ISO 27001:2022 Nedir?
ISO 27001, bir kuruluşun bilgi varlıklarını (veri, sistem, süreç, insan) korumak için kullanılan uluslararası bilgi güvenliği yönetim sistemi (BGYS) standardıdır. 2022 versiyonu, 2013'e göre kontrol setlerini sadeleştirmiş ve modern siber tehditlere göre güncellemiştir.
Bilgi güvenliği artık sadece IT departmanının işi değil — tüm organizasyonun stratejik sorumluluğudur. ISO 27001 bu sorumluluğun yapılandırılmasını sağlar.
2026'da Neden ISO 27001 Aciliyet Kazandı?
- KVKK uyumu: Kişisel Verilerin Korunması Kanunu (6698) için ISO 27001 en kapsamlı sistematik altyapıdır.
- Siber saldırı patlaması: 2025-2026'da fidye yazılım, veri sızıntısı vakalarında %200+ artış. Önleme zorunlu.
- Müşteri sözleşmeleri: Kurumsal müşteriler (banka, sağlık, kamu) tedarikçi seçim kriterinde ISO 27001 şart koşuyor.
- AB GDPR uyumu: AB pazarına hizmet veren firmalar için GDPR uyumunda ISO 27001 temel.
- Yatırımcı baskısı: SaaS ve fintech firmaları için yatırım yapmadan önce ISO 27001 sorgulanıyor.
Kapsam — Hangi Konuları İçerir?
ISO 27001:2022, 93 kontrol içerir, 4 ana tema altında gruplanır:
- Organizasyonel kontroller (37): Politikalar, sorumluluk dağılımı, varlık yönetimi, tedarikçi güvenliği
- İnsan kontrolleri (8): İşe alım, eğitim, gizlilik sözleşmeleri, disiplin süreçleri
- Fiziksel kontroller (14): Bina güvenliği, ekipman koruması, çevresel tehditler
- Teknolojik kontroller (34): Erişim yönetimi, kriptografi, ağ güvenliği, yedekleme, izleme
Belgelendirme Süreci — 8-10 Hafta
- Bilgi Varlıkları Envanteri — 5-7 gün: Hangi veriniz var, nerede saklanıyor, kim erişiyor — net bir varlık envanteri.
- Risk Analizi — 7-10 gün: Her bilgi varlığı için tehdit, zafiyet, etki ve olasılık analizi. Risk skoru hesaplama.
- SoA (Statement of Applicability) — 3-5 gün: 93 kontrolden hangilerini uygulayacağınızı gerekçeleriyle belgeleme.
- Kontrol Uygulaması — 14-21 gün: Politikalar, prosedürler, teknik kontroller (erişim yönetimi, kriptografi, log yönetimi) kurulur.
- Eğitim & Farkındalık — 5-7 gün: Tüm personel için BGYS eğitimi, IT personeli için derinleştirilmiş teknik eğitim.
- İç Denetim — 5-7 gün: Prova denetimi.
- Belgelendirme Denetimi — 3-5 gün: Stage 1 (doküman incelemesi) + Stage 2 (saha denetimi).
Hangi Sektörler İçin Kritik?
- Yazılım ve SaaS: Müşteri verisi yönetimi, kod güvenliği, üretim ortamı izolasyonu
- Fintech ve Bankacılık: PCI DSS ile entegre, finansal işlem güvenliği
- Sağlık: Hasta verisi koruması, KVKK + GDPR uyumu
- Telekomünikasyon: Ağ altyapı güvenliği, müşteri verisi
- E-ticaret: Müşteri verisi + ödeme güvenliği
- Kamu/Yarı-Kamu: Hassas veri yönetimi
KVKK + ISO 27001 Entegrasyonu
KVKK uyumu için ISO 27001 en pratik ve sürdürülebilir altyapı:
- Kişisel veri envanteri (VERBİS) → ISO 27001 varlık envanteri ile entegre
- Veri sorumlusu sorumlulukları → SoA ile dokümante
- İhlal bildirim süreçleri → Olay yönetimi ile entegre
- Aydınlatma yükümlülüğü → İletişim ve gizlilik politikalarıyla bütünleşik
Focus Academy ile ISO 27001 Farkı
- Bilgi güvenliği danışmanlarımız aktif saha deneyimine sahip
- KVKK + ISO 27001 entegre yaklaşım
- Teknik kontrol uygulamasında IT ekibinizle yan yana çalışma
- Sektörel risk kütüphanemiz (yazılım, fintech, sağlık, e-ticaret)
- Stage 1 / Stage 2 denetimlerinde "sıfır major bulgu" hedefiyle hazırlık
İlgili Hizmetlerimiz
- ISO 9001 — Kalite Yönetimi (genelde birlikte alınır)
- ISO 27001 Lead Auditor Eğitimi (IRCA onaylı)
- KVKK Uyum Danışmanlığı