ISO 27001 Danışmanlığı — Sertifikasyona Giden Yolun Tamamında
ISO 27001 artık yalnızca büyük kurumların lüksü değil; kurumsal müşteriye satış yapan, ihaleye giren ya da sigorta poliçesi arayan her şirketin önündeki kapı kilidine dönüştü. Sertifika almak bunaltıcı bir kağıt yığınıyla değil, doğru adımların doğru sırayla atılmasıyla mümkündür. Boşluk analizinden Bilgi Güvenliği Yönetim Sistemi (BGYS) tasarımına, politika paketinden iç denetime ve belgelendirme kuruluşuyla koordinasyona kadar tüm süreci üstleniyor; sizi yalnızca sertifika sahibi değil, gerçekten daha güvenli bir şirket yapıyoruz.
Bu hizmet hangi sorunu çözer?
ISO 27001'e yönelik en yaygın yanlış anlama, bunun bir kağıt uygunluğu egzersizi olduğu düşüncesidir. Standart yalnızca belge istemez; bilginin nasıl korunacağını, kimin ne yetkiyle neye erişeceğini, risklerin nasıl değerlendirileceğini ve bir olay yaşandığında nasıl davranılacağını sistematik biçimde tanımlamayı zorunlu kılar. Hazırlıksız bir şirkette bu süreç yıllarca sürebilir, belgelendirme denetiminde baskı altında koşuşturmaya dönüşebilir ve sonunda yüzeysel bir uygunluğa ulaşılabilir; ama gerçek güvenlik değeri üretilmemiş olur. Danışmanlık hizmetimiz bu tuzağı önler: mevcut durumu dürüstçe ölçer, kurumunuza özgü risk iştahı ve faaliyet alanını merkeze koyar, sizi standarda değil standardı size uyarlar.
- Kurumsal müşteri veya ihale şartını karşılayamamak → satış kaybı
- Siber sigorta poliçesi alamamak ya da yüksek prim ödemek
- Regülatör denetimleri (BDDK, BTK) için belgesiz kalmak
- Bir ihlal sonrası hukuki savunmada "gerekli tedbirleri aldım" diyememek
- Çalışanlara güvenlik kültürü aşılayamamak, insider risk ve insan hatası
Bu sorunu görmezden gelmenin riski
Neyi değerlendirir ve düzeltiriz?
Faz 1 — Boşluk Analizi (Gap Analysis)
- Mevcut güvenlik kontrollerinin ISO 27001:2022 Annex A'ya göre değerlendirilmesi
- Eksik kontrol alanlarının ve önceliklerin belirlenmesi
- Tahmini süre ve kaynak planlaması içeren yol haritası raporu
Faz 2 — BGYS Tasarımı ve Kurulumu
- Kapsam ve sınırların belirlenmesi (BGYS Kapsamı belgesi)
- Bilgi varlığı envanteri ve sınıflandırması
- Risk değerlendirme metodolojisi ve risk kaydı
- Risk kabul kriterleri ve risk işleme planı
- Güvenlik hedeflerinin tanımlanması
Faz 3 — Politika ve Prosedür Paketi
- Bilgi güvenliği üst politikası
- Erişim kontrolü, kabul edilebilir kullanım, şifreleme politikaları
- Olay yönetimi prosedürü ve bildirim akışı
- İş sürekliliği ve felaket kurtarma planı
- Tedarikçi güvenliği ve üçüncü taraf yönetimi politikası
- Çalışan güvenlik farkındalık programı
Faz 4 — İç Denetim ve Yönetim Gözden Geçirmesi
- İç denetim planı ve yürütmesi
- Uygunsuzluk tespiti ve düzeltici faaliyet takibi
- Yönetim gözden geçirme toplantısı gündemi ve çıktıları
- Belgelendirme denetimi öncesi olgunluk değerlendirmesi
Faz 5 — Sertifikasyon Desteği
- Belgelendirme kuruluşu seçimi ve başvuru koordinasyonu
- Aşama 1 (belge incelemesi) ve Aşama 2 (saha denetimi) hazırlığı
- Denetim bulguları ve düzeltici faaliyetlerin yönetimi
- Sertifika sonrası gözetim denetimi hazırlık desteği
Ele aldığımız teknik alanlar
Tipik olarak neler tespit ederiz?
