ISO 27001 ve ISMS

ISO/IEC 27001, bilgi güvenliği yönetimine ilişkin uluslararası standarttır. Esnek bir çerçeveden farklı olarak, akredite bir kuruluş tarafından belgelendirilebileceğiniz resmî bir şartnamedir.

Merkezindeki kavram, Bilgi Güvenliği Yönetim Sistemi olan ISMS'dir. ISO 27001, teknik kontrollerin bir listesinden çok, güvenliği devam eden ve yönetilen bir süreç olarak yönetecek bir sistemdir.

Bir ISMS, bir kuruluşun bilgi güvenliği riskini sistematik biçimde yönetmek için kullandığı politikalar, süreçler, roller ve kontroller bütünüdür.

Bu, kalite veya çevre yönetim sistemi gibi bir yönetim sistemidir. Amaç tek bir denetimden geçmek değil, şu işlevleri yerine getiren canlı bir mekanizma oluşturmaktır:

• Riski sürekli değerlendirir.
• Kontrolleri uygular ve sürdürür.
• Etkililiği ölçer.
• Zaman içinde iyileşir.

ISMS, sürekli iyileştirme döngüsü olan PDCA ile işler:

• Planla — ISMS kapsamını, politikayı, risk değerlendirmesini ve risk işleme yaklaşımını belirleyin.
• Uygula — seçilen kontrolleri ve süreçleri hayata geçirin.
• Kontrol Et — performansı izleyin, denetleyin ve ölçün.
• Önlem Al — uygunsuzlukları düzeltin ve iyileştirin.

Belgelendirmenin tek seferlik bir olay olmamasının nedeni bu döngüdür; denetçiler, döngünün gerçekten işlediğini gösteren kanıtlar bekler.

ISO 27001 temelde risk odaklıdır. Gizlilik, bütünlük ve kullanılabilirliğe yönelik riskleri tanımlar, ardından her birinin nasıl ele alınacağına karar verirsiniz.

Dört standart risk işleme seçeneği şunlardır:

ISO 27001'in ayırt edici belgelerinden biri Uygulanabilirlik Bildirgesi'dir. Standarttaki referans kümesinde bulunan her kontrolü listeler ve şunları kaydeder:

• Kontrolün uygulanabilir olup olmadığı.
• Uygulanıp uygulanmadığı.
• Dahil etme veya hariç tutma gerekçesi.

Uygulanabilirlik Bildirgesi, risk değerlendirmenizi kontrollerinize bağlar ve denetçinin incelediği ilk belgelerden biridir. Bir kontrolü hariç tutmanıza izin verilir, ancak nedenini gerekçelendirmeniz gerekir.

ISO 27001, ayrıntıları eşlik eden ISO 27002 kılavuzunda verilen bir kontrol kataloğuna Ek A'da yer verir. 2022 sürümü, bu kontrolleri dört tema altında yeniden düzenlemiştir:

• Kurumsal kontroller (politikalar, tedarikçi yönetimi).
• İnsan kontrolleri (inceleme, farkındalık).
• Fiziksel kontroller (güvenli alanlar, ekipman).
• Teknolojik kontroller (erişim, kriptografi, günlükleme).

Hangilerinin uygulanacağını, Uygulanabilirlik Bildirgesi'ne kaydedilen risk değerlendirmenize göre seçersiniz.

Bir ISMS oluşturmanın ilk aşamalarında kapsamını tanımlarsınız: kuruluşun hangi bölümlerini, sistemlerini ve bilgilerini ISMS'nin kapsadığı belirlenir.

Kapsam son derece önemlidir. Dar bir kapsamın (tek bir ürün grubu) belgelendirilmesi daha hızlıdır, ancak sınırlıdır; geniş bir kapsam (şirketin tamamı) daha inandırıcıdır, ancak daha fazla çalışma gerektirir. Belge kapsamı belirtir ve müşteriler bunu dikkatle inceler; bu nedenle kapsamı sürdürebileceğiniz alanlarla dürüstçe sınırlayın.

ISO 27001, üst yönetimin bağlılığını zorunlu kılar. Liderlik, güvenlik politikasını belirlemeli, rolleri atamalı, kaynak sağlamalı ve ISMS'yi gözden geçirmelidir.

Standart ayrıca tasarımı gereği kapsamlı belgeleme gerektirir: politikalar, risk değerlendirmesi, Uygulanabilirlik Bildirgesi, prosedürler ve izleme kayıtları. Denetçiler belgelenmemişse gerçekleşmemiştir ilkesine göre hareket eder. Kanıtlar, belgelendirmenin para birimidir.

Ek A kontrollerinin yanı sıra belgelendirme, yönetim sisteminin kendisini açıklayan 4 ila 10. arasındaki zorunlu maddelerin karşılanmasını gerektirir:

• 4 Bağlam, 5 Liderlik, 6 Planlama, 7 Destek.
• 8 İşletim, 9 Performans değerlendirmesi, 10 İyileştirme.

Bunlar isteğe bağlı değildir. Ek A kontrollerini ihtiyaçlarınıza göre uyarlayabilirsiniz, ancak belgelendirilebilmek için yönetim sistemi maddelerinin tümünü karşılamanız gerekir.

İkisi birbirinin alternatifi değil, tamamlayıcısıdır:

• ISO 27001 belgelendirilebilir, uluslararası düzeyde tanınır ve yönetim sistemi ile yönetişime vurgu yapar.
• NIST CSF gönüllü ve esnektir; işlevler genelinde pratik risk sonuçlarına vurgu yapar.

Birçok kuruluş, operasyonel yetkinliği yapılandırmak için CSF'yi, programı resmileştirmek ve belgelendirmek için ISO 27001'i kullanır. Kontrol kümeleri büyük ölçüde birbiriyle eşleşir.

ISMS, PDCA döngüsünün sağlıklı işlemesini sağlayan iki düzenli kontrol içerir:

• İç denetim — belgelendirme kuruluşu bulmadan önce uygunsuzlukları tespit etmek amacıyla ISMS'nin ISO 27001'e ve kendi politikalarınıza göre dönemsel ve bağımsız biçimde incelenmesi.
• Yönetimin gözden geçirmesi — liderliğin ISMS performansını, denetim sonuçlarını, olayları ve risk değişikliklerini resmî olarak inceleyip ardından iyileştirmelere ve kaynaklara karar vermesi.

Her ikisi de zorunludur. Yönetim sisteminin durağan bir klasörden ibaret olmadığını, canlı olduğunu kanıtlayan mekanizmalar bunlardır.

ISO 27001 ve ISMS:

• ISO 27001, bilgi güvenliği riskini ele alan yönetilen bir sistem olan ISMS'yi merkeze alan, belgelendirilebilir uluslararası bir standarttır.
• ISMS, sürekli iyileştirme için PDCA döngüsüyle (Planla, Uygula, Kontrol Et, Önlem Al) işler.
• Risk odaklıdır: riskleri değerlendirir, ardından her birini azaltır, devreder, önler veya kabul edersiniz.
• Uygulanabilirlik Bildirgesi, riskleri Ek A kontrollerine (kurumsal, insan, fiziksel, teknolojik) gerekçeleriyle bağlar.
• Zorunlu 4-10. maddeler yönetim sistemini düzenler; liderliğin bağlılığı ve belgeleme gereklidir. ISO 27001, NIST CSF'yi tamamlar.