TÜRKAK Onaylı ISO 27001 Nedir, Nasıl ve Nereden Alınır?

TÜRKAK onaylı ISO 27001 belgesi, bilgi güvenliği yönetim sistemini bağımsız bir değerlendirmeyle belgelendirmek ve bu süreçte akreditasyon güvencesi arayan kuruluşlar için önemli bir konudur.

Ancak doğru iso belgesini seçmek için yalnızca ISO 27001 sertifikasına sahip olmak yeterli mi, belgelendirme kuruluşunun TÜRKAK akreditasyonu hangi kapsamda geçerli ve işletmeniz hangi hazırlıkları yapmalı gibi sorulara da yanıt vermeniz gerekir.

Bu rehberde TÜRKAK onaylı ISO 27001 ifadesinin ne anlama geldiğini, ISO 27001 belgesi nasıl alınır sorusunun uygulamadaki karşılığını ve belgelendirme sürecinde yanlış karar vermenizi önleyecek kontrol noktalarını ele alıyoruz.

ISO 27001 Nedir? Bilgi Güvenliği Yönetim Sistemi Ne İşe Yarar?

ISO 27001, kuruluşların bilgi güvenliği risklerini yönetmek için kurduğu sistemin şartlarını belirleyen uluslararası standarttır. Standardın güncel temel baskısı ISO/IEC 27001:2022’dir.

Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından yayımlanan bu standart, farklı büyüklükteki ve sektördeki kuruluşlara uygulanabilir. ISO’nun resmî standard açıklaması bu kapsamı doğrular.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS), yalnızca bilgisayarları, sunucuları veya ağları korumaya odaklanmaz. Kuruluşunuzun yönettiği bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için insanları, süreçleri ve teknolojiyi birlikte ele alır.

Örneğin işletmenizin müşteri kayıtlarının bulunduğu bir veri tabanını düşünün. Yetkisiz bir kişinin bu verilere erişmesi gizlilik ihlaline, kayıtları değiştirmesi bütünlük sorununa, sistemin kullanılamaz hâle gelmesi ise erişilebilirlik problemine yol açabilir. ISO 27001, bu riskleri belirlemenize ve uygun kontrolleri planlamanıza yardımcı olur.

Bu sistemin işletmenize sağlayabileceği başlıca faydalar şunlardır:

• Bilgi varlıklarınızı ve bunların sorumlularını belirlemek.
• Bilgi güvenliği risklerini sistematik biçimde değerlendirmek.
• Erişim kontrolü, yedekleme ve olay yönetimi gibi süreçleri düzenlemek.
• Çalışanların bilgi güvenliği sorumluluklarını netleştirmek.
• Müşterilere ve iş ortaklarına bilgi güvenliği yaklaşımınızı göstermek.
• Risk yönetimi ve sürekli iyileştirme kültürünü geliştirmek.

Burada önemli bir ayrım vardır: ISO 27001 belgesi, işletmenizin hiçbir zaman siber saldırıya uğramayacağını veya veri kaybı yaşamayacağını garanti etmez. Belge, bilgi güvenliği yönetim sisteminizin ilgili şartlara göre değerlendirilmiş olduğunu gösterir.

TÜRKAK Onaylı ISO 27001 Belgesi Ne Demektir?

TÜRKAK onaylı ISO 27001 belgesi ifadesi, uygulamada genellikle TÜRKAK tarafından ilgili kapsamda akredite edilmiş bir belgelendirme kuruluşunun düzenlediği ISO 27001 sertifikasını anlatmak için kullanılır.

Burada üç ayrı kavramı birbirinden ayırmanız gerekir:

TÜRKAK, yönetim sistemi belgelendirme kuruluşlarının akreditasyon faaliyetlerini yürütür. ISO/IEC 27001 alanında akreditasyon için ISO/IEC 17021-1 ve ISO/IEC 27006-1 gibi ilgili standartlar ile uygulanabilir uluslararası şartlar dikkate alınır. Bu bilgi TÜRKAK’ın Yönetim Sistemi Belgelendirme Kuruluşları sayfasında açıklanır.

Bir belgenin TÜRKAK akreditasyonuna sahip olup olmadığını yalnızca üzerindeki logoya veya ifadeye bakarak belirlemeyin. Belgelendirme kuruluşunun resmî kaydını, akreditasyon numarasını ve ilgili standardı kapsayan güncel akreditasyon kapsamını kontrol edin.

