EPDK, BDDK, SPK, GİB, Sağlık Bakanlığı ve Kamu İhalelerinde Zorunlu ISO 27001 & SOME Uyumu

Yasal Zorunluluk Özeti: Türkiye'de TS EN ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi (BGYS) belgesi gönüllü bir prestij belgesi olmaktan çıkmış; EPDK (elektrik, doğalgaz, petrol lisans sahipleri), Ticaret Bakanlığı YYS (Yetkilendirilmiş Yükümlü Statüsü), Gelir İdaresi Başkanlığı (GİB) özel entegratörleri, Sağlık Bakanlığı KTS yazılım firmaları, BTK / USOM kritik altyapılar ve KİK kamu bilişim ihaleleri için doğrudan faaliyet ve lisans şartı haline gelmiştir.

Kurum ve Mevzuat Bazlı Zorunlu ISO 27001:2022 Uyumluluk Tablosu

Her düzenleyici kurum (regülatör), ISO 27001 sertifikasının üzerinde yer alacak kapsam cümlesi, akreditasyon türü (TÜRKAK / IAF) ve ek sektörel kontroller konusunda farklı özel şartlar aramaktadır. Yanlış kapsamla alınan bir belge ilgili bakanlık tarafından reddedilebileceğinden, projelerimizi ilk günden regülatör tebliğine göre kurguluyoruz:

USOM ve Kurumsal SOME (Siber Olaylara Müdahale Ekibi) ile ISO 27001 Entegrasyonu

Ulaştırma ve Altyapı Bakanlığı ile BTK bünyesindeki Ulusal Siber Olaylara Müdahale Merkezi (USOM) mevzuatı uyarınca kritik altyapı sektörlerinde (enerji, haberleşme, bankacılık/finans, ulaştırma, su yönetimi ve kritik kamu hizmetleri) faaliyet gösteren kurumların Kurumsal SOME kurması ve siber olay bildirim prosedürlerini işletmesi zorunludur.

ISO/IEC 27001:2022 standardının Ek-A 5.7 (Tehdit İstihbaratı), Ek-A 5.24–5.28 (Bilgi Güvenliği Olay Yönetimi ve Adli Bilişim Kanıt Toplama) ve Ek-A 8.16 (Faaliyetlerin İzlenmesi) maddeleri doğrudan Kurumsal SOME işleyişinin omurgasını oluşturur. Danışmanlık sürecimizde SOME yönergesini, olay sınıflandırma matrisini, 7/24 eskalasyon zincirini ve USOM/KVKK (72 saat içinde ihlal bildirimi) entegrasyonunu tek bir operasyonel oyun kitabında (Incident Response Playbook) birleştiriyoruz.

Sektörel Denetimlerde Sık Yapılan 3 Kritik Hata

• 1. Eksik Kapsam Metni: Örneğin YYS başvurusunda sertifikada sadece "Bilgi İşlem Departmanı" yazması başvurunun Gümrük Bölge Müdürlüğünce doğrudan reddedilmesine yol açar; kapsam tüm dış ticaret ve lojistik zincirini kapsamalıdır.
• 2. OT / SCADA Sistemlerinin Unutulması: EPDK kapsamındaki bir OSB veya elektrik üretim santralinde yalnızca ofis bilgisayarlarını kapsayan bir BGYS kurmak EPDK denetiminde geçersiz sayılır; trafo/santral SCADA ağ segmentasyonu mutlaka dahil edilmelidir.
• 3. Yabancı Akreditasyon Uyuşmazlığı: Kamu ve bakanlık başvurularında IAF karşılıklı tanınma anlaşması (MLA) olmayan belgelendirme kuruluşlarından alınan sertifikalar kabul edilmez; mutlaka TÜRKAK veya IAF MLA üyesi akreditasyon seçilmelidir.

Regülatör Denetimlerine Hazırlıkta Kurumsal Yol Haritası ve Süreç Takvimi

EPDK, Ticaret Bakanlığı (YYS), GİB, BDDK/TCMB veya Sağlık Bakanlığı (KTS) denetim takvimine tabi olan kuruluşlarda belge son teslim tarihini kaçırmamak için tersine mühendislik takvimi (backward scheduling) uyguluyoruz:

• 1.–2. Hafta — Mevzuat ve Kapsam Doğrulaması: İlgili bakanlık tebliğindeki zorunlu kapsam ifadelerinin, lokasyon adreslerinin ve NACE kodlarının kontrol edilerek sıfır ret riskli kapsam metninin yazılması.
• 3.–5. Hafta — BT, OT/SCADA ve Fiziksel Güvenlik Sıkılaştırması: Ağ segmentasyonu (VLAN / DMZ / OT güvenlik duvarı), merkezi zaman senkronizasyonu (NTP), 5651 imzalı loglama, sızma testi zafiyet kapatmaları ve sistem odası fiziksel güvenlik eksikliklerinin tamamlanması.
• 6.–8. Hafta — Kurumsal SOME Tatbikatı ve İş Sürekliliği Testi: Masa başı veya canlı siber olay müdahale tatbikatı (fidye yazılımı / DDoS / veri sızıntısı senaryosu) ile felaket kurtarma testlerinin icra edilip raporlanması.
• 9.–10. Hafta — İç Tetkik, YGG ve TÜRKAK Akredite Belgelendirme: Aşama 1 ve Aşama 2 denetimlerinin tamamlanarak e-imzalı/karekod doğrulanabilir akredite sertifikanın ilgili bakanlık sistemine sunulması.