ISO 27001 belgesi almak isteyen küçük işletmelerin sıkça sorduğu sorulardan biri, belgelendirme için belirli sayıda çalışan bulunmasının zorunlu olup olmadığıdır.

Özellikle yeni kurulan yazılım firmaları, birkaç kişilik teknoloji şirketleri ve danışmanlık işletmeleri, çalışan sayılarının az olması nedeniyle ISO 27001 belgesi alamayacaklarını düşünebilmektedir.

ISO 27001 belgesi almak için standartta belirlenmiş genel bir asgari çalışan sayısı bulunmamaktadır. Tek kişilik işletmeler ve az sayıda çalışanı bulunan firmalar da ISO 27001 belgelendirmesine başvurabilir. Ancak işletmenin faaliyetlerine uygun bir bilgi güvenliği yönetim sistemi oluşturması ve standardın gerekliliklerini karşılaması gerekir.

Belgelendirme açısından önemli olan yalnızca çalışan sayısı değil, işletmenin bilgi güvenliği risklerini nasıl yönettiği ve gerekli kontrolleri nasıl uyguladığıdır.

ISO 27001 Belgesi Almak İçin En Az Kaç Personel Olmalı?

ISO/IEC 27001:2022 standardı, bilgi güvenliği yönetim sisteminin kurulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesine yönelik gereklilikleri belirler.

Standart, farklı büyüklükteki ve farklı sektörlerdeki kuruluşlar tarafından uygulanabilecek şekilde hazırlanmıştır.

Bu nedenle ISO 27001 belgesi almak isteyen işletmelerin mutlaka 5, 10 veya 20 çalışanı bulunması gerektiği şeklinde genel bir şart yoktur.

Örneğin üç çalışanı bulunan bir yazılım firması, bilgi güvenliği yönetim sistemi kapsamını doğru belirleyerek ISO 27001 belgelendirme çalışmalarını gerçekleştirebilir.

Ancak çalışan sayısının az olması, standart gerekliliklerinden muafiyet sağlamaz.

İşletmenin bilgi güvenliği politikası, risk değerlendirmesi, uygulanabilirlik bildirgesi, gerekli kontrolleri ve yönetim sistemi faaliyetleri kendi organizasyon yapısına uygun şekilde oluşturulmalıdır.

ISO/IEC 27001 standardının resmî açıklamasında, standardın kuruluşların türü, büyüklüğü ve faaliyetlerinden bağımsız olarak uygulanabileceği belirtilmektedir.

Tek Kişilik Firma ISO 27001 Belgesi Alabilir mi?

Tek kişilik bir işletmenin ISO 27001 belgelendirmesine başvurması prensip olarak mümkündür.

Ancak bu durum, tek kişilik bütün işletmelerin herhangi bir hazırlık yapmadan ISO 27001 belgesi alabileceği anlamına gelmez.

Örneğin tek başına yazılım geliştirme hizmeti sunan bir işletme sahibi, müşteri verilerini işliyor, yazılım kaynak kodlarını yönetiyor ve bulut hizmetleri kullanıyor olabilir.

Bu faaliyetlerde bilgi güvenliği risklerinin değerlendirilmesi gerekir.

İşletme sahibi, bilgi güvenliği yönetim sisteminin koordinasyonunu üstlenebilir ve gerekli teknik faaliyetler için dışarıdan destek alabilir.

Bununla birlikte ISO 27001 kapsamında iç tetkikin objektif ve tarafsız gerçekleştirilmesi gerekir.

Tek kişilik işletmelerde kişinin kendi faaliyetlerini denetlemesi tarafsızlık açısından sorun oluşturabileceğinden, iç tetkik için dışarıdan yetkin bir uzmandan hizmet alınması uygun bir çözüm olabilir.

Tek kişilik işletmelerde ISO 27001 belgelendirmesinin temel konusu çalışan sayısı değil, bilgi güvenliği yönetim sistemi gerekliliklerinin nasıl karşılandığıdır.

Şahıs Şirketleri ISO 27001 Belgesi Alabilir mi?

ISO 27001 belgelendirmesi yalnızca anonim veya limited şirketlere yönelik değildir.

