ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) Danışmanlığı

Günümüzde bilgi güvenliği, işletmelerin sürdürülebilirliği ve itibarlarını korumaları için hayati bir öneme sahiptir. YYS olarak, ISO 27001 Bilgi Güvenliği Yönetim Sistemi danışmanlık hizmetlerimiz ile kuruluşların bilgi güvenliği standartlarına ulaşmalarını sağlıyoruz.

• Bilgi varlıklarının gizliliğinin korunması, Tehdit ve riskleri belirlenerek etkin bir risk yönetiminin sağlanması,
• Kurumsal prestijin korunması, İş sürekliliğinin sağlanması, Bilgi kaynaklarına erişimin denetlenmesi,
• Personelin, yüklenicilerin ve alt yüklenicilerin güvenlik konusunda farkındalık düzeyinin yükseltilmesi ve önemli güvenlik konularında bilgilendirilmesi,
• Otomatik ve elle yönetilen sistemlerde, duyarlı bilgilerin uygun bir şekilde kullanıldığının garanti altına alınması amacıyla gerçekçi bir kontrol sistemi kurulması,
• Bilgi varlıklarının bütünlüğünün ve doğruluğunun sağlanması,
• Personelin, başkaları tarafından yapılabilecek olan suiistimal ve tacizlere karşı zan altında kalmasının engellenmesi,
• Duyarlı bilgilerin uygun bir şekilde üçüncü taraflara ve denetçilere açık olmasının sağlanmasıdır.
• Geçerli yasa ve düzenlemelere uygun davranıldığını bağımsız bir şekilde gösterir.
• Sözleşmeden doğan gereklilikleri karşılayarak ve müşterilerinize bilgilerinin güvenliğine gösterdiğiniz özeni göstererek bir rekabet avantajı sağlar.
• Bilgi güvenliği işlemleriniz, prosedürleriniz ve belgeleriniz biçimlendirilirken kurumsal risklerinizin gerektiği gibi tanımlandığını, değerlendirildiğini ve yönetildiğini bağımsız bir şekilde doğrular.
• Düzenli değerlendirme işlemi performansınızı sürekli izlemenize ve geliştirmenize yardımcı olur. Üst yönetiminizin bilgilerinin güvenliğine olan taahhüdünü kanıtlar.
• Kurum/Kuruluş ve kurum/kuruluş çalışanları bilgi güvenliği sistemi ile; Bilgi varlıklarının farkındalığı ve motivasyonu artar, Sahip olduğu bilgi varlıkları korunabilir.
• İş sürekliliği sağlanır, Müşteri ve tedarikçilerle sağlıklı bir yapı kurulur, Rekabette avantaj sağlanır, Yasal uyumluluk sağlanır.

1. *İhtiyaç Analizi ve Mevcut Durum Değerlendirmesi*
- Kuruluşunuzun mevcut bilgi güvenliği uygulamalarını değerlendiriyoruz. Güvenlik zafiyetlerini ve geliştirilmesi gereken alanları tespit ediyoruz.

Hedeflerin Belirlenmesi:
Kuruluşun bilgi güvenliği hedefleri ve bu hedeflere ulaşmak için gerekli olan gereksinimler belirlenir.

Veri Toplama:
Çalışanlar, yöneticiler ve diğer paydaşlarla yapılan görüşmeler, anketler ve gözlemler yoluyla veri toplanır.

Boşluk Analizi:
Mevcut durum ile hedeflenen durum arasındaki farklar belirlenir.

Önceliklendirme:
Belirlenen gereksinimler ve boşluklar önceliklendirilir.

2. *BGYS Kurulum Planlaması*
- ISO 27001 gerekliliklerine uygun olarak bilgi güvenliği politikasının, hedeflerinin ve prosedürlerinin oluşturulmasına yönelik planlama yapıyoruz.

Bilgi Güvenliği Politikası: Kuruluşun bilgi güvenliği hedeflerini ve taahhütlerini belirten bir politika geliştirilir.

