ISO / IEC 27000:2018, bilgi güvenliği yönetim sistemlerine (BGYS) genel bir bakış ve Bilgi Güvenliği Yönetim Sistemi ISO / IEC 27001 standart ailesinde yaygın olarak kullanılan terimler ve tanımları sunar.
Çokuluslu işletmelerden küçük ve orta ölçekli işletmelere kadar her türlü organizasyon tipine ve uygulamaya uygun olarak tasarlanan Şubat 2018'de yayınlanan yeni versiyon devlet kurumları veya kar amacı gütmeyen organizasyonlar için aynı derecede değerlidir.
27000 ailesinde bir düzineden fazla standart var. Yeni yayınlanan ISO / IEC 27000, standartların nasıl bir araya geldiğinin anlaşılmasını sağlar: kapsamları, rolleri, işlevleri ve birbirleriyle ilişkileri.
ISO / IEC 27001 topluluğu, ISO / IEC 27000 ailesinde diğer standartlar tarafından kullanılan tüm temel terminolojileri bir araya getirdiği için bu standardı yararlı bulacaktır.
Teknolojinin ve iletişimin baş döndürücü bir hızla geliştiği bugünün iş ortamında sahip olunan bilginin korunması çok daha önemli bir hal almıştır. Bilgi, bir kuruluşun faaliyetlerini sürdürebilmesi için büyük önem taşır. Bilginin korunmasında oraya çıkacak güvenlik riskleri ve bilgi varlıklarına yönelik tehditleri belirlemek ve sistemdeki açık noktaları denetlemek ciddi bir uğraş gerektirmektedir. Bilgi güvenliğini kurmak ve yapılacak kontrollerin sürekliliğini sağlamak, bununla ilgili güvenlik esaslarını doğru kurmaya ve yönetim süreçlerini doğru belirlemeye bağlıdır.
Günümüz iş dünyasında bilgi güvenliği ciddi bir risk sayılmaktadır ve tutarlı bilgi güvenliği kontrollerini tanımlamak ve gerçekleştirmek, aynı zamanda riskleri kabul edilebilir seviyelere çekmek, kuruluşta belli standartların oturtulmasına bağlıdır.
ISO/IEC 27001, Bilgi Güvenliği Yönetimi Sistemi (ISMS) gereksinimlerini tanımlayan tek uluslararası denetlenebilir standarttır. Yeterli ve orantılı güvenlik denetimleri seçilmesini sağlamak için tasarlanmıştır.
Uluslararası Standartlar Organizasyonu tarafından çıkarılan ISO/IEC 27001 Bilgi Güvenliği Yönetimi Sistemi, değerli bilgi varlıklarını korumaya ve yönetmeye yardımcı olan standartlar bütünüdür. Bilgi güvenliği konusunda gerekli standartları tanımlayan tek uluslararası sistemdir. Bu sistem yeterli ve orantılı güvenlik kontrollerinin seçilmesini sağlamak için tasarlanmıştır.
Uluslararası Standartlar Organizasyonu’nda (ISO) standard hazırlama çalışmaları, genel olarak teknik komiteler tarafından yapılmaktadır. ISO 27000 standartları da, Uluslararası Standartlar Organizasyonu ile Uluslararası Elektroteknik Komisyonu’nun birlikte kurduğu Birleşik Teknik Komite tarafından hazırlanmıştır.
