İçindekiler
Neden Genel Bir ISO 27001 Rehberi Yetmiyor?
Yazılım ve E-Ticaret İçin Öne Çıkan ISO 27001 Kontrol Alanları
Neden Sadece Teknik Önlem Yetmiyor, Belge Gerekiyor?
Küçük Bir Yazılım Ekibi İçin Gerçekçi Yol Haritası
Yazılım ve E-Ticaret Firmaları İçin ISO 27001 Hakkında Sık Sorulan Sorular
Küçük bir yazılım ekibi için ISO 27001 gereksiz bürokrasi mi yaratır?
ISO 27001, KVKK uyumluluğu sağlar mı?
E-ticaret firmaları için ISO 27001 ile PCI DSS aynı şey mi?
Bulut altyapısı kullanan bir SaaS firması ISO 27001 alabilir mi?
ISO 27001 kamu bilişim ihalelerinde isteniyor mu?
Bir e-ticaret veya yazılım firması için en değerli varlık genellikle bir bina ya da makine değil, müşteri verisi ve kod tabanıdır. Bu yazıda, ISO 27001 bilgi güvenliği yönetim sistemini genel geçer bir tarifle değil, doğrudan yazılım/SaaS ve e-ticaret firmalarının gerçek risklerine (ödeme verisi, bulut altyapısı, üçüncü parti entegrasyonlar, geliştirme süreci) göre nasıl uygulayacağınızı anlatıyoruz.
Neden Genel Bir ISO 27001 Rehberi Yetmiyor?
ISO 27001’in Ek A kontrolleri her sektöre uygulanabilir genel çerçeveler sunar; ancak bir e-ticaret sitesinin veya SaaS ürününün gerçek risk haritası, bir üretim tesisininkinden çok farklıdır. Sizin için kritik olan konular genellikle şunlardır: müşteri kişisel verisi ve ödeme bilgisi, bulut sağlayıcı (AWS, Azure, GCP) yapılandırması, API ve üçüncü parti entegrasyon güvenliği, yazılım geliştirme yaşam döngüsü (SDLC) içinde güvenlik, ve DDoS/kesinti gibi erişilebilirlik riskleri.
Yazılım ve E-Ticaret İçin Öne Çıkan ISO 27001 Kontrol Alanları
| Risk Alanı | İlgili Kontrol Konusu | Pratikte Ne Anlama Gelir? |
|---|---|---|
| Müşteri ve ödeme verisi | Kriptografi, erişim kontrolü, veri sınıflandırma | Kart bilgileri ve kişisel veriler şifrelenir, sadece yetkili personel erişebilir, PCI DSS gibi sektörel gerekliliklerle örtüşür. |
| Bulut altyapısı | Ağ güvenliği, bulut hizmetlerinin kullanımı, yedekleme | Sunucu, veritabanı ve depolama yapılandırmaları düzenli denetlenir, yanlış yapılandırma (misconfiguration) riski azaltılır. |
| Yazılım geliştirme süreci | Güvenli geliştirme yaşam döngüsü, değişiklik yönetimi | Kod inceleme, test ortamı ayrımı ve dağıtım (deployment) süreçleri kontrol altına alınır. |
| Üçüncü parti entegrasyonlar | Tedarikçi ilişkileri güvenliği | Ödeme altyapısı, kargo, e-posta gibi entegre olduğunuz servis sağlayıcıların güvenlik seviyesi değerlendirilir. |
| Hizmet sürekliliği | BİT hazırlığı ve iş sürekliliği | DDoS, sunucu arızası veya bulut kesintisi durumunda siteniz/uygulamanız ne kadar sürede toparlanır, önceden planlanır. Bkz. ISO/IEC 20000-1. |
| İnsan kaynağı | Farkındalık, gizlilik sözleşmeleri | Geliştirici ve destek ekibinin güvenlik farkındalığı ve erişim yetkilendirmesi düzenli gözden geçirilir. |
ISO 27001 ile KVKK İlişkisi
ISO 27001, doğrudan bir KVKK (Kişisel Verilerin Korunması Kanunu) belgesi değildir; ancak kişisel veriyi işleyen bir e-ticaret veya SaaS firması için ISO 27001 altyapısı, KVKK’nın aradığı “veri güvenliğini sağlamaya yönelik gerekli teknik ve idari tedbirler” yükümlülüğünü somut, denetlenebilir bir sisteme oturtur. Kişisel veri yönetimini daha da ileri götürmek isteyen firmalar için ISO 27701, ISO 27001’in üzerine inşa edilen tamamlayıcı bir standarttır.
Neden Sadece Teknik Önlem Yetmiyor, Belge Gerekiyor?
