İçindekiler
ISO 27001 BGYS Politikası, kuruluşun bilgi güvenliği konusundaki üst düzey taahhütlerini ve kişisel verilerin korunmasına ilişkin yaklaşımını tanımlayan temel dokümandır. Bu yazıda politikanın amacını, kapsadığı başlıca taahhütleri ve ISO 27001 denetiminde nasıl değerlendirildiğini ele alıyoruz.
ISO 27001 BGYS Politikasının Amacı Nedir?
ISO 27001:2017 Madde 5.2 kapsamında hazırlanan bu politika, kuruluşun gizlilik, bütünlük ve kullanılabilirlik ilkeleri çerçevesinde tüm fiziksel ve elektronik bilgi varlıklarını koruma taahhüdünü yazılı olarak ortaya koyar. Politikanın en kritik özelliği soyut bir niyet beyanı olmaktan çıkıp, BGYS gereksinimlerini kuruluşun somut BGYS hedefleriyle doğrudan ilişkilendirmesidir; yani politika metninde geçen her ilke, ölçülebilir bir hedefe bağlanabilir olmalıdır.
ISO 27001 BGYS Politikasının Kapsadığı Taahhütler Nelerdir?
Politika metninde yer alması beklenen başlıca taahhütler şunlardır:
- BGYS’nin ISO 27001:2017 standardının gereklerine göre dokümante edilmesi, belgelendirilmesi ve sürekli iyileştirilmesi
- Personelin BGYS farkındalığının sürekli artırılması
- Stratejik iş planları ve BGYS hedefleri çerçevesinde risklerin tanımlanması, değerlendirilmesi ve kontrol edilmesi
- BGYS ile ilgili tüm yasal mevzuat ve sözleşmelere uyulması
- BGYS varlıklarına yönelik risklerin sürekli izlenmesi ve yönetilmesi
- Paydaşların bilgi varlıklarının gizliliğinin güvence altına alınması
Bu taahhütlerin her biri, politikada yazılı kalmaktan öteye geçerek kuruluşun günlük operasyonlarına yansımalıdır; örneğin “risklerin sürekli izlenmesi” taahhüdü, Risk Fırsat Analiz Prosedürü ile somut bir uygulamaya dönüşmelidir.
Politikada Kişisel Verilerin Korunması Nasıl Ele Alınır?
Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında “özel nitelikli” sayılan kişisel verilerin (ırk, etnik köken, siyasi düşünce, din, sağlık, biyometrik ve genetik veriler gibi) korunmasına ayrı bir önem atfeder; bu verilere yönelik alınan teknik ve idari tedbirlerin özenle uygulandığını ve gerekli denetimlerin düzenli olarak sağlandığını taahhüt eder. Bu yaklaşım, yalnızca ISO 27001 değil, aynı zamanda yürürlükteki veri koruma mevzuatına uyum açısından da kuruluşu güvence altına alır.
Politika, kuruluşun web sitesinde ilgili tarafların erişimine açık şekilde yayınlanır; bu şeffaflık, denetçiler tarafından politikanın yalnızca iç bir doküman değil, dış paydaşlara verilen açık bir taahhüt olarak değerlendirilmesini sağlar. Bu politika, ISO 27001 belgesi denetimlerinde üst yönetimin bilgi güvenliği taahhüdünün en somut yazılı kanıtını oluşturur.