Bu kontrol, özellikle belgeyi bir müşteri sözleşmesinde, tedarikçi değerlendirmesinde veya ihale sürecinde kullanacaksanız önemlidir. Çünkü talep edilen belgenin hangi akreditasyon şartlarını karşılaması gerektiği, belgeyi kullanacağınız kurumun beklentilerine bağlı olabilir.

TÜRKAK Akreditasyonu ile ISO 27001 Sertifikası Arasındaki Fark

İşletmelerin belgelendirme araştırmasında sıkça karıştırdığı konulardan biri, ISO 27001 belgesi ile TÜRKAK akreditasyonunun aynı şey olduğunu düşünmektir.

ISO 27001 belgesi, işletmenizin bilgi güvenliği yönetim sisteminin değerlendirilmesiyle ilgilidir. TÜRKAK akreditasyonu ise belgelendirme kuruluşunun belirli faaliyetleri gerçekleştirme yeterliliğinin değerlendirilmesiyle ilgilidir.

Bu farkı somut bir örnekle açıklayalım.

İşletmeniz ISO 27001 belgesi almak istiyor ve bir belgelendirme kuruluşundan teklif alıyorsunuz.

Kuruluşun ISO 27001 belgelendirmesi yaptığını söylemesi, tek başına TÜRKAK tarafından bu kapsamda akredite olduğu anlamına gelmez.

Akreditasyon şartı sizin için önemliyse kuruluşun güncel akreditasyon kaydını ayrıca incelemelisiniz.

Aşağıdaki kontrol listesini kullanabilirsiniz:

Bu adımlar, belgenizi kullanacağınız yerde sonradan sorun yaşama riskinizi azaltır.

TÜRKAK’ın resmî kaynaklarına TÜRKAK internet sitesi üzerinden ulaşabilirsiniz. Arama yaparken yalnızca kuruluş adını değil, belgelendirme kapsamını da dikkate alın.

ISO 27001 Belgesi Kimler İçin Gereklidir?

ISO 27001 belgelendirmesi her işletme için genel bir yasal zorunluluk değildir. Bununla birlikte bilgi güvenliği gereksinimleri yüksek olan kuruluşlar için önemli bir tercih olabilir.

Özellikle aşağıdaki kuruluşlar ISO 27001 belgelendirme sürecini değerlendirebilir:

Yazılım ve teknoloji şirketleri: Müşteri verileri, kaynak kodları, uygulamalar ve bulut altyapıları gibi varlıkları yönetirler.

Bilgi teknolojileri hizmet sağlayıcıları: Müşterilerine sundukları hizmetlerde bilgi güvenliği kontrollerini sistematik hâle getirmek isteyebilirler.

Finans ve danışmanlık kuruluşları: Ticari sırları, finansal bilgileri ve hassas müşteri kayıtlarını korumaları gerekir.

Üretim ve sanayi işletmeleri: Üretim verileri, teknik çizimler, tedarikçi bilgileri ve operasyonel sistemler gibi kritik varlıkları yönetirler.

Kurumsal tedarikçiler: Büyük müşterilerinin bilgi güvenliği koşullarını karşılamak veya tedarikçi değerlendirmelerinde güvenilirliklerini göstermek isteyebilirler.

Burada önemli olan yalnızca sektörünüz değildir. İşletmenizin işlediği veriler, müşterilerinizin beklentileri, sözleşmeleriniz ve operasyonel riskleriniz de belgelendirme kararınızı etkiler.

ISO 27001 belgesi talep eden bir müşteriniz varsa öncelikle şu soruyu sorun: Müşteri yalnızca geçerli bir ISO 27001 sertifikası mı istiyor, yoksa TÜRKAK veya başka bir akreditasyon kuruluşu tarafından akredite edilmiş bir belgelendirme kuruluşundan düzenlenmiş belge şartı da koyuyor mu?

Bu ayrımı baştan netleştirmek, yanlış hizmete para ve zaman ayırmanızı önleyebilir.

ISO 27001 Belgesi Nasıl Alınır? Uygulanabilir Bir Yol Haritası

ISO 27001 belgesi nasıl alınır? sorusunun yanıtı, yalnızca bir başvuru formu doldurmaktan ibaret değildir. Önce işletmenizin bilgi güvenliği yönetim sistemini kurmanız ve uygulamanız, ardından uygun belgelendirme sürecini tamamlamanız gerekir.