Şahıs işletmeleri de uygun koşullarda ISO 27001 belgelendirme sürecine başvurabilir.

Ancak belgelendirme kuruluşu, başvuru sahibinin hukuki statüsünü, faaliyetlerini, belgelendirme kapsamını ve ilgili başvuru bilgilerini değerlendirir.

Örneğin yazılım geliştirme veya bilişim danışmanlığı hizmeti sunan bir şahıs işletmesi, faaliyetlerine uygun bilgi güvenliği yönetim sistemi oluşturarak belgelendirme başvurusu gerçekleştirebilir.

Burada dikkat edilmesi gereken konu, işletmenin fiilen yürüttüğü faaliyetlerin belgelendirme kapsamıyla uyumlu olmasıdır.

Ayrıca belgenin kullanılacağı ihale, müşteri sözleşmesi veya yetkilendirme sürecinde işletmenin hukuki statüsüne ilişkin farklı şartlar bulunabilir.

Bu nedenle ISO 27001 belgesi alınabilmesi ile belgenin belirli bir ticari veya resmî başvuruda yeterli kabul edilmesi birbirinden ayrı değerlendirilmelidir.

Yeni Kurulan Yazılım Firmaları ISO 27001 Belgesi Alabilir mi?

Yeni kurulan yazılım firmaları, ISO 27001 belgesi almak için belirli bir süre faaliyet göstermiş olmalarının gerekip gerekmediğini merak edebilir.

ISO 27001 standardında bütün işletmeler için geçerli, kuruluş tarihinden itibaren belirli sayıda yıl beklenmesi gerektiğine ilişkin genel bir şart bulunmamaktadır.

Ancak belgelendirme denetiminde bilgi güvenliği yönetim sisteminin uygulanması ve etkinliği değerlendirilir.

Bu nedenle yeni kurulan işletmelerin yalnızca doküman hazırlaması yeterli değildir.

Risk değerlendirmesi, bilgi güvenliği kontrolleri, çalışan farkındalığı, iç tetkik ve yönetimin gözden geçirmesi gibi faaliyetlerin gerçekleştirilmesi gerekir.

Örneğin yeni kurulan bir yazılım firmasının müşteri verilerine erişim yetkilerini nasıl yönettiğini, kaynak kodlarını nasıl koruduğunu ve yedekleme faaliyetlerini nasıl gerçekleştirdiğini gösterebilmesi önemlidir.

Yeni kurulmuş olmak ISO 27001 belgelendirmesine tek başına engel değildir. Ancak yönetim sisteminin uygulanmasını gösteren yeterli kanıtların bulunması gerekir.

ISO 27001 Belgesi İçin Çalışan Sayısı Neden Soruluyor?

ISO 27001 belgelendirme başvurularında çalışan sayısının sorulmasının önemli nedenlerinden biri denetim süresinin belirlenmesidir.

Belgelendirme kuruluşları, başvuru sırasında işletmenin çalışan sayısını, faaliyetlerini, lokasyonlarını ve bilgi güvenliği yönetim sistemi kapsamını değerlendirir.

Bu bilgiler denetim planlamasında kullanılır.

Ancak ISO 27001 denetim süresi yalnızca çalışan sayısına göre hesaplanmaz.

İşletmenin bilgi teknolojileri altyapısı, faaliyetlerinin karmaşıklığı, dış kaynak kullanımı ve bilgi güvenliği riskleri de değerlendirmeyi etkileyebilir.

Örneğin beş çalışanı bulunan ancak çok sayıda müşteriye bulut hizmeti sağlayan bir işletmenin bilgi güvenliği faaliyetleri, daha fazla çalışanı bulunan ancak sınırlı bilgi teknolojileri kullanan bir işletmeden farklı olabilir.

Bu nedenle çalışan sayısı, denetim süresinin belirlenmesinde kullanılan bilgilerden yalnızca biridir.

ISO 27001 Çalışan Sayısına Dışarıdan Hizmet Verenler Dahil Edilir mi?

ISO 27001 belgelendirme başvurularında çalışan sayısının belirlenmesi, işletmenin organizasyon yapısına göre değerlendirilmelidir.

