- ISO-17799 nedir ?
Bilgi güvenliği için bilinen/kabul edilen en iyi yöntemlerin sıralandığı ISO standandardıdır.
- ISO-17799 ne zaman yayınlanmıştır ?
Aralık 2000'de. 1995 yılında British Standards Institute tarafından yayınlanan BS7799-1'in (BS7799 Part 1) yerini almıştır. 2000 yılında yayınlanan ISO-17799 kelime kelime BS7799 Part 1'in aynısıdır. 2005 yılında ISO-17799 revize edilmiş ve ISO-17799:2005 adını almıştır.
- BS7799-2 nedir?
BS7799-2 British Standard tarafından belirlenen Bilgi Güvenliği Yönetim Sistemi (Information Security Management Systems) gerekleridir. 2005 yılı sonunda ISO 27001:2005. standardı tarafından kapsanmıştır.
- ISO-27001 nedir ?
Daha önceden kullanılan BS7799-2'nin yenilenmiş ve uluslararası ISO versiyonudur.
- ISO-27001 ne zaman yayınlanmıştır ?
2005 yılının ortalarında son taslak duyurulmuş Ekim 2005'de ise standart yayınlanmıştır.
- ISO 27001'in ISO 17799 ile bir ilgisi var mıdır?
Kesinlikle evet. ISO-17799 içinde tanımlanan kontrollerin nasıl uygulanacağını ve bilgi güvenliği yönetim sisteminin nasıl kurulacağını ve işler kılınacağını tariflemektedir.
- ISO 27001 sertifikası nasıl alınabilir?
ISO 27001 standardının tüm gereklerinin yerine getirilmesini takiben dış denetim için başvurulabilir. Bu denetimin akredite bir sertifikalandırma kurumu tarafından gerçekleştirilmesi gerekir.
Denetimi gerçekleştirecek kurum önce dokümantasyonu gözden geçirir. Bu dokümantasyon güvenlik politikasını, risk değerlendirmesi dokümanlarını, risk eylem planını, Uygunluk Beyanını (SoA) ve güvenlik prosedürlerini içermelidir.
Bu incelemeyi takiben daha sonraki bir tarihte, denetçiler tarafından yerinde (on-site) denetim gerçekleştirilir. Kuruluşunuzun büyüklüğüne ve iş tipinize uygun kontrollerin olup olmadığı gözden geçirilir.
Başarılı bir denetimi takiben ISO 27001 sertifikası alınır. Sertifikadan sonra yılda bir ya da iki kez gözden geçirme tetkikleri gerçekleştirilir.
ISO 27001 sertifikası almanın ne tür avantajları olabilir?
Yetkili bir kurumdan ISO 27001 sertifkasının alınması, kuruluşun bilgisin güvenliğini dikkate aldığını, gerekli adımları uygula dığını ve kontrol ettiğini göstermektedir. Ama sertifikasyonun getirileri bununla sınırlı değildir. Ayrıca :
- Yönetim ve bilgi sistemlerinin güvenli olduğu konusunda, müşterilerinizi, çalışanlarınızı, iş ortaklarınızı, hissedarlarınızı rahatlatmaktadır.
- Kredibilite ve güveni arttırmaktadır.
- Herhangi bir güvenlik ihlali ble çok yüksek maliyetlere yol açabileceği için, kontrollerin uygulanması ile maliyetleri düşürmektedir.
- Kanun ve yönetmeliklere uyulduğunun bir göstergesidir.
- Organizasyon için tüm seviyelerde bilgi güvenliğinin mevcudiyeti göstermektedir.
- ISO 27001 uygulamaya nasıl başlanabilir ?
ISO 27001 standardına dayanan bir "Bilgi Güvenliği Yönetim Sistemi"nin oluşturulması 3 (üç) adımdan oluşur :
- Bilgi için bir Yönetim Platformunun oluşturulması, hedeflerin, amaçların, bilgi güvenliği politikasının belirlenmesi
- Güvenlik risklerinin belirlenmesi ve değerlendirilmesi
- Kontrollerin seçimi ve uygulanması
ISO 27001 standardına uygun bir bilgi güvenliği yönetim sisteminin kurulması, kuruluşunuzu güvenlik saldırılarına karşı tamamen korumalı duruma getirmeyebilir. Ancak bu tür saldıırıların başarılı olması olasılığını önemli ölçüde azaltacaktır.
- PDCA Nedir?
PLAN-DO-CHECK-ACT BS-7799-2 ve ISO-27001 standardında adreslenmektedir. Bu döngü, ISO 27001'in kurulan bilgi güvenliği yönetim sisteminin sürekli iyileştirilmesi hedefine ulaşılmasını sağlamayı amaçlamaktadır.
- Sertifikasyona (BS7799-2 ya da 27001) sahip kaç kurum vardır ?
Tüm dünyada sertifikaya sahip kuruluş sayısı 2000'in üzerindedir.
- ISO-27001 kapsamı nasıl belirlenebilir? Seçenekler neler olabilir?
ISO 27001'in kapsamı belirli iş süreçleri, bölgeler, departmanlar ya da kuruluşun bütünüyle sınırlandırılabilir. Kapsam açık ve net olarak belirtilmelidir. Bunu sertifikayla ilişkilendirilmiş SOA (Statement of Applicability) Uygunluk Beyanında belirtilmesi gerekmektedir.
- Sertifika veren kurumun uygulama aşamasında danışmanlık yapması, kuruluşa yardımcı olması uygun mudur ?
Hayır. Görev ayrılığı ya da görevlerin çelişmesi ilkesine ters düşeceği için, sertifikasyon kuruluşunun ya da sertifikasyon sürecinde yer alan denetçilerin danışmanlık yapması uygun değildir?