Süreci yedi temel aşamada ele alabilirsiniz.

1. Belgelendirme ihtiyacınızı ve kapsamınızı belirleyin

İlk olarak neden ISO 27001 belgesi almak istediğinizi netleştirin. Müşteri şartı, ihale gereksinimi, kurumsal risk yönetimi veya bilgi güvenliği süreçlerini geliştirme hedefi farklı öncelikler doğurabilir.

Ardından belgelendirme kapsamını belirleyin. Hangi faaliyetlerin, lokasyonların, ekiplerin ve bilgi sistemlerinin yönetim sistemi içerisinde yer alacağını değerlendirin.

Kapsamı gereğinden geniş belirlemek hazırlık ve denetim yükünü artırabilir. Gereğinden dar belirlemek ise müşterinizin beklentisini karşılamayan bir belgeyle sonuçlanabilir. Bu nedenle kapsam kararını iş süreçlerinize ve gerçek ihtiyaçlarınıza göre verin.

2. Mevcut durum analizi yapın

Mevcut durum analizi, işletmenizin uygulamalarını ISO/IEC 27001 şartlarıyla karşılaştırmanızı sağlar.

Bu aşamada aşağıdaki soruları değerlendirin:

• Bilgi varlıklarınızın güncel bir envanteri var mı?
• Bilgi güvenliği riskleri tanımlanmış ve değerlendirilmiş mi?
• Erişim yetkileri görev ve sorumluluklara göre düzenlenmiş mi?
• Veri yedekleme ve geri yükleme süreçleri uygulanıyor mu?
• Bilgi güvenliği olayları kayıt altına alınıyor mu?
• Çalışanlar bilgi güvenliği sorumluluklarını biliyor mu?
• İç denetim ve düzeltici faaliyet süreçleri işletiliyor mu?

Bu soruların tamamına olumlu yanıt verememeniz, belgelendirme hedefinizden vazgeçmeniz gerektiği anlamına gelmez. Tam tersine, hangi alanlarda iyileştirme yapmanız gerektiğini gösterir.

Nobel’in uzmanlık yaklaşımı açısından önemli nokta, yalnızca eksik dokümanları listelemek yerine her eksikliğin hangi riski doğurduğunu ve hangi işlemle giderilebileceğini belirlemektir. Bu yaklaşım, hazırlık çalışmalarının işletmenize gerçek fayda sağlamasına yardımcı olur.

3. Bilgi varlıkları envanterini hazırlayın

Bilgi güvenliği yönetim sistemi, neyi korumanız gerektiğini belirlemekle başlar.

Bilgi varlıkları envanterinde müşteri kayıtları, çalışan bilgileri, ticari sırlar, sözleşmeler, yazılımlar, sunucular, veri tabanları, bulut hizmetleri ve fiziksel belgeler gibi varlıkları değerlendirin.

Her varlık için uygun olduğu ölçüde şu bilgileri belirleyin:

• Varlığın adı ve türü
• Varlığın sahibi veya sorumlusu
• Nerede tutulduğu veya işlendiği
• Hangi süreçlerde kullanıldığı
• Gizlilik, bütünlük ve erişilebilirlik gereksinimleri
• Başlıca riskleri ve korunma ihtiyaçları

Örneğin müşteri verilerini barındıran bir sistemin sahibi, yedekleme sorumlusu ve erişim yetkileri belirlenmemişse bir güvenlik olayında müdahale gecikebilir. Envanter, bu tür sorumlulukların netleştirilmesine yardımcı olur.

4. Risk analizi ve risk işleme planını oluşturun

ISO 27001 kapsamında risk analizi, güvenlik önlemlerini rastgele seçmek yerine işletmenizin ihtiyaçlarına göre belirlemenizi sağlar.

Örneğin çalışanların işten ayrılmasının ardından kullanıcı hesaplarının kapatılmaması, yetkisiz erişim riskini doğurabilir. Yedeklerin düzenli olarak test edilmemesi ise bir sistem arızasında verilerin geri yüklenememesine yol açabilir.

Bu riskleri değerlendirdikten sonra risk işleme planı hazırlayın. Hangi risklerin hangi kontrollerle ele alınacağını, sorumluları ve uygulanacak faaliyetleri belirleyin.