Prosedürler ve Kontroller: Bilgi güvenliği risklerini yönetmek için gerekli prosedürler ve kontroller oluşturulur ve uygulanır.

3. *Eğitim ve Farkındalık*
- Çalışanlarınız için bilgi güvenliği ve ISO 27001, 27002 standartlarında eğitim programları düzenliyor, farkındalık yaratıyoruz.

Eğitim ve farkındalık programları, bilgi güvenliği yönetim sisteminin başarısı için vazgeçilmezdir. Bu programlar, sadece teknik bilgi sağlamaktan öte, bir bilgi güvenliği kültürü oluşturmayı hedefler. Çalışanların bilgi güvenliği konusundaki farkındalığını artırmak, kuruluşun genel güvenlik duruşunu güçlendirir ve bilgi güvenliği olaylarının etkisini minimize eder.

Ayrıca, bu programların sürekli olarak güncellenmesi ve iyileştirilmesi gerekir. Bilgi güvenliği tehditleri sürekli olarak değiştiği için, eğitim programlarının da bu değişikliklere ayak uydurması önemlidir. Çalışanların bilgi güvenliği konusundaki bilgi ve becerilerini sürekli olarak güncel tutmak, kuruluşun bilgi güvenliği yönetim sisteminin etkinliğini artırır.

4. *Güvenlik Risk Değerlendirmesi*
- Bilgi güvenliği risklerinizi belirliyor, analiz ediyor ve yönetim stratejileri geliştiriyoruz.

Güvenlik Risk Değerlendirmesi, bilgi güvenliği yönetim sisteminin etkin bir şekilde uygulanması için kritik bir süreçtir. Bu süreç, kuruluşun bilgi varlıklarını koruma altına almak için gerekli önlemleri belirlemeye yardımcı olur. Ayrıca, risklerin sürekli olarak izlenmesi ve değerlendirilmesi, bilgi güvenliği yönetim sisteminin sürekli olarak iyileştirilmesini sağlar.

5. *Uygulama ve İzleme*
- Önerilen güvenlik önlemlerini uyguluyorum ve BGYS’nin kurulumu sonrası performansını izlemek için sistemler kuruyoruz.

Uygulama ve İzleme süreçleri, BGYS’nin başarısı için vazgeçilmezdir. Bu süreçler, bilgi güvenliği politikalarının ve prosedürlerinin etkin bir şekilde uygulanmasını ve sistemin performansının sürekli olarak değerlendirilmesini sağlar. Ayrıca, bu süreçlerin sürekli olarak güncellenmesi ve iyileştirilmesi gerekir. Bilgi güvenliği tehditleri sürekli olarak değiştiği için, BGYS’nin de bu değişikliklere ayak uydurması önemlidir.

6. *Düzeltici ve Önleyici Faaliyetler*
- İç denetim süreçleriyle sistemin etkinliğini değerlendiriyor, gerektiğinde düzeltici önlemler alıyoruz.

Düzeltici ve Önleyici Faaliyetler, bilgi güvenliği yönetim sisteminin sürekli iyileştirilmesi için vazgeçilmezdir. Bu faaliyetler, sadece mevcut problemleri çözmekle kalmaz, aynı zamanda potansiyel riskleri proaktif bir şekilde yönetmeyi sağlar. 

7. *Sertifikasyon Desteği*
- Akredite belgelendirme kuruluşları ile iş birliği yaparak, sertifikasyon sürecinizi destekliyoruz. Gereken dokümantasyonu hazırlayıp, denetimlerde yanınızda oluyoruz.

Sertifikasyon desteği, bir kuruluşun bilgi güvenliği yönetim sisteminin uluslararası standartlara uygunluğunu sağlamak için kritik bir süreçtir. Bu süreçte dikkat edilmesi gereken bazı önemli noktalar şunlardır:

Hazırlık ve Planlama: Sertifikasyon sürecine başlamadan önce mevcut durumun değerlendirilmesini, eksikliklerin belirlenmesini ve gerekli iyileştirmelerin yapılmasını içerir.

