ISO/IEC 27001 Denetiminin Amacı Nedir?
ISO/IEC 27001 BGYS (Bilgi Güvenliği Yönetimi Sistemi) temeline dayalı denetlenebilir bir uluslararası standarttır. Yani ISO 27001 belgesi, çeşitli kurum ve işletmelerin organizasyon yapılarına bilgi güvenliği yönetim sistemi inşa edebildiklerini gösteren uluslararası geçerliliği olan bir sertifikayı ifade eder.
Uluslararası geçerliliği olan ISO/IEC 27001 Standart içeriği hazırlanırken;
ISO 27000 Bilgi Güvenliği Yönetim Sistemi’nden terimler ve tarifler standardı özellikleri,
ISO 27001 Bilgi Güvenliği Yönetim Sistemi’nden denetim uygulama standardı özellikleri,
ISO 27002 Bilgi Güvenliği Kontrol Kavuzu’ndan uygulama standardı özellikleri,
ISO 31000 Risk Yönetim Sistemi’nden risk analizi standardı özellikleri alınarak denetim süreçleri tanımlanmıştır.
Bu sayede kurum içindeki “Bilgi Yönetimi”, “Risk Yönetimi” ve “Bilgi Güvenliği Uygulamaları” daha verimli bir halde gerçekleştirilebilir. Bu koşullar altında elde edilen ISO 27001 sertifikasıyla, kamuda ve özel sektörde faaliyet gösteren kurumların güvenli ve verimli bir bilgi yönetim sistemi kurduğu belgelenmiş olur.
Kurum kültürüne ve teknik alt yapısına uygun, yeterli ve orantılı güvenlik denetimlerinin sağlanması amacı ile tasarlanan ISO/IEC 27001 standartları, ISO kuruluşu ve IEC (Uluslararası Elektroteknik Komisyonu) tarafından ortaklaşa hazırlanmıştır.
Hazırlanan içerik kapsamına giren ana başlıklar;
Uygun Bilgi ve İletişim Teknolojileri,
Uygun Fiziki Alan ve Siber Güvenlik Teknikleri,
Bilgi Güvenliği Yönetim Sistemi,
Bu 3 ana başlık doğrultusunda elde edilen Gereksinimler kurumun bilgi güvenliği karakteristiğini ortaya çıkartır. Bu sebepten dolayı ISO/IEC 27001 denetim ve belgelendirme süreci her kurumun yapısına özel olarak gerçekleştirilmelidir. Çünkü Denetim sonucunda geçerliliği onaylanan bilgi güvenliği yönetim sistemini kendi uygulamalarına adapte ederek süreklilik kazandıran firmalar periyodik denetimlerle işleyişin doğruluğunu da kontrol etmiş olur.
Görüldüğü gibi amaç sadece veri güvenliği veya veriyi üçüncü kişilerin eline geçmekten korumak değildir. Amaç bilginin yetkisiz kişiler tarafından erişilerek eline geçirilmesini engellemek ve bilginin bozulmadan kalmasını sağlamaktır. Yani amaç bilgiyi yok olmaktan koruyabilmektir.
Bilgisiz Değil Bilgi Sizsiniz, Sahip Çıkın!
H.Koray Tutkun