir. Bu standardın bir gereği olarak, Planla-Uygula-Kontrol Et-Ölç (PUKÖ) modeli Bilgi Güvenliği Yönetim Sisteminin 4 temel prensibini oluşturur:
ISO 27001 standardına dayanan Bilgi Güvenliği Yönetim Sistemi’nin oluşturulması kısaca üç Aşamadan oluşmaktadır;
ISO 27001 standardına uygun bir bilgi güvenliği yönetim sisteminin kurulması, kuruluşunuzu güvenlik saldırılarına karşı tamamen korumayabilir. Ancak, bu tür saldırıların başarılı olma olasılığını önemli ölçüde azaltacaktır.
Başa DönISO 27001’ in kapsamı, belirli iş süreçleri, bölgeler, departmanlar ya da kuruluşun bütünüyle sınırlandırılabilir. Kapsam açık ve net olarak belirtilmelidir.
Bunun, sertifikayla ilişkilendirilmiş SOA (Statement of Applicability), yani Uygunluk Beyanında belirtilmesi gerekmektedir.
Başa DönGünümüzde bilgi, iletişim ve teknoloji iç içe geçmekte ve kullanımı artmaktadır. Bu gelişmeler sonucunda, elektronik ortamlarda bulunan bilgiler, her geçen gün katlanarak çoğalmakta, dolayısıyla da bilgi güvenliğinin en üst düzeyde sağlanmasına yönelik gereksinimler, kişisel ve kurumsal olarak en üst seviyelere çıkmaktadır.
Tüm işler bilgi ile yönetiliyor. Bilginin bir kısmı herkes tarafından bilinen, geneldir. Diğer bir kısmı ise bilinmeyen, özeldir. Öyle bir kısım da vardır ki, bazılarını ilgilendirir; o halde gizlidir. Bu bilgi, tasarım, satın alma, personel, pazar, üretim metodu v.b. ile ilgili olabilir. İstenmeyen ellere geçtiğinde, etkisini hemen (bir ihalenin kaybı gibi), ya da yavaşça gösterebilir.
Bilgiyi kaybettiğinizin farkına varamayabilirsiniz. Ancak, işler nedense kötü gitmektedir. Bilgi, kuruluşunuzun faaliyetleri ve devamı için büyük bir önem taşır. ISO/IEC 27001 Standardı ve bu standardın gereklilikleri, değerli bilgi varlıklarınızı yönetmenize, korumanıza ve özellikle de müşterilerinize güven vermenize yardımcı olur. Çünkü bazı sektörlerde (hizmet ve iletişim gibi) müşterileriniz ile ilgili daha özel bilgileri bünyenizde bulundurmanız gerekmektedir.
Güvenlik ihtiyacımızı ortaya çıkartan sebepler; iş veya günlük yaşamın bir parçası haline gelen elektronik uygulamaların artması, ihtiyaç duyulan bilgilerin ağ sistemleri üzerinde paylaşımı, bilgiye her noktadan erişilebilirlik, bu ortamlarda meydana gelen açıkların büyük tehdit oluşturması ve kişisel kurumsal kayıplarda meydana gelen artışlardır.
Bilgi güvenliği standardı olan BS 7799-2’nin revize edilip 2005’in sonlarında ISO 27001:2005 olarak revize edilmesiyle yürürlüğe giren bu standart, kurumların bilgi güvenliği yönetim sistemi kurmaları için gereklilikleri tanımlamaktadır.
Bunun yanı sıra ISO 17799:2002 numaralı standart, ISO 17799:2005 “bilgi teknolojileri güvenlik teknikleri en iyi uygulamalar rehberi” olarak revize edilip yayımlanmıştır. Bu rehber, ISO 27001’e göre kurulacak bir Bilgi Güvenliği Yönetim Sistemi’ nin nasıl gerçekleştirilebileceğine dair açıklamaları içerir.
Bilgi güvenliği yönetim sistemi, kurumunuzdaki tüm bilgi varlıklarının değerlendirilmesi, bu varlıkların sahip oldukları zayıflıkları ve karşı karşıya oldukları tehditleri göz önüne alan bir risk analizi yapılmasını gerektirir. Kurum, kendine bir risk yönetimi metodu seçmeli ve risk işleme için bir plan hazırlamalıdır.
Risk işleme için standartta öngörülen kontrol hedeflerinden seçimler yapılmalı ve uygulanmalıdır. Planla – uygula - kontrol et - önlem al (PUKÖ) çevrimi uyarınca, risk yönetimi faaliyetleri yürütülmeli ve varlığın risk seviyesi kabul edilebilir bir seviyeye geriletilene kadar çalışma sürdürülmelidir.
ISO 27001, kurumların risk yönetimi ve risk işleme planlarını, görev ve sorumluluklarını, iş devamlılığı planlarını, acil durum olay yönetimi prosedürlerinin hazırlanmasını ve bunların kayıtlarının tutulmasını gerektirir. Kurum, tüm bu faaliyetlerin de içinde yer aldığı bir bilgi güvenliği politikası yayımlamalı ve personelini bilgi güvenliği ve tehditleri hakkında bilinçlendirmelidir. Seçilen kontrol hedeflerinin ölçülmesi ve kontrollerin amacına uygunluğunun ve performansının sürekli takip edildiği yaşayan bir süreç olarak bilgi güvenliği yönetimi, ancak yönetimin aktif desteği ve personelin katılımıyla başarılabilir.