Eğitim ve Farkındalık: Çalışanların ISO 27001 gereksinimleri ve sertifikasyon süreci hakkında bilgilendirilmesi ve eğitilmesi, sürecin başarısı için kritik öneme sahiptir. Bu, çalışanların sertifikasyon sürecine aktif katılımını sağlar.

Sürekli İyileştirme: Sertifikasyon süreci, bir defaya mahsus bir faaliyet değildir. BGYS’nin sürekli olarak izlenmesi, değerlendirilmesi ve iyileştirilmesi gereklidir. Bu, sistemin etkinliğini ve uyumluluğunu artırır.

Üst Yönetim Desteği: Üst yönetimin sertifikasyon sürecine aktif katılımı ve desteği, bilgi güvenliği politikalarının ve prosedürlerinin etkin bir şekilde uygulanmasını sağlar.

Geçiş Değerlendirme Desteği: Mevcut ISO 27001:2013 sertifikasına sahip kuruluşların, 2022 versiyonuna geçiş sürecinde destek sağlanır.

1. İşletmenin veya kurumun bilgi güvenliği açıklarını tespit eder: ISO 27001 danışmanlığı, işletmenin veya kurumun bilgi güvenliği açıklarını tespit eder ve tehditlerle başa çıkmak için güçlü bir bilgi güvenliği yönetim sistemi oluşturur.

2. İşletmeye veya kuruma uygulanabilir BGYS politikaları ve prosedürleri sunar: Danışman, işletmenin veya kurumun ihtiyaçlarına uygun bir BGYS oluşturmak için uygun politikaları ve prosedürleri sunar.

3. Çalışanlar arasında bilgi güvenliği kültürünü yaygınlaştırır: Danışmanlık hizmetleri, çalışanların bilgi güvenliği konusundaki farkındalığını artırır ve bilgi güvenliği kültürünü yaygınlaştırır.

4. Müşteri ve tedarikçilerin güvenini artırır: ISO 27001 danışmanlığı, işletmenin veya kurumun müşterileri ve tedarikçileri arasında bilgi güvenliği konusunda güveni artırır. Bu sayede, işletmenin veya kurumun rakiplerinden daha güvenli bir ortam sağlama yeteneği artar.

5. Verimlilik ve veri koruma maliyetlerini düşürür: Danışmanlık hizmetleri, işletmenin veya kurumun verimliliğini artırır ve bilgi güvenliği maliyetlerini düşürür. Bu sayede, işletmenin veya kurumun daha rekabetçi bir konuma gelmesi sağlanır.

- *[Yirmiye Yakın Üniversite]:* Sunduğumuz danışmanlık sayesinde müşterilerimiz, veri güvenliğinde %40 oranında iyileşme sağladı ve ISO 27001 sertifikalarını başarı ile aldılar.

Akademi ve öğrenci verilerini korumak adına ISO 27001 sertifikası almayı hedeflediler. Bilgi güvenliğine dair standartların uygulanabilirliğini sağlamak için üniversitelerin tüm departmanlarında eğitim programları düzenlendi. Tüm akademik ve idari personeller, bilgi güvenliği politikaları ile ilgili bilgi sahibi oldular.

Denetim süreci sonrasında üniversiteler, sertifikalarını aldılar ve öğrencilerin ve personelin veri güvenliği konusundaki bilinçlerinin artırılması sonucunda %50 daha az veri sızıntısı yaşandı. 

Müşteri geri dönüşleriyle elde edilen kazanımları paylaşarak daha fazla bilgi veriyoruz.

Tüm bu süreçler için ISO 27001 Danışmanlığı almalısınız

Kuruluşun ve bağlamının anlaşılması

Kuruluş, amaçları ile ilgili olan ve bilgi güvenliği yönetim sisteminin hedeflenen çıktılarını başarma kabiliyetini etkileyebilecek iç ve dış hususları belirlemelidir.

