ISO/IEC 27001, bilgi güvenliği yönetim sisteminin (BGYS) nasıl kurulacağını, işletileceğini ve sürekli iyileştirileceğini tanımlayan uluslararası standarttır. Standardın 2013 sürümü neredeyse on yıl kullanıldı; Ekim 2022’de yayımlanan yeni sürümle birlikte hem yönetim sistemi maddelerinde hem de Ek A’daki kontrol listesinde önemli değişiklikler oldu. 2013 sürümüne göre verilmiş belgeler için geçiş süresi 31 Ekim 2025’te sona erdi. Bugün geçerli tüm akredite belgeler 2022 sürümüne dayanıyor. Bu yazıda neyin değiştiğini ve bunun BT altyapısında ne anlama geldiğini özetliyoruz. KVKK ile ilişkisi ve uyum çalışmalarının bütünü için ISO 27001 ve KVKK sayfamıza bakabilirsiniz.
Kısaca ne değişti?
- Adı değişti. Standardın tam adı artık “Bilgi güvenliği, siber güvenlik ve mahremiyetin korunması — Bilgi güvenliği yönetim sistemleri — Gereksinimler” şeklindedir.
- Kontrol sayısı azaldı, kapsam genişledi. 2013 sürümündeki 14 alana dağılmış 114 kontrol, 2022 sürümünde 4 tema altında 93 kontrole indi. Kontrollerin çoğu kaldırılmadı; birleştirildi ya da yeniden adlandırıldı.
- 11 yeni kontrol eklendi. Tehdit istihbaratı, bulut hizmetleri, veri sızıntısı önleme, yapılandırma yönetimi gibi güncel konular artık kontrol listesinde açıkça yer alıyor.
- Yönetim sistemi maddelerinde değişiklikler yapıldı. Değişikliklerin planlanması için yeni bir madde eklendi, bazı maddeler netleştirildi.
- 2024’te iklim değişikliği eki geldi. Şubat 2024’te yayımlanan 1 No’lu Değişiklik (Amd 1:2024), kuruluşun iklim değişikliğinin kendisi için ilgili bir konu olup olmadığını değerlendirmesini ekledi.
Yeni yapı: 93 kontrol, 4 tema
2013 sürümünde kontroller A.5’ten A.18’e kadar 14 alana dağılmıştı. 2022 sürümü bunları dört temada topluyor:
| Tema | Kontrol sayısı | Örnek konular |
|---|---|---|
| Kurumsal (5.1–5.37) | 37 | Politikalar, roller, varlık envanteri, erişim kontrolü, tedarikçi ilişkileri, olay yönetimi, iş sürekliliği |
| İnsan (6.1–6.8) | 8 | İşe alım öncesi tarama, farkındalık eğitimi, işten ayrılma, uzaktan çalışma |
| Fiziksel (7.1–7.14) | 14 | Fiziksel güvenlik alanları, ekipman koruma, depolama ortamları, kablolama |
| Teknolojik (8.1–8.34) | 34 | Uç nokta cihazları, ayrıcalıklı erişim, zararlı yazılım koruması, yedekleme, kayıt tutma, ağ güvenliği |
Kontrollerin ayrıntılı uygulama rehberi olan ISO/IEC 27002:2022, her kontrole “öznitelik” de ekledi: kontrol türü (önleyici, tespit edici, düzeltici), bilgi güvenliği özellikleri (gizlilik, bütünlük, erişilebilirlik), siber güvenlik kavramları, operasyonel yetenekler ve güvenlik alanları. Bu öznitelikler, kontrolleri farklı açılardan filtrelemeyi ve örneğin yalnızca tespit edici kontrolleri listelemeyi kolaylaştırır.
11 yeni kontrol ve altyapıdaki karşılıkları
Yeni kontrollerin çoğu, 2013’te dolaylı olarak beklenen ama açıkça yazılmayan konuları görünür kılıyor. BT ekibini en çok ilgilendiren kısım burasıdır:
| Kontrol | Ne ister? | Altyapıdaki karşılığı |
|---|---|---|
| 5.7 Tehdit istihbaratı | Tehditlere ilişkin bilginin toplanıp analiz edilmesi | Güvenlik duvarı ve uç nokta ürünlerinin tehdit beslemeleri, üretici duyurularının takibi |
| 5.23 Bulut hizmetlerinin kullanımında bilgi güvenliği | Bulut hizmetlerinin edinilmesi, kullanılması ve bırakılması için süreç | Bulut sağlayıcı seçimi, veri konumu, çıkış planı |
| 5.30 İş sürekliliği için BİT hazırlığı | BT sistemlerinin kesintiye hazır olması | Felaket kurtarma planı ve testleri |
| 7.4 Fiziksel güvenlik izleme | Tesislerin yetkisiz fiziksel erişime karşı izlenmesi | Kamera, alarm, sistem odası erişim kaydı |
| 8.9 Yapılandırma yönetimi | Donanım, yazılım, servis ve ağ yapılandırmalarının belgelenmesi ve izlenmesi | Güvenlik duvarı yapılandırma yedeği ve değişiklik takibi, örneğin Unna Controller |
| 8.10 Bilginin silinmesi | Artık gerekmeyen bilginin silinmesi | Saklama süresi, imha süreci ve kaydı |
| 8.11 Veri maskeleme | Hassas verinin gerektiğinde maskelenmesi | Test ortamlarında maskelenmiş veri |
| 8.12 Veri sızıntısı önleme | Hassas bilginin yetkisiz çıkışının önlenmesi | Safetica DLP |
| 8.16 İzleme faaliyetleri | Ağların, sistemlerin ve uygulamaların olağan dışı davranışa karşı izlenmesi | Ağ izleme, Firewall Analyzer |
| 8.23 Web filtreleme | Zararlı web sitelerine erişimin yönetilmesi | Güvenlik duvarında web filtreleme |
| 8.28 Güvenli kodlama | Yazılım geliştirmede güvenli kodlama ilkeleri | Kod gözden geçirme, bağımlılık takibi |
Tabloda görüldüğü gibi yeni kontrollerin önemli bir kısmının karşılığı zaten var olan araçlardadır. Denetimde beklenen, bu araçların varlığı değil; politikayla bağlantılı olarak kullanıldığının ve düzenli gözden geçirildiğinin kanıtıdır.
