Bölüm 4

Kitabın Tamamı için ISO 27001 Google Books sayfamızı ziyaret edebilir veya bölüm bölüm okuyabilirsiniz

ISO 27001 İç Denetimi ve Sürekli Güvenlik

ISO 27001’in etkin bir şekilde uygulanması, sadece belgelerin hazırlanıp kontrollerin devreye alınmasıyla bitmez. Standardın ruhu, sürekli iyileştirme ve döngüsel denetim yaklaşımını benimsemektir. Bu bölümde öncelikle ISO 27001 kapsamında iç denetimlerin önemi ve nasıl ele alınması gerektiği üzerinde duracağız. Ardından iç denetim süreci ve tekniklerine dair daha derinlemesine bilgi verecek, son olarak BGYS’nin canlı tutulması için sürekli iyileştirme kavramını inceleyeceğiz.

İç Denetimin Önemi

İç denetimler, bir kuruluşun kendi BGYS’sini periyodik olarak kontrol ederek, sistemin tasarlandığı gibi işleyip işlemediğini ve ISO 27001 gerekliliklerini karşılayıp karşılamadığını değerlendirmesini sağlar. ISO 27001 Madde 9.2, düzenli olarak iç denetim yapılmasını şart koşar. Bu iç denetimler, belgelendirme denetimine hazırlığın ötesinde, kuruluşun bilgi güvenliği durumunu samimi bir şekilde gözden geçirmesine olanak tanır.

İç denetimlerin önemini vurgulayan birkaç ana nokta şunlardır:

Uyumun Sağlanması: ISO 27001, iç denetimleri bir uyum şartı olarak görür; yani sertifika almak ve korumak için bu denetimleri yapmak zorunludur (DataGuard, n.d.). Bu, standarda formal olarak uyum göstermenin bir yoludur. İç denetim yapılmaması, belgelendirme açısından doğrudan bir uygunsuzluk olacaktır.
Zayıflıkların Erken Tespiti: İç denetimler, BGYS içindeki zayıflıkları, açıkları veya işe yaramayan uygulamaları, dışarıdan bir saldırgan veya resmi denetçi keşfetmeden önce ortaya çıkarma fırsatı sunar (DataGuard, n.d.). Örneğin, kimsenin takip etmediği bir log veya güncellenmeyen bir antivirüs politikası gibi aksaklıklar iç denetimde bulunabilir. Bu sayede, bu zayıflıklar gerçek bir olay veya ceza getirmeden düzeltilir.
Sistemin Etkinliğinin Artırılması: İç denetimler sadece hata bulmaya odaklanmaz, aynı zamanda sistemin geliştirilmesine de katkı sağlar. Denetçiler, süreçlerin nasıl iyileştirilebileceğine dair öneriler getirebilir (DataGuard, n.d.). Örneğin, fazla karmaşık bir prosedürün sadeleştirilmesi, gereksiz görülen bir kontrolün iş yükünü azaltacak şekilde yeniden düzenlenmesi gibi iyileştirme fırsatları sunabilirler.
Paydaşlara Güvence Sağlanması: Düzenli iç denetimler, üst yönetim ve diğer paydaşlara BGYS’nin kontrol altında olduğu ve işlediği konusunda güvence verir (DataGuard, n.d.). Yönetim raporlarında, “şu dönem içerisinde iç denetimler yapıldı ve belirlenen aksiyonlar tamamlandı” gibi ifadeler, yönetimin sisteme olan güvenini pekiştirir.
Sürekli İyileştirme Kültürünün Yerleşmesi: İç denetimler, kurum içinde bir sürekli iyileştirme ve öz denetim kültürü oluşturur. Çalışanlar bilirler ki belirli aralıklarla süreçler gözden geçirilecek; bu da onları prosedürlere uymaya ve günlük işlerinde daha dikkatli olmaya teşvik eder.

Örneğin, bir iç denetimde kritik bir sunucunun yedeklerinin düzenli olarak alınmadığı tespit edildi diyelim. Bu bulgu belki dış denetime kadar fark edilmezse, ciddi bir felaket durumunda telafisi olmayan kayıplara yol açabilirdi. İç denetim sayesinde bu risk ortaya çıkar ve gerekli önlem (yedekleme prosedürünün düzeltilmesi) hızlıca alınır. Böylece, olası bir iş sürekliliği krizi önceden engellenmiş olur. Bu örnek dahi iç denetimin kuruma sağladığı dolaylı yararı göstermeye yeterlidir.