Liderlik ve bağlılık

Üst yönetim bilgi güvenliği yönetim sistemi ile ilgili olarak aşağıdakileri yerine getirerek, liderlik ve bağlılık göstermelidir:

Risk ve fırsatları ele alan faaliyetler

Bilgi güvenliği yönetim sistemi planlaması yaparken, kuruluş Madde 4.1 de atıf yapılan hususları ve Madde 4.3. de atıf yapılan şartları göz önünde bulundurmalı ve aşağıdakilerin gerçekleştirilmesi için gerekli olan riskleri ve fırsatları belirlemelidir

Destek

Kuruluş bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesi için gerekli olan kaynakları belirlemeli ve sağlamalıdır.

İşletim

İşletimsel planlama ve kontrol

Kuruluş bilgi güvenliği şartlarını karşılamak ve Madde 6.1’de belirlenen faaliyetleri gerçekleştirmek için gerekli olan süreçleri planlamalı, uygulamalı ve kontrol etmelidir. Kuruluş, Madde 6.2’de belirlenen bilgi güvenliği amaçlarını başarmak için aynı zamanda planları uygulamalıdır.

Kuruluş, süreçlerin planlandığı gibi yürütüldüğünden emin olduğu noktaya kadar yazılı bilgileri saklamalıdır.

Kuruluş, planlanan değişiklikleri kontrol etmeli ve istenmeyen değişikliklerin sonuçlarını gözden geçirerek, gerekiyor ise kötü etkileri azaltmak için eyleme geçmelidir.

Kuruluş, dış kaynaklı süreçlerin belirlenmesini ve kontrol edilmesini temin etmelidir.

Performans değerlendirme

İzleme, ölçme, analiz ve değerlendirme

Kuruluş, bilgi güvenliği performansı ve bilgi güvenliği yönetim sisteminin etkinliğini değerlendirmelidir.

Sürekli iyileştirme

Kuruluş, 27001 bilgi güvenliği yönetim sisteminin uygunluğunu, doğruluğunu ve etkinliğini sürekli olarak iyileştirmelidir.

• Yıl boyunca BGYS “Bilgi Güvenliği Yönetim Sistemi” bakım ve yönetiminde destek ve yardım sağlamak.
• Ekibinizin bilmesi gereken önemli riskler ve güvenlik trendleri için üç ayda bir tehdit ufkunun güncellenmesi.
• Sürekli iyileştirme için BGYS etkinliğini ve performansını değerlendirme.
• Yönetimin gözden geçirme gündemlerinin geliştirilmesi ve toplantı tutanaklarının sürdürülmesi.
• Uygunsuzluk ve olay günlüklerini izleyerek güvenlik olaylarını ve risklerini gözden geçirme.
• Düzeltici faaliyet için önerilerde bulunmak.
• İlgili tarafların iç ve dış bağlamının ve gereksinimlerinin gözden geçirilmesi.
• Rapor geliştirme ve BGYS performansı hakkında geri bildirim sağlama.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmak ISO 27001 Danışmanlığı ve ISO 27001 Belgesini alması zorunlu olan özel sektör kuruluşları kısaca aşağıdaki kuruluşlardır.

• Bilişim sektöründe faaliyet gösteren ve kamu ihalelerine giren yazılım, donanım ve entegratör firmalar
• Elektronik Haberleşme şebekesi sağlayan ve alt yapısını işleten firmalar
• Görev Sözleşmesi İmzalayan firmalar şirketler
• İmtiyaz Sözleşmesi İmzalayan firmalar şirketler
• Uydu Haberleşme Hizmeti Veren firmalar şirketler
• Altyapıİşletmeciliği Hizmeti Veren firmalar şirketler
• Sabit Telefon Hizmeti firmalar şirketler
• GMPCS Mobil Telefon Hizmeti Veren firmalar şirketler
• Sanal Mobil Şebeke Hizmeti firmalar şirketler
• İnternet Servis Sağlayıcıları
• Hava Taşıtlarında GSM 1800 Mobil Telefon Hizmeti veren firmalar şirketler
• E fatura Özel Entegratör Yetkisi almak isteyen firmalar
• YYS Sertifikası Gümrük işleri Kolaylaştırma Yetkisi almak isteyen ihracatçı İthalatçı firmalar.