İstanbul ISO 27001 Belgesi: Nasıl Alınır, Fiyatı ve Süreç

İstanbul ISO 27001 belgesi, bilgi güvenliği yönetim sistemini kuran bir kuruluşun akredite bir belgelendirme kuruluşunun denetçileri tarafından iki aşamada denetlenmesiyle alınır.

İstanbul’da ISO 27001 belgesine olan talep esas olarak üç yerden gelir: finans ve ödeme sektörünün düzenleyici çerçevesi, kurumsal müşterilerin tedarikçi güvenlik anketleri ve yurt dışına yazılım ya da hizmet satan şirketlerin müşteri sözleşmeleri.

Bu yazıda İstanbul’da, ISO 27001 bilgi güvenliği yönetim sistemi belgesinin nasıl alındığını, sürecin ne kadar sürdüğünü, fiyatın nasıl oluştuğunu ve en sık yapılan hataları anlatıyoruz.

İstanbul’da ISO 27001 Belgesini Kimler Alır?

• Finansal teknoloji şirketleri: Ödeme ve elektronik para kuruluşları, bankalara yazılım ve hizmet sağlayan firmalar. Bankalar destek hizmeti aldıkları kuruluşların bilgi güvenliği düzeyini denetler ve belge bu süreçte temel kanıttır.
• E-ticaret ve pazaryeri altyapı sağlayıcıları: Müşteri ve ödeme verisi işleyen platformlar.
• Yazılım ve bulut hizmeti şirketleri: Teknoparklardaki ve Maslak, Levent, Ataşehir hattındaki yazılım firmaları, kurumsal satışta güvenlik değerlendirmesinden geçer.
• Çağrı merkezleri ve dış kaynak hizmet sağlayıcıları: Başka şirketler adına müşteri verisi işleyenler.
• e-Fatura, e-Arşiv ve e-Defter özel entegratörleri: Mevzuat gereği belge zorunludur.
• Sigorta, sağlık ve lojistik şirketleri: Hassas veri ve kesintisiz hizmet gerektiren sektörler.
• Enerji sektörü lisans sahipleri: Sektör düzenlemeleri bilgi güvenliği yönetim sistemi ister.

ISO 27001 Belgesi İstanbul’daki Şirketlere Ne Kazandırır?

ISO 27001 sertifikasının İstanbulda faaliyet gösteren, firmalar, kurum, kuruluş ve şirketlere en somut faydası, satış sürecinde tekrar tekrar doldurulan güvenlik anketlerinin kısalmasıdır.

Kurumsal alıcılar tedarikçilerinden yüzlerce soruluk formlar ister; geçerli bir ISO 27001 belgesi bu soruların büyük bölümünü tek belgeyle cevaplar.

İkinci fayda, KVKK kapsamındaki teknik ve idari tedbirlerin sistematik hale gelmesidir. Üçüncüsü, ihlal olduğunda kuruluşun makul özeni gösterdiğini kanıtlayabilmesidir.

Belgesiz bir tedarikçiyle çalışmanın alıcı açısından risklerini ISO belgesi olmayan bir tedarikçiyle çalışmanın riskleri yazımızda ele aldık.

İstanbul’da ISO 27001 Belgesi Nasıl Alınır?

Hangi dokümanların zorunlu olduğunu ve EK-A kontrollerine göre hangi politikaların beklendiğini ISO 27001 doküman listesi yazımızda ayrıntılı olarak sıraladık.

Kapsam Kararı: Tüm Şirket mi, Tek Ürün mü?

İstanbul’daki yazılım ve teknoloji şirketlerinde en kritik karar kapsamdır. Kapsam tüm şirketi kapsayabileceği gibi tek bir ürünü ya da hizmeti de kapsayabilir.

Dar kapsam süreci kısaltır ve maliyeti düşürür, ancak iki risk taşır. Birincisi, müşterinin kullandığı hizmet kapsam dışında kalırsa belge o müşteri için anlam taşımaz.

İkincisi, kapsam dışı bırakılan birimlerle olan arayüzler tanımlanmak zorundadır; ortak ağ, ortak personel ve ortak ofis kullanılıyorsa ayrım kâğıt üzerinde kalır ve denetimde sorgulanır. Kapsam ifadesi belgenin üzerinde yazar ve müşteriler ilk olarak buna bakar.

İstanbul ISO 27001 Belgesi Fiyatı Neye Göre Değişir?

Denetim süresi uluslararası kurallara göre çalışan sayısı ve karmaşıklık faktörleri üzerinden hesaplanır. Belirleyici etkenler şunlardır:

• Kapsamdaki çalışan sayısı ve dış kaynak personel
• Ofis, veri merkezi ve felaket kurtarma lokasyonu sayısı
• Yazılım geliştirme faaliyetinin kapsamda olup olmadığı
• Altyapının kendi veri merkezinde mi, bulutta mı olduğu
• İşlenen verinin türü (ödeme verisi, sağlık verisi, kişisel veri)
• Başka bir yönetim sistemi belgesiyle birlikte denetim yapılıp yapılmayacağı

Belgelendirme bedeline ek olarak hazırlık döneminde sızma testi, kayıt yönetimi araçları ve farkındalık eğitimi gibi kalemler de bütçelenmelidir. Şirketinize özel rakam için fiyat teklifi formunu doldurabilirsiniz.

