ISO 27001 Sertifikası Nedir, Nasıl Alınır?

ISO 27001 küresel bilgi güvenliği yönetim standardıdır. Sertifikasyon; kurumsal risk analizi, teknik önlemlerin uygulanması ve bağımsız dış denetim adımlarından oluşur.

İşletmelerin sahip olduğu finansal veriler, fikri mülkiyetler, müşteri kayıtları ve operasyonel altyapılar her geçen gün daha karmaşık siber tehditlerin hedefi haline gelmektedir. Bu doğrultuda ISO 27001 Sertifikası Nedir, Nasıl Alınır? sorusu, hem veri gizliliğini garanti altına almak hem de ulusal ve uluslararası pazarlarda kurumsal güven inşa etmek isteyen karar vericilerin birincil gündem maddesidir. Bu rehber; ISO/IEC 27001 standardının teknik gereksinimlerini, kurulum aşamalarını, risk analizi metodolojisini, akredite denetim süreçlerini ve belgelendirme maliyetlerini operasyonel ayrıntılarıyla ele almaktadır.

ISO 27001 Bilgi Güvenliği Yönetim Sistemi (BGYS) Nedir?

ISO/IEC 27001, Uluslararası Standardizasyon Örgütü (ISO) ve Uluslararası Elektroteknik Komisyonu (IEC) tarafından ortaklaşa yayımlanan, dünya genelinde kabul görmüş yegane Bilgi Güvenliği Yönetim Sistemi (BGYS / ISMS - Information Security Management System) standardıdır. Bu standart, bir organizasyonun finansal verilerini, fikri mülkiyet haklarını, personel bilgilerini ve üçüncü taraflarca emanet edilen hassas dijital varlıkları sistematik biçimde korumak üzere tasarlanmış yönetsel ve teknik bir çerçevedir. Standardın merkezinde, güvenlik kontrollerinin sadece donanım ve yazılım yatırımlarından ibaret olmadığı; süreçler, insan kaynağı ve fiziksel çevre güvenliğiyle entegre bir biçimde yönetilmesi gerektiği prensibi yer alır.

Standardın operasyonel çekirdeğini Bilgi Güvenliğinin Üç Temel Taşı (CIA Triad) oluşturur:

• Gizlilik (Confidentiality): Bilginin yalnızca erişim yetkisi verilmiş şahıs, birim veya süreçler tarafından görüntülenebilmesini güvenceye alır.

• Bütünlük (Integrity): Bilginin ve işleme yöntemlerinin doğruluğunun, eksiksizliğinin ve yetkisiz biçimde değiştirilmesinin engellenmesini ifade eder.

• Erişilebilirlik (Availability): Yetkili kullanıcıların ihtiyaç duydukları her an bilgiye ve ilişkili sistem varlıklarına kesintisiz ulaşabilmesini sağlar.

Standardın en güncel versiyonu olan ISO/IEC 27001:2022, kurumların modern bulut altyapılarına, uzaktan çalışma modellerine ve gelişmiş kalıcı tehditlere (APT) karşı dayanıklılığını ölçmek üzere güncellenmiştir. 2013 versiyonunda yer alan 114 kontrol, 2022 revizyonunda 93 kontrole konsolide edilmiş ve 4 temel tema altında toplanmıştır:

ISO 27001, kurum içinde dinamik bir PUKÖ (Planla – Uygula – Kontrol Et – Önlem Al / PDCA) döngüsü inşa eder. Bu döngü, bilgi güvenliğinin tek seferlik bir proje değil, sürekli denetlenen ve iyileştirilen yaşayan bir mekanizma olmasını temin eder.

