ISO 27001 BGYS Nasıl Kurulur? Adım Adım Uygulama Rehberi

Bir bilgi güvenliği yönetim sistemi (BGYS) kurmak, bir doküman klasörü hazırlamaktan çok, kuruluşun bilgi güvenliğine ilişkin kararları kimin, hangi ölçütle ve hangi sıklıkla verdiğini tanımlamaktır. ISO/IEC 27001:2022 bu kararların nasıl alınacağını değil, alınan kararların sistematik, ölçülebilir ve iyileştirilebilir olmasını ister. Bu rehber, hiç dokümanı olmayan bir kuruluşun belgelendirme denetimine kadar izleyeceği yolu aşama aşama ele alır.

Kurulumdan önce bilinmesi gereken üç şey

• Standardın yapısı: ISO/IEC 27001:2022’nin 4–10. maddeleri yönetim sistemi gerekliliklerini (bağlam, liderlik, planlama, destek, operasyon, performans değerlendirme, iyileştirme), Ek A ise kontrol listesini içerir. Ek A’daki kontroller organizasyonel, insan, fiziksel ve teknolojik olmak üzere dört temada gruplanır.
• 2024 değişikliği: 2024’te yayımlanan Amd 1, bağlam analizinde iklim değişikliğinin kuruluş için ilgili bir konu olup olmadığının değerlendirilmesini ve ilgili tarafların bu konudaki beklentilerinin dikkate alınmasını ekler. Ayrıntı için 2022 ve 2024 değişikliği rehberimize bakabilirsiniz.
• Belgelendirme kimin işi: Sertifikayı akredite belgelendirme kuruluşları verir. Danışman sistemi kurar ve hazırlar; denetim sonucunu garanti edemez.

Aşama 1 — Bağlam, ilgili taraflar ve kapsam

İlk adım, kuruluşun bilgi güvenliğini etkileyen iç ve dış hususları (pazar, mevzuat, teknoloji, organizasyon yapısı, dış kaynak kullanımı) ve ilgili tarafların (müşteriler, çalışanlar, düzenleyiciler, tedarikçiler) beklentilerini yazılı hale getirmektir. Kapsam beyanı bu analizin sonucudur: hangi lokasyonlar, hangi süreçler, hangi sistemler BGYS’nin içindedir ve dışarıda kalanlarla arayüz nasıl yönetilecektir?

Sık yapılan hata, kapsamı belgelendirme maliyetini düşürmek için yapay biçimde daraltmaktır. Müşterinin beklediği hizmeti veren süreç kapsam dışında kalırsa sertifika ticari değerini kaybeder.

Aşama 2 — Liderlik, politika ve roller

Üst yönetim; bilgi güvenliği politikasını onaylar, kaynak ayırır ve BGYS rollerini atar. Pratikte bir BGYS yöneticisi (iç veya dış kaynak), süreç bazlı kontrol sahipleri ve karar yetkisi olan bir yönetim temsilcisi belirlenir. Rollerin bir RACI tablosunda gösterilmesi, denetimde “bu kontrolden kim sorumlu?” sorusunu tek cevaba indirir.

Aşama 3 — Risk değerlendirme metodolojisi ve risk kaydı

Standart, risk değerlendirmesinin tekrarlandığında tutarlı ve karşılaştırılabilir sonuç vermesini, risk sahiplerinin belirlenmesini ve risk kabul kriterlerinin tanımlanmasını bekler. Bunun için:

1. Varlık tabanlı veya senaryo tabanlı yaklaşım seçilir.
2. Olasılık ve etki için 3’lü veya 5’li ölçek tanımlanır; etki ölçeği mali, operasyonel, yasal ve itibar boyutlarını kapsar.
3. Risk kabul eşiği yönetimle belirlenir (ör. 5×5 matriste 8 ve altı kabul edilebilir).
4. Süreç sahipleriyle atölyelerde riskler tanımlanır ve puanlanır.

Yöntem ve örnek kayıtlar için BGYS risk analizi rehberine bakabilirsiniz.

Aşama 4 — Risk işleme ve Uygulanabilirlik Bildirgesi

Kabul eşiğinin üzerindeki her risk için karar verilir: azaltma, kaçınma, transfer veya gerekçeli kabul. Azaltma kararları için kontroller seçilir ve bu kontroller Ek A ile karşılaştırılarak hiçbir gerekli kontrolün atlanmadığı doğrulanır. Sonuç Uygulanabilirlik Bildirgesi’dir (SoA): her Ek A kontrolü için uygulanıp uygulanmadığı, gerekçesi ve uygulama durumu. Risk işleme planı ve kalan riskler risk sahiplerince onaylanır. Ayrıntılı rehber: SoA nedir?