Sonuç olarak, ISO 27001 iç denetimleri, standardın kağıt üzerindeki gerekliliklerinden öte, BGYS’nin nabzını tutan bir mekanizma olarak değerlendirilmeli. Üst yönetim, iç denetim sonuçlarına önem vermeli ve gereken kaynakları ayırmalıdır. Çünkü güçlü bir iç denetim kültürü, güçlü bir bilgi güvenliği yönetim sistemiyle eş anlamlıdır.

Denetim Süreci ve Teknikleri

İç denetimin önemini anladıktan sonra, bu denetimlerin nasıl yapılacağı konusu gündeme gelir. ISO 27001, iç denetimin bağımsız ve tarafsız bir şekilde yürütülmesini şart koşsa da yönteme dair ayrıntıları kuruluşun inisiyatifine bırakır. Burada, iç denetim sürecinde kullanılan teknikler ve iyi uygulamalara değineceğiz.

Denetim Sürecinin Adımları:
1. Denetim Planının Hazırlanması – Denetimin kapsamı, amacı, kriterleri ve programı tanımlanır. Hangi bölümlerin veya süreçlerin denetleneceği belirlenir ve denetim takvimi ilgili taraflara duyurulur. Denetçi(ler) atanır ve plan onaylanır (DataGuard, n.d.).
2. Denetimin Gerçekleştirilmesi – Denetçi, plan doğrultusunda kanıt toplar. Bu aşamada farklı teknikler kullanılır: doküman inceleme, yerinde gözlem, görüşme ve kayıt doğrulama gibi. Denetçi, standart gereklilikleri ve kuruluşun kendi prosedürlerini bir kontrol listesi gibi kullanarak, bunlara uyum düzeyini değerlendirir.
3. Bulguların Analizi ve Değerlendirmesi – Toplanan kanıtlar ışığında denetçi, hangi gerekliliklerin karşılandığını, hangilerinde eksik veya uygunsuz durumlar olduğunu tespit eder. Bulgular genelde “uygunsuzluk” (nonconformity) veya “gözlem” (observation) olarak sınıflandırılır.
4. Denetim Raporunun Hazırlanması – Denetim sonuçları yazılı rapor haline getirilir. Rapor, denetimin kapsamını, kullanılan yöntemleri, tespit edilen uygunsuzlukları ve tavsiye edilen iyileştirmeleri içerir (DataGuard, n.d.).
5. Takip ve Düzeltici Faaliyetler – Rapor, üst yönetim ve ilgili birimlere sunulur. Tespit edilen uygunsuzluklar için düzeltici eylem planları yapılır ve bu eylemlerin tamamlanması takip edilir. Bir sonraki denetimde önceki bulguların kapatılıp kapatılmadığı da kontrol edilir.
Denetim Teknikleri:

Görüşme (Mülakat) Teknikleri: Denetçi, süreç sahipleri ve çalışanlarla birebir görüşerek onların süreç hakkındaki farkındalığını ve uygulamaları nasıl yürüttüklerini anlamaya çalışır.
Örnekleme (Sampling): Tüm kayıtların veya tüm işlemlerin tek tek incelenmesi pratik olmadığından, denetçi örneklem yoluyla değerlendirme yapar.
İzleme (Trace): Bir süreci uçtan uca izlemek, denetim tekniklerinden biridir.
Belge ve Kayıt Doğrulama: Denetçi, kontrol listesine göre gerekli dokümanların mevcut olup olmadığını ve güncel versiyonlarının kullanıldığını kontrol eder.
Gözlem: Denetçi bazen ofis alanını, sunucu odasını veya çalışanların ekranlarını da gözlemleyerek pratik uygulama hakkında fikir sahibi olur.

Denetim bulgularının değerlendirilmesinde, bulguların standardın gerekliliklerine dayandırılması önemlidir. Ayrıca bulguların önceliklendirilmesi (majör veya minör uygunsuzluk) de kritik olabilir.

Sonuç olarak, ISO 27001 iç denetimlerinde başarılı olmak, uygun tekniklerin doğru kombinasyonunu kullanmayı gerektirir. Planlı bir yaklaşım, sistematik kontrol listeleri ile esnek gözlem yeteneğinin dengesi, iyi bir denetçinin özelliklerindendir.

Sürekli İyileştirme

ISO 27001 ve genel olarak yönetim sistemi standartlarının temelinde sürekli iyileştirme (continuous improvement) felsefesi yatar. Bu, bir defaya mahsus bir kurulumdan ziyade, sistemin yaşayan bir organizma gibi sürekli gözlemlenmesi, ölçülmesi ve geliştirilmeye açık olması demektir. ISO 27001’de sürekli iyileştirme kavramı özellikle 10. maddede vurgulanır, ancak aslında BGYS’nin tüm döngüsüne sirayet eder.