Veri İhlalleri ve Yasal Yaptırımlar: Şirketler İçin ISO 27001'in Önemi

Veri sızıntıları ve siber saldırılar, günümüz iş dünyasında şirketler için doğrudan operasyonel kesinti, hisse değeri kaybı ve regülatif para cezaları anlamına gelmektedir. Ponemon Institute ve IBM Security tarafından yayımlanan küresel raporlar, ortalama bir veri ihlalinin maliyetinin milyonlarca doları bulduğunu, fidye yazılımı (Ransomware) saldırılarında sistemlerin ayağa kaldırılma süresinin ise ortalama 287 güne ulaştığını göstermektedir. Bu tehdit ortamında ISO 27001, şirketlerin güvenlik duruşunu rastlantısal teknik yamalardan çıkarıp metodolojik bir savunma zırhına dönüştürür.

Hukuki açıdan bakıldığında ISO 27001, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) gibi regülasyonların talep ettiği "teknik ve idari tedbirlerin" eksiksiz karşılandığının kanıtlanabilir belgesidir. Olası bir veri sızıntısı incelemesinde denetleyici otoriteler (KVKK Kurumu veya AB DPA'leri), kurumun "ihmali olup olmadığını" değerlendirirken ISO 27001 sertifikasyonunun varlığını ve standart kapsamında işletilen risk işleme planlarını somut hafifletici sebep olarak kabul etmektedir.

Risk Kaynağı  ──►  ISO 27001 BGYS Kalkanı  ──►  Kurumsal Çıktı
────────────       ──────────────────────       ───────────────
Veri Sızıntısı     Teknik & İdari Önlemler      Sıfır Operasyonel Kesinti
KVKK / GDPR        Uyumluluk ve İzlenebilirlik  Yasal Güvence & Ceza Koruması
Müşteri Güvensizliği Akredite Dış Denetim       Küresel Pazar Avantajı

Sertifikasyonun kurumsal faydaları çok boyutludur:

• Tedarik Zinciri Güvenliği: Küresel ölçekte faaliyet gösteren kurumsal müşteriler, SaaS sağlayıcılarından veya iş ortaklarından RFP (Teklif Talebi) süreçlerinde ISO 27001 belgesini ön koşul olarak talep etmektedir.

• İş Sürekliliği (Business Continuity): ISO 22301 ile entegre çalışabilen BGYS, donanım arızası, siber saldırı veya doğal afet durumunda sistemlerin RTO (Kurtarma Süresi Hedefi) ve RPO (Kurtarma Noktası Hedefi) sınırları içinde ayağa kaldırılmasını garanti eder.

• Siber Sigorta Primi Avantajları: Uluslararası sigorta kuruluşları, akredite ISO 27001 sertifikasına ve düzenli iç denetim kayıtlarına sahip işletmelere siber risk poliçelerinde ciddi prim indirimleri sunmaktadır.

ISO 27001 Belgesi Hangi Sektörler İçin Zorunludur?

ISO 27001 sertifikası birçok sektör için bir güven göstergesi ve rekabet avantajıyken, kamu otoriteleri ve regülatör kurumlar tarafından denetlenen birçok kritik sektör için yasal bir faaliyet zorunluluğudur. İlgili yasal mevzuata uyum sağlamayan kuruluşlar, lisans iptali ve ağır idari para cezaları ile karşı karşıya kalmaktadır.

1. Gelir İdaresi Başkanlığı (GİB) Kapsamındaki E-Dönüşüm Firmaları

Türkiye'de e-Fatura, e-Arşiv, e-İrsaliye ve e-Defter gibi elektronik belge hizmetleri sunan Özel Entegratör kuruluşlar, GİB kılavuzları uyarınca ISO 27001, ISO 22301 ve ISO 20000-1 sertifikalarına sahip olmak zorundadır. Elektronik mali mühür ve ticari kayıtların saklandığı bu altyapılarda ISO 27001 olmaksızın özel entegratörlük lisansı verilmez.

2. Telekomünikasyon ve Elektronik Haberleşme Sektörü (BTK)

Bilgi Teknolojileri ve İletişim Kurumu (BTK) düzenlemeleri gereğince, Yetkilendirme Yönetmeliği kapsamında hizmet veren tüm internet servis sağlayıcıları (ISS), sabit/mobil telefon operatörleri ve altyapı işletmecileri BGYS kurulumunu tamamlayıp TÜRKAK akrediteli ISO 27001 belgesi almakla yükümlüdür.

