ISO/IEC 27001:2022 Revizyonu ve Yeni Ek-A (93 Kontrol / 4 Tema) Uygulama Rehberi

Revizyon Özeti: TS EN ISO/IEC 27001:2022 standardı ile eski 2013 versiyonunun geçiş süreci tamamen sona ermiş olup, tüm ilk belgelendirme ve gözetim denetimleri yalnızca 2022 sürümü üzerinden yürütülmektedir. Yeni yapıda 14 kontrol alanı 4 ana temaya (Organizasyonel, İnsan, Fiziksel, Teknolojik) sadeleştirilmiş; kontroller birleştirilip 11 kritik yeni siber güvenlik kontrolü eklenerek toplam 93 Ek-A kontrolünden oluşan modern bir Bilgi Güvenliği Yönetim Sistemi (BGYS) çerçevesi oluşturulmuştur.

ISO 27001:2013 ile ISO/IEC 27001:2022 Arasındaki Yapısal Farklar

Kurumsal çalışma hayatının bulut bilişime (AWS, Azure, Google Cloud, SaaS), hibrit/uzaktan çalışmaya ve mikroservis tabanlı sürekli yazılım geliştirmeye (DevSecOps) evrilmesiyle birlikte klasik çevre güvenliği (perimeter security) yaklaşımı yetersiz kalmıştır. ISO/IEC 27001:2022 BGYS revizyonu hem ana yönetim maddelerinde (Madde 4–10: İklim değişikliği eki, süreç etkileşimi ve değişikliklerin planlanması Madde 6.3) hem de Ek-A referans kontrol setinde köklü iyileştirmeler getirmiştir:

ISO/IEC 27001:2022 ile Eklenen 11 Yeni Güvenlik Kontrolü ve Teknik Uygulama Kanıtları

TÜRKAK akredite başdenetçilerin 2022 versiyonu denetimlerinde Uygulanabilirlik Bildirgesi (SoA — Statement of Applicability) üzerinde en detaylı sorguladığı 11 yeni kontrol ve Proxy Danışmanlık projelerinde kurduğumuz pratik karşılıkları şunlardır:

• A.5.7 Tehdit İstihbaratı (Threat Intelligence): USOM zararlı bağlantılar listesi, CERT bültenleri, CVE zafiyet beslemeleri ve sektörel SOME uyarılarının düzenli toplanıp güvenlik duvarı/SIEM kurallarına işlenmesi.
• A.5.23 Bulut Hizmetlerinin Kullanımı İçin Bilgi Güvenliği: SaaS, PaaS ve IaaS sağlayıcılarında paylaşımlı sorumluluk matrisi (Shared Responsibility Matrix), kiracı izolasyonu, bulut erişim güvenliği ve buluttan çıkış (exit) stratejisinin tanımlanması.
• A.5.30 İş Sürekliliği İçin BİT Hazırlığı (ICT Readiness for Business Continuity): İş etki analizinde (BIA) belirlenen RTO (Hedef Kurtarma Süresi) ve RPO (Hedef Kurtarma Noktası) değerlerinin felaket kurtarma (DR) tatbikatlarıyla fiilen test edilmesi (ISO 22301 ile doğrudan entegre).
• A.7.4 Fiziksel Güvenlik İzleme: Sunucu odaları ve kritik alanların yalnızca kamera ile kaydedilmesi değil; yetkisiz giriş, kapı açık kalma ve sensör alarmlarının gerçek zamanlı izlenmesi.
• A.8.9 Konfigürasyon Yönetimi: Sunucu, ağ cihazı, veritabanı ve bulut kaynakları için CIS Benchmark tabanlı güvenlik sıkılaştırma (hardening) şablonları ve sapma (drift) kontrolü.
• A.8.10 Bilgi Silme (Information Deletion): Yasal saklama süresi dolan verilerin üretim sistemleri, yedekler ve uç noktalardan geri döndürülemez biçimde silinmesi (ISO 27701 ve KVKK Saklama-İmha ile bire bir uyumlu).
• A.8.11 Veri Maskeleme (Data Masking): Yazılım test ortamlarında, ekranlarda ve analitik raporlarda TCKN, kredi kartı ve sağlık verisi gibi hassas alanların dinamik/statik maskelenmesi veya anonimleştirilmesi.
• A.8.12 Veri Sızıntısını Önleme (Data Leakage Prevention — DLP): E-posta, USB bellek, bulut depolama ve web yüklemeleri üzerinden kurumsal gizli verinin dışarı çıkarılmasını tespit ve bloke eden DLP / M365 / Endpoint politikaları.
• A.8.16 Faaliyetlerin İzlenmesi (Monitoring Activities): Yalnızca log tutmakla kalmayıp (A.8.15), olağandışı oturum açma, yetki yükseltme ve toplu veri indirme anomalilerinin SIEM/SOAR korelasyon kurallarıyla aktif izlenmesi.
• A.8.23 Web Filtreleme: Zararlı, komuta-kontrol (C2), kripto madencilik ve oltalama alan adlarına kullanıcı erişiminin DNS/Proxy/NGFW katmanında engellenmesi.
• A.8.28 Güvenli Kodlama (Secure Coding): OWASP Top 10 ilkeleri, SAST/DAST statik-dinamik kod analizi, bağımlılık (SCA) taraması ve gizli anahtarların (secret) kaynak koda gömülmemesi kuralları (ISO 33061 ile entegre).