Aşama 5 — Dokümantasyon ve kontrollerin devreye alınması

Doküman seti, seçilen kontrollere göre yazılır. Her prosedür; sahibini, uygulama adımlarını, kullanılan sistemi ve üretilecek kaydı tanımlamalıdır. “Erişim yetkileri üç ayda bir gözden geçirilir” cümlesi ancak gözden geçirme listesi, onay ve düzeltme kaydıyla birlikte anlam kazanır. Hangi dokümanların gerekli olduğuna dair ayrıntı ISO 27001 dokümanları rehberinde yer alır.

Aşama 6 — Ölçme, iç denetim ve yönetimin gözden geçirmesi

Kontroller birkaç ay işletildikten sonra performans ölçülür (ör. kritik yamaların süresinde uygulanma oranı, zamanında tamamlanan erişim gözden geçirmeleri), bağımsız bir iç denetim yapılır ve sonuçlar yönetimin gözden geçirmesine (YGG) sunulur. Belgelendirme kuruluşları Aşama 2 denetiminde en az bir iç denetim ve YGG döngüsünün tamamlanmış olmasını bekler.

Aşama 7 — Belgelendirme denetimi

Aşama 1 denetiminde kapsam, dokümantasyon ve hazırlık durumu; Aşama 2’de kontrollerin uygulanması ve etkinliği değerlendirilir. Bulgular düzeltici faaliyetlerle kapatılır; sertifika sonrası gözetim denetimleri ve yeniden belgelendirme döngüsü başlar.

Gerçekçi bir proje planı nasıl görünür?

Aşama	Ana çıktı	Kimler katılır?
Bağlam ve kapsam	Bağlam analizi, kapsam beyanı	Üst yönetim, BGYS yöneticisi
Risk ve SoA	Metodoloji, risk kaydı, SoA, risk işleme planı	Süreç sahipleri, BT
Dokümantasyon	Politika, prosedür, form ve kayıtlar	Doküman sahipleri
İşletim	Kontrol kayıtları, eğitimler	Tüm birimler
Denetim döngüsü	İç denetim raporu, YGG tutanağı	İç denetçi, yönetim

Süre; kapsamın genişliğine, lokasyon sayısına ve kuruluşun mevcut olgunluğuna bağlıdır. Gerçekçi bir takvim ancak bir gap analizinden sonra çıkarılabilir.

Kurulumdan sonra sistemi canlı tutmak

Sertifika alındıktan sonra en sık görülen sorun kayıt üretiminin azalmasıdır. Yıllık bir BGYS takvimi (aylık kontroller, üç aylık risk ve KPI raporları, yıllık iç denetim ve YGG) bu riski azaltır. İç kaynak yoksa dış kaynak BGYS sorumluluğu bir seçenektir.

Sık sorulan sorular

BGYS kurmak için tam zamanlı bir bilgi güvenliği uzmanı gerekir mi?

Şart değildir. Standart rollerin ve sorumlulukların atanmasını ve yetkinliğin sağlanmasını bekler. Orta ölçekli kuruluşlarda BGYS yöneticisi rolü bir iç çalışana ek görev olarak verilebilir veya dış kaynak bir uzmanla karşılanabilir; önemli olan rolün sahiplenilmesi ve yeterli zaman ayrılmasıdır.

Kapsamı tek bir lokasyonla sınırlamak mümkün mü?

Evet, kapsam lokasyon, süreç veya hizmet bazında sınırlandırılabilir. Ancak kapsam dışındaki birimlerle arayüzlerin (ör. ortak BT altyapısı, merkezi İK) nasıl yönetildiği tanımlanmalı ve kapsam müşterinin beklediği hizmeti içermelidir.

Belgelendirmeden önce kontroller ne kadar süre işletilmeli?

Standart belirli bir süre vermez; ancak Aşama 2 denetiminde kontrollerin uygulandığını gösteren kayıtlar ile en az bir iç denetim ve yönetimin gözden geçirmesi beklenir. Bu nedenle kontrollerin birkaç ay kayıt üretecek şekilde işletilmesi pratikte gereklidir.

Kuruluşunuz için kapsam ve takvim çıkarmak isterseniz ISO 27001 BGYS kurulumu hizmetimizi inceleyebilir veya doğrudan teklif talep edebilirsiniz.