ISO 27001 Nedir? BGYS, Risk Yönetimi ve Uygulama Adımları
ISO/IEC 27001, bilgi güvenliği yönetim sistemi (BGYS) için gereksinimleri tanımlayan standarttır. Amaç yalnızca teknik araçlar kurmak değil; bilgiye yönelik riskleri, sorumlulukları ve kontrollerin devamlılığını yönetmektir.
BGYS Neyi Yönetir?
Bilginin gizliliği, bütünlüğü ve kullanılabilirliği birlikte değerlendirilir. İnsanlar, süreçler ve teknoloji aynı sistemin parçalarıdır. Sertifika sahibi olmak bütün saldırıların engelleneceğini veya her olayda mevzuata tam uyum bulunduğunu tek başına garanti etmez.
Uygulama İçin Başlangıç Adımları
- Kapsam: Hangi organizasyon, süreç, sistem ve bilgilerin değerlendirileceğini belirleyin.
- Varlık ve sorumluluk: Bilginin sahibi, işlendiği yer ve ilgili ekipleri kaydedin.
- Risk değerlendirmesi: Tehdit, zayıflık ve olası iş etkisini birlikte inceleyin.
- Risk işleme: Kontrol, sorumlu, hedef tarih ve kabul kararını tanımlayın.
- İşletim: Kontrollerin çalıştığını gösteren kayıtları tutun.
- Gözden geçirme: Bulguları, olayları ve değişiklikleri kullanarak sistemi geliştirin.
Temsili Risk Kaydı
Aşağıdaki tablo eğitim için hazırlanmış bir örnektir; bir kuruluşun denetim kaydı değildir.
| Başlık | Örnek |
|---|---|
| Varlık | Kurumsal e-posta hesabı |
| Risk | Yetkisiz kişinin hesap erişimi |
| Kontrol | MFA, erişim gözden geçirme, olay bildirimi |
| Kanıt | Yapılandırma ve gözden geçirme kayıtları |
| Takip | Sorumlu ekip ve değerlendirme tarihi |
SIEM Bu Sürece Nasıl Katkı Sağlar?
SIEM, güvenlik olaylarını görünür kılmaya ve inceleme kayıtlarını desteklemeye yardımcı olabilir. Ancak log toplamak tek başına BGYS değildir. Hangi olayın izleneceği, alarmın kimin tarafından değerlendirileceği ve sonucu nasıl kaydedileceği tanımlanmalıdır.
Denetime Hazırlık İçin Sorular
- Risk kararı ile uygulanan kontrol arasında ilişki gösterilebiliyor mu?
- Politikaların sahibi ve güncelleme süreci belli mi?
- Erişim, eğitim ve olay yönetimi kayıtları tutuluyor mu?
- Bulgu için aksiyon ve tamamlanma kanıtı var mı?
Uygunluğun ayrıntıları kuruluşun kapsamına ve standart gereksinimlerine göre değerlendirilir. Genel bir blog kontrol listesi, standart metni veya denetimin yerini tutmaz.
Kaynak
ISO: ISO/IEC 27001:2022. Standart tanımı bu resmî sayfaya dayanır; örnek risk kaydı bu rehber için hazırlanmıştır.
İlgili Rehberler