5 Nitelik (Attribute) Etiketleme Sistemi ve Yeni SoA Tasarımı

ISO/IEC 27002:2022 rehberi her kontrolü beş farklı nitelikle (Kontrol Tipi: Önleyici/Tespit Edici/Düzeltici; Bilgi Güvenliği Özelliği: Gizlilik/Bütünlük/Erişilebilirlik; Siber Güvenlik Kavramları: NIST CSF uyumlu Tanımla/Koru/Tespit Et/Müdahale Et/Kurtar; Operasyonel Yetenekler ve Güvenlik Alanları) etiketler. Proxy Danışmanlık olarak kurumunuzun Risk Analizi ve Uygulanabilirlik Bildirgesini (SoA) bu modern matrisle kurarak hem TÜRKAK denetimlerine hem de BDDK, EPDK ve DDO rehber denetimlerine tek elden uyum sağlıyoruz.

2022 Versiyonu Denetiminde Sık Karşılaşılan Bulgular ve Pratik Çözüm Listesi

Akredite denetimlerde bilgi işlem ve siber güvenlik ekiplerinin en hızlı puan toplamasını sağlayan kontrol noktalarını kurumunuzda adım adım doğruluyoruz:

• Madde 4.2 İklim Değişikliği Eki (2024 ISO Amendment): İklim kaynaklı aşırı hava olaylarının veri merkezi soğutması, enerji sürekliliği ve fiziksel erişim üzerindeki etkilerinin bağlam analizine işlenmesi.
• Madde 6.3 Değişikliklerin Planlanması: BGYS yapısını etkileyen yeni ERP geçişi, ofis taşınması veya bulut migrasyonu gibi büyük değişikliklerin risk analizi yapılarak kontrollü yürütülmesi.
• Ayrıcalıklı Erişim ve MFA Disiplini (A.8.2 & A.8.5): Domain Admin, veritabanı yöneticisi, güvenlik duvarı ve bulut kök (root) hesaplarının günlük e-posta hesaplarından ayrılması ve çok faktörlü kimlik doğrulamanın (MFA) zorunlu kılınması.
• Yedekten Geri Dönüş Testi (A.8.13): Yalnızca "yedek alındı" bildiriminin yeterli sayılmaması; fidye yazılımına karşı çevrimdışı/değiştirilemez (immutable) yedeklerden periyodik geri yükleme (restore) tatbikatı yapılarak ekran görüntülü tutanak tutulması.