TS EN ISO/IEC 27001

TS EN ISO/IEC 27001, bir kuruluşun bilgi güvenliği yönetim sistemini kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için gereken gereklilikleri tanımlar. Standart, siber güvenlik ve kişisel gizliliğin korunmasıyla yakından ilişkili olsa da odak noktası, kuruluş bağlamında bilgi güvenliğinin yönetilmesidir. Genel teknik çerçevede bu, bilgilerin gizlilik, bütünlük ve erişilebilirliğinin sistematik olarak ele alınması anlamına gelir.

Yönetim sistemi yaklaşımının anlamı

Bu standart, tek tek teknik kontroller listesi olmaktan çok bir yönetim sistemi mantığıyla çalışır. Kuruluşun amaçlarını, risklerini, süreçlerini, рол ve sorumluluklarını ve performans değerlendirmesini birbirine bağlar. Bu nedenle doküman, güvenlik önlemlerini yalnızca teknoloji katmanında değil, politika, işleyiş, izleme ve iyileştirme döngüsü içinde ele alan kuruluşlar için temel bir referanstır.

Risk değerlendirmesi ve uygulanabilirlik

Standart, kuruluşun ihtiyaçlarına uyarlanmış bilgi güvenliği risklerinin değerlendirilmesi ve işlenmesi için gereklilikler içerir. Genel olarak risk değerlendirmesi; varlıkların, tehditlerin, açıkların ve olası etkilerin belirlenmesiyle hangi kontrollerin gerekli olduğuna karar verme sürecidir. Buradaki önemli ayrım, standardın tek tip bir çözüm dayatmaması, farklı büyüklük ve türdeki kuruluşlara uygulanabilir genel gereklilikler koymasıdır. Ayrıca 4 ila 10. maddelerde belirtilen gerekliliklerin herhangi birinin dışlanması, bu standarda uygunluk iddiasıyla bağdaşmaz.

Bu nedenle TS EN ISO/IEC 27001, bilgi güvenliği programını yapılandırmak, kanıtlanabilir şekilde yönetmek ve zaman içinde geliştirmek isteyen kuruluşlar için kullanılan temel bir gereklilik standardıdır. Ekosisteminde ISO/IEC 27000 ailesiyle birlikte değerlendirilir; 27000 serisi terminoloji ve çerçeve açısından tamamlayıcı bir arka plan sunar.