Sürekli iyileştirmenin ISO 27001 kapsamındaki uygulamalarını ana hatlarıyla şöyle özetleyebiliriz:

Döngüsel Denetimler ve Gözden Geçirmeler: İç denetimler ve yönetim gözden geçirmeleri, sürekli iyileştirmenin işletilmesini sağlar.
Düzeltici ve Önleyici Faaliyetler: Uygunsuzluklar tespit edildiğinde, kök neden analizi yaparak tekrarını önleyecek tedbirlerin alınması gerekir.
Ölçüm ve İzleme Sonuçlarının Kullanımı: BGYS kapsamında metrikler belirlenir ve periyodik olarak değerlendirilir.
Değişen Koşullara Uyum: Teknoloji, iş süreçleri veya tehdit ortamı değiştikçe, BGYS de buna adapte olmalıdır (Protiviti, n.d.; RiskCrew, n.d.).
İyileştirme Kayıtlarının Tutulması: İyileştirme faaliyetlerinin de dokümante edilmesi önemlidir (StandardFusion, n.d.).
BGYS’nin Yeniden Değerlendirilmesi: Büyük kurumsal veya çevresel değişikliklerde BGYS’nin kapsamı ve hedefleri yeniden gözden geçirilmelidir.

ISO 27001’in sürekli iyileştirme vurgusu, belgenin alınmasından sonraki dönemde BGYS’nin aktif olarak işletilmesine dayanır. Bu sayede, yalnızca bir sertifika değil, kuruma gerçek değer katan dinamik bir güvenlik yapısı elde edilir.

ISO 27001 Sertifikası Olan Kuruluşlardan Örnekler

ISO 27001 dünya çapında geniş kabul görmüş bir standarttır ve farklı sektörlerden binlerce kuruluş bu sertifikaya sahiptir. Bu bölümde, global ölçekte ISO 27001’in kullanım yaygınlığına dair bilgiler verecek ve sertifikasyonun işletmelere pratikte neler kazandırdığına dair bazı başarı hikayelerini özetleyeceğiz.

Dünya Çapında ISO 27001 Kullanımı

ISO 27001, uluslararası arenada en hızlı büyüyen yönetim sistemi standartlarından biridir. Her yıl yayınlanan ISO Survey verilerine göre, dünyada ISO/IEC 27001 sertifikası alan kuruluş sayısı sürekli artış trendindedir. Örneğin, 2022 yılı sonunda dünya genelinde ISO/IEC 27001 sertifikası bulunan kuruluş sayısı 71.549 olarak kaydedilmiştir – bu bir önceki yıla göre %22’lik bir artışı temsil etmektedir (SlideShare – Prozorov, 2023). Bu dramatik artış, siber güvenliğin yükselen önemine paralel olarak birçok organizasyonun ISO 27001’e yöneldiğini göstermektedir.

En çok sertifikalı kuruluşun bulunduğu ülkelerin başında Çin gelmektedir (~26 bin sertifika) (SlideShare – Prozorov, 2023). Ardından Japonya, Birleşik Krallık, Hindistan ve İtalya gibi ülkeler gelmektedir. Türkiye de son yıllarda bu alanda ilerleme kaydeden ülkelerden biridir; özellikle finans, telekom ve kamu gibi sektörlerin öncülüğünde ISO 27001 belgesi yaygınlaşmaktadır.

Sektörel olarak incelendiğinde, ISO 27001 sertifikalarının en yoğun olduğu alan Bilgi Teknolojileri (IT) sektörüdür (SlideShare – Prozorov, 2023). Yazılım firmaları, veri merkezi hizmet sağlayıcıları, bulut hizmeti sunan şirketler ve benzeri teknoloji odaklı işletmeler, bilgi güvenliğine büyük önem verdiklerinden ISO 27001’e erken adapte olmuşlardır. İkinci yoğun sektör telekomünikasyon olup, bankacılık-finans da izleyen önemli alanlardandır. KOBİ seviyesinde de birçok firma tedarik zinciri baskısı veya müşteri talebi nedeniyle sertifika almaktadır (DataGuard, n.d.).

