ISO 27001 belgesi ne işe yarar, KOBİ'ye gerçekten gerekli mi?

ISO 27001, bilgi güvenliğini bir yönetim sistemi olarak kuran ve belgelendirilebilen tek uluslararası standarttır. Belgenin tam olarak neyi kanıtladığı sık sık yanlış anlaşılıyor: sertifika şirketinizin saldırılamaz olduğunu göstermez, tanımlı bir kapsam içinde risklerinizi değerlendirdiğinizi, seçtiğiniz kontrolleri uyguladığınızı ve bunu bağımsız bir denetçiye ispatladığınızı gösterir. Yürürlükteki sürüm ISO/IEC 27001:2022 ve Şubat 2024'te yayınlanan Amd 1:2024 ekiyle birlikte okunuyor. Bir müşteriniz sözleşmede ya da ihale şartnamesinde belge istiyorsa karar kolay. Belgenin sizi gerçekten daha güvenli yapmasını istiyorsanız, cevap kapsamı nasıl çizdiğinize bağlı.

Standardın ne kadar yaygınlaştığını rakamlar gösteriyor, ama dikkatli okumak gerekiyor. ISO Survey 2024'e göre dünyada 96.709 geçerli ISO/IEC 27001 belgesi ve bu belgelerin kapsadığı 179.877 saha var. Bir önceki yıl 48.671 olan sayının neredeyse ikiye katlanmasının tek sebebi yeni belgeler değil: 2024 anketi ilk kez, belgelendirme kuruluşlarının gönüllü bildirimi yerine IAF CertSearch veritabanından derlendi, yani artışın önemli bir kısmı veri kalitesinden geliyor. Ülke sıralamasında Çin 33.359 belgeyle açık ara önde; arkasından Hindistan (6.758), Japonya (6.644), Birleşik Krallık (4.455) ve ABD (4.260) geliyor.

Sertifikanın en çok atlanan satırı: kapsam

ISO 27001 bir ürünü, bir sunucuyu ya da bir şirketi bütün olarak belgelendirmez. Belirli süreçler, varlıklar ve organizasyon birimleri için işletilen bilgi güvenliği yönetim sistemini (BGYS) belgelendirir. Bu yüzden herhangi bir sertifikadaki en işe yarar satır kapsam beyanıdır. Tedarikçinizin belgesinde kapsam olarak "İstanbul veri merkezi işletme hizmetleri" yazıyorsa, o belge şirketin yazılım geliştirme ekibi, destek masası ya da satış müdürünün taşıdığı dizüstü bilgisayar hakkında hiçbir şey söylemiş olmaz. Tedarikçi değerlendirmesi yapıyorsanız logodan önce kapsam metnini okuyun.

Standardın iki yarısı: Madde 4-10 ve Annex A

Madde 4'ten 10'a kadar olan bölüm zorunludur ve pazarlığa açık değildir: kuruluşun bağlamı, üst yönetimin taahhüdü, risk değerlendirme ve işleme süreci, hedefler, yetkinlik, iç denetim ve yönetimin gözden geçirmesi. Bunların büyük bölümü için yazılı kayıt şart: kapsam, politika, risk değerlendirme ve işleme sonuçları, hedefler, izleme sonuçları, iç denetim programı ve bulguları, yönetim gözden geçirme kayıtları. Amd 1:2024 bu bölüme küçük ama somut bir ekleme yaptı. Madde 4.1 artık iklim değişikliğinin kuruluşunuz için ilgili bir konu olup olmadığını değerlendirmenizi istiyor; yani ilgili olduğunu varsaymanızı değil, soruyu sorup verdiğiniz kararı yazmanızı.

İkinci yarı Annex A: 2022 revizyonunun dört temaya ayırdığı 93 kontrol. 37 organizasyonel (5.1-5.37), 8 kişi (6.1-6.8), 14 fiziksel (7.1-7.14) ve 34 teknolojik kontrol (8.1-8.34). Yaygın yanlış okuma, 93 kontrolün tamamının uygulanmasının beklendiği. Beklenmiyor. Hangilerinin geçerli olduğuna risk değerlendirmeniz karar verir, kararlarınızı Uygulanabilirlik Bildirgesi'ne (SoA) yazarsınız ve denetçi iki şeye bakar: uyguladığınızı söylediğiniz kontroller gerçekten çalışıyor mu, hariç tuttuklarınızın gerekçesi tutuyor mu. Kontrollerin çoğu zaten tanıdığınız işler: yedekleme (A.8.13), teknik zafiyet yönetimi (A.8.8), olay müdahalesi (A.5.24-A.5.28), bulut hizmetlerinin güvenli kullanımı (A.5.23).

Belgelendirme pratikte nasıl yürüyor

Belgelendirme iki aşamalı bir denetimdir. Aşama 1 dokümantasyon ve hazırlık incelemesidir, kuruluşun boyutuna göre genelde bir iki gün sürer ve asıl sınava girmeden önce büyük boşlukları ortaya çıkarmak için vardır. Aşama 2 genellikle altı sekiz hafta sonra yapılır, sahada kanıt arar ve süresi sabit bir fiyat listesinden değil çalışan sayısı, kapsam ve risk profilinden hesaplanır. Geçerseniz belge üç yıl geçerli olur: birinci ve ikinci yılda gözetim denetimi, üçüncü yılın sonunda Aşama 2 derinliğinde bir yeniden belgelendirme denetimi. ISO 27001 bitiş tarihi olan bir proje değil, üç yıllık bir takvimdir.