İstanbul’daki Şirketlerin ISO 27001 Sürecinde Sık Yaptığı Hatalar

• Hazır doküman setini uyarlamadan kullanmak: Denetçi politikada yazanı çalışanlara sorar. Kimsenin bilmediği bir politika uygunsuzluk üretir.
• Risk değerlendirmesini bir kez yapıp bırakmak: Yeni ürün, yeni bulut hizmeti ya da ofis taşınması risklerin güncellenmesini gerektirir.
• Bulut sağlayıcının belgesine güvenmek: Sağlayıcının ISO 27001 belgesi yalnızca altyapıyı kapsar. Hesap yapılandırması, erişim yönetimi ve veri yedekleme müşterinin sorumluluğundadır.
• Ayrılan personelin erişimlerini geç kapatmak: Denetçinin en sık örneklediği kayıttır.
• Geliştirici ortamlarını kapsam dışı sanmak: Kaynak kod depoları ve test ortamlarındaki gerçek veri en yaygın bulgular arasındadır.
• Tedarikçi sözleşmelerini atlamak: Dış kaynak geliştirici, barındırma ve destek sözleşmelerinde güvenlik şartı bulunmalıdır.

Yazılım şirketlerine özel uygulama notları için yazılım ve e-ticaret firmaları için ISO 27001 rehberi yazımıza bakabilirsiniz.

ISO 27001 ile Birlikte Düşünülen Diğer Belgeler

İstanbul’daki teknoloji şirketleri ISO 27001’i çoğu zaman tek başına almaz. Kişisel veri tarafı için ISO 27701, BT hizmet yönetimi için ISO 20000-1, kesintisiz hizmet taahhüdü için ISO 22301 iş sürekliliği aynı altyapının üzerine kurulur.

Yazılım süreç olgunluğu isteyen müşteriler için İstanbul ISO 15504 belgesi yazımıza bakabilirsiniz. Belgeleri birlikte planlamak hem denetim süresini hem de doküman tekrarını azaltır.

Nobel Belgelendirme İstanbul’daki Şirketlere Nasıl Destek Olur?

Nobel Belgelendirme olarak İstanbul’daki kuruluşlarla doküman hazırlığından iç tetkik ve dış tetkik süreçlerine, denetim planlamasından belge sürecine kadar her aşamada firmaların yanında yer alıyoruz.

Türkiye de ve özellikle İstanbul gibi büyük şehirlerde TÜRKAK akreditasyonlu ISO 27001 belgesi almak istiyorsanız tüm iso danışmanlığı, iso eğitimleri, denetim ve iso belgelendirme süreçlerinizde yanınızdayız.

Risk değerlendirmesi ve doküman çalışmaları uzaktan, saha incelemeleri ve iç tetkik şirketin adresinde yürütülür. Hizmetin ayrıntıları ISO 27001 belgesi sayfamızda yer alır.

Kalite sistemi tarafı için İstanbul ISO 9001 belgesi yazımıza bakabilirsiniz.

İstanbul ISO 27001 Belgesi Hakkında Sık Sorulan Sorular

İstanbul’da ISO 27001 belgesi almak ne kadar sürer?

Küçük ve orta ölçekli bir yazılım şirketinde hazırlık genellikle iki ile dört ay sürer. Çok lokasyonlu, kendi veri merkezini işleten ya da düzenlemeye tabi kuruluşlarda süre uzar. Denetim ve belge kararı bu sürenin üzerine eklenir.

Tamamen uzaktan çalışan bir şirket ISO 27001 belgesi alabilir mi?

Evet. Fiziksel ofisi olmayan şirketlerde fiziksel kontrollerin bir bölümü uygulanamaz olarak işaretlenir, uzaktan çalışma ve uç nokta güvenliği kontrolleri ise ağırlık kazanır.

Altyapısı tamamen bulutta olan şirketin denetiminde neye bakılır?

Bulut hesaplarının yapılandırmasına, erişim yetkilerine, kayıtların izlenmesine, yedeklemeye ve sağlayıcıyla yapılan sözleşmenin güvenlik şartlarına bakılır. Sağlayıcının kendi belgesi müşterinin sorumluluklarını karşılamaz.

ISO 27001 belgesi KVKK uyumunu sağlar mı?

Tek başına sağlamaz. ISO 27001 teknik ve idari tedbirlerin önemli bölümünü karşılar, ancak aydınlatma, açık rıza, veri sorumluları siciline kayıt ve ilgili kişi başvuruları gibi hukuki yükümlülükler ayrıca yerine getirilmelidir.

Yurt dışı müşteriler TÜRKAK akreditasyonlu ISO 27001 belgesini kabul eder mi?

TÜRKAK, Uluslararası Akreditasyon Forumu karşılıklı tanıma anlaşmasının tarafıdır. Bu anlaşma kapsamındaki akreditasyonlar uluslararası düzeyde tanınır. Müşteri sözleşmesi belirli bir akreditasyon kurumu şart koşuyorsa o şarta bakılmalıdır.

Sonuç

İstanbul’da ISO 27001 belgesi, finans, e-ticaret ve yazılım sektörlerinde kurumsal müşteriyle çalışmanın fiilî ön koşuludur. Sürecin başarısını doğru çizilmiş bir kapsam, gerçekçi bir risk değerlendirmesi ve çalışanların gerçekten uyguladığı politikalar belirler. Kapsamınızı ve takviminizi birlikte planlamak için bizimle iletişime geçebilirsiniz.