ISO 27001’in dünya çapındaki başarısının bir göstergesi de farklı uyarlamalar ve genişlemeleridir. Örneğin, ISO/IEC 27701 (gizlilik bilgi yönetimi) veya CSA STAR (Cloud Security Alliance) gibi uyarlamalar, ISO 27001 çerçevesinin üzerine inşa edilir. Bu durum, standardın esnekliğini ve günümüz güvenlik ihtiyaçlarına cevap verebilirliğini gösterir.

Başarı Hikayeleri

ISO 27001 sertifikasyonunun işletmelere pratikte sağladığı faydaları anlamak için gerçek yaşam örneklerine bakmak faydalıdır:

Capgemini Örneği: Dünyanın en büyük BT danışmanlık şirketlerinden biri olan Capgemini, global çapta ISO/IEC 27001 BGYS uygulayarak, hem kendi bilgi varlıklarını hem de müşterilerinin verilerini üst düzeyde korumayı başarmıştır (BSI Group, n.d.). Şirket, müşteri güvenini artırarak rekabette avantaj kazanmıştır.
Telekom Sektöründe Güven Artışı: Bir telekom operatörü, ISO 27001 ve CSA STAR sertifikasyonu birleştirerek bulut hizmetlerinde müşteri endişelerini ciddi oranda azaltmıştır (BSI Group, n.d.). Böylece pazarda daha güvenli bir imajla öne çıkmıştır.
Tedarik Zinciri Gerekliliklerini Karşılama: Orta ölçekli bir üretim firması, büyük bir otomotiv devine tedarik yapabilmek için ISO 27001 sertifikası almış, bu sayede hem sözleşme gerekliliklerini yerine getirmiş hem de organizasyonun güvenlik seviyesini yükseltmiştir.
Finans Sektöründe Operasyonel Mükemmellik: ISO 27001’i ISO 22301 (iş sürekliliği) ile entegre uygulayan bir banka, düzenleyici denetimlerden başarıyla geçerek müşterilere kesintisiz hizmet sunabilmiştir. Güvenlik ve süreklilik performansı artmış, aynı zamanda operasyon maliyetlerinde de tasarruf sağlamıştır.
Danışmanlık Şirketinde Pazar Farkındalığı: Küçük bir bilgi güvenliği danışmanlık firması, kendi ISO 27001 sertifikasıyla müşterilerinin güvenini kazanmış, talep artışı yaşamıştır.

Bu örneklerin ortak teması, ISO 27001’in hem teknik hem de ticari faydalar sağlamasıdır. Yeterli üst yönetim desteği ve kurum kültürüyle birleştiğinde, ISO 27001 organizasyonları siber saldırılara, veri ihlallerine ve düzenleyici baskılara karşı çok daha dirençli hale getirir.

ISO 27001 Sertifikasının İşletmelere Sağladığı Katma Değer

ISO 27001 sertifikasyonu, bir işletme için önemli bir başarıdır. Peki bunun işletmeye ne ölçüde katma değer sağladığı merak konusudur. Aşağıda, ISO 27001’in doğrudan veya dolaylı olarak getirdiği üç temel katma değer alanını özetleyeceğiz: Müşteri ve iş ortağı güveni, hukuki uyumluluk ve siber saldırılara karşı koruma.

Müşteri ve İş Ortağı Güveni

Günümüzün rekabetçi iş dünyasında, müşteri güveni en değerli varlıklardan biridir. ISO 27001 sertifikası, işletmenin bilgi güvenliğini ciddiye aldığını ve bunu bağımsız bir otoriteye doğrulattığını gösterir. Bu durum, mevcut müşterilerin bağlılığını artırırken, potansiyel müşterilerin de tercihlerini etkiler. BSI tarafından yapılan bir ankette, ISO 27001 belgesi almış kuruluşların %80’inin “işimize güven kattı” şeklinde geri bildirim verdiği belirtilmiştir (BSI Group, n.d.).

Müşteri güveninin artması, iş sonuçlarına da pozitif yansır. Büyük kurumlar tedarikçi seçimlerinde ISO 27001 gibi sertifikaları bir filtre olarak kullanabilir. Ayrıca belgelendirme, pazarlama materyallerinde güven sembolü olarak da kullanılabilir. Süreç içerisinde müşterilere düzenli güvenlik raporları sunmak, şeffaflık ve profesyonellik algısını kuvvetlendirir. Böylelikle müşteri sadakatinin yanı sıra iş ortaklarıyla kurulan ilişkiler de güçlenir (DataGuard, n.d.).