Uluslararası Elektro Teknik Komisyonu (IEC - International Electrotechnical Commission) 1906 yılında kurulmuştur ve elektronik ve benzer teknolojiler konusunda uluslararası standartlar hazırlamaktadır. Türk Standartları Enstitüsü de (TSE) bu komisyonun üyesidir. IEC’nin ana hedefi küresel anlamda ürünlerin ve hizmetlerin kalitesini arttırmak, insan sağlığı ve güvenliğine katkıda bulunmak ve çevrenin korunmasına destek olmaktır. ISO, Uluslararası Elektroteknik Komisyonu’nun çalışma alanı dışında kalan konularda çalışma yapmaktadır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmuş olan firmalar, bilgi alt yapılarını tespit edip, bu varlıklara yapılacak olası saldırıları ve tehlikeleri analiz ederek, bu tehlikelerin meydana gelmesi durumunda ne yapılacağına karar verirler. Büyük ölçekli olan, özellikle kurumsal kimlik kazanmaya çalışan kuruluşlar için entegre yönetim sistemleri içinde en önemli sistem bu olmaktadır.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi, bilginin korunmasına yönelik risklerin neler olduğunu ortaya çıkarmak ve bu riskleri ortadan kaldırmaya veya en aza indirmeye yarayacak önlemleri tespit etmek açısından kuruluşa büyük avantajlar sağlayacaktır.
Bu sistemin uygulanabilmesi açısından sektör kısıtı yoktur. Her sektördeki kuruluşlar, bilgiyi korumak ihtiyacı hissediyorlarsa Bilgi Güvenliği Yönetim Sistemi kurabilirler. Ancak özellikle banka ve finans kuruluşlarında, sağlık kuruluşlarında, resmi dairelerde, bilgi teknolojileri sektöründe bilginin korunması çok daha fazla önem taşımaktadır.
ISO 27000 standartları, aslında birçok standarttan meydana gelmiştir. Bu standartlardan birkaçı şunlardır:
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı: Bilgi Güvenliği Yönetim Sistemi’nin temel standardı budur.
- ISO 27002 Bilgi Güvenliği Yönetim Sistemi için Uygulama Kodları Standardı
- ISO 27003 Güvenliği Yönetim Sistemi için Uyarlama, Gerçekleştirme Kılavuzu
- ISO 27004 Ölçekler, Raporlar Standardı
- ISO 27005 Bilgi Güvenliği Yönetim Sistemi Risk Yönetimi Standardı
- ISO 27006 Bilgi Güvenliği Denetim ve Belgelendirme İçin Şartlar Standardı
Bugün artık Bilgi Güvenliği Yönetimi, kuruluştaki bütün insan kaynağını, özellikle üst yönetimi, bilgi sistemlerini ve iş süreçlerini içine alacak şekilde bir bütün olarak yönetilmesi gereken bir sistemdir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı’nın, sistemin ana standardı olduğunu söylemiştik. Kuruluşlarda Bilgi Güvenliği Yönetim Sistemi kurulumu ve belgelendirme çalışmaları bu standart üzerinden yapılmaktadır.
Bu standardın temel hedefleri şunlar olmaktadır:
- Kuruluşun olası bilgi güvenlik açıklarını tespit etmek, bilgi varlıklarının karşısında olan tehditleri ortaya koymak ve bu tehditleri sistematik olarak denetlemek.
- Risk altında olan bilgi varlıklarının güvenliğini sağlamak üzere yapılacak kontrolleri belirlemek, bu kontrollerin yapılmasını sağlamak ve olası riskleri kabul edilebilir seviyelerde tutmak.
- Bu şekilde yapılacak bilgi güvenliği kontrollerinde sürekliliği sağlamak ve bu amaçla yönetim süreçlerini belirlemek ve uygulamak.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı, Uluslararası Standartlar Organizasyonu tarafından 2005 yılında yayınlanmıştır. Tam adı ISO/IEC 27001:2005 Bilgi Teknolojileri Güvenlik Teknikleri Bilgi Güvenliği Yönetimi Sistemleri Şartları’dır. Genel olarak ISO 27001 belgesi standardı olarak bilinir.
ISO 27001 standartları, bu sistemi kuran bir kuruluşun kurumsal yapısını, politikalarını, planlama faaliyetlerini, sorumluluklarını, faaliyetlerini, uygulama talimatlarını, iş süreçlerini ve kaynaklarını kapsamaktadır.