Risk değerlendirmesinin amacı, bütün riskleri sıfırlamak değildir. Amaç, riskleri sistematik biçimde anlamak, uygun kararlar almak ve seçilen önlemlerin etkinliğini izlemektir.

5. Gerekli politikaları, prosedürleri ve kontrolleri uygulayın

Bilgi güvenliği yönetim sisteminin dokümantasyonu, kuruluşunuzun gerçek uygulamalarını yansıtmalıdır.

Kuruluşunuzun kapsamına ve risklerine göre şu alanlarda düzenlemeler gerekebilir:

• Bilgi güvenliği politikası
• Erişim kontrolü ve kullanıcı yetkilendirme
• Kimlik doğrulama ve parola güvenliği
• Veri yedekleme ve geri yükleme
• Güvenlik olaylarının bildirilmesi ve yönetimi
• Bilgi varlıklarının sınıflandırılması
• Tedarikçi ve dış hizmet sağlayıcı riskleri
• Çalışan farkındalığı ve eğitim
• İş sürekliliğiyle ilişkili bilgi güvenliği önlemleri

Bütün kuruluşların aynı doküman setini hazırlaması gerektiğini düşünmeyin. Dokümante edilmiş bilgi ihtiyacı, standardın şartları ve kuruluşunuzun faaliyetleri dikkate alınarak belirlenmelidir.

Ayrıca bir prosedürün mevcut olması, ilgili kontrolün etkin biçimde uygulandığını tek başına kanıtlamaz. Örneğin yedekleme prosedürünüz bulunabilir; ancak geri yükleme testlerini gerçekleştirmiyorsanız verilerin gerektiğinde kurtarılabildiğinden emin olamazsınız.

6. İç denetim ve yönetimin gözden geçirmesini gerçekleştirin

Belgelendirme denetiminden önce yönetim sisteminizin uygunluğunu ve etkinliğini değerlendirin.

İç denetim sırasında prosedürlerin uygulanıp uygulanmadığını, kayıtların yeterliliğini ve bilgi güvenliği kontrollerinin çalışıp çalışmadığını inceleyin.

Tespit edilen uygunsuzluklar için düzeltici faaliyetler başlatın. Sorunun yalnızca görünen sonucunu düzeltmekle yetinmeyin; tekrar oluşmasına yol açan nedenleri de değerlendirin.

Yönetimin gözden geçirmesi sırasında riskleri, hedefleri, denetim sonuçlarını, olayları ve iyileştirme ihtiyaçlarını ele alın. Bu çalışma, bilgi güvenliğinin yalnızca teknik ekibin sorumluluğunda kalmasını önlemeye yardımcı olur.

7. Belgelendirme denetimini tamamlayın

Hazırlık aşamaları tamamlandıktan sonra seçtiğiniz belgelendirme kuruluşuna başvurabilirsiniz.

Belgelendirme kuruluşu, kuruluşunuzun bilgilerini değerlendirerek denetimi planlar. Denetim sırasında yönetim sisteminizin standardın şartlarını karşılayıp karşılamadığı incelenir.

Uygunsuzluk tespit edilirse ilgili kurallar doğrultusunda düzeltici faaliyetler gerçekleştirmeniz ve gerekli kanıtları sunmanız gerekir. Belgelendirme kararı, denetim bulguları ve ilgili değerlendirmeler tamamlandıktan sonra verilir.

ISO 27001 belgesi, başvuru yapıldığı için otomatik olarak düzenlenmez. Belgelendirme şartlarının karşılanması ve sürecin olumlu sonuçlanması gerekir.

ISO 27001 Belgesi İçin Hangi Dokümanlar Gerekir?

ISO 27001 belgesi için gereken dokümante edilmiş bilgiler, kuruluşun kapsamına, risklerine ve uyguladığı süreçlere göre değişir. Bu nedenle bütün işletmelere aynı evrak listesini vermek doğru değildir.

Hazırlık sırasında aşağıdaki doküman ve kayıtları değerlendirmeniz yararlı olacaktır:

Bu tabloyu kesin ve eksiksiz bir zorunlu evrak listesi olarak değerlendirmeyin. ISO/IEC 27001’in dokümantasyon şartları, ilgili kontroller ve kuruluşunuzun koşulları birlikte incelenmelidir.

TÜRKAK Akreditasyonlu ISO 27001 Belgesi Veren Kuruluş Nasıl Seçilir?