Kurum içerisinde bu çalışmaları yürütecek Bilgi Güvenliği Yönetim Sistemi takımının ve Bilgi Güvenliği Yönetim Sistemi yöneticisinin bilgi güvenliği konusunda iyi eğitimli olmaları gerekmektedir. Risk yönetimi, politika oluşturma, güvenlik prosedürlerinin hazırlanması ve uygun kontrollerin seçilerek uygulanması aşamalarında, firmaların uzman desteği ve danışmanlık almaları faydalı olmaktadır.
ISO 27001’den bahsederken, karıştırılan ve dikkatle ayrılması gereken husus; ISO 27001’in YÖNETİM SİSTEMİ öngörmesidir. ISO 27001 sizin sistemlerinize nasıl virüs bulaşmayacağını anlatmaz.
Bilgisayar ağınıza saldırganların nasıl sızabileceğini söylemez… Size, toplam bilgi güvenliği ve “yaşayan bir süreç olarak” bilgi güvenliğinin nasıl “yönetileceğini” tanımlar.
Bu uygulamalar iyi bir başlangıçtır. Ancak, şifrelerin paylaşıldığına, bir yere kaydedildiğine ve görünürde olduğuna sık rastlanır. Bir cep telefonu konuşmasına kulak misafiri olup da hattın diğer ucundaki kişinin ne söylediğini tahmin edebilmemiz bir güvenlik sorunu teşkil edebilir. Eski sistem yöneticimizin, tüm personelin e-posta, uzak masa üstü ve kullanıcı hesabı şifrelerinin bir kopyasını almış olması da tamamen bir güvenlik sorunudur ve şirketin tüm faaliyetleri tehlike altına girebilir.
Bilgi güvenliğinin casus savaşları ile ilgisi yoktur.
Aşağıdaki kriterler için bir yönetim sistemini oluşturur:
Gizlilik: Bilginin sadece erişim yetkisi verilmiş kişilerce erişilebilir olduğunun garanti edilmesi.
Bütünlük: Bilginin ve işleme yöntemlerinin doğruluğunun ve bütünlüğünün temin edilmesi.
Erişebilirlik: Yetkilendirilmiş kullanıcıların, gerek duyduklarında bilgiye ve ilişkili kaynaklara erişime sahip olabileceklerinin garanti edilmesi.
Bunların eksikliği ticari zarara, ciddi iş kaybına, prestij zedelenmesine yol açabilir.
Bilgi güvenliğinin paranoya ile sağlanması mümkün değildir. Başlama noktası, her türlü yönetim sistemi gibi risk analizidir.
Riskin üç boyutu vardır; varlığın değeri, tehdit, savunmasızlık. Riskin boyutu bu üçünün toplam etkisi ile oluşur.
Risk değerlendirmesi çok ciddi bir iştir. Ancak, üst yönetimin taahhüdü, personelin katılımı ve iş hedeflerinin açıklığı da bir o kadar önemlidir.
Kuruluşun sahip olduğu varlıkların doğru değerlendirilmesi, hırsızlık, yangın, sel baskını, deprem ve verinin tahribini önlemek gibi konular için kuruluşun dışarıdan uzman desteği alması gerekebilir.
Bilgi güvenliği yönetim sistemi standardı, BS 7799 – Part 2 (2002 baskısı) belgelendirmesi yapılan bir standarttır. Aynı standardın birinci kısmı Part 1 veya uluslararası ISO 17799, bir rehber olup, iyi uygulamalar örnekleri içerir. TSE bu standardı, bir Türk standardı olarak kabul etmiş ve Kasım 2002’de yayımlamıştır.
Standarda göre sistem kurmak için kuruluş; bilgi güvenliği politikasını belirlemeli, sistemin sınırlarını (alan, varlıklar, kapsam, teknoloji) belirlemeli, risk değerlendirme sonuçlarını yorumlamalı, kullanacağı kontrolleri seçmeli ve yönetim sorumluluklarını açıkça belirtmelidir.
Bilgi güvenliği sistem dokümantasyonu şunlardan oluşacaktır; risk değerlendirme işlem kayıtları, yönetim sorumluluğu, politika (Örn: temiz masa, internet erişimi, kriptografi, erişim kontrolü v.b.) Özel operasyonel dokümanlar ve prosedürler, periyodik gözden geçirmeler… ISO 9001 Belgesi disiplini elde etmiş firmalar bunları anlamakta zorlanmayacaklardır.
Üçüncü tarafların erişimi de pek çok firmada vardır ve kritiktir. Servis verenler, taşeronlar ve iş ortaklarının da erişimi dikkate alınmalı ve sürekli gözlenmelidir.
Her ne olursa olsun ticari süreklilik esastır… Çok basit bir örnek verelim; yangın geçirmiş bir binaya itfaiye haftalarca giriş izni vermezse, işi kaybetmeye kadar varan çok ciddi zararlar ile karşı karşıya kalınabilir. İşlerin devamı için pek çok kriz planının önceden oluşturulmuş olması gerekmektedir. Şirket, başka bir yerden ve başka kişilerle işlerine devam edebilmelidir. Sistem, iş sürekliliği için önlemleri şart koşmaktadır.
ABD savunma sistemleri 2005 yılında 250.000 kez saldırıya uğramış ve bunların %65’i başarılı olmuştur. Bu da bize göstermektedir ki, olumsuzluklar her şartta vardır ve var olmaya da devam edecektir. Çok ciddiye alınması gereken bir sistem standardı olan bu standart; her boyutta, her türlü kuruluş tarafından uygulanabilir. Önemli olan geç kalmamaktır.
Başa DönISO 27001 Bilgi Güvenliği Yönetim Sistemi Örnek Dokümanları
Başa Dön
Başa Dön