Yönetim sistemi maddelerinde neler değişti?
Standardın 4 ile 10 arasındaki maddeleri, yani yönetim sisteminin kendisi, küçük ama anlamlı değişiklikler geçirdi:
- 4.2 İlgili taraflar: İlgili tarafların gereksinimlerinden hangilerinin BGYS ile karşılanacağının belirlenmesi eklendi.
- 6.3 Değişikliklerin planlanması: Yeni bir madde. BGYS’de değişiklik gerektiğinde bunun planlı şekilde yapılması isteniyor.
- 8.1 Operasyonel planlama ve kontrol: Süreçler için kriterlerin belirlenmesi ve süreçlerin bu kriterlere göre kontrol edilmesi netleştirildi.
- 9.3 Yönetimin gözden geçirmesi: Madde alt başlıklara ayrıldı; ilgili tarafların ihtiyaç ve beklentilerindeki değişiklikler gözden geçirme girdileri arasına eklendi.
Bu değişiklikler ISO’nun diğer yönetim sistemi standartlarıyla ortak yapıya uyum amacı taşır. Birden fazla ISO belgesi olan kuruluşlar için süreçleri ortaklaştırmak kolaylaşır.
Bu değişiklikler pratikte ne anlama geliyor?
Madde 6.3, BT ekibinin günlük işine doğrudan dokunur. Yeni bir bulut hizmetine geçiş, güvenlik duvarının değiştirilmesi ya da sunucuların veri merkezine taşınması gibi işler artık yalnızca teknik bir proje değil, BGYS açısından planlanması gereken bir değişikliktir. Değişikliğin amacı, olası sonuçları, gereken kaynaklar ve sorumlular yazılı olmalıdır. Madde 8.1’deki netleştirme ise dış kaynaktan alınan süreçlerin, örneğin dışarıdan alınan yedekleme ya da sunucu yönetimi hizmetinin, de kontrol altında tutulmasını açıkça ister. Hizmet sağlayıcınızın raporları bu yüzden denetim kanıtınızın parçasıdır.
Geçiş süreci nasıl işledi?
Uluslararası Akreditasyon Forumu’nun (IAF) zorunlu dokümanı IAF MD 26, geçiş için standardın yayımlandığı ayın son gününden itibaren 36 aylık bir süre tanıdı. Bu süre 31 Ekim 2025’te doldu; o tarihten sonra 2013 sürümüne dayanan akredite belgeler geçerliliğini yitirdi. Henüz belge almamış bir kuruluş için bu artık yalnızca tarihsel bir bilgidir: tüm yeni belgelendirmeler 2022 sürümüne göre yapılır.
Geçişi tamamlamış kuruluşlarda da iş bitmiş değildir. Bazı kuruluşlar geçiş denetimine yetişmek için Uygulanabilirlik Bildirgesi’ni ve risk işleme planını yeni kontrol numaralarına “eşleyerek” güncelledi, ancak yeni kontrollerin uygulamasını yüzeysel bıraktı. Gözetim denetimlerinde özellikle yapılandırma yönetimi, izleme faaliyetleri ve veri sızıntısı önleme gibi yeni kontrollerin gerçekten işletildiğinin kanıtını hazır tutmak gerekir.
Nereden başlamalı?
Belgeniz varsa, Uygulanabilirlik Bildirgesi’ndeki 11 yeni kontrol için bugün hangi kanıtı gösterebileceğinizi tek tek yazın. Belgeniz yoksa, önce kapsamı ve bilgi varlıklarınızı belirleyin; risk analizi olmadan kontrol seçimi yapılamaz. Her iki durumda da teknik kontrollerin bir kısmı KVKK’nın beklediği teknik tedbirlerle örtüşür; KVKK teknik tedbirler kontrol listemiz iyi bir başlangıç noktasıdır. İnsan teması altındaki farkındalık kontrolü için kimlik avı farkındalığı yazımıza, erişim kontrolleri için kimlik ve erişim yönetimi sayfamıza göz atabilirsiniz.
Unna olarak belgelendirme yapmıyoruz; belgelendirme bağımsız ve akredite kuruluşların işidir. Biz BT danışmanlığı ve ISO 27001 ve KVKK çalışmalarımızda önce dinler, kapsamınızı ve mevcut tedbirlerinizi çıkarırız. Birlikte planlar, eksik kontrolleri önceliklendiririz. Teknik kontrolleri altyapınıza kurar, her birinin kanıtını denetime hazır şekilde belgeleriz. Gözetim denetimlerinde ve yeni sistemlerin kapsama alınmasında yanınızda kalırız.