Örneğin işletme yazılım geliştirme faaliyetlerinin bir bölümünü dışarıdan hizmet aldığı yazılım uzmanlarıyla yürütüyor olabilir.

Benzer şekilde bilgi işlem, teknik destek veya sistem yönetimi faaliyetleri dış hizmet sağlayıcıları tarafından gerçekleştirilebilir.

Bu durumda dışarıdan hizmet veren kişilerin belgelendirme kapsamındaki faaliyetlere katılımı ve bilgi güvenliği yönetim sistemi üzerindeki etkileri değerlendirilmelidir.

Ancak dış hizmet sağlayıcısının bütün çalışanlarının otomatik olarak belgelendirme başvurusundaki çalışan sayısına eklenmesi gerektiği söylenemez.

Denetim süresi hesaplamasında esas alınacak etkin personel sayısı ve ilgili faaliyetler, belgelendirme kuruluşunun uyguladığı akreditasyon ve denetim kurallarına göre belirlenir.

Dış kaynak kullanımı bulunan işletmelerin çalışan sayılarını ve hizmet ilişkilerini belgelendirme başvurusunda doğru açıklaması önemlidir.

ISO 27001 İçin Bilgi Güvenliği Sorumlusu Atanmalı mı?

ISO 27001 standardı, bilgi güvenliği yönetim sistemiyle ilgili görev, yetki ve sorumlulukların belirlenmesini gerektirir.

Bu nedenle işletmenin bilgi güvenliği faaliyetlerinin kimler tarafından yürütüleceğini açıklaması gerekir.

Ancak her işletmede ayrı bir bilgi güvenliği departmanı kurulması veya yalnızca bu görev için yeni personel istihdam edilmesi zorunlu değildir.

Küçük işletmelerde mevcut çalışanlardan biri bilgi güvenliği yönetim sistemi koordinasyonunu üstlenebilir.

Örneğin beş çalışanı bulunan bir yazılım firmasında şirket yöneticisi bilgi güvenliği yönetim sisteminin genel sorumluluğunu üstlenirken teknik kontroller yazılım geliştirme sorumlusu tarafından takip edilebilir.

Bununla birlikte görevleri üstlenen kişilerin gerekli yeterliliğe sahip olması ve sorumlulukların açık biçimde belirlenmesi gerekir.

İşletmenin ihtiyaç duyduğu teknik konularda dışarıdan hizmet alması da mümkündür.

Küçük Firmalarda ISO 27001 Dokümantasyonu Daha Az Olabilir mi?

ISO 27001 standardı, bütün işletmelerin aynı sayıda prosedür ve talimat hazırlamasını zorunlu tutmaz.

Dokümantasyonun kapsamı işletmenin faaliyetlerine, bilgi güvenliği risklerine ve yönetim sistemi ihtiyaçlarına göre belirlenmelidir.

Örneğin üç çalışanı bulunan bir yazılım firmasıyla farklı lokasyonlarda faaliyet gösteren büyük bir teknoloji şirketinin organizasyon yapısı aynı değildir.

Bu nedenle yönetim sistemi dokümantasyonunun ayrıntı düzeyi farklı olabilir.

Ancak küçük işletmelerin standardın zorunlu gerekliliklerini yerine getirmemesi söz konusu değildir.

Bilgi güvenliği yönetim sistemi kapsamı, risk değerlendirme ve risk işleme süreçleri, SOA, bilgi güvenliği hedefleri ve gerekli diğer dokümante edilmiş bilgiler oluşturulmalıdır.

Ayrıca işletmenin uyguladığı kontrollerin gerektirdiği kayıtlar da tutulmalıdır.

Küçük işletmeler için doğru yaklaşım, gereksiz dokümantasyon oluşturmadan standardın gerekliliklerini karşılayan uygulanabilir bir bilgi güvenliği yönetim sistemi kurmaktır.

ISO 27001 Küçük İşletmeler İçin Zor mu?

ISO 27001 belgelendirmesinin zorluk derecesi yalnızca çalışan sayısına bağlı değildir.

Küçük işletmelerde organizasyon yapısının daha sade olması, bazı yönetim sistemi faaliyetlerinin planlanmasını kolaylaştırabilir.