Aşağıdakiler illüstratif örneklerdir; gerçek müşteri verisi değildir.
Erişim hakları periyodik gözden geçirilmiyor
Ayrılan çalışanların veya görev değişikliğindeki personelin sisteme yetkisiz erişimi devam ediyor; insider risk ve uyumsuzluk riski.
ÖneriÜç ayda bir erişim gözden geçirme prosedürü; işe giriş/çıkış ve görev değişikliği süreçlerine entegre onay akışı oluşturun.
Kritik sistem yedekleri test edilmiyor
Alınan yedeklerin geri yüklenebildiği hiç doğrulanmamış; gerçek bir ihlalde kurtarma mümkün olmayabilir.
ÖneriAltı ayda bir gerçek geri yükleme testi; yedek bütünlük doğrulamasını yedekleme prosedürüne dahil edin.
Tedarikçi güvenlik değerlendirmesi yapılmıyor
Kritik SaaS araçları ve bulut sağlayıcılarının güvenlik duruşu bilinmiyor; tedarik zinciri riski yüksek.
ÖneriKritik tedarikçiler için yıllık güvenlik anketi veya SOC 2/ISO 27001 sertifikası talebi; tedarikçi risk kaydı tutun.
Ne teslim alırsınız, kimler için?
Ne teslim alırsınız?
- ISO 27001:2022 boşluk analizi raporu (önceliklendirilmiş aksiyon listesiyle)
- BGYS kapsam belgesi ve risk değerlendirme metodolojisi
- Bilgi varlığı envanteri ve risk kaydı
- Tam politika ve prosedür paketi (20+ belge)
- İç denetim raporu ve düzeltici faaliyet izleme tablosu
- Sertifikasyon öncesi olgunluk değerlendirme raporu
- Belgelendirme kuruluşu koordinasyonu ve denetim desteği
Kimler için?
- Kurumsal veya kamu müşterisine satış yapan B2B yazılım ve hizmet şirketleri
- İhaleye girecek ya da giriyor olan her ölçekten şirket
- Siber sigorta almak ya da mevcut poliçesini iyileştirmek isteyen işletmeler
- BDDK, BTK veya SPK denetim kapsamındaki fintech ve teknoloji şirketleri
Bu hizmeti ne zaman düşünmelisiniz?
- Büyük bir müşteri veya ihale süreci "ISO 27001 sertifikanız var mı?" diye sorduğunda
- Siber sigorta şirketi güvenlik olgunluk belgesi istediğinde
- Mevcut BGYS'in yeniden yapılandırılması veya yeni standarda güncellenmesi gerektiğinde
- Regülatör denetimi öncesinde hazırlık yapılmak istendiğinde
ISO 27001 Danışmanlığı mı, Sadece Politika Paketi mi?
| ISO 27001 Danışmanlığı (Tam Süreç) | Hazır Politika Paketi Satın Alma | |
|---|---|---|
| Kapsam | Gap analiz → BGYS → politika → iç denetim → sertifikasyon | Yalnızca belge şablonları |
| Kuruma özgülük | Risk profilinize ve faaliyet alanınıza uyarlanmış | Genel amaçlı şablon |
| Denetim geçerlilik | Belgelendirme denetiminde savunulabilir | Denetçi şablonu kabul etmeyebilir |
| Sertifikasyon | Belgelendirme kuruluşu koordinasyonu dahil | Süreç tamamen size kalmış |
Sıkça Sorulan Sorular
ISO 27001 sertifikasyonu ne kadar sürer?
Her şirkete ISO 27001 gerekli mi?
Mevcut ISO 27001 belgemizi yenilemek istiyoruz, yardımcı olur musunuz?
Hangi belgelendirme kuruluşlarıyla çalışıyorsunuz?
ISO 27001 danışmanlığı ne kadar tutar?
Sertifikasyon sonrası ne olur?
İlgili hizmetler, araçlar ve rehberler
ISO 27001 Danışmanlığı için başlayalım
Kapsamı netleştirelim, önceliklerinizi belirleyelim ve size özel, şeffaf bir güvenlik yol haritası çıkaralım — abartılı vaat değil, ölçülebilir risk azaltma.