ISO 27001 Belgesi Nasıl Alınır? Varlık-Risk Analizi, Uygulanabilirlik Bildirgesi (SoA) ve Maliyet

Hızlı Yol Haritası: TS EN ISO/IEC 27001:2022 belgesi almak için kuruluşun önce kapsamını belirlemesi, bilgi varlığı envanteri ve ISO/IEC 27005 tabanlı risk analizi yapması, 93 Ek-A kontrolünü içeren Uygulanabilirlik Bildirgesini (SoA) oluşturması, iç tetkik ve yönetim gözden geçirmesini tamamlayarak TÜRKAK / IAF akredite 2 aşamalı dış denetimden geçmesi gerekir. Süreç şirket büyüklüğüne göre ortalama 6 ila 12 hafta sürer.

6 Adımda TÜRKAK Akredite ISO/IEC 27001:2022 Belgesi Nasıl Alınır?

2009'dan bugüne yüzlerce yazılım evi, sanayi kuruluşu, belediye, hastane ve gümrük/lojistik firmasını ilk denetimde sıfır majör uygunsuzlukla belgelendiren Proxy Eğitim ve Danışmanlık metodolojisi 6 net aşamadan oluşur:

• Adım 1 — Kapsam Belirleme ve Boşluk Analizi (Gap Analysis): Şirketin iş hedefleri, tabi olduğu YYS, EPDK, GİB, KTS veya kamu ihale şartnamesi, fiziksel lokasyonları ve bulut/sunucu altyapısı incelenerek BGYS kapsam sınırı (Madde 4.3) çizilir.
• Adım 2 — Bilgi Varlığı Envanteri ve Sınıflandırma: Donanım, yazılım, veritabanı, kaynak kod, müşteri sözleşmeleri, e-posta arşivleri, kağıt evraklar ve kritik insan kaynağı varlıkları belirlenir; Gizlilik, Bütünlük ve Erişilebilirlik (CIA Triad) kritiklik derecelerine göre sınıflandırılır.
• Adım 3 — Risk Değerlendirme ve Risk İşleme Planı (Madde 6.1.2 – 6.1.3): Her varlık grubuna yönelik siber tehditler (fidye yazılımı, yetkisiz erişim, içeriden sızıntı, tedarikçi ihlali, donanım arızası) ve zafiyetler olasılık × etki matrisiyle puanlanır; kabul edilebilir risk eşiğinin üzerindeki riskler için somut Risk İşleme Planı hazırlanır.
• Adım 4 — Uygulanabilirlik Bildirgesi (SoA) ve Teknik Politika Seti: ISO 27001:2022 Ek-A'daki 93 kontrolün hangilerinin uygulandığını, nasıl uygulandığını ve varsa kapsam dışı bırakılma gerekçesini gösteren Statement of Applicability (SoA) belgesi ile Erişim Kontrolü, Yedekleme, Kriptografi, Güvenli Geliştirme ve Siber Olay Müdahale prosedürleri devreye alınır.
• Adım 5 — Siber Güvenlik Farkındalık Eğitimi, İç Tetkik ve YGG: Tüm çalışanlara bilgi güvenliği ve oltalama farkındalık eğitimi verilir; bağımsız ISO 19011 iç tetkiki ve Üst Yönetim Gözden Geçirme (YGG) toplantısı tamamlanarak sistem denetime hazır hale getirilir.
• Adım 6 — Akredite Belgelendirme Denetimi (Aşama 1 & Aşama 2): Akredite belgelendirme kuruluşu Aşama 1 denetiminde BGYS tasarımını, risk metodolojisini ve SoA dokümanını inceler; Aşama 2 saha/uzaktan denetiminde ise güvenlik duvarı, Active Directory/IAM, yedekleme dönüş testleri, İK dosyaları ve fiziksel güvenlik kanıtlarını doğrulayarak sertifikayı onaylar.

ISO 27001 Belgesi Fiyatı Neye Göre Hesaplanır? (ISO/IEC 27006-1 Kriterleri)

Akredite belgelendirme kuruluşları denetim süresini ISO/IEC 27006-1 standardındaki adam/gün tablosuna göre belirler. Toplam bütçeyi (danışmanlık + belgelendirme harcı) etkileyen 5 ana faktör aşağıdaki tabloda özetlenmiştir:

Devlet Teşvikleri ve Hızlı Teklif Süreci

KOSGEB işletme geliştirme/belgelendirme destekleri ve Hizmet İhracatçıları Birliği (HİB) üyesi teknoloji şirketlerine yönelik Ticaret Bakanlığı pazara giriş belgeleri teşvikleri kapsamında ISO/IEC 27001:2022 belgelendirme giderleri desteklenmektedir. Kurumunuzun çalışan sayısı ve faaliyet kapsamına özel net fiyat teklifimizi aynı gün almak için İletişim sayfamızdan uzmanlarımıza ulaşabilirsiniz.

Denetimde Başdenetçinin İncelediği 10 Temel Kanıt Dosyası

ISO/IEC 27001:2022 Aşama 2 belgelendirme tetkikine girerken kurumunuzun dijital BGYS portalında hazır bulundurduğumuz on temel kanıt şunlardır:

• BGYS Kapsam Dokümanı, Bilgi Güvenliği Politikası ve İklim Değişikliği Bağlam Analizi,
• Bilgi Varlığı Envanteri, Varlık Sahipliği ve Veri Sınıflandırma Rehberi,
• ISO/IEC 27005 Metodolojisine Uygun Risk Değerlendirme Tablosu ve Risk İşleme Planı,
• 93 Ek-A Kontrolünü İçeren Güncel Uygulanabilirlik Bildirgesi (Statement of Applicability — SoA),
• İşe Giriş-Çıkış Yetki Formları, Gizlilik Sözleşmeleri (NDA) ve Üç Aylık Erişim Hakları Gözden Geçirme Kayıtları,
• Personel Bilgi Güvenliği Farkındalık Eğitim Katılım Kayıtları ve Oltalama (Phishing) Simülasyon Sonuçları,
• Zafiyet Taraması / Sızma Testi Raporu ve Açıkların Kapatıldığını Gösteren Doğrulama Kayıtları,
• Yedekleme Politikası, Yedekten Geri Dönüş (Restore) Test Tutanakları ve Sistem Odası Fiziksel Kontrolleri,
• Tedarikçi Bilgi Güvenliği Değerlendirme Formları ve Bulut Paylaşımlı Sorumluluk Matrisi,
• ISO 19011 İç Tetkik Raporu, Düzeltici Faaliyet Kayıtları ve Üst Yönetim Gözden Geçirme (YGG) Toplantı Tutanağı.