ISO 27001:2005 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ
Bilgi, kuruluşunuzun faaliyetleri ve belki devamı için büyük bir önem taşır. ISO/IEC 27001 Belgesi değerli bilgi varlıklarınızı yönetmenize ve korumanıza yardımcı olur.
ISO/IEC 27001, Bilgi Güvenliği Yönetimi Sistemi (ISMS) gereksinimlerini tanımlayan tek uluslararası denetlenebilir standarttır. Yeterli ve orantılı güvenlik denetimleri seçilmesini sağlamak için tasarlanmıştır.
ISO 27001 Kurumların risk yönetimi ve risk işleme planlarını, görev ve sorumlulukları, iş devamlılığı planlarını, acil durum olay yönetimi prosedürleri hazırlamasını ve uygulamada bunların kayıtlarını tutmasını gerektirir. Kurum tüm bu faaliyetlerin de içinde yer aldığı bir bilgi güvenliği politikası yayınlamalı ve personelini bilgi güvenliği ve tehditler hakkında bilinçlendirmelidir. Seçilen kontrol hedeflerinin ölçülmesi ve kontrollerin amacına uygunluğunun ve performansının sürekli takip edildiği yaşayan bir süreç olarak bilgi güvenliği yönetimi ancak yönetimin aktif desteği ve personelin katılımcılığıyla başarılabilir.
Bu, bilgi varlıklarınızı korumanıza ve ilgili taraflara, özellikle de müşterilerinize güven vermenize yardımcı olur. Bu standart, Bilgi Güvenliği Yönetimi Sisteminizi oluşturmak, uygulamak, işletmek, izlemek, incelemek, sürdürmek ve geliştirmek için süreç yaklaşımını benimser.
ISO 27001 Kimi ilgilendirir?
ISO/IEC 27001, dünyanın hangi Ülkesinden veya hangi sektörden olursa olsun büyük küçük tüm kuruluşlara uygundur. Bu standart, finans, sağlık, kamu ve BT sektörleri gibi bilginin korunmasının büyük öneme sahip olduğu alanlarda özellikle gereklidir.
ISO/IEC 27001, BT taşeron şirketleri gibi bilgiyi başkaları adına yöneten kuruluşlar için de oldukça önemlidir, müşterilere bilgilerinin koruma altında olduğu güvencesini vermek için kullanılabilir.
ISO/IEC 27001 İle ilgili Terim ve Kavramlar
Bilgi Güvenliği Yönetim Sistemi (BGYS): Bilgi güvenliğini kurmak, gerçekleştirmek, işletmek, izlemek, gözden geçirmek, sürdürmek ve geliştirmek için, iş riski yaklaşımına dayalı tüm yönetim sisteminin bir parçası.
Risk analizi: Kaynakları belirlemek ve riski tahmin etmek amacıyla bilginin sistematik kullanımı.
Risk değerlendirme: Risk analizi ve risk derecelendirmesini kapsayan tüm süreç.
Risk derecelendirme: Riskin önemini tayin etmek amacıyla tahmin edilen riskin verilen risk kriterleri ile karşılaştırılması prosesi.
Risk yönetimi: Bir kuruluşu risk ile ilgili olarak kontrol etmek ve yönlendirmek amacıyla kullanılan koordineli faaliyetler.
Risk işleme: Riski değiştirmek için alınması gerekli önlemlerin seçilmesi ve uygulanması prosesi.
Uygulanabilirlik bildirgesi: Kuruluşun BGYS'si ile ilgili ve uygulanabilir kontrol amaçlarını ve kontrolleri açıklayan dokümante edilmiş bildir.
ISO 27001 Bilgi Güvenliği Yönetim Sistemi Kurmanın Yararları
• Bilgi varlıklarının farkına varma: Kuruluş hangi bilgi varlıklarının olduğunu, değerinin farkına varır.
• Sahip olduğu varlıkları koruyabilme: Kuracağı kontroller ile koruma metodlarını belirler ve uygulayarak korur.
• İş sürekliliği: Uzun yıllar boyunca işini garanti eder. Ayrıca bir felaket halinde, işe devam etme yeterliliğine sahip olur.
• İlgili taraflar ile barış halinde olma: Başta tedarikçileri olmak üzere, bilgileri korunacağından ilgili tarafların güvenini kazanır.
• Bilgiyi bir sistem sayesinde korur, tesadüfe bırakmaz.
• Müşterileri değerlendirirse, rakiplerine göre daha iyi değerlendirilir.
• Çalışanların motivasyonunu arttırır.
• Yasal takipleri önler.
• Yüksek saygınlık sağlar.
