ISO 27001’in Genel Yapısı

ISO 27001 Bir Standart Değil, Stratejidir.

ISO 27001 sadece bir standart değil, bir düşünme ve yönetme biçimidir. Kuruluşların bilgi güvenliğini sistematik, sürdürülebilir ve ölçülebilir şekilde yönetmesini amaçlayan bu yapı üç temel bileşene dayanır: Ana Maddeler, Ek A Kontrolleri ve Sürekli İyileştirme Döngüsü.

1. Madde 1–10: Yönetim Sistemi Çerçevesi

Bu bölüm, bilgi güvenliği yönetim sisteminin (BGYS) nasıl kurulacağını, işleyeceğini ve geliştirileceğini tanımlar.

- 4. Madde – Kuruluşun bağlamı

- 5. Madde – Liderlik

- 6. Madde – Planlama

- 7. Madde – Destek

- 8. Madde – İşletim

- 9. Madde – Performans değerlendirmesi

- 10. Madde – İyileştirme

Bu yapı, sadece teknik uygulamalar değil, aynı zamanda yönetişim, strateji, süreç ve organizasyonel kültür oluşturmayı da kapsar.

2. Ek A: 93 Bilgi Güvenliği Kontrolü (4 Temada)

Ek A, bilgi güvenliği risklerini yönetmek için kullanılabilecek kontrol listesidir. 2022 revizyonu ile kontroller aşağıdaki dört temada toplanmıştır:

- A.5 – Organizasyonel Kontroller

- A.6 – İnsan Kaynaklarıyla İlgili Kontroller

- A.7 – Fiziksel Güvenlik Kontrolleri

- A.8 – Teknolojik Kontroller

Her kuruluş kendi bağlamına ve risk analizine göre bu kontrolleri seçmeli ve gerekçelendirmelidir.

3. PDCA Döngüsü (Planla – Uygula – Kontrol Et – Önlem Al) - (Plan-Do-Check-Act)

ISO 27001’in ruhu PDCA döngüsüdür. Sürekli iyileştirme felsefesiyle sistemin her aşaması dinamik ve yaşayan bir yapı olarak ele alınır.

- PLANLA: Riskleri belirle, hedefleri koy, kontrolleri planla.

- UYGULA: Planladıklarını hayata geçir.

- KONTROL ET: Performansı ölç, denetle, gözden geçir.

- ÖNLEM AL: Hataları düzelt, sistemi geliştir.

Sonuç

ISO 27001’in yapısını kavramak, sadece belgelendirme sürecini değil, bilgi güvenliği bilincini kurumsal bir refleks haline getirmeyi sağlar. Bu yapı, her seviyedeki çalışanın bilgi güvenliği sürecine aktif olarak katılmasını destekler ve sürdürülebilir başarıyı mümkün kılar.