iso 27001 bilgi güvenliği belgesi sertifikası

ISO 27001 belgesi almak isteyen kuruluşların karşısına genellikle ISO 27001 belgesi veren firmalar, belgelendirme kuruluşları ve ISO 27001 danışmanlık firmaları çıkmaktadır. Ancak danışmanlık hizmeti ile belgelendirme hizmeti aynı değildir.

ISO/IEC 27001 belgesi, kuruluşun Bilgi Güvenliği Yönetim Sisteminin bağımsız bir denetim sonucunda standarda uygun bulunması halinde, akreditasyon kapsamında faaliyet gösteren bir belgelendirme kuruluşu tarafından düzenlenir.

Danışmanlık firmaları ise kuruluşun belgelendirme denetimine hazırlanmasını, gerekli sistemin kurulmasını, dokümanların oluşturulmasını ve uygulamaların hayata geçirilmesini sağlar.

YYS Danışmanlık olarak kuruluşların ISO/IEC 27001:2022 standardına uygun hale gelmesi için danışmanlık, eğitim, iç tetkik, denetim hazırlığı ve belgelendirme süreç yönetimi hizmetleri sunuyoruz. Sertifika, gerçekleştirilen bağımsız denetim sonucunda ilgili belgelendirme kuruluşu tarafından düzenlenmektedir.

ISO 27001 belgesi, Bilgi Güvenliği Yönetim Sistemleri alanında faaliyet gösteren bağımsız belgelendirme kuruluşları tarafından verilir.

Belgelendirme kuruluşu, firmanın ISO/IEC 27001:2022 standardına uygunluğunu iki aşamalı denetimle değerlendirir. Denetim sonucunda sistemin yeterli ve uygulanabilir olduğunun görülmesi halinde ISO 27001 sertifikası düzenlenir.

ISO 27001 belgesi veren firmalar genel olarak aşağıdaki işlemleri yürütür:

• Belgelendirme başvurusunun değerlendirilmesi
• Çalışan sayısı, kapsam ve lokasyon bilgilerinin incelenmesi
• Denetim süresinin ve denetim ekibinin belirlenmesi
• Birinci aşama doküman inceleme denetiminin gerçekleştirilmesi
• İkinci aşama uygulama denetiminin gerçekleştirilmesi
• Tespit edilen uygunsuzlukların değerlendirilmesi
• Belgelendirme kararının alınması
• Sertifikanın düzenlenmesi
• Yıllık gözetim denetimlerinin gerçekleştirilmesi

ISO 27001 sürecinde danışmanlık firması ile belgelendirme kuruluşunun görevleri birbirinden ayrıdır.

ISO 27001 danışmanlık firması ne yapar?

Danışmanlık firması kuruluşu denetime hazırlar. Bu kapsamda:

• ISO 27001 mevcut durum analizi gerçekleştirir.
• Belgelendirme kapsamının belirlenmesine destek olur.
• Bilgi varlıklarının belirlenmesini sağlar.
• Bilgi güvenliği risk analizini hazırlar.
• Risk işleme planını oluşturur.
• Uygulanabilirlik Bildirgesini hazırlar.
• Politika, prosedür, talimat ve formları oluşturur.
• Bilgi güvenliği eğitimlerini gerçekleştirir.
• İç tetkik ve Yönetimin Gözden Geçirmesi çalışmalarını yürütür.
• Belgelendirme denetimi öncesinde eksikleri kontrol eder.
• Denetimde oluşan uygunsuzlukların kapatılmasına destek olur.

ISO 27001 belgelendirme kuruluşu ne yapar?

Belgelendirme kuruluşu ise kurulan sistemin ISO/IEC 27001 standardına uygunluğunu bağımsız olarak denetler ve olumlu sonuç alınması halinde sertifikayı düzenler.

Danışmanlık hizmeti veren kuruluşun aynı projede bağımsız belgelendirme kararını vermemesi, tarafsızlığın korunması açısından önemlidir.

ISO 27001 belgesi veren firmalar arasında seçim yapılırken yalnızca fiyat üzerinden karar verilmemelidir. Belgenin kullanılacağı alan, akreditasyon ihtiyacı, müşteri şartları ve ihalelerde istenen koşullar birlikte değerlendirilmelidir.

1. Akreditasyon kapsamı kontrol edilmelidir

Belgelendirme kuruluşunun ISO/IEC 27001 standardında geçerli bir akreditasyon kapsamına sahip olup olmadığı incelenmelidir.

Özellikle kamu ihalelerinde, büyük kurumsal müşterilerle yapılan sözleşmelerde ve düzenleyici kurum başvurularında hangi akreditasyonun kabul edildiği önceden kontrol edilmelidir.