ISO 27001 Bilgi Güvenliği Sistemi Kurma Aşamaları:
• Varlıkların sınıflandırılması,
• Gizlilik, bütünlük ve erişebilirlik kriterlerine göre varlıkların değerlendirilmesi,
• Risk analizi,
• Risk analizi çıktılarına göre uygulanacak kontrolleri belirleme,
• Dokümantasyon oluşturma,
• Kontrolleri uygulama,
• İç tetkik,
• Kayıtları tutma,
• Yönetimin gözden geçirmesi,
• Belgelendirme.
|
15 Ekim 2010 CUMA |
Resmî Gazete |
Sayı : 27730 |
||||||||||||||||||||||||||
|
TEBLİĞ |
||||||||||||||||||||||||||||
|
Bilgi Teknolojileri ve İletişim Kurumundan: ELEKTRONİK HABERLEŞME GÜVENLİĞİ KAPSAMINDA TS ISO/IEC 27001 STANDARDI UYGULAMASINA İLİŞKİN TEBLİĞ Amaç MADDE 1 – (1) Bu Tebliğin amacı; 20/7/2008 tarihli ve 26942 sayılı Resmî Gazete’de yayımlanan Elektronik Haberleşme Güvenliği Yönetmeliği’nin “Elektronik Haberleşme Güvenliğini Sağlama Yükümlülüğü” başlıklı 11 inci maddesinin birinci fıkrasının uygulanmasına ilişkin usul ve esasları düzenlemektir. Kapsam MADDE 2 – (1) Bu Tebliğ, Elektronik Haberleşme Güvenliği Yönetmeliği’nin “Elektronik Haberleşme Güvenliğini Sağlama Yükümlülüğü” başlıklı 11 inci maddesinin birinci fıkrası çerçevesinde TS ISO/IEC 27001 veya ISO/IEC 27001 standardına uygunluk sağlama veya uygunluk belgesi alma yükümlülüğü ile ilgili usul ve esasları kapsar. Dayanak MADDE 3 – (1) Bu Tebliğ; Elektronik Haberleşme Güvenliği Yönetmeliği’nin 11 inci maddesine dayanılarak hazırlanmıştır. Tanımlar ve kısaltmalar MADDE 4 – (1) Bu Tebliğde geçen; a) Elektronik haberleşme: Elektriksel işaretlere dönüştürülebilen her türlü işaret, sembol, ses, görüntü ve verinin kablo, telsiz, optik, elektrik, manyetik, elektromanyetik, elektrokimyasal, elektromekanik ve diğer iletim sistemleri vasıtasıyla iletilmesini, gönderilmesini ve alınmasını, b) GMPCS: Uydu üzerinden küresel mobil kişisel haberleşmeyi, c) GSM: Avrupa Telekomünikasyon Standartları Enstitüsü’nün mobil, hücresel sayısal haberleşme standartlarına göre verici ve alıcı üniteleri haiz baz istasyonları, baz istasyon kontrol istasyonları, anahtarlama teçhizatı, bunlar arasındaki irtibatı temin eden telli ve telsiz her türlü haberleşme sistemlerini, ç) İşletmeci: Kurum tarafından yapılan bir yetkilendirme çerçevesinde elektronik haberleşme hizmeti sunan ve/veya elektronik haberleşme şebekesi sağlayan ve alt yapısını işleten sermaye şirketini, d) Kişisel ses ve/veya veri hizmeti: İçerik olarak genel veya grup erişimine açık olmayan ses ve/veya veri iletimini, e) Kurul: Bilgi Teknolojileri ve İletişim Kurulunu, f) Kurum: Bilgi Teknolojileri ve İletişim Kurumunu, g) Net Satış: Brüt satışlardan satış indirimlerinin düşülmesi halinde kalan tutarı, ğ) Standart: TS ISO/IEC 27001 veya ISO/IEC 27001 standardını, h) Uygunluk belgesi: TS ISO/IEC 27001 veya ISO/IEC 27001 belgesi verebilmek üzere akredite edilmiş kuruluşlardan alınan TS ISO/IEC 27001 veya ISO/IEC 27001 standardına uygunluk sertifikasını, ı) Yıllık net satış: Ocak ayının ilk günü ile başlayıp Aralık ayının son günü de dahil olmak üzere bir yıl içersinde elde edilen net satış tutarı, i) Yönetmelik: Elektronik Haberleşme Güvenliği Yönetmeliğini, ifade eder. (2) Bu Tebliğde geçen ve yukarıda yer almayan tanımlar için ilgili mevzuatta yer alan tanımlar geçerlidir. İşletmecilerin yükümlülükleri MADDE 5 – (1) Uygunluk belgesi alma yükümlülüğü, işletmecinin