3. Enerji Piyasası (EPDK Regülasyonları)

Enerji Piyasası Düzenleme Kurumu (EPDK), elektrik, doğal gaz, petrol ve sıvılaştırılmış petrol gazı (LPG) piyasalarında faaliyet gösteren lisans sahibi şirketlerin SCADA, endüstriyel kontrol sistemleri (ICS) ve kurumsal bilişim ağlarını korumak amacıyla ISO 27001 sertifikasyonunu zorunlu tutmaktadır.

4. Bankacılık, Finans ve Ödeme Sistemleri (BDDK & TCMB)

Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) ile Türkiye Cumhuriyet Merkez Bankası (TCMB) denetimine tabi olan bankalar, faktoring şirketleri, ödeme ve elektronik para kuruluşları (Fintek'ler); FAST altyapısına bağlanan kurumlar ve açık bankacılık API sağlayıcıları bilgi güvenliği yönetim sistemlerini ISO 27001 ve PCI-DSS çerçeveleriyle denetletmek zorundadır.

5. Kamu İhaleleri, Yazılım İhracatı ve Savunma Sanayii

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi uyumluluğu gereği, kamu kurumlarına yazılım, barındırma veya danışmanlık hizmeti verecek olan tüm teknoloji tedarikçileri ISO 27001 belgesine sahip olmalıdır. Savunma Sanayii Başkanlığı (SSB) projelerinde alt yüklenici olarak yer alan savunma sanayi şirketleri için de BGYS zorunlu bir yeterlilik kriteridir.

Kurum İçi Hazırlık: ISO 27001 Standardı Nasıl Kurulur?

ISO 27001 belgelendirme denetimine başvurmadan önce kurumun kendi içinde BGYS mekanizmasını eksiksiz kurmuş ve en az 3 ila 6 ay boyunca işletmiş olması gerekir. Kurulum süreci 5 kritik aşamadan oluşur:

1. Kapsamın Belirlenmesi ve Boşluk Analizi (Gap Analysis)

İlk adım, BGYS'nin sınırlarının çizilmesidir (Scope). Kuruluşun tüm lokasyonları mı, yoksa sadece belirli bir yazılım geliştirme merkezi veya veri merkezi mi kapsama dahil edilecektir? Kapsam dokümanı netleştirildikten sonra mevcut durum ile ISO 27001:2022 gereksinimleri arasındaki farkları ortaya koyan kapsamlı bir Boşluk Analizi (Gap Analysis) gerçekleştirilir. Bu analiz, kurumun eksik politikalarını, yetersiz teknik kontrollerini ve altyapı açıklarını listeler.

2. Kurumsal Bilgi Varlıkları ve Risk Değerlendirmesi

Standart, varlık temelli bir risk yönetimi yaklaşımı benimser. Kurum içindeki tüm bilgi varlıkları sınıflandırılmalıdır:

• Donanım Varlıkları: Sunucular, güvenlik duvarları (Firewall), yönlendiriciler (Router), çalışan dizüstü bilgisayarları.

• Yazılım Varlıkları: Kaynak kod depoları, ERP/CRM veritabanları, SaaS abonelikleri, işletim sistemleri.

• İnsan Kaynağı ve Hizmetler: Kritik pozisyondaki personeller, dış kaynak (Outsource) geliştiriciler, destek ekipleri.

• Fiziksel Varlıklar: Sistem odaları, arşivler, ofis binaları.

Tanımlanan her varlık için gizlilik, bütünlük ve erişilebilirlik tehditleri ile zafiyetler (Vulnerabilities) eşleştirilir. Olasılık ve Etki katsayıları çarpılarak bir Risk Skoru hesaplanır. Kabul edilebilir risk seviyesinin üzerindeki tüm riskler için Risk İşleme Planı (Risk Treatment Plan) hazırlanır. Riskler şu dört yöntemden biriyle ele alınır: Azaltma (Kontrol uygulama), Kaçınma (Süreci durdurma), Devretme (Sigorta/Outsource) veya Kabul Etme (Üst yönetim onayıyla).