ISO 27001 belgesi veren firmalar arasında seçim yaparken yalnızca fiyat teklifini veya internet sitesindeki tanıtım ifadelerini karşılaştırmayın. Önce hangi belgeye ihtiyacınız olduğunu ve akreditasyon şartının nasıl tanımlandığını netleştirin.

Sağlıklı bir seçim için aşağıdaki değerlendirmeyi yapabilirsiniz.

Akreditasyon kapsamını doğrulayın

Kuruluşun TÜRKAK tarafından akredite edildiği belirtiliyorsa güncel akreditasyon kaydını inceleyin. ISO/IEC 27001 standardının kapsamda yer alıp almadığını ve belgelendirme faaliyetinin hangi tüzel kişilik tarafından yürütüleceğini doğrulayın.

Bir şirketler grubunun farklı ülkelerde veya farklı tüzel kişiliklerle faaliyet göstermesi mümkündür. Bu nedenle yalnızca marka adını bilmek yeterli olmayabilir.

Belgeyi kullanacağınız kurumun şartlarını öğrenin

Müşterinizin veya ihaleyi düzenleyen kurumun belgeye ilişkin özel koşulları olabilir. Akreditasyon şartı, belge kapsamı ve geçerlilik gibi konuları başvuru öncesinde netleştirin.

Böylece ihtiyacınızı karşılamayan bir hizmete yönelme riskini azaltabilirsiniz.

Denetim ve belgelendirme sürecini karşılaştırın

Teklif veren kuruluşlardan denetim kapsamını, süreç adımlarını, ücretlendirme yöntemini ve belgelendirme kararının nasıl verildiğini açıklamalarını isteyin.

Denetim sürecini gereğinden kısa gösteren veya belgeyi koşulsuz garanti ettiğini söyleyen tekliflere temkinli yaklaşın. Belgelendirme kararı, ilgili değerlendirme ve kurallar çerçevesinde verilmelidir.

Belge doğrulama yöntemini öğrenin

Belge düzenlendiğinde sertifikanın hangi bilgilerle doğrulanabileceğini sorun. Kuruluşun adı, belge numarası, kapsam, standart sürümü ve geçerlilik bilgileri gibi alanları inceleyin.

Bu kontrol, belgenin ilgili kuruluş ve faaliyetle ilişkisini anlamanıza yardımcı olur.

ISO 27001 Belgesi Fiyatı Nasıl Belirlenir?

ISO 27001 belgesi fiyatı, kuruluşunuzun yapısına ve belgelendirme kapsamına göre değişir. Tek bir fiyatı bütün işletmeler için geçerli kabul etmek doğru değildir.

Maliyeti etkileyebilecek başlıca faktörler şunlardır:

• Çalışan sayısı ve faaliyetlerin karmaşıklığı
• Belgelendirme kapsamındaki lokasyonlar
• Bilgi teknolojileri altyapısı ve süreçlerin yapısı
• Yönetim sisteminin mevcut olgunluk seviyesi
• Denetim için gereken süre ve kaynaklar
• Danışmanlık, eğitim veya teknik hazırlık gibi ayrı hizmetler
• Gözetim denetimleri ve yeniden belgelendirme maliyetleri

Burada önemli bir ayrım bulunur: Yönetim sistemini kurmak veya iyileştirmek için yapılan harcamalar ile belgelendirme kuruluşunun denetim ve belgelendirme ücretleri aynı maliyet kalemi değildir.

Teklifleri karşılaştırırken yalnızca toplam tutara bakmayın. Hangi hizmetlerin fiyata dâhil olduğunu, ek ücret doğurabilecek durumları ve belgelendirme çevrimi boyunca oluşabilecek maliyetleri öğrenin.

Nobel Belgelendirme’den bilgi veya teklif talep etmeyi düşünüyorsanız öncelikle ihtiyaç duyduğunuz hizmetin kapsamını açıklamanız yararlı olacaktır. Güncel hizmet kapsamı ve ücretler, ilgili hizmetin gerçekten sunulup sunulmadığı doğrulanarak paylaşılmalıdır.

ISO 27001 Belgesi Kaç Yıl Geçerlidir?

Yönetim sistemi belgelendirmelerinde genellikle üç yıllık bir belgelendirme çevrimi uygulanır. Bu çevrimde gözetim denetimleri yapılır ve çevrim sonunda yeniden belgelendirme değerlendirmesi gerçekleştirilir.

