Sık Sorulan Sorular

“ISO 27001 için IT bilgisi şart mı?”

Bu soru genelde şu kişilerden gelir:

• Firma sahibi

• Genel müdür

• Operasyon yöneticisi

• Teknik olmayan ekipler

Çünkü ISO 27001 denince çoğu kişinin aklına “çok teknik bir konu” gelir.
ISO 27001 Gerçekten Teknik Bir Standart mı?

Kısmen evet, ama tamamen değil.

ISO 27001:

• Sadece IT güvenliği standardı değildir

• Aynı zamanda bir yönetim sistemi standardıdır

Yani konu sadece firewall, antivirüs veya sunucu değildir.
Asıl konu: bilginin nasıl yönetildiğidir.

IT Bilgisi Olmadan ISO 27001 Yapılabilir mi?

Kısa cevap:
Evet, yapılabilir.

Ama şu ayrımı doğru yapmak gerekir:

• Teknik kontroller → IT bilgisi gerektirir

• Süreç yönetimi → yönetim yaklaşımı gerektirir

ISO 27001’in büyük kısmı ikinci gruba girer.

ISO 27001 Sürecinde Kim Ne Yapar?

Yönetim / Firma Sahibi

• Kapsam belirler

• Risklere karar verir

• Politikaları onaylar

Teknik bilgi gerekmez

Operasyon / Süreç Sorumluları

• Süreçleri uygular

• Kayıtları tutar

• Takip eder

Teknik bilgi sınırlı gerekir

IT Ekibi

• Teknik kontrolleri uygular

• Sistem güvenliğini sağlar

• Log, erişim, yedekleme gibi konuları yönetir

Teknik bilgi burada gerekir

En Büyük Yanlış Anlama

Birçok firma şunu düşünür:

“ISO 27001 tamamen IT işidir”

Bu yanlış.

ISO 27001:

• İnsan

• Süreç

• Teknoloji

üçlüsünün birlikte yönetilmesidir.

Küçük Firmalarda IT Ekibi Yoksa Ne Olur?

Bu da çok sık sorulan bir soru.

Eğer:

• Küçük bir firmaysanız

• Ayrı IT security ekibiniz yoksa

ISO 27001 yine yapılabilir.

Çünkü:

• Outsource IT kullanılabilir

• Basit kontroller yeterli olabilir

• Süreçler sade kurulabilir

ISO 27001’in Asıl Beklentisi Nedir?

ISO 27001 şunu ister:

• Riskleri biliyor musun?

• Bu riskleri yönetiyor musun?

• Kontrollerin var mı?

• Süreçleri takip ediyor musun?

Yani konu teknik bilgi değil,
farkındalık ve yönetimdir.

Teknik Bilgi Ne Kadar Gerekli?

Gerçekçi cevap:

• %30 teknik

• %70 süreç ve yönetim

Bu yüzden ISO 27001 sadece IT departmanına bırakılmaz.

2026’da ISO 27001 Yaklaşımı

2026 itibarıyla ISO 27001:

• IT projesi değil

• şirket yönetim modeli

olarak görülmektedir.

Başarılı firmalar süreci sadece teknik ekip değil,
tüm organizasyon ile yürütür.

Sonuç

ISO 27001 için ileri seviye IT bilgisi şart değildir.

Ama:

• Temel farkındalık

• Doğru yönlendirme

• Uygun ekip dağılımı

gereklidir.

YYS Danışmanlık’tan Not

ISO 27001 sürecinde önemli olan teknik bilgi seviyesi değil, sürecin doğru kurgulanmasıdır.