2. Sertifikanın kullanım amacı belirlenmelidir

ISO 27001 belgesi aşağıdaki amaçlardan biri veya birkaçı için talep edilebilir:

• Kamu ihalelerine katılmak
• Kamu Bilişim Yetki Belgesi başvurusu yapmak
• GİB özel entegratörlük süreçlerine hazırlanmak
• BTK veya diğer düzenleyici kurum şartlarını karşılamak
• Müşteri ve tedarikçi sözleşmelerindeki şartları yerine getirmek
• Bilgi güvenliği süreçlerini kurumsallaştırmak
• Yurt dışındaki müşterilere hizmet vermek
• Kurumsal müşteri denetimlerinden geçmek

Belgenin kullanım amacı, tercih edilecek belgelendirme kuruluşunun ve akreditasyon yapısının belirlenmesinde önemlidir.

3. Belgelendirme kapsamı doğru yazılmalıdır

ISO 27001 sertifikası kuruluşun bütün faaliyetlerini otomatik olarak kapsamaz. Sertifika üzerinde yazılacak kapsam, belgelendirme başvurusu sırasında belirlenir.

Faaliyet alanını eksik veya yanlış ifade eden bir kapsam, belgenin müşteri, ihale veya yetkilendirme süreçlerinde kabul edilmemesine neden olabilir.

YYS Danışmanlık olarak kuruluşun faaliyet belgesi, internet sitesi, organizasyon yapısı, lokasyonları ve müşteri şartlarını inceleyerek uygun ISO 27001 kapsamının oluşturulmasına destek sağlıyoruz.

4. Denetim süresi ve lokasyonlar değerlendirilmelidir

ISO 27001 denetim süresi aşağıdaki unsurlara göre değişebilir:

• Kuruluşun toplam çalışan sayısı
• Belgelendirme kapsamı
• Merkez ve şube sayısı
• Uzaktan çalışan personel sayısı
• Bilgi teknolojileri altyapısının karmaşıklığı
• Dış kaynaklı hizmetler
• Mevcut yönetim sistemi belgeleri
• Bilgi güvenliği risklerinin seviyesi

Birden fazla lokasyonu bulunan kuruluşlarda hangi lokasyonların sertifika kapsamında yer alacağı başvuru öncesinde netleştirilmelidir.

5. Teklif kapsamı ayrıntılı incelenmelidir

ISO 27001 belgesi veren firmalardan alınan teklifler karşılaştırılırken aşağıdaki konular kontrol edilmelidir:

• Birinci ve ikinci aşama denetim ücretleri
• Sertifika basım ücreti
• Denetçi ulaşım ve konaklama giderleri
• Yıllık gözetim denetimi ücretleri
• İlave lokasyon ücretleri
• Uygunsuzluk takip denetimi ücretleri
• Akreditasyon bilgileri
• Sertifika geçerlilik ve doğrulama yöntemi

İlk yıl için düşük görünen bir teklif, yıllık gözetim denetimleri ve diğer giderlerle birlikte daha yüksek bir toplam maliyete dönüşebilir.

ISO 27001 belgelendirme süreci genel olarak aşağıdaki aşamalardan oluşur.

1. Mevcut durum analizi

Kuruluşun mevcut bilgi güvenliği uygulamaları ISO/IEC 27001:2022 standardına göre değerlendirilir. Eksik ve geliştirilmesi gereken alanlar belirlenir.

2. Kapsamın belirlenmesi

Belgelendirilecek faaliyetler, lokasyonlar, süreçler, bilgi sistemleri ve organizasyon birimleri belirlenir.

3. Risk analizi ve dokümantasyon

Bilgi varlıkları, tehditler, güvenlik açıkları ve mevcut kontroller değerlendirilir. Risk analizi, risk işleme planı ve Uygulanabilirlik Bildirgesi hazırlanır.

Gerekli politika, prosedür, talimat, liste ve kayıt formları oluşturulur.

4. Eğitim ve uygulama

Çalışanlara bilgi güvenliği farkındalık eğitimi verilir. Sorumlular belirlenir ve hazırlanan sistem kuruluş içerisinde uygulanmaya başlanır.

5. İç tetkik ve Yönetimin Gözden Geçirmesi

Belgelendirme denetimi öncesinde ISO 27001 iç tetkiki gerçekleştirilir. Tespit edilen eksikler için düzeltici faaliyetler açılır.

Üst yönetimin katılımıyla Yönetimin Gözden Geçirmesi toplantısı yapılır ve Bilgi Güvenliği Yönetim Sisteminin performansı değerlendirilir.

6. Birinci aşama denetimi

Belgelendirme kuruluşu tarafından sistem dokümanları, kapsam, risk analizi, Uygulanabilirlik Bildirgesi, iç tetkik ve yönetim gözden geçirme kayıtları incelenir.

7. İkinci aşama denetimi

Kuruluşun hazırladığı sistemin uygulamada çalışıp çalışmadığı değerlendirilir. Çalışanlarla görüşmeler gerçekleştirilir ve uygulama kayıtları incelenir.

Denetim sonucunda tespit edilen uygunsuzlukların kapatılmasının ardından belgelendirme kararı alınır.

ISO 27001 sertifikaları genel olarak üç yıllık belgelendirme döngüsü kapsamında düzenlenir.

Ancak bu durum, sertifikanın üç yıl boyunca hiçbir işlem yapılmadan kullanılabileceği anlamına gelmez. Sertifikanın geçerliliğini devam ettirebilmesi için birinci ve ikinci yıllarda gözetim veya ara denetimlerin gerçekleştirilmesi gerekir.