Ancak çalışan sayısının az olması nedeniyle görevlerin aynı kişilerde toplanması, kaynak yetersizliği veya teknik uzmanlık ihtiyacı gibi konularla karşılaşılabilir.

Örneğin küçük bir yazılım firmasında şirket sahibi hem müşteri ilişkilerini hem yazılım geliştirme faaliyetlerini hem de bilgi güvenliği yönetim sistemini takip ediyor olabilir.

Bu durumda görev ve sorumlulukların açık biçimde belirlenmesi önemlidir.

Ayrıca iç tetkikin tarafsızlığı ve bilgi güvenliği kontrollerinin etkinliği değerlendirilmelidir.

Küçük işletmelerde ISO 27001 çalışmalarının mevcut iş süreçleriyle uyumlu şekilde planlanması, yönetim sisteminin sürdürülebilirliğine katkı sağlayabilir.

ISO 27001 Belgesi Çalışan Sayısına Göre Daha Ucuz mu?

ISO 27001 belgelendirme maliyetinin belirlenmesinde çalışan sayısı önemli faktörlerden biridir.

Ancak çalışan sayısının az olması, belgelendirme ücretinin her durumda aynı oranda düşük olacağı anlamına gelmez.

Belgelendirme kuruluşu, işletmenin faaliyetlerini, bilgi güvenliği yönetim sistemi kapsamını, lokasyonlarını ve denetim ihtiyaçlarını değerlendirir.

Örneğin az sayıda çalışanı bulunan ancak karmaşık bulut altyapıları yöneten bir işletmenin denetim ihtiyaçları farklı olabilir.

Benzer şekilde danışmanlık maliyetleri de yalnızca çalışan sayısına bağlı değildir.

İşletmenin mevcut dokümantasyon durumu, bilgi güvenliği kontrolleri ve gerekli hazırlık çalışmaları danışmanlık kapsamını etkileyebilir.

Bu nedenle ISO 27001 fiyat teklifi alınmadan önce işletmenin faaliyetlerinin ve mevcut durumunun değerlendirilmesi faydalıdır.

ISO 27001 Belgesi İçin Çalışan Sayısı Sonradan Artarsa Ne Olur?

ISO 27001 belgesi alındıktan sonra işletmenin çalışan sayısı artabilir.

Örneğin başlangıçta beş çalışanı bulunan bir yazılım firması, yeni projeler nedeniyle çalışan sayısını artırabilir.

Bu durumda yeni çalışanların bilgi güvenliği sorumluluklarının belirlenmesi, gerekli eğitimlerin verilmesi ve erişim yetkilerinin uygun şekilde yönetilmesi gerekir.

Çalışan sayısındaki artışın bilgi güvenliği yönetim sistemi kapsamına, risklere ve organizasyonel sorumluluklara etkisi de değerlendirilmelidir.

Ancak çalışan sayısının artması, her durumda mevcut ISO 27001 belgesinin geçersiz hale geleceği anlamına gelmez.

Önemli değişikliklerin belgelendirme kuruluşuna bildirilmesi ve gerekli değerlendirmelerin gerçekleştirilmesi gerekebilir.

Belgelendirme kuruluşu, değişikliğin niteliğine göre denetim planlamasını yeniden değerlendirebilir.

ISO 27001 Belgesi İçin Çalışan Sayısı Hakkında Sık Sorulan Sorular

ISO 27001 belgesi için en az kaç çalışan gerekir?

ISO 27001 standardında bütün işletmeler için geçerli genel bir asgari çalışan sayısı bulunmamaktadır. Belgelendirme için işletmenin bilgi güvenliği yönetim sistemi gerekliliklerini karşılaması gerekir.

Tek kişilik şirket ISO 27001 belgesi alabilir mi?

Prensip olarak evet. Ancak bilgi güvenliği yönetim sistemi gerekliliklerinin yerine getirilmesi, gerekli uygulama kayıtlarının oluşturulması ve iç tetkikin tarafsızlığının sağlanması gerekir.

İki çalışanı olan yazılım firması ISO 27001 alabilir mi?

