Müşteriniz ya da ihale ISO 27001 istiyor. Belgeye giden yol, kimin ne yaptığı ve en sık yapılan hatalar.
Samsun'da ve Karadeniz'de ISO/IEC 27001 talebi genellikle iki yerden gelir: büyük bir müşterinin tedarikçi anketi ya da bir ihale şartnamesi. İkisinde de soru aynıdır: "Bilgi güvenliğinizi bağımsız biri doğruladı mı?" Bu yazı, o soruya evet diyebilmek için izlenecek yolu anlatır.
Önce kimin ne yaptığını netleştirin
Belgeyi akredite bir belgelendirme kuruluşu verir. Danışman ise işletmeyi denetime hazırlar. Aynı firmanın hem hazırlayıp hem belge vermesi tarafsızlık kuralına aykırıdır; "biz hem danışmanlık yapar hem belge veririz" diyen birine dikkat edin.
1. Kapsamı küçük tutun
İlk belgede tüm şirketi değil, müşterinin sorduğu hizmeti ve onu taşıyan sistemleri kapsama alın. Kapsam büyüdükçe süre ve maliyet de büyür; sonradan genişletmek her zaman mümkündür.
2. Boşluk analizi yapın
Standardın maddeleri ve Ek A kontrolleri mevcut durumla karşılaştırılır. Çıktı, önceliklendirilmiş bir eksik listesidir: neyin hiç yapılmadığı, neyin yapılıp kayıt altına alınmadığı.
3. Varlık envanteri ve risk değerlendirmesi
Hangi bilgi, hangi sistemde, kimin sorumluluğunda? Her varlık için tehdit, etki ve olasılık değerlendirilir; kabul edilemeyen riskler için kontrol seçilir. Bu tablo sistemin kalbidir; denetçi ilk buna bakar.
4. Dokümanları gerçek işleyişe göre yazın
Bilgi güvenliği politikası, uygulanabilirlik bildirgesi, erişim, yedekleme, olay yönetimi, tedarikçi ve değişiklik prosedürleri. İnternetten indirilen şablonlar denetimde ilk bakışta fark edilir; yazılan ile yapılan aynı olmalıdır.
5. Teknik kontrolleri gerçekten kurun
Çok faktörlü doğrulama, yetki matrisi, güvenlik duvarı kuralları, şifreli ve çevrimdışı yedek, geri dönüş testi, kayıt toplama, güncelleme takibi, cihaz envanteri. Denetçi "yedekleme prosedürünüz var" demekle yetinmez; son geri dönüş testinin kaydını ister.
6. Eğitim, iç tetkik ve yönetimin gözden geçirmesi
Çalışanlara farkındalık eğitimi verilir ve kayıt altına alınır. Ardından iç tetkik ile denetimin provası yapılır, bulgular kapatılır ve yönetim sonuçları gözden geçirir.
7. Belgelendirme denetimi
Denetim iki aşamada yapılır: önce dokümanlar incelenir, sonra uygulama sahada doğrulanır. Belge alındıktan sonra her yıl gözetim denetimi yapılır; sistemin yaşaması gerekir.
En sık yapılan üç hata
- Kapsamı gereğinden büyük tutmak ve yıllarca bitirememek.
- Dokümanı yazıp teknik kontrolü kurmamak.
- Belge alındıktan sonra kayıt tutmayı bırakmak.
SMB Teknoloji bu yolun hazırlık kısmını yürütür: boşluk analizi, dokümantasyon ve teknik kontrollerin kurulumu aynı ekipten çıkar. Belgeyi seçtiğiniz bağımsız kuruluş verir.