Bununla birlikte belgenizin kesin geçerlilik tarihlerini, gözetim koşullarını ve yenileme şartlarını belgeyi düzenleyen kuruluştan doğrulamalısınız.

Belgenin geçerli olması, yönetim sisteminin yalnızca denetim gününde uygulanması anlamına gelmez. Risk değerlendirmelerini güncel tutmanız, kontrolleri uygulamanız, iç denetimleri gerçekleştirmeniz ve gerekli iyileştirmeleri yapmanız gerekir.

ISO 27001 Belgelendirme Sürecinde En Sık Yapılan Hatalar

Belgelendirme hazırlığında yapılan bazı hatalar hem maliyeti artırabilir hem de sürecin gereksiz yere uzamasına neden olabilir.

1. Yanlış belge şartıyla başlamak: Müşterinin akreditasyon şartını kontrol etmeden yalnızca ISO 27001 sertifikası için teklif almak, sonradan ek değerlendirme ihtiyacı doğurabilir.

2. Kapsamı doğru belirlememek: Belgelendirme kapsamının işletmenin gerçek faaliyetleriyle uyumlu olmaması, belgenin kullanım amacını etkileyebilir.

3. Hazır dokümanları doğrudan uygulamak: Başka bir işletme için hazırlanan politika ve prosedürler, sizin risklerinizi ve süreçlerinizi karşılamayabilir.

4. Risk değerlendirmesini yüzeysel yapmak: Gerçek bilgi varlıklarını ve tehditleri dikkate almayan risk analizi, yanlış kontrol kararlarına yol açabilir.

5. Uygulama kanıtlarını ihmal etmek: Doküman hazırlamak tek başına yeterli değildir. Kontrollerin uygulandığını gösteren kayıtlar ve kanıtlar da önemlidir.

6. Belgelendirme kararını garanti edilmiş kabul etmek: Denetim ve değerlendirme tamamlanmadan belgenin kesin olarak düzenleneceğini varsaymak doğru değildir.

Bu hataları önlemek için belgelendirme hazırlığını bir evrak toplama işi olarak değil, işletmenizin bilgi güvenliği risklerini yönetme süreci olarak ele alın.

Nobel Belgelendirme’den ISO 27001 Süreci Hakkında Nasıl Bilgi Alabilirsiniz?

ISO 27001 belgelendirmesini değerlendirirken ilk adım, işletmenizin ihtiyacını ve belgeyi kullanacağınız kurumun şartlarını netleştirmektir.

Nobel Belgelendirme ile iletişime geçmeden veya hizmet teklifi talep etmeden önce aşağıdaki bilgileri hazırlamanız, ihtiyacınızın daha doğru değerlendirilmesine yardımcı olur:

• İşletmenizin faaliyet alanı
• Çalışan sayısı ve lokasyonlar
• Belgelendirme kapsamına girmesini istediğiniz faaliyetler
• ISO 27001 belgesini talep eden müşteri veya kurumun şartları
• Mevcut bilgi güvenliği yönetim sisteminizin durumu
• TÜRKAK akreditasyonu gibi özel bir belgelendirme şartının bulunup bulunmadığı

Bu bilgiler sayesinde hangi hazırlıkların gerektiğini, hangi konuların öncelikli olduğunu ve hangi hizmet kapsamının işletmenize uygun olabileceğini değerlendirebilirsiniz.

Sık Sorulan Sorular

TÜRKAK onaylı ISO 27001 belgesi nedir?

Bu ifade, genellikle TÜRKAK tarafından ISO/IEC 27001 kapsamında akredite edilmiş bir belgelendirme kuruluşunun düzenlediği sertifikayı anlatmak için kullanılır. Kuruluşun akreditasyon durumu ve kapsamı resmî kayıtlardan doğrulanmalıdır.

TÜRKAK ISO 27001 belgesini doğrudan verir mi?

Hayır. TÜRKAK, uygunluk değerlendirme ve belgelendirme kuruluşlarını ilgili şartlar kapsamında akredite eder. ISO 27001 belgesi ise yönetim sistemini değerlendiren belgelendirme kuruluşu tarafından düzenlenir.

ISO 27001 belgesi nasıl alınır?