Hukuki Uyumluluk

Bilgi güvenliği düzenlemeleri, özellikle kişisel verilerin korunması (KVKK, GDPR vb.) konularında her geçen gün daha katı hale gelmektedir. ISO 27001, bu yasal gerekliliklerle uyum sürecini kolaylaştıran bir altyapı sunar. Standartta tanımlı kontroller, birçok düzenlemenin de talep ettiği teknik ve idari önlemleri kapsamaktadır. Bu nedenle ISO 27001’e uyumlu olmak, yasal ceza riskini önemli ölçüde azaltır (Pivot Point Security, n.d.).

Ayrıca, veri ihlali gibi durumlarda ISO 27001 sertifikalı bir işletme, regülatörlere karşı “en iyi uygulamaları benimsiyoruz” savunmasını yapabilir ve genellikle cezalarda hafifletici unsur olarak değerlendirilir. Sözleşmesel uyumluluk açısından da birçok müşteri, tedarikçisinden ISO 27001 standardına uyum talep eder. Böylece işletme, hem yasal hem de sözleşmesel gereklilikleri daha kolay yerine getirir.

Siber Saldırılara Karşı Koruma

Siber saldırılar modern işletmeler için önemli bir tehdit haline gelmiştir. ISO 27001’in risk tabanlı yaklaşımı, bir kuruluşun zayıf noktalarını ve tehditlere maruz kalabileceği alanları önceden belirlemesini sağlar. Bu çerçevede hayata geçirilen teknik ve idari kontroller, saldırıları önleme ve tespit etme konusunda önemli katkı sunar (Pivot Point Security, n.d.).

Ayrıca ISO 27001, olay yönetimi ve iş sürekliliği planlarını da kapsayan bir sistem yaklaşımı getirir. Bu sayede bir siber saldırı gerçekleşse bile, kuruluş daha hızlı toparlanır ve hasar en aza iner. IBM’in veri ihlali maliyet raporlarına göre, kapsamlı güvenlik yönetim sistemleri uygulayan şirketler, ihlal maliyetlerini önemli ölçüde azaltabilmektedir. ISO 27001, tam da bu “kapsamlı güvenlik yönetimi” mantığının bir parçasıdır (IBM Security, 2023).

Online Standart ile ISO 27001’e Ulaşın!

Onlinestandart.com üzerinden satın aldığınız ISO 27001 standardı, güncel ve orijinal bir belgedir. Tüm standartlarımızda değişiklik veya güncelleme yapıldığında otomatik olarak bildirim alırsınız.

Bilgi Güvenliği yönetim sistemi için iso standardına sahip olmanız önemlidir. Online Standart’dan yapacağınız alışverişlerle doğru ve güncel standartlara sahip olabilir, işinizde avantaj sağlayabilirsiniz.

Sonuç olarak, ISO 27001’e giden yoldaki ilk ihtiyaç, standardın kendisidir. Online Standart üzerinden edineceğiniz güncel ve resmi dokümanla bu sürece sağlam bir temel atabilir, işletmenizin güvenlik dönüşümünü hızlandırabilirsiniz.

Kaynakça

• Advisera. (n.d.). ISO 27001 mandatory documents.
• Afyonluoğlu, S. (2019). ISO 27001 Uygulama Kılavuzu (PDF).
• AuditBoard. (2022). Definitive Guide to ISO 27001 Audits.
• BSI. (n.d.). ISO 27001 Bilgi Güvenliği Yönetim Sistemi Nedir?
• Böke Yazıcıoğlu, M. (2024). ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi Kapsamında Bilgi Güvenliği Risk Yönetimi ve Risk Analizi. Bilgisayar Bilimleri ve Teknolojileri Dergisi, 5(2), 01-13
• DataGuard. (2023). ISO 27001 Clause 9.2: Internal Audit & ISO 27001 Clause 5.2: Information Security Policy.
• IBM Security. (2023). Cost of a Data Breach Report.
• Isobelgesi. (n.d.). ISO 27001 Belgesi Bilgi Güvenliği Yönetim Sistemi.
• Online Standart. (2023). Teknik Bilgide Güvenilir Kaynak – ISO 27001 Standardı Satın Alın.
• Pivot Point Security. (n.d.). ISO 27001 and Data Protection: The Crucial Link.
• Protiviti. (n.d.). ISO/IEC 27001:2013 and ISO/IEC 27001:2022 revision details.
• Prozorov, A. (2023). ISO Survey 2022: ISO 27001 Certificates (ISMS). SlideShare.
• Secureframe. (2023). ISO 27001 Certification Process: A Step-by-Step Guide.
• StandardFusion. (2022). ISO 27001 Mandatory Clauses – Guide.
• Wikipedia. (n.d.). Bilgi Güvenliği.