Evet. Çalışan sayısının iki olması tek başına belgelendirmeye engel değildir. İşletmenin faaliyetlerine uygun bilgi güvenliği yönetim sistemi oluşturması gerekir.

ISO 27001 belgesi için şirketin kaç yıllık olması gerekir?

ISO 27001 standardında bütün işletmeler için geçerli asgari faaliyet yılı şartı bulunmamaktadır. Ancak belgelendirme denetiminde yönetim sisteminin uygulanması ve etkinliği değerlendirilir.

ISO 27001 belgesi almak için bilgi işlem personeli zorunlu mu?

Hayır. Her işletmenin kendi bünyesinde tam zamanlı bilgi işlem personeli çalıştırması gerektiğine ilişkin genel bir ISO 27001 şartı bulunmamaktadır. Ancak gerekli teknik yeterliliklerin ve bilgi güvenliği kontrollerinin sağlanması gerekir.

ISO 27001 çalışan sayısına şirket sahibi dahil edilir mi?

Şirket sahibinin belgelendirme kapsamındaki faaliyetlere fiilen katılımı ve üstlendiği görevler dikkate alınmalıdır. Denetim süresi hesaplamasında kullanılacak etkin personel sayısı belgelendirme kuruluşunun ilgili kurallarına göre belirlenir.

ISO 27001 belgesi için SGK çalışan listesi istenir mi?

Belgelendirme kuruluşları çalışan sayısının doğrulanması amacıyla uygun kayıtlar talep edebilir. Ancak istenecek belgeler kuruluşun başvuru ve değerlendirme yöntemlerine göre değişebilir.

ISO 27001 belgesi çalışan sayısı arttığında yenilenmeli mi?

Çalışan sayısındaki her artış için yeniden belgelendirme yapılması gerekmez. Ancak önemli organizasyonel değişikliklerin bilgi güvenliği yönetim sistemi ve belgelendirme kapsamı üzerindeki etkileri değerlendirilmelidir.

Küçük İşletmeler İçin ISO 27001 Danışmanlık ve Belgelendirme Hizmetleri

ISO 27001 belgesi almak isteyen küçük işletmelerin çalışan sayılarından önce, mevcut bilgi güvenliği uygulamalarının ve belgelendirme ihtiyaçlarının değerlendirilmesi önemlidir.

Özellikle yazılım geliştirme, bilişim hizmetleri ve danışmanlık alanlarında faaliyet gösteren küçük işletmelerde bilgi güvenliği yönetim sisteminin mevcut organizasyon yapısına uygun şekilde kurulması gerekir.

YYS Danışmanlık olarak ISO/IEC 27001:2022 kapsamında mevcut durum analizi, bilgi güvenliği yönetim sistemi kurulumu, risk değerlendirmesi, SOA hazırlanması, dokümantasyon, eğitim, iç tetkik ve belgelendirme sürecinin koordinasyonu konularında hizmet sunuyoruz.

Az sayıda çalışanı bulunan işletmelerin de faaliyetlerine ve mevcut bilgi güvenliği uygulamalarına uygun belgelendirme hazırlıklarının planlanmasına destek sağlıyoruz.

ISO 27001 belgesi almak, işletmenizin belgelendirme şartlarını değerlendirmek veya danışmanlık hizmetlerimiz hakkında bilgi edinmek için YYS Danışmanlık ile iletişime geçebilirsiniz.

Sonuç

ISO 27001 belgesi almak için standartta belirlenmiş genel bir asgari çalışan sayısı bulunmamaktadır.

Tek kişilik işletmeler, küçük yazılım firmaları ve az sayıda çalışanı bulunan kuruluşlar da uygun koşullarda ISO 27001 belgelendirme sürecine başvurabilir.

Ancak işletmenin bilgi güvenliği risklerini değerlendirmesi, gerekli kontrolleri uygulaması ve yönetim sistemi gerekliliklerini karşılaması gerekir.

ISO 27001 belgelendirmesinde önemli olan işletmenin kaç çalışanı bulunduğu değil, bilgi güvenliği yönetim sisteminin faaliyetlere uygun şekilde kurulması ve etkin biçimde uygulanmasıdır.