- Kurumsal müşteri ve yatırımcı güveni: B2B satış yapan SaaS firmaları için büyük müşteriler, tedarikçi değerlendirmesinde ISO 27001 belgesi ister; belgesiz firmalar ön elemede kaybedebilir.
- İhale ve kamu projeleri: Kamu bilişim ihalelerinde ISO 27001 sık sık yeterlik kriteridir; bkz. kamu ihalelerinde en çok istenen ISO belgeleri.
- Yatırım ve satın alma (due diligence) süreçleri: Yatırımcılar veya satın almayı düşünen şirketler, teknik kontrollerin belgeyle doğrulanabilir olmasını değer artırıcı bir unsur olarak görür.
- Sigorta ve sorumluluk yönetimi: Bazı siber sigorta poliçelerinde ISO 27001 belgesi, prim avantajı veya poliçe şartı olarak karşınıza çıkabilir.
Küçük Bir Yazılım Ekibi İçin Gerçekçi Yol Haritası
- Varlık ve veri envanteri çıkarın: Hangi müşteri verisini, hangi sunucularda, hangi üçüncü parti servislerle işlediğinizi listeleyin.
- Risk değerlendirmesi yapın: Bulut yanlış yapılandırması, sızdırılmış API anahtarı, yetkisiz erişim gibi gerçekçi senaryoları değerlendirin.
- Mevcut eksikleri belirleyin: Mevcut doküman eksiklerinin belirlenmesi hizmeti, küçük bir ekip için gereksiz bürokrasi yaratmadan neyin eksik olduğunu netleştirir.
- Politika ve prosedürleri geliştirici iş akışına uyarlayın: Kontrolleri, mevcut kod inceleme ve dağıtım sürecinizin üzerine inşa edin; ekstra bir bürokrasi katmanı yerine mevcut iş akışını belgeleyin.
- İç tetkik ve denetime hazırlanın: Ekibinizi iç tetkik soru listeleri ve dış denetim hizmetlerimizle hazırlayabilirsiniz.
Yazılım ve E-Ticaret Firmaları İçin ISO 27001 Hakkında Sık Sorulan Sorular
Küçük bir yazılım ekibi için ISO 27001 gereksiz bürokrasi mi yaratır?
Doğru kurulduğunda hayır. Kontroller mevcut geliştirme ve dağıtım sürecinizin üzerine inşa edilir; amaç yeni bir bürokrasi katmanı değil, zaten yaptığınız işi belgelemek ve sistematikleştirmektir.
ISO 27001, KVKK uyumluluğu sağlar mı?
ISO 27001 doğrudan bir KVKK belgesi değildir, ancak KVKK’nın istediği teknik ve idari veri güvenliği tedbirlerini somut ve denetlenebilir bir sisteme oturtur. Daha ileri kişisel veri yönetimi için ISO 27701 tamamlayıcı bir standarttır.
E-ticaret firmaları için ISO 27001 ile PCI DSS aynı şey mi?
Hayır. PCI DSS özel olarak kart ödeme verisi güvenliğine odaklanan sektörel bir gerekliliktir, ISO 27001 ise kurumun tüm bilgi varlıklarını kapsayan genel bir yönetim sistemi standardıdır. İkisi birbirini tamamlar.
Bulut altyapısı kullanan bir SaaS firması ISO 27001 alabilir mi?
Evet. ISO 27001, bulut sağlayıcısının kendi güvenliğinden çok, sizin bulut yapılandırmanızı, erişim kontrollerinizi ve veri yönetiminizi nasıl denetlediğinizi değerlendirir; bulut tabanlı firmalar için tam olarak uygulanabilir.
ISO 27001 kamu bilişim ihalelerinde isteniyor mu?
Evet, kamu verisinin işlendiği bilişim ve yazılım ihalelerinde ISO 27001 sıklıkla yeterlik kriteri olarak aranır.
ISO 27001 belgesi yatırım sürecinde işe yarar mı?
Evet, yatırımcılar ve satın alma süreçlerindeki şirketler için ISO 27001, teknik güvenlik kontrollerinin bağımsız bir denetimle doğrulandığını gösteren değerli bir güven unsurudur.
Sonuç
Yazılım ve e-ticaret firmaları için ISO 27001, soyut bir “güvenlik belgesi” değil; müşteri verisi, ödeme bilgisi ve bulut altyapınızın gerçekten korunduğunu kanıtlayan somut bir araçtır. Ekibinizin büyüklüğü ne olursa olsun, mevcut geliştirme sürecinizin üzerine kurulan gerçekçi bir sistemle bu belgeye ulaşmak mümkündür. Kuruluşunuza özel bir yol haritası için bize ulaşabilirsiniz.