Ankara ISO 27001 Belgesi: Nasıl Alınır, Fiyatı ve Süreç

Ankara ISO 27001 belgesi, bilgi güvenliği yönetim sistemini kurup işleten bir kuruluşun akredite bir belgelendirme kuruluşunun iki aşamalı denetiminden geçmesiyle alınır. Ankara’da bu belgeye olan talep diğer şehirlerden farklı bir kaynaktan gelir: kamu kurumlarının yazılım, bilişim ve hizmet alımı ihaleleri. Şartnamelerde çoğu zaman yalnızca ISO 27001 değil, TÜRKAK onaylı ISO 27001 belgesi istenir. Bu yazıda Ankara’da belgenin nasıl alındığını, TÜRKAK onayının ne anlama geldiğini, fiyatı belirleyen etkenleri ve sürecin adımlarını anlatıyoruz.

Ankara’da ISO 27001 Belgesine Kimler İhtiyaç Duyar?

Kamuya yazılım ve bilişim hizmeti veren firmalar: Bakanlıkların ve bağlı kuruluşların ihalelerinde bilgi güvenliği belgesi yeterlik kriteri olarak sıkça yer alır.
Teknokent şirketleri: ODTÜ Teknokent, Bilkent Cyberpark, Hacettepe Teknokent ve diğer teknoloji geliştirme bölgelerindeki yazılım firmaları kurumsal müşterilerinin güvenlik şartlarını karşılamak için belge alır.
Savunma sanayii tedarikçileri: Ana yüklenicilerle paylaşılan teknik verinin korunması için bilgi güvenliği sistemi beklenir. Bu firmalarda tesis güvenlik belgesi süreciyle birlikte planlanır.
e-Fatura, e-Defter ve e-Arşiv özel entegratörleri ile saklama kuruluşları: İlgili mevzuat bilgi güvenliği belgesini şart koşar.
Veri merkezi, barındırma ve çağrı merkezi işletmeleri: Müşteri verisini işleyen tüm hizmet sağlayıcılar.
Sağlık bilişimi ve sigorta şirketleri: Hassas kişisel veri işleyen kuruluşlar.

ISO 27001 Belgesi Ankara: TÜRKAK Onaylı Ne Demek?

“TÜRKAK onaylı ISO 27001 belgesi” ifadesi, belgeyi düzenleyen belgelendirme kuruluşunun Türk Akreditasyon Kurumu tarafından ISO 27001 kapsamında akredite edildiği anlamına gelir. Belgenin üzerinde TÜRKAK akreditasyon markası, akreditasyon numarası ve doğrulama karekodu bulunur.

Ankara’daki ihalelerde bu ayrım belirleyicidir. Şartname TÜRKAK ya da uluslararası akreditasyon forumu karşılıklı tanıma anlaşmasına taraf bir kurumdan akreditasyon şartı arıyorsa, akreditasyonsuz belge yeterlik değerlendirmesinde kabul edilmez. Teklif vermeden önce üç kontrol yapılmalıdır:

Belgelendirme kuruluşunun akreditasyon kapsamında ISO/IEC 27001:2022 yer alıyor mu?
Kuruluşun akreditasyon durumu bugün geçerli mi?
Belgenin kapsam ifadesi ihale konusu hizmeti karşılıyor mu?

İlk iki kontrolün nasıl yapılacağını TÜRKAK akredite kuruluş arama rehberimizde adım adım gösterdik. Akreditasyonun genel mantığı için akreditasyon nedir yazımıza bakabilirsiniz.

Ankara’da ISO 27001 Belgesi Nasıl Alınır?

Kapsamın belirlenmesi: Hangi hizmetlerin, lokasyonların ve sistemlerin belgeye dahil olacağı netleştirilir. Kapsamı dar tutmak süreci hızlandırır ancak ihale konusu hizmeti dışarıda bırakmamalıdır.
Varlık envanteri ve risk değerlendirmesi: Bilgi varlıkları listelenir, tehditler ve zafiyetler değerlendirilir.
Uygulanabilirlik Bildirgesi: 93 Ek-A kontrolünden hangilerinin uygulanacağı gerekçeleriyle belirlenir.
Politika ve prosedürlerin hazırlanması: Erişim, yedekleme, olay yönetimi, tedarikçi güvenliği ve diğerleri. Tam liste için ISO 27001 doküman listesi yazımıza bakabilirsiniz.
Kontrollerin uygulanması: Teknik önlemler devreye alınır, farkındalık eğitimi verilir, kayıtlar oluşmaya başlar.
İç tetkik ve yönetimin gözden geçirmesi.
Aşama 1 denetimi: Dokümantasyon ve hazırlık durumu değerlendirilir.
Aşama 2 denetimi: Kontrollerin fiilen çalıştığı örnekleme ile doğrulanır.
Belge kararı: Belge üç yıl geçerlidir, her yıl gözetim denetimi yapılır.

Ankara’da ISO 27001 Süreci Ne Kadar Sürer?

