ISO/IEC 27001:2022 Bilgi Teknolojileri Sektörü Hazır Doküman Seti

ÜRÜN HAKKINDA

ISO/IEC 27001:2022 Bilgi Teknolojileri Sektörü Hazır Doküman Seti; bilgi teknolojileri alanında faaliyet gösteren kuruluşların Bilgi Güvenliği Yönetim Sistemi kurma, uygulama ve belgelendirmeye hazırlanma süreçlerinde ihtiyaç duyabilecekleri dokümantasyon altyapısını oluşturmak amacıyla hazırlanmıştır.

ISO/IEC 27001 çalışmalarında önemli ölçüde zaman ve uzmanlık gerektiren konuların başında politika, prosedür, risk değerlendirmesi, varlık envanteri, uygulanabilirlik bildirgesi, planlar, formlar ve kayıtların hazırlanması gelir.

Bu paket sayesinde dokümanları sıfırdan hazırlamak yerine mevcut örnekleri kuruluşunuzun yapısına ve faaliyetlerine göre düzenleyebilirsiniz.

KİMLER İÇİN UYGUNDUR?

Doküman seti özellikle;

• Yazılım geliştirme firmaları
• Bilişim ve teknoloji şirketleri
• SaaS hizmet sağlayıcıları
• Bulut hizmeti sunan kuruluşlar
• Sistem entegratörleri
• Bilgi işlem ve teknik destek şirketleri
• Veri ve altyapı hizmet sağlayıcıları
• Teknoloji girişimleri
• Dış kaynak bilgi teknolojileri hizmeti sunan kuruluşlar
• ISO/IEC 27001 belgelendirmesine hazırlanan BT kuruluşları
• ISO/IEC 27001 danışmanları

için kullanılabilecek şekilde hazırlanmıştır.

PAKETTE NELER VAR?

1. BGYS Temel Dokümanları

ISO/IEC 27001 sisteminin kurulmasında kullanılabilecek temel dokümanlar pakete dahildir.

Örnek dokümanlar:

✓ Bilgi Güvenliği Yönetim Sistemi El Kitabı
✓ Uygulanabilirlik Bildirgesi (SoA)
✓ ISO/IEC 27001 Risk Değerlendirme Listesi
✓ Varlık Envanteri
✓ Tehditler ve Zayıflıklar Listesi
✓ Erişim Matrisi
✓ Konfigürasyon / CMDB Listeleri
✓ İç Tetkik Dokümanları
✓ Dış Kaynaklı Doküman Listesi

2. 30’DAN FAZLA BİLGİ GÜVENLİĞİ POLİTİKASI

Bilgi teknolojileri kuruluşlarında karşılaşılan başlıca bilgi güvenliği konularına yönelik politika örnekleri bulunmaktadır.

Bunlardan bazıları:

✓ BGYS Politikası
✓ Personel Güvenliği Politikası
✓ Üçüncü Taraf Güvenliği Politikası
✓ Kabul Edilebilir Kullanım Politikası
✓ Erişim Politikası
✓ Ağ Erişim Politikası
✓ Kullanıcı Hesabı Yönetimi Politikası
✓ Şifre ve Parola Güvenliği Politikası
✓ Kimlik Doğrulama ve Yetkilendirme Politikası
✓ E-Posta Güvenliği Politikası
✓ Bilgi Sistemleri Yedekleme Politikası
✓ Temiz Masa – Temiz Ekran Politikası
✓ Sunucu Güvenliği Politikası
✓ Değişim Yönetimi Politikası
✓ Geliştirme, Test ve İşletim Ortamlarının Ayrılması Politikası
✓ Antivirüs Politikası
✓ Güvenlik Farkındalığı Politikası
✓ Veri Maskeleme Politikası
✓ Bulut İşlemleri Politikası
✓ Veri Sızıntısı Önleme Politikası
✓ Kriptografik Kontroller Politikası

3. PROSEDÜRLER

BGYS’nin uygulanması ve sürdürülebilmesi için ihtiyaç duyulabilecek prosedür örnekleri pakete dahildir.