Üçüncü yılın sonunda ise yeniden belgelendirme denetimi yapılır ve yeni belgelendirme döngüsü başlatılır.

Bu nedenle ISO 27001 belgesi veren firmalardan teklif alınırken yalnızca ilk belgelendirme maliyeti değil, yıllık gözetim denetimi ücretleri de değerlendirilmelidir.

ISO 27001 belge fiyatı her kuruluş için aynı değildir. Fiyatlandırmada genellikle aşağıdaki bilgiler dikkate alınır:

• Toplam çalışan sayısı
• Belgelendirme kapsamı
• Faaliyet alanı
• Lokasyon sayısı
• Denetimin yerinde veya uzaktan gerçekleştirilme durumu
• Kuruluşun bilgi teknolojileri yapısı
• Talep edilen akreditasyon
• Mevcut ISO belgeleri
• Denetim için ayrılması gereken adam/gün süresi

Danışmanlık ve belgelendirme ücretleri ayrı hizmet kalemleridir. Teklif alınırken hangi hizmetlerin danışmanlık, hangilerinin bağımsız belgelendirme kapsamında olduğu açıkça görülmelidir.

YYS Danışmanlık, kuruluşların ISO 27001 belgelendirme denetimine eksiksiz hazırlanabilmesi için süreci başlangıçtan denetim sonuna kadar yönetmektedir.

Hizmet kapsamımızda:

• Ücretsiz ön değerlendirme
• ISO 27001 kapsamının belirlenmesi
• Mevcut durum ve GAP analizi
• Proje planının hazırlanması
• Risk analizi ve risk işleme planı
• Uygulanabilirlik Bildirgesi
• ISO 27001 politika ve prosedürleri
• Bilgi güvenliği farkındalık eğitimleri
• İç tetkik
• Yönetimin Gözden Geçirmesi
• Belgelendirme başvurusunun koordinasyonu
• Birinci ve ikinci aşama denetim hazırlığı
• Denetim sırasında danışmanlık desteği
• Uygunsuzlukların kapatılması
• Ara denetim ve belge yenileme hazırlıkları

yer almaktadır.

Yazılım, bilişim, teknoloji, enerji, üretim, eğitim, çağrı merkezi, üniversite ve kamu projelerinde çalışan kuruluşlar için sektörün yapısına uygun ISO 27001 sistemleri hazırlıyoruz.

Hazırlanan dokümanları yalnızca denetimde göstermek amacıyla değil, kuruluşun günlük işleyişinde uygulanabilir olacak şekilde oluşturuyoruz.

Neden YYS Danışmanlık?

ISO 27001 belgesi veren firmalar arasından doğru belgelendirme kuruluşunu seçmek kadar, kuruluşun denetime doğru hazırlanması da önemlidir.

YYS Danışmanlık ile çalıştığınızda:

• Firmanıza özel bir proje planı hazırlanır.
• Gereksiz doküman yükü oluşturulmaz.
• Süreçler kuruluşun gerçek işleyişine göre tasarlanır.
• Risk analizi faaliyet alanınıza göre hazırlanır.
• Denetim öncesinde eksikler kontrol edilir.
• Belgelendirme kuruluşu teklifleri karşılaştırılır.
• Danışmanlık ve belgelendirme maliyetleri açık şekilde sunulur.
• İlk belgelendirme sonrasında ara denetim desteği devam eder.

YYS Danışmanlık doğrudan ISO 27001 belgesi veriyor mu?

YYS Danışmanlık, ISO 27001 sistem kurulumu, eğitim, iç tetkik ve belgelendirme hazırlığı hizmetleri sunar. Sertifika, gerçekleştirilen bağımsız denetim sonucunda ilgili belgelendirme kuruluşu tarafından düzenlenir.

TÜRKAK akreditasyonlu ISO 27001 belgesi alınabilir mi?

Kuruluşun ihtiyacına ve belgenin kullanılacağı alana göre TÜRKAK akreditasyonlu belgelendirme süreci planlanabilir. Başvuru öncesinde ihale, müşteri veya düzenleyici kurum şartları kontrol edilmelidir.

ISO 27001 belgesi almak ne kadar sürer?

Süre; firmanın çalışan sayısına, mevcut dokümanlarına, bilgi teknolojileri yapısına, kapsamına ve hazırlık seviyesine göre değişir. Ön değerlendirme sonrasında kuruluşa özel proje takvimi hazırlanır.

ISO 27001 danışmanlık ve belge ücretleri aynı mıdır?

Hayır. Danışmanlık hizmeti ile bağımsız belgelendirme denetimi farklı hizmetlerdir ve ayrı ayrı fiyatlandırılabilir.

ISO 27001 belgesi her yıl yenilenir mi?

Sertifika üç yıllık bir belgelendirme döngüsüne tabidir. Birinci ve ikinci yıllarda gözetim denetimleri, üçüncü yılın sonunda ise yeniden belgelendirme denetimi gerçekleştirilir.