ISO 27001 Bilgi Güvenliği Yönetim Sistemi Eğitimi

ISO 27001 Bilgi Güvenliği Yönetim Sistemi Eğitimi, bir kuruluşun bilgi varlıklarını gizlilik, bütünlük ve erişilebilirlik açısından korumak için kurduğu yönetim sistemini, yani BGYS'yi, standardın gerekliliklerine göre anlatan 120 saatlik bir programdır. Program, bilgi güvenliğini yalnızca güvenlik duvarı ve antivirüs meselesi olarak değil; kapsam belirleme, risk değerlendirmesi, politika, sorumluluk, farkındalık ve sürekli iyileştirme döngüsü olarak ele alır.

ISO 27001 bilgisine; yazılım ve bulut hizmeti sağlayıcılarında, bankacılık ve ödeme sektöründe, hastanelerde, çağrı merkezlerinde, kamu kurumlarının bilgi işlem birimlerinde ve müşterisinden bilgi güvenliği belgesi istenen her tedarikçide ihtiyaç duyulur. Eğitim, bir kuruluşta BGYS kurulum projesinde görev alacak ya da kurulu sistemin günlük işleyişini yürütecek kişinin bilmesi gerekenleri sırasıyla işler.

Eğitim İçeriği

1. Bilgi Güvenliğinin Temelleri

• Gizlilik, bütünlük ve erişilebilirlik üçlüsü
• Bilgi varlığı, tehdit, zafiyet ve etki kavramları
• Siber güvenlik, bilgi güvenliği ve kişisel veri koruma arasındaki ilişki
• ISO 27000 ailesi ve ISO 27001 ile ISO 27002'nin rolleri

2. Standardın Yapısı ve BGYS'nin Kurulması

• Madde 4–10: bağlam, liderlik, planlama, destek, operasyon, performans ve iyileştirme
• İlgili taraflar ve BGYS kapsamının belirlenmesi
• Bilgi güvenliği politikası ve ölçülebilir hedefler
• Roller, sorumluluklar ve yönetimin taahhüdü

3. Risk Değerlendirmesi ve Risk İşleme

• Varlık envanteri: donanım, yazılım, veri, insan ve tedarikçi
• Olasılık ve etkiye göre risk puanlama yöntemleri
• Risk işleme seçenekleri: azaltma, kaçınma, transfer ve kabul
• Uygulanabilirlik Bildirgesi (SoA) ve risk işleme planı
• Kalan risk ve risk sahibinin onayı

4. Ek A Kontrolleri

• 2022 sürümündeki dört tema: kurumsal, insan, fiziksel ve teknolojik kontroller
• Erişim yönetimi, yetkilendirme ve parola politikası
• Yedekleme, kayıt tutma (loglama) ve izleme
• Tedarikçi ve bulut hizmeti güvenliği
• Güvenli yazılım geliştirme ve değişiklik yönetimi
• Temiz masa, temiz ekran ve fiziksel giriş kontrolü

5. Operasyon: Olaylar, Süreklilik ve Farkındalık

• Bilgi güvenliği olayının bildirilmesi, sınıflandırılması ve müdahale
• İş sürekliliği sırasında bilgi güvenliğinin korunması
• Oltalama (phishing) ve sosyal mühendislik farkındalığı
• Dokümante bilgi: politika, prosedür ve kayıtların yönetimi

6. İzleme, İç Denetim ve İyileştirme

• Kontrol etkinliğinin ölçülmesi ve göstergeler
• İç denetimin BGYS döngüsündeki yeri
• Yönetimin gözden geçirmesi
• Uygunsuzluk ve düzeltici faaliyet

Bu Eğitimle Neler Yapabilirsiniz?

• Bir birim ya da hizmet için BGYS kapsamını ve sınırlarını tanımlayabilirsiniz.
• Bilgi varlığı envanteri çıkarıp her varlık için tehdit ve zafiyetleri listeleyebilirsiniz.
• Basit bir risk puanlama tablosu kurup risk işleme kararlarını gerekçelendirebilirsiniz.
• Ek A kontrollerinden hangilerinin kuruluşunuza uygulanacağını SoA'da gösterebilirsiniz.
• Çalışanlara yönelik bir bilgi güvenliği farkındalık içeriğinin başlıklarını belirleyebilirsiniz.

Kimler Katılabilir?

• Bilgi işlem, sistem yönetimi ve yazılım geliştirme ekiplerinde çalışanlar
• Kalite, uyum ve risk birimlerinde BGYS sorumluluğu üstlenecek kişiler
• ISO 27001 belgelendirmesine hazırlanan kuruluşlarda proje ekibi üyeleri
• Denetçi eğitimlerinden önce standardın temelini almak isteyenler
• Ön koşul yok; teknik geçmiş Ek A'nın teknolojik kontrollerini kavramayı kolaylaştırır

Çalışırken İpucu

Küçük bir kapsam seçin, örneğin çalıştığınız birimin müşteri veritabanı ya da e-posta sistemi. Eğitim ilerledikçe bu kapsam için varlık listesi, beş risk, her riske bir işleme kararı ve ilgili Ek A kontrolünü yazın. Soyut görünen risk ve kontrol kavramları, tanıdığınız bir sistem üzerinde çalıştığınızda somutlaşır.

Sık Sorulan Sorular

Bu program ile ISO 27001 iç denetçi ve baş denetçi eğitimleri arasındaki fark nedir?

Bu program BGYS'nin nasıl kurulduğunu ve işletildiğini anlatır. İç denetçi eğitimi kurulmuş sistemi kuruluş içinden denetlemeyi, baş denetçi eğitimi ise denetim ekibini yönetmeyi ve üçüncü taraf denetim yapısını öğretir. Standardı ilk kez öğrenecekseniz bu program başlangıç için uygundur.

ISO 22000 ile benzerliği var mı?

İki standart da aynı üst yapıdaki yönetim sistemi maddelerini kullanır, ancak konuları farklıdır. ISO 22000 gıda güvenliği tehlikelerini, ISO 27001 ise bilgi varlıklarına yönelik riskleri yönetir.

Eğitimi aldıktan sonra kurumum belge sahibi olur mu?

Hayır. Kurumun belgesi, sistemin kurulup bağımsız bir belgelendirme kuruluşunca denetlenmesiyle alınır. Bu eğitim, o sürece katkı verecek bilgiyi kazandırır.

ISO 27001, kişisel verilerin korunmasıyla ilgili yükümlülükleri karşılar mı?

Doğrudan karşılamaz. BGYS, kişisel verileri de içeren bilgi varlıklarının teknik ve idari güvenliğine önemli katkı sağlar; ancak kişisel veri mevzuatının kendine özgü yükümlülükleri ayrıca ele alınmalıdır.