ISO 27001:2022 ve 2024 Değişikliği: Uyum Projesinde Nelere Bakılmalı?

ISO/IEC 27001 son yıllarda iki önemli değişiklik geçirdi: 2022 sürümüyle yapı ve Ek A kontrolleri yenilendi, 2024’te yayımlanan Amd 1 ile bağlam analizine iklim değişikliği eklendi. Bu rehber, uyum projesine başlayan veya mevcut BGYS’sini güncelleyen kuruluşların nelere bakması gerektiğini özetler.

Güncel sürüm: ISO/IEC 27001:2022 + Amd 1:2024

Yürürlükteki standart ISO/IEC 27001:2022’dir ve 2024 tarihli “Climate action changes” başlıklı Amd 1 değişikliğiyle birlikte uygulanır. 2013 sürümüne dayanan sertifikalar için IAF’nin belirlediği üç yıllık geçiş süreci 2025 yılında sona ermiştir; yeni belgelendirme ve gözetim denetimleri 2022 sürümüne göre yapılır. Geçiş takvimi ve kuruluşunuza özel durum için belgelendirme kuruluşunuzun duyurularını esas alın.

2022 sürümündeki başlıca değişiklikler

Amd 1:2024 ne getiriyor?

Amd 1, ISO’nun yönetim sistemi standartlarının birçoğuna eş zamanlı yaptığı iklim eylemi değişikliğinin parçasıdır. Bağlam analizi maddesine, kuruluşun iklim değişikliğinin ilgili bir konu olup olmadığını belirlemesi gerektiği; ilgili taraflar maddesine ise ilgili tarafların iklim değişikliğiyle ilgili gereklilikleri olabileceği yönünde not eklenmiştir.

Bu değişiklik, bilgi güvenliği yönetim sistemine yeni kontroller eklemez; ancak bağlam analizinde değerlendirmenin yapılmış ve sonucunun kaydedilmiş olmasını gerektirir. Örneğin veri merkezinin taşkın veya aşırı sıcak riskine açık olup olmadığı, tedarikçilerin enerji kesintilerine karşı dayanıklılığı veya müşterilerin sürdürülebilirlik raporlaması kapsamındaki beklentileri değerlendirmenin konusu olabilir. Değerlendirme sonucunda “ilgili değil” kararı da gerekçesiyle kaydedilebilir.

Mevcut BGYS’niz için kontrol listesi

1. Bağlam analizinde iklim değişikliği değerlendirmesi ve sonucu kayıtlı mı?
2. İlgili taraflar listesinde iklimle ilgili beklentiler değerlendirildi mi?
3. SoA 2022 Ek A yapısında mı ve yeni kontroller değerlendirildi mi?
4. Prosedür ve politikalardaki kontrol referansları güncel mi?
5. İç denetim programı ve kontrol listeleri yeni yapıya göre mi?
6. Risk değerlendirmesi yeni kontrollerin karşıladığı riskleri (bulut, veri sızıntısı, konfigürasyon) içeriyor mu?

Yeni başlayan kuruluşlar için

Sıfırdan başlayan bir kuruluş doğrudan 2022 + Amd 1 yapısıyla çalışır; ek bir geçiş işi yoktur. Önemli olan, internetten indirilen eski (2013 tabanlı) şablonların kullanılmamasıdır. Kurulum yolu için BGYS nasıl kurulur rehberine bakabilirsiniz.

Sık sorulan sorular

İklim değişikliği değerlendirmesi için ayrı bir doküman gerekir mi?

Ayrı doküman gerekmez; bağlam analizi ve ilgili taraflar dokümanlarında değerlendirmenin yapıldığı ve sonucunun kaydedildiği görülmelidir.

Amd 1 için yeniden belgelendirme gerekir mi?

Değişiklik mevcut belgelendirme döngüsünde, planlı denetimler sırasında değerlendirilir. Belgelendirme kuruluşunuzun uygulama yaklaşımını teyit etmeniz önerilir.

Eski 2013 şablonlarını kullanmaya devam edebilir miyiz?

Önerilmez. Ek A yapısı ve kontrol referansları değiştiği için eski şablonlar SoA ve prosedür referanslarında tutarsızlık yaratır.

Mevcut sisteminizin güncel sürüme uygunluğunu ölçmek için ISO 27001 gap analizi hizmetimiz, sürüm farklarını ve eksikleri önceliklendirilmiş bir listeyle raporlar.