Eski sürümle ilgili bir tarih ise çoktan kapandı. IAF, ISO 27001:2013'ten 2022 sürümüne geçiş için son tarihi 31 Ekim 2025 olarak belirledi ve geçiş döneminde 2013 sürümüne göre verilen belgeler alışıldık üç yıllık süre yerine o tarihte sona erdi. Bugün elinde 2013 tarihli belge olan bir kuruluşun geçerli bir sertifikası yok; süreci baştan başlattığında yeni müşteri gibi, tam bir ilk denetimle ele alınır. Tedarikçi dosyalarınızda 2013 ibaresi taşıyan bir sertifika görürseniz o belge ölü.

Akredite mi, yoksa sadece basılmış mı?

Piyasadaki her belge akredite değil. Akreditasyon zorunlu da değil, dolayısıyla akredite olmayan bir belgelendirme kuruluşu otomatik olarak kötü niyetli sayılmaz. Ama akredite belgenin somut bir üstünlüğü var: IAF CertSearch üzerinden doğrulanabilir, akredite olmayan belge o veritabanında hiç görünmez. Kontrol ederken iki ayrı şeye bakın. Belgelendirme kuruluşunun akreditasyonu şu an aktif mi, ve akreditasyon kapsamı gerçekten ISO 27001'i içeriyor mu? ISO 9001 için akredite olmak 27001 için akredite olmak anlamına gelmez. Türkiye'deki ulusal akreditasyon kurumu TÜRKAK'tır; kamuya bilişim hizmeti veren firmalardan istenen şartname maddesi de bu yüzden genellikle doğrudan TÜRKAK akreditasyonlu TS EN ISO/IEC 27001 belgesine işaret eder.

Türkiye'de belge nerede zorunlu hale geliyor

Türkiye'de ISO 27001 genel bir yasal zorunluluk değil. Sözleşmeyle ve sektörel olarak zorunlu hale geliyor, çoğu şirket de bununla ilk kez kamu bilişim ihalelerinde tanışıyor. Bundan ayrı olarak, 6 Temmuz 2019 tarihli Resmî Gazete'de yayınlanan 2019/12 sayılı Cumhurbaşkanlığı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi ve ardından Dijital Dönüşüm Ofisi'nin çıkardığı Bilgi ve İletişim Güvenliği Rehberi, kamu kurumları ile kritik altyapı hizmeti veren işletmelere ayrı bir yükümlülük getirdi: rehberin uygulanması yılda en az bir kez denetlenmeli ve sonuçlar Dijital Dönüşüm Ofisi'ne raporlanmalı. Rehber tek başına ISO 27001 sertifikası şartı koymuyor, ancak uygulanması kurumda işleyen bir BGYS'yi varsayıyor. İki işi tek süreç setinden yürütmek çoğu kurumda ayrı iki program yönetmekten ucuza geliyor.

ISO 27001 belgesi KVKK uyumu demek değil

Bu ikisi sürekli birbirine karışıyor. ISO 27001, KVKK'nın 12. maddesinin istediği teknik ve idari tedbirlerin önemli bir bölümünü karşılamanıza yardım eder; erişim kontrolü, log yönetimi, yedekleme, personel farkındalığı ve tedarikçi güvenliği zaten Annex A'nın içinde. Ama uyum güvenlik tedbirlerinden fazlasıdır: işleme şartı, aydınlatma metni, saklama ve imha politikası, ilgili kişi başvurularının yönetimi, VERBİS kaydı. Hiçbir BGYS sertifikası bunları sizin yerinize üretmez. Gizlilik tarafını da belgelendirmek isterseniz bakılacak standart ISO/IEC 27701. 14 Ekim 2025'te yayınlanan 2025 sürümü artık ISO 27001'in eki değil, Madde 4-10 yapısına oturmuş bağımsız bir standart, yani ISO 27001 belgeniz olmadan da alınabiliyor.

Peşine düşmeli misiniz?

Kararı iki soru veriyor. Birincisi: bu belgeyi kim istiyor? Cevap bir müşteri sözleşmesi, ihale şartnamesi ya da tedarikçi denetimi yapan yurt dışındaki bir iş ortağıysa hesap basittir, belge bir satış maliyeti kalemidir. İkincisi: belgenin kendisi dışında ne kazanmak istiyorsunuz? Burada iki tip ISO 27001 projesi var. Birinde şirket gerçekten envanterini çıkarır, kendi risklerini tartışır, erişim yetkilerini sıkılaştırır ve denetim bu işin doğal çıktısı olur. Diğerinde bir politika klasörü yazılır, denetim günü herkes rolünü oynar, belge duvara asılır ve altı ay sonra kimse tek bir politikanın adını hatırlamaz. İki tip de sertifika alır. Sadece biri saldırıyı durdurur.

İşe yarar ilk adımın maliyeti yok. Tek bir belgelendirme kuruluşunu aramadan önce iki sayfa yazın: kapsam adayınız (hangi birim, hangi hizmet, hangi lokasyonlar) ve bugün standardın karşısında nerede durduğunuzu dürüstçe anlatan bir boşluk analizi. Bu iki sayfa olmadan aldığınız her teklif ve size verilen her takvim tahmindir. Wedevit olarak kapsamı ticari olarak neyi kapsaması gerektiğine göre birlikte çiziyoruz, Annex A karşısında boşluk analizini çıkarıyoruz, SoA ile zorunlu dokümanları kuruyoruz ve dış denetimden önceki iç denetimi biz yapıyoruz. Belgeyi biz vermiyoruz, akredite kuruluş veriyor. Bizim işimiz o denetimi ilk seferde geçmeniz ve sonrasında belgenin arkasında gerçekten çalışan bir sistem olması.