kişişel ses ve/veya veri hizmeti taşıması ile bir önceki yılın net satışına göre belirlenir. a) Bu Tebliğin Ek-1’inde verilen kişisel ses ve/veya veri taşıma hizmeti sunan işletmecilerden yıllık net satışı beşyüzbin (500.000) Türk Lirası ve üzeri olanlar, uygunluk belgesi almakla yükümlüdür. b) Bu Tebliğin Ek-1’inde verilen kişisel ses ve/veya veri taşıma hizmeti sunan işletmecilerden yıllık net satışı beşyüzbin (500.000) Türk Lirası’nın altında olanlar, uygunluk belgesi alma zorunluluğu olmaksızın standarda uygunluk sağlamakla yükümlüdür. c) Bu Tebliğin Ek-2’sinde verilen kişisel ses ve/veya veri taşıma hizmeti sunmayan işletmeciler, uygunluk belgesi alma zorunluluğu olmaksızın standarda uygunluk sağlamakla yükümlüdür. (2) Birinci fıkranın (a) bendinde belirtilen işletmecilerden; a) 20/7/2008 tarihinden sonra yetkilendirilenler, yetkilendirme tarihinden itibaren iki yıl sonraki tarihe kadar, b) 20/7/2008 tarihinden önce yetkilendirilenler tebliğ yürürlük tarihine kadar, uygunluk belgesi almak ve bu uygunluk belgesini Kuruma göndermekle yükümlüdür. (3) Birinci fıkranın (b) bendinde belirtilen işletmecilerden zaman içinde yıllık net satışı beşyüzbin (500.000) Türk Lirası’nı aşanlar, söz konusu yıllık net satış değerini aştıkları yılın sonu itibarıyla iki yıl içerisinde uygunluk belgesi almak ve bu uygunluk belgesini Kuruma göndermekle yükümlüdür. (4) Birinci fıkranın (a) bendinde belirtilen işletmecilerden zaman içinde yıllık net satışı beşyüzbin (500.000) Türk Lirası’nın altına düşen işletmecilerin, uygunluk belgesi alma yükümlülüğü devam eder. (5) Birinci fıkranın (b) ve (c) bentlerinde belirtilen işletmecilerden; a) 20/7/2008 tarihinden sonra yetkilendirilenler, yetkilendirme tarihinden itibaren iki yıl sonraki tarihe kadar, b) 20/7/2008 tarihinden önce yetkilendirilenler tebliğ yürürlük tarihine kadar, uygunluk belgesi alma zorunluluğu olmaksızın standarda uygunluk sağlamakla yükümlüdür. (6) Uygunluk belgesi, TS ISO/IEC 27001 veya ISO/IEC 27001 standardına göre sistem belgelendirmesi yapmak üzere akredite edilmiş kuruluşlardan alınır. Yetki MADDE 6 – (1) Kurum, 5 inci maddenin birinci fıkrasında belirtilen net satış değerini ve bu Tebliğ ekinde yer alan listeleri güncellemekle yetkilidir. Denetim MADDE 7 – (1) Kurum, işletmecilerin elektronik haberleşme güvenliği konusunda yükümlülüklerini yerine getirip getirmediğini re’sen veya şikayet üzerine denetleyebilir veya denetletebilir, konu ile ilgili olarak gerekli gördüğü her türlü bilgi ve belgeyi talep edebilir. Standarda uyumluluk ve belge alma tarihi GEÇİCİ MADDE 1 – (1) Bu Tebliğin 5 inci maddesinin ikinci ve beşinci fıkrasının (a) bentlerinde belirtilen işletmecilerin, yetkilendirmelerini müteakip iki yıllık sürenin, tebliğ yürürlük tarihinden öncesine tekabül etmesi halinde; bu işletmeciler uygunluk belgesi alma veya uyumluluk sağlama yükümlülüklerini tebliğ yürürlük tarihine kadar yerine getirir. Yürürlük MADDE 8 – (1) Bu Tebliğ yayımı tarihinde yürürlüğe girer. Yürütme MADDE 9 – (1) Bu Tebliğ hükümlerini, Bilgi Teknolojileri ve İletişim Kurulu Başkanı yürütür.
Ek-1
TS ISO/IEC 27001 VEYA ISO/IEC 27001 STANDARDI UYGUNLUK BELGESİ ARANAN İŞLETMECİLER
Ek-2
TS ISO/IEC 27001 VEYA ISO/IEC 27001 STANDARDI UYGUNLUK BELGESİ ARANMAYAN İŞLETMECİLER
Kaynakça
|
||||||||||||||||||||||||||||