Örnekler:

✓ Doküman Kontrolü Prosedürü
✓ İç Tetkik Prosedürü
✓ Düzeltici ve İyileştirici Faaliyet Prosedürü
✓ Yönetimin Gözden Geçirmesi Prosedürü
✓ Eğitim Prosedürü
✓ Varlık Belirleme ve Risk Analizi Prosedürü
✓ İnsan Kaynakları Prosedürü
✓ İş Sürekliliği Prosedürü
✓ Uzaktan Çalışma ve Erişim Prosedürü
✓ Bilgi Güvenliği Olay / İhlal Yönetimi Prosedürü
✓ Değişiklik Yönetimi Prosedürü
✓ Satın Alma Prosedürü
✓ İletişim Prosedürü
✓ Tedarikçi Seçme ve Değerlendirme Prosedürü
✓ Performans Değerlendirme ve Ölçüm Prosedürü
✓ Teknik Açıklık Yönetimi Prosedürü
✓ Kullanıcı Uç Nokta Cihazları Bilgi Güvenliği Prosedürü
✓ Konfigürasyon Yönetimi Prosedürü
✓ Disiplin Prosedürü

4. RİSK VE VARLIK YÖNETİMİ

ISO/IEC 27001’in en önemli uygulama alanlarından biri olan bilgi güvenliği risk yönetimi için kullanılabilecek örnek dokümanlar bulunmaktadır.

Paket içerisinde;

Varlık  Tehdit  Zayıflık  Risk  Kontrol

ilişkisinin kurulmasına yardımcı olacak örnek çalışmalar yer almaktadır.

✓ Bilgi varlıklarının belirlenmesi
✓ Tehditlerin tanımlanması
✓ Zayıflıkların belirlenmesi
✓ Risklerin değerlendirilmesi
✓ Risklerin derecelendirilmesi
✓ Risk işleme yaklaşımının belirlenmesi
✓ Kontrollerin ilişkilendirilmesi

Bu yapı kuruluşunuzun kendi bilgi varlıkları ve risklerine göre düzenlenebilir.

5. UYGULANABİLİRLİK BİLDİRGESİ – SoA

ISO/IEC 27001:2022 çalışmalarının temel dokümanlarından olan Uygulanabilirlik Bildirgesi (Statement of Applicability – SoA) örneği pakete dahildir.

SoA üzerinde kuruluşunuza göre;

✓ Uygulanabilir kontroller
✓ Uygulanmayan kontroller
✓ Gerekçeler
✓ Kontrollerin uygulanma durumu
✓ İlgili dokümanlar

belirlenebilir.

6. PLANLAR

BGYS’nin planlanması, uygulanması ve izlenmesinde kullanılabilecek plan örnekleri de paket içerisinde bulunmaktadır.

✓ Eğitim Planı
✓ Bakım Planı
✓ İç Tetkik Planı
✓ Performans Kriterleri İzleme Planı
✓ BGYS Hedef Planı
✓ İş Sürekliliği ve Acil Durum Eylem Planı

7. FORMLAR, LİSTELER VE KAYITLAR

Yönetim sisteminin yalnızca prosedürlerden değil, uygulamayı gösterecek kayıtlardan oluşması gerektiği dikkate alınmıştır.

Bu nedenle paket içerisinde;

✓ İç tetkik kayıtları
✓ Eğitim kayıtları
✓ Oryantasyon kayıtları
✓ Uygunsuzluk kayıtları
✓ Düzeltici faaliyet kayıtları
✓ Tedarikçi değerlendirme kayıtları
✓ Olay ve ihlal kayıtları
✓ Değişiklik kayıtları
✓ Performans takip kayıtları
✓ Bilgi varlığı kayıtları
✓ Erişim ve yetkilendirme kayıtları

gibi çeşitli uygulama dokümanları bulunmaktadır.