ISO 27001, ISO 9001’e göre daha uzun bir hazırlık ister, çünkü risk değerlendirmesinin sonuçlarına göre teknik kontrollerin gerçekten uygulanması ve çalıştığını gösteren kayıtların birikmesi gerekir. Küçük bir yazılım şirketinde hazırlık genellikle iki ile dört ay, çok lokasyonlu ya da veri merkezi işleten kuruluşlarda daha uzun sürer. İhale takvimine göre plan yapan firmaların en sık yaptığı hata, sürece ihale ilanından sonra başlamaktır. Erişim gözden geçirme, yedekten geri dönüş testi ve olay kaydı gibi kanıtlar geriye dönük üretilemez.

Ankara ISO 27001 Belgesi Fiyatı Neye Göre Belirlenir?

ISO 27001 belgesinin sabit bir fiyatı yoktur. Denetim süresi uluslararası kurallara göre hesaplanır ve teklif bu süreye dayanır. Belirleyici etkenler şunlardır:

Kapsamdaki çalışan sayısı
Lokasyon sayısı ve uzaktan çalışma düzeni
Bilgi sistemlerinin karmaşıklığı (kendi veri merkezi, bulut, yazılım geliştirme)
İşlenen verinin hassasiyeti
Mevcut bir ISO 9001 ya da başka yönetim sistemi belgesinin bulunması
Sızma testi, zafiyet taraması ve eğitim gibi ek kalemler

Teklif karşılaştırırken belgelendirme bedelinin yanında hazırlık sürecinde gerekecek teknik yatırımlar da hesaba katılmalıdır. Firmanıza özel rakam için fiyat teklifi formunu doldurabilirsiniz.

Ankara’daki Firmaların ISO 27001 Denetiminde Zorlandığı Konular

Kapsam ile ihale konusunun uyuşmaması: Belge “yazılım geliştirme” kapsamında alınmış, ihale ise “barındırma ve işletim” hizmeti istiyorsa belge yeterli sayılmayabilir.
Uzaktan ve hibrit çalışma: Çalışanların ev ortamı ve kişisel cihaz kullanımı için kuralların yazılı olması gerekir.
Kamu projelerinde müşteri ortamına erişim: Kurum ağına bağlanan personelin yetkileri ve kayıtları.
Tedarikçi güvenliği: Bulut sağlayıcı ve alt yüklenici sözleşmelerinde güvenlik şartlarının bulunması.
KVKK ile ilişki: Kişisel veri envanteri ile varlık envanterinin birbiriyle tutarlı olması.

Yazılım şirketlerine özel uygulama notlarını yazılım ve e-ticaret firmaları için ISO 27001 rehberi yazımızda bulabilirsiniz.

Nobel Belgelendirme Ankara’da ISO 27001 Sürecinde Nasıl Destek Olur?

Nobel Belgelendirme Ankara merkezli bir belgelendirme firmasıdır. ISO 27001 hedefleyen kuruluşlarla doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz. Hizmetin ayrıntıları ISO 27001 belgesi sayfamızda yer alır. Yazılım ihalelerinde çoğu zaman birlikte istenen diğer belge için Ankara ISO 15504 belgesi yazımıza, kalite sistemi için Ankara ISO 9001 belgesi yazımıza bakabilirsiniz.

Ankara ISO 27001 Belgesi Hakkında Sık Sorulan Sorular

Kamu ihaleleri için ISO 27001 belgesinin TÜRKAK onaylı olması şart mı?

Şartnameye bağlıdır. Birçok ihalede TÜRKAK ya da karşılıklı tanıma anlaşmasına taraf bir akreditasyon kurumundan akredite kuruluşlarca düzenlenmiş belge istenir. Akreditasyonsuz belge bu ihalelerde kabul edilmez.

ISO 27001 belgesi yalnızca yazılım şirketleri için mi gereklidir?

Hayır. Müşteri, çalışan ya da kurum verisi işleyen her kuruluş alabilir. Çağrı merkezleri, muhasebe ve hukuk büroları, sağlık kuruluşları ve savunma tedarikçileri de belge alır.

Beş kişilik bir firma ISO 27001 belgesi alabilir mi?

Evet. Standart kuruluş büyüklüğü şartı koymaz. Küçük firmalarda politikalar birleştirilir, denetim süresi kısa tutulur.

ISO 27001 için sızma testi zorunlu mu?

Standart sızma testini isim vererek zorunlu tutmaz, ancak teknik zafiyetlerin yönetilmesini ister. Uygulamada zafiyet taraması ya da sızma testi bu kontrolün en yaygın kanıtıdır ve ihale şartnamelerinde ayrıca istenebilir.

Belge 2013 sürümüne göre alınmışsa hâlâ geçerli mi?

Hayır. 2013 sürümünden geçiş süresi sona ermiştir. Geçerli belgeler ISO/IEC 27001:2022 sürümüne göre düzenlenmiş olmalıdır.

Sonuç

Ankara’da ISO 27001 belgesi, kamuya bilişim hizmeti veren ve savunma tedarik zincirinde yer alan firmalar için iş yapmanın ön koşullarından biridir. Belgenin işe yaraması üç şeye bağlıdır: doğru akreditasyon, ihale konusunu karşılayan kapsam ve geriye dönük üretilemeyen kayıtlar için yeterli hazırlık süresi. Kapsamınızı ve takviminizi birlikte planlamak için bizimle iletişime geçebilirsiniz.