3. Uygulanabilirlik Bildirgesi (SoA - Statement of Applicability)

ISO 27001'in en hayati dokümanı Uygulanabilirlik Bildirgesi'dir (SoA). ISO 27001:2022 Ek-A (Annex A) tablosunda yer alan 93 kontrol maddesinin her biri tek tek değerlendirilir:

• Bu kontrol kurum için geçerli mi? (Evet / Hayır)

• Geçerliyse hangi politika, prosedür veya teknik araç ile uygulanmaktadır?

• Geçerli değilse hariç tutulma (exclusion) gerekçesi nedir? (Örn: Kurumda yazılım geliştirilmiyorsa güvenli yazılım geliştirme kontrolleri kapsam dışı bırakılabilir).

4. Politikaların Yazımı ve Çalışan Farkındalık Eğitimleri

BGYS, sadece teknik cihazlarla değil kurumsal prosedürlerle yürütülür. Kurum en az şu temel politikaları yayımlamalı ve çalışanlarına tebliğ etmelidir:

• Bilgi Güvenliği Ana Politikası

• Parola ve Kimlik Doğrulama Politikası (MFA/2FA zorunluluğu)

• Temiz Masa ve Temiz Ekran Politikası

• Erişim Kontrolü ve Yetkilendirme Prosedürü

• Veri Sınıflandırma ve İmha Prosedürü (Kriptografik silme / Degaussing)

• Olay Müdahale Planı (Incident Response Plan)

• Tedarikçi Güvenliği Değerlendirme Prosedürü

Politikalar hazırlandıktan sonra tüm personele zorunlu Bilgi Güvenliği Farkındalık Eğitimleri verilmeli ve çalışanlara sosyal mühendislik/oltalama (phishing) simülasyonları uygulanarak katılım kayıtları arşivlenmelidir.

5. İç Denetim ve Yönetim Gözden Geçirme Toplantısı (YGG)

Dış denetim öncesindeki son zorunlu adım, kurumun kendi iç denetim mekanizmasını işletmesidir. Sertifikalı bir iç denetçi (Internal Auditor) veya bağımsız bir danışman, BGYS'nin tüm maddelerini ve Ek-A kontrollerini denetler. Tespit edilen eksiklikler için Düzeltici Faaliyet (DÖF / CAPA) açılır. Son olarak üst yönetimin katıldığı Yönetim Gözden Geçirme (YGG) toplantısı icra edilir; risk tablosu, iç denetim bulguları ve kaynak gereksinimleri tutanak altına alınarak dış denetim başvurusu aşamasına geçilir.

Dış Denetim: ISO 27001 Sertifikası Nasıl Alınır?

Kurum içi hazırlıklar tamamlandıktan sonra akredite bir Belgelendirme Kuruluşuna (Certification Body) resmi başvuru yapılır. Dış denetim süreci, uluslararası ISO/IEC 17021 standardı kurallarına göre iki ana aşamada icra edilir.

Aşama 1 Denetimi: Dokümantasyon ve İdari Hazırlık Kontrolü

Aşama 1 (Stage 1 Audit), denetçilerin kurumun dokümantasyon altyapısını ve BGYS'ye hazır bulunuşluğunu incelediği masa başı denetimidir. Bu aşamada baş denetçi (Lead Auditor) şu unsurları denetler:

• BGYS Kapsam Dokümanı ve Bilgi Güvenliği Politikaları

• Uygulanabilirlik Bildirgesi (SoA)

• Risk Değerlendirme ve Risk İşleme Metodolojisi

• İç Denetim Raporları ve Yönetim Gözden Geçirme (YGG) Toplantı Tutanakları

• Sızma Testi (Penetration Test) Raporu ve Zafiyet Kapatma Kanıtları

Aşama 1 sonucunda majör bir eksiklik (örneğin YGG toplantısının yapılmamış olması veya SoA'nın hazırlanmaması) tespit edilirse denetim durdurulur ve Aşama 2'ye geçilmesine izin verilmez. Eksiklik bulunmazsa veya minör alanlar listelenirse 30 ila 60 gün içinde Aşama 2 denetim tarihi planlanır.