NEDEN HAZIR DOKÜMAN SETİ?

Zaman Kazandırır

Dokümanları sıfırdan hazırlamak yerine mevcut dokümanları kuruluşunuza uyarlayarak BGYS kurulum süresini önemli ölçüde azaltabilirsiniz.

BT Sektörüne Yöneliktir

Genel amaçlı ISO dokümanlarından farklı olarak bilgi teknolojileri kuruluşlarında karşılaşılan erişim, yazılım, sunucu, ağ, bulut, yedekleme, teknik açıklık, uzaktan çalışma ve bilgi güvenliği olayları gibi konular dikkate alınmıştır.

Düzenlenebilir

Word ve Excel formatındaki dokümanlar üzerinde kuruluş adı, logo, görevler, sorumluluklar, süreçler ve uygulamalar değiştirilebilir.

Sistematik Bir Başlangıç Sağlar

Politika, prosedür, plan, liste ve formların birbiriyle ilişkili bir yapı içerisinde ele alınmasını kolaylaştırır.

NASIL KULLANILIR?

Doküman paketini satın aldıktan sonra kuruluşunuzun;

faaliyet alanı → BGYS kapsamı → süreçleri → bilgi varlıkları → teknolojik altyapısı → ilgili tarafları → yasal yükümlülükleri → riskleri

belirlenmeli ve dokümanlar bu bilgiler doğrultusunda uyarlanmalıdır.

Hazır dokümanların firma adı değiştirilerek doğrudan kullanılmasından ziyade, kuruluşun gerçek uygulamalarına göre gözden geçirilmesi önerilir.

SIK SORULAN SORULAR

Bu dokümanlar ISO/IEC 27001:2022 için uygun mudur?

Doküman seti ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi yapısı dikkate alınarak hazırlanmıştır. Ancak her kuruluşun kapsamı ve riskleri farklı olduğundan dokümanların kuruluş özelinde uyarlanması gerekir.

Dokümanları değiştirebilir miyim?

Evet. Dokümanlar ağırlıklı olarak düzenlenebilir Word ve Excel formatlarında hazırlanmıştır.

Firma ismimizi ve logomuzu ekleyebilir miyiz?

Evet. Dokümanları kendi kurumsal yapınıza göre düzenleyebilirsiniz.

Yazılım firmaları için uygun mudur?

Evet. Set özellikle bilgi teknolojileri sektöründe faaliyet gösteren kuruluşlar dikkate alınarak hazırlanmıştır.

ISO/IEC 27001 belgesi de pakete dahil mi?

Hayır. Bu ürün bir belgelendirme hizmeti veya ISO belgesi değildir. BGYS kurulumu ve belgelendirmeye hazırlık çalışmalarında kullanılabilecek örnek dokümantasyon paketidir.

Bu paketi satın almak belgelendirmeden geçmeyi garanti eder mi?

Hayır. Belgelendirme başarısı kuruluşun sistemi etkin şekilde kurmasına, uygulamasına, kayıtlarını oluşturmasına ve belgelendirme kuruluşunun gerçekleştireceği denetimin sonuçlarına bağlıdır.

Danışmanlar kullanabilir mi?

Evet. ISO/IEC 27001 danışmanlığı yapan profesyoneller için de kapsamlı bir başlangıç dokümantasyon altyapısı sağlayabilir.

ÖNEMLİ BİLGİLENDİRME

Bu doküman paketi ISO/IEC 27001 belgesi değildir ve belgelendirme garantisi vermez.

Dokümanlar örnek ve düzenlenebilir niteliktedir. Kuruluşun faaliyetleri, kapsamı, bilgi varlıkları, teknolojik altyapısı, yasal yükümlülükleri ve bilgi güvenliği riskleri dikkate alınarak uyarlanmalıdır.