İçeriğe atla
Bilgi Merkezi/Makale
Makale

ISO 27001 Nedir? Sertifikası Nasıl Alınır, Kimler İçin Zorunlu?

ISO 27001, bilgi güvenliği yönetim sistemi standardıdır. 2022 sürümü, 93 kontrol, sertifikanın nasıl alındığı ve Türkiye'de kimler için zorunlu olduğu.

Oğuzhan Gerçek··7 dk okuma
ISO 27001 Nedir? Sertifikası Nasıl Alınır, Kimler İçin Zorunlu?

Kısa cevap: ISO/IEC 27001, bir kurumun bilgi güvenliğini yönetim sistemi olarak kurmasının, işletmesinin ve sürekli iyileştirmesinin şartlarını tanımlayan uluslararası standarttır. ISO ile IEC'nin ortak yayını; güncel sürümü Ekim 2022'de çıktı ve 2013 sürümüne göre verilen belgeler 31 Ekim 2025'te geçersiz oldu. Standart ürün değil yönetim sistemi belgelendirir: kapsamı siz belirlersiniz, akredite bir belgelendirme kuruluşu denetler, belge üç yıl geçerlidir. Türkiye'de enerji, elektronik haberleşme, e-fatura özel entegratörlüğü ve yetkilendirilmiş yükümlü (YYS) gibi alanlarda mevzuat şartı.

ISO 27001 nedir?

Standardın tam adı ISO/IEC 27001, Information security, cybersecurity and privacy protection: Information security management systems: Requirements. Konusu bilgi güvenliği yönetim sistemi (BGYS, İngilizcesi ISMS): bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için kurulan politikaların, süreçlerin, rollerin ve teknik kontrollerin bütünü. Standart hangi güvenlik duvarını alacağınızı söylemez; riskleri nasıl belirleyeceğinizi, hangi kontrolleri neden seçtiğinizi ve sistemin çalıştığını nasıl kanıtlayacağınızı ister.

ISO'nun kendi sayfasına göre güncel sürüm 2022'de yayımlanan üçüncü baskı. 27001 tek başına değil, 27000 ailesinin belgelendirilebilen üyesi: ISO/IEC 27002 kontrollerin uygulama rehberi, 27017 ve 27018 bulut hizmetleri için ek kontroller, 27701 kişisel veri yönetimi uzantısı. Belge yalnız 27001'e göre verilir; diğerleri rehberdir.

Kısa tanımı sözlüğümüzde var. Standardın güvenlikle ilişkisini siber güvenlik yazımızda, belgelendirmenin takvimini ISO 27001 belgelendirme süreci yazımızda anlattık.

Standardın yapısı: 4–10. maddeler ve Ek A

Zorunlu şartlar 4 ile 10 arasındaki maddelerde. Sırayla: kurumun bağlamı ve BGYS'nin kapsamı (4), liderlik ve politika (5), risk değerlendirmesi, risk işleme ve hedefler (6), kaynaklar, yetkinlik, farkındalık ve dokümantasyon (7), işletim (8), izleme, ölçme, iç denetim ve yönetim gözden geçirmesi (9), uygunsuzluk ve sürekli iyileştirme (10). Belgelendirme denetiminde bu maddelerin her birinin kanıtı aranır.

Ek A ise kontrol listesi. 2022 sürümünde dört temada toplanan 93 kontrol var: kurumsal (37), insan (8), fiziksel (14) ve teknolojik (34). Hangi kontrolü uygulayıp hangisini kapsam dışı bıraktığınızı gerekçesiyle yazdığınız belgeye Uygulanabilirlik Bildirgesi (Statement of Applicability, SoA) denir; denetçinin ilk istediği belgelerden biridir. Kontrolü dışarıda bırakmak serbest, gerekçesiz bırakmak değil.

2013'ten 2022'ye ne değişti?

2013 sürümünde Ek A, 14 alanda 114 kontroldü. 2022 sürümü kontrolleri birleştirip dört temaya indirdi ve 11 yeni kontrol ekledi: tehdit istihbaratı, bulut hizmetlerinin güvenliği, iş sürekliliği için BİT hazırlığı, fiziksel güvenlik izleme, yapılandırma yönetimi, bilgi silme, veri maskeleme, veri sızıntısı önleme, izleme faaliyetleri, web filtreleme ve güvenli kodlama. Yeni kontrollerin çoğu doğrudan BT işletiminin işi; bu yüzden geçiş, dokümantasyon güncellemesinden çok altyapı tarafında iş çıkardı.