Aşama 2 Denetimi: Saha Uygulamaları ve Teknik İnceleme

Aşama 2 (Stage 2 Audit), yazılan politikaların sahada fiilen uygulanıp uygulanmadığının yerinde ve teknik olarak doğrulandığı kapsamlı denetimdir. Denetim ekibi rastgele örnekleme yöntemiyle teknik altyapıyı ve operasyonel süreçleri test eder:

• Erişim Kontrolleri İncelemesi: Active Directory / LDAP üzerinde yetkisiz yönetici hesapları, MFA yapılandırmaları ve işten ayrılan personelin erişim yetkilerinin sonlandırılma kayıtları incelenir.

• Fiziksel Güvenlik Kontrolleri: Sistem odası giriş logları, yangın söndürme sistemleri (FM200/Novec), kamera kayıtları ve temiz masa kuralı sahada denetlenir.

• Yedekleme ve Felaket Kurtarma: Veri yedeklerinin kriptolu tutulup tutulmadığı ve periyodik geri yükleme (Restore) testlerinin yapılıp yapılmadığı kontrol edilir.

• Çalışan Mülakatları: Rastgele seçilen personellere bilgi güvenliği ihlal bildirim prosedürü ve şüpheli e-posta durumunda ne yapacakları sorulur.

Uygunsuzluk Yönetimi: Majör ve Minör Bulguların Kapatılması

Aşama 2 denetimi sonunda denetim ekibi bulgularını Kapanış Toplantısında paylaşır:

• Majör Uygunsuzluk (Major Non-Conformity): Standardın bir maddesinin tamamen uygulanmaması veya bilgi güvenliğini doğrudan tehdit eden sistematik bir açık (Örn: Yedekleme sisteminin hiç çalışmaması, kritik zafiyetlerin aylardır yamalanmaması). Majör bulgu varlığında sertifika onayı verilmez; kuruma 90 güne kadar düzeltme süresi tanınır ve takip denetimi yapılır.

• Minör Uygunsuzluk (Minor Non-Conformity): Sistemin genel işleyişini bozmayan münferit aksaklıklar (Örn: Bir personelin eğitim katılım formunun eksik olması). Kurumun sunduğu Düzeltici Faaliyet Planı onaylandıktan sonra sertifika basım sürecine geçilir.

• Gözlem / Fırsat (OFI - Opportunity for Improvement): Standarda aykırı olmayan ancak iyileştirilmesi tavsiye edilen hususlardır.

ISO 27001 Sertifikası Nereden Alınır? (Akreditasyon Uyarısı)

ISO 27001 sertifikası doğrudan Uluslararası Standardizasyon Örgütü (ISO) tarafından verilmez. ISO yalnızca standartları yazar ve yayımlar. Belgelendirme işlemleri, bağımsız Uygunluk Değerlendirme / Belgelendirme Kuruluşları tarafından yürütülür. Ancak burada işletmelerin düşebileceği en büyük tuzak, akreditasyonsuz veya sahte sertifika sağlayan aracı kurumlardır.

Bir sertifikanın resmi kurumlarda, gümrüklerde, bankalarda ve küresel B2B ihalelerde geçerli olabilmesi için, belgeyi düzenleyen kuruluşun Uluslararası Akreditasyon Forumu (IAF - International Accreditation Forum) Çok Taraflı Tanıma Anlaşmasına (MLA) imza atmış ulusal bir akreditasyon kurumu tarafından yetkilendirilmiş olması zorunludur:

• TÜRKAK (Türk Akreditasyon Kurumu): Türkiye'nin resmi ulusal akreditasyon kurumudur. Türkiye'deki kamu ve regüle sektör ihalelerinde TÜRKAK onaylı veya TÜRKAK tarafından tanınan IAF üyesi akreditasyonlar aranır.

• UKAS (United Kingdom Accreditation Service): Birleşik Krallık merkezli, küresel ölçekte en yüksek tanınırlığa sahip akreditasyon kurumlarından biridir.

