TS EN ISO/IEC 27001

TS EN ISO/IEC 27001, bir kuruluşun bilgi güvenliğini yönetmek için kurduğu yönetim sistemi yapısına ilişkin gereklilikleri tanımlar. Bu standart, teknik kontrollerin tek tek listesinden ziyade, bilginin korunmasını yöneten sistemin nasıl kurulacağını, işletileceğini ve geliştirilmesini ele alır; bu nedenle siber güvenlik ve kişisel gizliliğin korunmasıyla bağlantılı geniş bir yönetim çerçevesi sunar.

Bilgi güvenliği yönetim sisteminin yapısı

Standart, kuruluş bağlamı içinde bir bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gerekli unsurları kapsar. Genel teknik açıdan bu, risk temelli yaklaşımın merkezde olduğu anlamına gelir: varlıkların, tehditlerin, zafiyetlerin ve etkilerin değerlendirilmesi; uygun risk işleme seçeneklerinin seçilmesi; ve alınan kararların yönetim sistemi içinde izlenebilir hale getirilmesi beklenir. Yönetim sistemi yaklaşımı, yalnızca teknoloji ürünlerini değil, insanları, süreçleri ve yönetişimi de kapsar.

Kapsamın ve uygunluk iddiasının sınırları

• Gereklilikler geneldir ve kuruluşun türü, boyutu veya yapısından bağımsız olarak uygulanmak üzere tasarlanmıştır.
• Belge, bilgi güvenliği risklerinin kuruluş ihtiyaçlarına göre değerlendirilmesi ve işlenmesine ilişkin gereklilikleri de içerir.
• Madde 4 ile Madde 10 arasındaki gerekliliklerden herhangi birinin hariç tutulması, bu standarda uygunluk iddiasıyla bağdaşmaz.
• Terimler ve temel kavramlar açısından TS EN ISO/IEC 27000 ile uyumlu bir yönetim dili kullanır.

Bu standardın pratik değeri, bilgi varlıklarının korunmasını tek bir teknik önlem değil, kurumsal bir yönetim disiplini olarak ele almasından gelir. Böylece erişim kontrolü, olay yönetimi, iç denetim, liderlik, planlama ve performans değerlendirme gibi unsurlar aynı çatı altında birleştirilir. Sonuç olarak doküman, bilgi güvenliğini günlük operasyonlardan yönetsel gözetime kadar uzanan sistematik bir çerçeveye bağlar.