Geçiş takvimini akreditasyon kurumlarının çatı örgütü IAF belirledi: MD 26 numaralı zorunlu belgeye göre belgelendirme kuruluşlarının müşterilerini yeni sürüme geçirmesi için son tarih 31 Ekim 2025'ti; bu tarihten sonra 2013 sürümüne göre verilmiş belgeler geçerli değil. Bugün verilen her belge 2022 sürümüne göre.

ISO 27001 sertifikası nasıl alınır?

Belgeyi standardı yazan ISO değil, akredite bir belgelendirme kuruluşu verir. Türkiye'de akreditasyonu TÜRKAK yapıyor; uluslararası tanınırlık için kuruluşun TÜRKAK ya da IAF karşılıklı tanıma anlaşmasına taraf başka bir akreditasyon kurumu tarafından akredite edilmiş olması gerekir. Mevzuatın belge istediği durumlarda akredite olmayan bir kuruluştan alınan belge çoğunlukla kabul edilmiyor.

Yol şu sırayla işler: kapsam belirlenir (hangi birimler, lokasyonlar ve sistemler), boşluk analiziyle mevcut durum standartla karşılaştırılır, risk değerlendirmesi yapılıp Uygulanabilirlik Bildirgesi yazılır, kontroller kurulur ve kanıt üretmeye başlar, iç denetim ve yönetim gözden geçirmesi yapılır, ardından belgelendirme kuruluşu Aşama 1'de dokümantasyonu, Aşama 2'de kontrollerin gerçekten işlediğini denetler. Belge üç yıl geçerlidir; birinci ve ikinci yılda gözetim denetimi, üçüncü yılın sonunda yeniden belgelendirme vardır. Sürenin neye bağlı olduğunu ve en çok yanlış anlaşılan noktayı belgelendirme süreci yazımızda anlattık.

Danışmanlık alıyorsanız bir kural değişmez: hazırlık yapan kuruluş ile belgeyi veren kuruluş aynı olamaz. Bağımsızlık ilkesi bunu yasaklar ve belgelendirme kuruluşları böyle başvuruları reddeder.

Türkiye'de kimler için zorunlu?

Standart gönüllüdür; zorunluluk sektör mevzuatından gelir. Kesin olanlar:

  • Elektrik piyasası (EPDK): Elektrik Piyasası Lisans Yönetmeliği'nde yapılan değişiklik (RG 29217, 26 Aralık 2014), kurulu gücü 100 MW ve üzeri üretim lisansı sahiplerinin (OSB üretim lisansı hariç) ve dağıtım lisansı sahiplerinin (OSB dağıtım lisansı hariç) kurumsal bilişim sistemlerini ve endüstriyel kontrol sistemlerini TS ISO/IEC 27001'e uygun işletmesini ve bunu TÜRKAK'a akredite bir belgelendirme kuruluşuyla ispat etmesini istiyor; yükümlülük 1 Mart 2016'da yürürlüğe girdi.
  • Elektronik haberleşme (BTK): Elektronik Haberleşme Sektöründe Şebeke ve Bilgi Güvenliği Yönetmeliği (RG 29059, 13 Temmuz 2014) işletmecilerden yetkilendirme kapsamındaki bütün hizmetleri ve kritik sistemleri kapsayan bir BGYS kurmalarını istiyor; yönetmeliğin esas aldığı standart TS ISO/IEC 27001.
  • e-Fatura özel entegratörlüğü (GİB): Gelir İdaresi Başkanlığı, Özel Entegrasyon Kılavuzu'nun Haziran 2026 güncellemesiyle özel entegratörlük başvurularında TÜRKAK akrediteli ISO belgesi şartı getirdi; ISO 27001 bunun başında geliyor.
  • Yetkilendirilmiş yükümlü (Ticaret Bakanlığı): Gümrük İşlemlerinin Kolaylaştırılması Yönetmeliği, YYS başvurusunda ISO 9001 ve ISO 27001 belgesi istiyor; 2017 değişikliğine göre belgelerin gümrük ve dış ticaret işlemlerinin yürütüldüğü bütün idari bina ve tesisleri kapsaması gerekiyor.

Mevzuatın dışında iki yerde daha karşınıza çıkar: kamu ihale şartnameleri ve büyük müşterilerin tedarikçi sözleşmeleri. Belge zorunlu olmasa bile teklif vermenin ön şartı hâline gelebiliyor; MSP seçerken sorulacak sorular yazımızda bunu tedarikçi tarafından ele aldık.

ISO 27001 ile KVKK, ISO 27002 ve SOC 2 arasındaki fark

ISO 27002 belgelendirilmez; 27001'in Ek A'sındaki kontrollerin nasıl uygulanacağını anlatan rehberdir. Tedarikçi "27002'ye uygunuz" diyorsa elinde belge yoktur.