• DAkkS (Almanya), ANAB (ABD), SAS (İsviçre): Global arenada geçerliliği tam olan diğer IAF üyesi resmi akreditasyon kurumlarıdır.

IAF (Uluslararası Akreditasyon Forumu)
  │
  ├──► TÜRKAK (Türkiye) ──► Akredite Denetim Firması ──► Geçerli ISO 27001
  ├──► UKAS (İngiltere)  ──► Akredite Denetim Firması ──► Geçerli ISO 27001
  └──► DAkkS (Almanya)  ──► Akredite Denetim Firması ──► Geçerli ISO 27001

Akreditasyonsuz düzenlenen belgeler piyasada "kaşe-imza sertifika" olarak adlandırılır. Bu tür belgelerin hiçbir yasal geçerliliği bulunmadığı gibi; KVKK incelemelerinde, kamu ihalelerinde ve uluslararası kurumsal anlaşmalarda anında reddedilir ve kurumun itibarını zedeler. Sertifika almadan önce belgelendirme kuruluşunun TÜRKAK veya IAF CertSearch veritabanındaki yetki kapsamı mutlaka doğrulanmalıdır.

Süreç ve Maliyet Planlaması

ISO 27001 belgelendirme projesi, zaman ve bütçe planlamasının baştan doğru yapılması gereken kurumsal bir yatırımdır. Maliyetler ve süre; firmanın çalışan sayısına, lokasyon adedine, bilişim altyapısının karmaşıklığına ve mevcut güvenlik olgunluk seviyesine göre değişkenlik gösterir.

ISO 27001 Kurulum ve Belgelendirme Ne Kadar Sürer?

Sıfırdan bir BGYS kurulumu ve sertifikasyon süreci ortalama 3 ila 9 ay arasında tamamlanır:

1. Hazırlık ve Risk Analizi (1-2 Ay): Kapsam belirleme, varlık envanteri, boşluk analizi ve risk işleme planlarının hazırlanması.

2. Politikaların Uygulanması ve Eğitimler (1-2 Ay): Teknik eksiklerin kapatılması (MFA, log yönetimi, yedekleme altyapısı), çalışan farkındalık eğitimleri ve politika yayılımı.

3. Sistemin İşletilmesi ve İç Denetim (1-2 Ay): Sistemin canlıda işletilmesi, logların toplanması, sızma testinin icrası, iç denetim ve YGG toplantısının yapılması.

4. Dış Denetim ve Belgelendirme (1 Ay): Belgelendirme kuruluşunun Aşama 1 ve Aşama 2 denetimlerini icra etmesi, varsa bulguların kapatılması ve sertifikanın basılması.

Sertifikasyon Maliyetlerini Belirleyen Temel Faktörler

ISO 27001 bütçesi dört ana maliyet bileşeninden meydana gelir:

• Belgelendirme Denetim Ücreti: Denetçi adam/gün sayısına göre belirlenir. IAF MD5 kılavuzuna göre kurumun personel sayısı ve risk kategorisi arttıkça zorunlu denetim gün sayısı artar.

• Danışmanlık ve Rehberlik Hizmeti (Opsiyonel ama Önerilen): Kurum içinde yetkin BGYS uzmanı bulunmuyorsa, dokümantasyon ve risk modellemesi için dış danışmanlık hizmeti alınır.

• Teknik Altyapı ve Güvenlik Yazılımları: Standart doğrudan belirli bir yazılımı zorunlu tutmasa da gereksinimleri karşılamak için SIEM (Merkezi Log Yönetimi), DLP (Veri Sızıntısı Önleme), EDR (Uç Nokta Güvenliği) ve Güvenlik Duvarı lisanslama yatırımları gerekebilir.

• Sızma Testi (Pentest) ve Zafiyet Taraması: Denetim öncesi bağımsız bir TSE onaylı veya CREST sertifikalı siber güvenlik firmasından sızma testi hizmeti alınması ve kritik bulguların kapatılması şarttır.