ISO/IEC 27001:2022 iki ana bölümden oluşur: yönetim sisteminin şartlarını tanımlayan 4–10. maddeler ve uygulanabilecek güvenlik kontrollerini listeleyen Ek-A. Belgelendirme denetiminde her ikisi de incelenir.
Standardın Maddeleri
- Madde 4 – Kuruluşun bağlamı: İç ve dış hususlar, ilgili taraflar, BGYS kapsamı.
- Madde 5 – Liderlik: Üst yönetimin taahhüdü, bilgi güvenliği politikası, roller ve sorumluluklar.
- Madde 6 – Planlama: Risk değerlendirmesi ve risk işleme, bilgi güvenliği hedefleri, değişikliklerin planlanması.
- Madde 7 – Destek: Kaynaklar, yetkinlik, farkındalık, iletişim ve dokümante bilgi.
- Madde 8 – Operasyon: Risk değerlendirme ve işleme planlarının uygulanması.
- Madde 9 – Performans değerlendirme: İzleme ve ölçme, iç tetkik, yönetimin gözden geçirmesi.
- Madde 10 – İyileştirme: Uygunsuzluklar, düzeltici faaliyetler ve sürekli iyileştirme.
1–3. maddeler kapsam, atıf yapılan standartlar ve terimlerden oluşur. 2024’te yayımlanan değişiklikle 4.1 ve 4.2 maddelerine iklim değişikliğinin ilgili bir husus olup olmadığının değerlendirilmesi şartı eklenmiştir.
Ek-A: 4 Tema, 93 Kontrol
- A.5 Kurumsal kontroller (37): Politikalar, roller, varlık yönetimi, erişim kontrolü, tedarikçi ilişkileri, olay yönetimi, iş sürekliliği, yasal uyum.
- A.6 İnsan kontrolleri (8): İşe alım öncesi tarama, gizlilik anlaşmaları, farkındalık eğitimi, disiplin süreci, uzaktan çalışma.
- A.7 Fiziksel kontroller (14): Fiziksel güvenlik alanları, giriş kontrolleri, ekipman güvenliği, temiz masa ve temiz ekran.
- A.8 Teknolojik kontroller (34): Uç nokta güvenliği, ayrıcalıklı erişim, zararlı yazılım koruması, yedekleme, loglama, ağ güvenliği, güvenli geliştirme.
2022 Sürümüyle Gelen 11 Yeni Kontrol
- Tehdit istihbaratı (5.7)
- Bulut hizmetleri için bilgi güvenliği (5.23)
- İş sürekliliği için BİT hazırlığı (5.30)
- Fiziksel güvenlik izleme (7.4)
- Yapılandırma yönetimi (8.9)
- Bilgi silme (8.10)
- Veri maskeleme (8.11)
- Veri sızıntısını önleme (8.12)
- İzleme faaliyetleri (8.16)
- Web filtreleme (8.23)
- Güvenli kodlama (8.28)
Bu kontrollerin bir kısmı teknik ürünlerle desteklenir: veri sızıntısını önleme için DLP çözümleri, fiziksel güvenlik izleme için kamera sistemleri, teknik zafiyet yönetimi (8.8) ve güvenlik testleri (8.29) için ise sızma testi bunlara örnektir.
Uygulanabilirlik Bildirgesi
Ek-A’daki her kontrolün uygulanıp uygulanmadığı, gerekçesi ve uygulama durumu Uygulanabilirlik Bildirgesi’nde belgelenir. Denetçiler bu dokümanı risk değerlendirmesiyle tutarlılık açısından mutlaka inceler. Sürecin tamamını ISO 27001 belgesi nasıl alınır yazımızda anlattık.
ISO 27001 danışmanlığı kapsamında süreci birlikte planlayalım; kapsamınıza göre net bir teklif hazırlayalım.
İlgili Yazılar
ISO 27001 Belgesi Nasıl Alınır? Süreç ve Süre
ISO 27001 sertifikası nasıl alınır? Kapsam, risk analizi, Uygulanabilirlik Bildirgesi, iç tetkik ve iki aşamalı belgelendirme denetimiyle adım adım süreç.
ISO 27001 Varlık Envanteri Nasıl Hazırlanır?
ISO 27001 varlık envanteri nedir, nasıl hazırlanır? Varlık türleri, varlık sahipliği, gizlilik-bütünlük-erişilebilirlik değerlendirmesi ve örnek tablo.
Penetrasyon (Sızma) Testi Nedir? Neden Yapılır?
Penetrasyon testi nedir, zafiyet taramasından farkı ne? Sızma testinin amacı, yöntemleri, kimlerin yaptırması gerektiği ve test sonunda alınan rapor.Sıkça Sorulan Sorular
ISO 27001:2022’de kaç kontrol var?
Ek-A’da 4 tema altında toplam 93 kontrol bulunur: 37 kurumsal, 8 insan, 14 fiziksel ve 34 teknolojik kontrol.
Ek-A’daki tüm kontrolleri uygulamak zorunlu mu?
Hayır. Kuruluş, risk değerlendirmesine göre gerekli kontrolleri seçer; uygulanmayan kontroller için gerekçesini Uygulanabilirlik Bildirgesi’nde açıklar.