Öncelikle kuruluşunuzun bilgi güvenliği yönetim sistemini ISO/IEC 27001 şartlarına göre kurmanız ve uygulamanız gerekir. Daha sonra uygun nobel belgelendirme gibi bir belgelendirme kuruluşuna başvurur, denetim sürecini tamamlar ve varsa uygunsuzlukları giderirsiniz. Belgelendirme kararı olumlu sonuçlanırsa sertifika düzenlenebilir.

ISO 27001 belgesi nereden alınır?

ISO 27001 belgesi, ilgili yönetim sistemi standardına göre belgelendirme yapan kuruluşlardan alınır. TÜRKAK akreditasyonu gerekiyorsa kuruluşun güncel akreditasyon kaydını ve ISO/IEC 27001 kapsamını kontrol etmeniz gerekir.

ISO 27001 belgesi almak zorunlu mudur?

Her kuruluş için genel bir zorunluluk bulunmaz. Ancak müşteri sözleşmeleri, ihale koşulları, sektörel gereklilikler veya diğer yükümlülükler belgelendirmeyi gerekli kılabilir. İşletmenizin tabi olduğu koşulları ayrıca değerlendirin.

ISO 27001 belgesi için hangi dokümanlar gerekir?

Kuruluşun kapsamına ve risklerine bağlı olarak BGYS kapsamı, bilgi güvenliği politikası, bilgi varlıkları envanteri, risk değerlendirmesi, risk işleme planı, Uygulanabilirlik Bildirgesi, iç denetim kayıtları ve yönetimin gözden geçirmesi kayıtları gerekebilir. Doküman ihtiyacı kuruluşun şartlarına göre belirlenmelidir.

ISO 27001 belgesi fiyatı ne kadardır?

Fiyat; çalışan sayısı, faaliyet alanı, lokasyonlar, denetim süresi ve sistemin kapsamı gibi unsurlara göre değişir. Güncel fiyat için kapsamı belirlenmiş bir teklif almanız gerekir.

ISO 27001 belgesi kaç yıl geçerlidir?

Yönetim sistemi belgelendirmelerinde genellikle üç yıllık çevrim uygulanır. Gözetim denetimleri ve yeniden belgelendirme koşulları, ilgili kurallar ve belgenin şartlarına göre yürütülür.

ISO 27001 belgesi siber saldırıları önler mi?

Belge, bütün saldırıların veya bilgi güvenliği olaylarının önleneceğini garanti etmez. Risklerin belirlenmesine, kontrollerin uygulanmasına ve bilgi güvenliği yönetiminin sürekli iyileştirilmesine yönelik bir sistemin değerlendirildiğini gösterir.

TÜRKAK akreditasyonu neden önemlidir?

Akreditasyon, belgelendirme kuruluşunun belirli faaliyetleri gerçekleştirme yeterliliğinin bağımsız değerlendirmesine ilişkin güvence sağlar. Ancak sizin için gerekli olup olmadığı, belgenin kullanım amacına ve ilgili kurumun şartlarına bağlıdır.

Sonuç: Doğru ISO 27001 Belgesi İçin Önce İhtiyacınızı Belirleyin

TÜRKAK onaylı ISO 27001 belgesi araştırırken yalnızca sertifika fiyatını veya belgelendirme kuruluşunun tanıtım ifadelerini dikkate almayın. Önce işletmenizin bilgi güvenliği ihtiyaçlarını belirleyin, belgelendirme kapsamını netleştirin ve gerekiyorsa akreditasyon durumunu resmî kayıtlardan doğrulayın.

ISO 27001, bilgi varlıklarınızı korumanıza, riskleri sistematik biçimde yönetmenize ve bilgi güvenliği süreçlerinizi sürekli iyileştirmenize yardımcı olur. Doğru bir hazırlık süreci, yalnızca belgelendirme denetimine hazırlanmanızı değil, işletmenizin günlük faaliyetlerinde daha kontrollü bir bilgi güvenliği yaklaşımı oluşturmanızı da sağlar.

İlk Adımınız Basit Olsun

Belgeyi neden istediğinizi, hangi faaliyetleri kapsaması gerektiğini ve belgeyi talep eden kurumun hangi koşulları aradığını belirleyin. Ardından hizmet kapsamını, akreditasyon şartlarını ve maliyetleri doğrulayarak işletmeniz için uygun bir yol haritası oluşturun.