KVKK kanun, ISO 27001 standart. Kanunun 12. maddesi veri sorumlusundan uygun teknik ve idari tedbirleri almasını ister ama bir belge tanımlamaz; ISO 27001 bu tedbirlerin kurulu ve denetlenmiş olduğunu göstermenin yaygın yoludur, KVKK uyumunun kendisi değildir. Kişisel veri için standardın uzantısı 27701'dir.

SOC 2 ise standart değil, bağımsız denetçinin hazırladığı bir güvence raporudur; Amerikan AICPA çerçevesine dayanır ve çoğunlukla ABD müşterili hizmet sağlayıcılar ister. ISO 27001 belgesi üç yıl geçerli bir sertifikadır, SOC 2 raporu belirli bir dönemi anlatır. İş sürekliliği için ayrı bir standart var: ISO 22301; bankacılıkta ek kuralları BDDK yazımızda bulabilirsiniz.

ISO 27001 danışmanlığı neyi kapsar, maliyeti ne belirler?

Danışman standardı sizin yerinize uygulamaz; kapsamı belirlemenize, boşluk analizini yapmanıza, risk değerlendirmesi ve Uygulanabilirlik Bildirgesi'ni hazırlamanıza, politika ve prosedürleri kurumun gerçek işleyişine göre yazmanıza, iç denetimi yapmanıza ve denetim boyunca belgelendirme kuruluşuyla ilişkiyi yürütmenize yardım eder. Bizim bu tarafta ne yaptığımız ISO standartları sayfasında.

Toplam maliyet üç kalemden oluşur ve rakamı belirleyen kapsamdır: kurumun hazırlık yükü (eksik kontrollerin kurulması, gerekiyorsa yeni araçlar), danışmanlık ve belgelendirme kuruluşunun denetim ücreti. Denetim süresi belgelendirme kuruluşunca çalışan sayısına, lokasyon sayısına ve sistemlerin karmaşıklığına göre hesaplanır; kapsam daraldıkça denetim de ücret de küçülür. Kapsamı "müşteri istiyor diye" en dar hâlde tutmak mümkündür, ama belgenin kapsam dışında kalan sistemler için hiçbir şey söylemediğini bilerek.

Altyapı tarafı hangi kontrolleri karşılar?

Ek A'nın teknolojik temasındaki 34 kontrolün büyük kısmı BT işletiminin günlük işidir: erişim ve kimlik yönetimi, yama yönetimi, log toplama ve izleme, yedekleme, ağ ayrımı, DLP ve yapılandırma yönetimi. Bu kontrollerin kanıtı belgede değil sistemlerde üretilir: yama raporu, yedek geri dönüş kaydı, erişim gözden geçirme tutanağı. Altyapıyı bir sağlayıcıya devrettiyseniz bu kanıtları sağlayıcının üretmesi ve sözleşmede denetim hakkınızın olması gerekir; bu katmanı nasıl işlettiğimizi altyapı yönetimi ve güvenlik operasyonları sayfalarımızda anlattık.

Sık sorulan sorular

ISO 27001 ne demek? Bilgi güvenliği yönetim sistemi standardı. ISO ve IEC'nin ortak yayınladığı, bir kurumun bilgi güvenliğini riske dayalı bir yönetim sistemiyle kurup sürdürmesinin şartlarını tanımlayan ve belgelendirilebilen uluslararası standart.

ISO 27001 belgesi ne kadar geçerli? Üç yıl. Birinci ve ikinci yılda gözetim denetimi yapılır, üçüncü yılın sonunda yeniden belgelendirme gerekir. Gözetim denetiminde majör uygunsuzluk çıkarsa belge askıya alınabilir.

ISO 27001 zorunlu mu? Standart gönüllü, ama bazı sektörlerde mevzuat belge istiyor: 100 MW ve üzeri elektrik üretimi ile elektrik dağıtımı (EPDK), elektronik haberleşme işletmecileri için BGYS (BTK), e-fatura özel entegratörlüğü (GİB) ve yetkilendirilmiş yükümlü sertifikası (Ticaret Bakanlığı). Kamu ihaleleri ve kurumsal müşteriler de sözleşmeyle isteyebiliyor.

ISO 27001 ile ISO 27002 arasındaki fark nedir? 27001 şartları koyar ve belgelendirilir; 27002 aynı kontrollerin uygulama rehberidir ve belgelendirilmez.

ISO 27001'de kaç kontrol var? 2022 sürümünde 93: kurumsal 37, insan 8, fiziksel 14, teknolojik 34. 2013 sürümünde 14 alanda 114 kontrol vardı.

ISO 27001 belgesini kim verir? Akredite bir belgelendirme kuruluşu; Türkiye'de akreditasyonu TÜRKAK yapıyor. Danışmanlık veren kuruluş aynı kuruma belge veremez.

Kaynaklar