ISO/IEC 27001, kuruluşların bilgi güvenliği yönetim sistemi (BGYS) kurması, işletmesi ve sürekli iyileştirmesi için şartları belirleyen uluslararası standarttır. Bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini risk değerlendirmesine dayanarak korur. Güncel 2022 sürümünün Ek A bölümünde dört temaya ayrılmış 93 kontrol bulunur; belge akredite kuruluşlarca üç yıllık süreyle verilir.
Standardın kapsamı
ISO/IEC 27001'i Uluslararası Standardizasyon Örgütü (ISO) ile Uluslararası Elektroteknik Komisyonu (IEC) birlikte yayımlar. Güncel metin Ekim 2022'de yayımlanan üçüncü baskıdır; 2024'te iklim değişikliğini bağlam analizine ekleyen bir tadil (Amd 1:2024) yapılmıştır. 2013 sürümünden geçiş süresi 31 Ekim 2025'te sona ermiştir; bugün geçerli belgeler 2022 sürümüne göre verilir.
Standart bir teknoloji listesi değil, yönetim sistemidir. 4–10. maddeler, ISO 9001 ile aynı yapıda kuruluşun bağlamını, liderliği, risk değerlendirmesini, desteği, operasyonu, performans ölçümünü ve iyileştirmeyi düzenler. Kontrollerin nasıl uygulanacağına dair rehberlik ise ayrı bir standart olan ISO/IEC 27002'dedir.
Ek A: 93 kontrol, 4 tema
| Tema | Kontrol sayısı | Örnek konular |
|---|---|---|
| Kurumsal | 37 | Bilgi güvenliği politikası, erişim yetkileri, tedarikçi ilişkileri, bulut hizmetleri, olay yönetimi, iş sürekliliği |
| İnsan | 8 | İşe alım öncesi tarama, gizlilik sözleşmesi, farkındalık eğitimi, uzaktan çalışma |
| Fiziksel | 14 | Ofis ve sunucu odası girişi, ekipman koruma, temiz masa, fiziksel güvenlik izleme |
| Teknolojik | 34 | Kimlik doğrulama, yedekleme, kayıt tutma, şifreleme, zararlı yazılım koruması, güvenli kodlama |
2013 sürümündeki 114 kontrol birleştirilip güncellenerek 93'e indirilmiştir. On bir kontrol yenidir: tehdit istihbaratı, bulut hizmetlerinde güvenlik, iş sürekliliği için BT hazırlığı, fiziksel güvenlik izleme, yapılandırma yönetimi, bilgi silme, veri maskeleme, veri sızıntısını önleme, izleme faaliyetleri, web filtreleme ve güvenli kodlama.
Nasıl işler?
- Sistemin kapsamı belirlenir: hangi birimler, lokasyonlar ve süreçler dahil.
- Bilgi varlıkları ve bunlara yönelik riskler değerlendirilir.
- Her risk için işleme kararı verilir: azaltma, kabul, kaçınma veya transfer.
- Uygulanabilirlik Bildirgesi (Statement of Applicability) hazırlanır; 93 kontrolün hangilerinin neden uygulandığı ya da dışarıda bırakıldığı yazılır.
- Politikalar ve kontroller devreye alınır, personel eğitilir.
- İç tetkik ve yönetimin gözden geçirmesi yapılır, ardından akredite kuruluş iki aşamalı belgelendirme tetkiki yapar.
Belge üç yıl geçerlidir ve yıllık gözetim tetkikiyle sürdürülür. Adımların ayrıntısı ISO 27001 belgesi nasıl alınır maddesindedir.
Lojistikte hangi veriler korunur?
- Müşteri ticari verileri: Fatura değerleri, alıcı-satıcı bilgileri, navlun anlaşmaları. Rakibin eline geçmesi doğrudan ticari kayıptır.
- Sevkiyat verileri: Plaka, rota, anlık konum, teslim saati. Yüksek değerli yüklerde bu bilgi hırsızlık riskini doğrudan etkiler.
- Gümrük verileri: Beyanname içerikleri, GTİP ve kıymet bilgileri, BİLGE ve NCTS sistemlerine erişim yetkileri.
- Kişisel veriler: Sürücü kimlik, pasaport ve vize bilgileri; alıcı iletişim verileri. Türkiye'de bunlar 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındadır ve TİO yönetmeliği de belge sahiplerinden bu mevzuata uymalarını ister.
- Entegrasyonlar: Müşteri portalları, takip cihazları, e-CMR ve ERP bağlantıları.
Sektöre özgü riskler lojistikte ISO 27001 maddesinde, fiziksel tedarik zinciri güvenliği ise ISO 28000 maddesinde ele alınır.
Sık yapılan hatalar
- Kapsamı yalnız bilgi işlem birimiyle sınırlamak; operasyon ve gümrük ekipleri en çok veriye erişen birimlerdir.
- Uygulanabilirlik Bildirgesi'ni şablondan kopyalayıp gerçek risklerle ilişkilendirmemek.
- Alt taşıyıcıların ve dış müşavirlerin sistem erişimlerini denetlememek.
Voltim Global bu konuda nasıl destek verir?
Voltim Global ISO/IEC 27001 belgelidir. Gerçek zamanlı takip gibi konum ve sevkiyat verisi paylaşılan hizmetlerde, veri erişimi ve paylaşım kuralları müşteriyle ayrıca belirlenebilir.