iso 27001 Bilgi Güvenliği Sistemi Kurulurken Danışmanlık Sürecinde Neler Yapılır Eğitim alınmalı mı
ISO 27001 danışmanlık sürecinde neler yapılır Bilgi Güvenliği sistemi nasıl kurulur sorusunun cevabı ISO 27001 danışmanlık firması asgari olarak aşağıdaki hizmetleri verir.
ISO 27001 Standardını anlayabilmeniz ve ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurmak istiyorsanız şirketinizin Bilgi Güvenliği Yönetim Temsilcisine, Bilgi Güvenliği Ekibine ISO 27001 Bilgi Güvenliği Danışmanlık Eğitim firmasından aşağıdaki eğitimleri mutlaka almalısınız
ISO 27001 Eğitimleri Bilgi Güvenliği Yönetim Sisteminin kurulum sürecin başından sonuna kadar neler yapmanız gerektiği ile ilgili bilgiler sağlar. ISO 27001 Standardını bir profesyonel gözü ile tanımak yararlı olacaktır.
ISO 27001 Eğitimleri eğitimlerdir.
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi Temel Eğitimi (2 gün)
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi Dokümantasyon Eğitimi (en az 1 gün)
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi Risk Değerlendirme Eğitimi (1 gün)
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi Bilgilendirme Eğitimi (Eğitim çalışanlar alacağı için süresi bütün çalışanlar düşünülerek verilir eğitim süresi 1 grup için en az 4 saat olmalıdır.)
- ISO 27001 Bilgi Güvenliği Yönetim Sistemi (ISO 19011) İç Tetkik Eğitimi (1 gün )
ISO 27001 Bilgi Güvenliği Danışmanlık Eğitim Firması danışmanları yukarıdaki eğitimleri 3-4 aylık danışmanlık sürecinde zamanı geldikçe verir.
ISO 27001 Bilgi Güvenliği eğitimleri mutlaka alınmalıdır fakat eğitimler tek başına yeterli olmaz danışman eğitimlerin yanı sıra 3-4 aylık bir süreç içeride Şirketinizin ISO 27001 Bilgi Güvenliği Yönetim Temsilcisi ve var ise Bilgi Güvenliği Yönetim Ekibi ile birlikte ISO 27001 Bilgi Güvenliği Yönetim Sisteminin kurulumu gerçekleştirir ve ISO 27001 Bilgi Güvenliği yönetim sistemini dokümante eder.
Dokümante edilen ISO 27001 Bilgi Güvenliği Yönetim Sisteminin uygulamaları yaptırılarak kayıtları oluşturulur ve Belgelendirme aşamasına geçilir.
Danışmanlık Firması ISO 27001 Bilgi güvenliği Yönetim Sistemi için aşağıdaki akış genel olarak yürütmektedir:
ISO 27001 BİLGİ GÜVENLİĞİ YÖNETİM SİSTEMİ YAPILACAK DANIŞMANLIK FAALİYETLERİ TASLAK ÇALIŞMASI
- Bilgi Güvenlik Yönetim Sistemi Forumunun Ekibinin kurulması:
Danışman ve kurum içinde bir " Bilgi Güvenliği Koordinasyon Grubu (BGKG)- Forumu"nun oluşturacaktır. Bu forum kendi içinde yaptığı görüşmeler sonucu takvimi ve görev paylaşımını yapacaktır. Eğitimler bu çalışmalar içinde kararlaştırılarak takvime bağlanacaktır.
Kurumda ISO 9001 KYS kurulu değil ise öncelikle temel ISO 9001 ve ISO 27001 standardının zorunlu tuttuğu ve ancak ISO 9001 tarafından sağlanması gereken prosedür ve süreçler yapılandırılacaktır. Bu süreç ISO 27001 bilgi güvenliği için temel yönetim omurgasını yapılandırmış olacaktır.
Eğer kurumda ISO 9001 kalite yönetim sistemi kurulu ise ISO 27001 bilgi güvenliği standardının istediği kimi prosedürler, proses ve talimatlar bu standart dokümantasyonun etkinliği kontrol edilecek ve eksiklikler belirlenecektir.
Temel ISO 9001 Kalite Yönetim sistemi yapılanmasının ardından kuruma dair ISO 27001 Bilgi Güvenliği Yönetim Sistemi kapsamı ve sınırları belirlenmesi aşaması gelmektedir. Özellikle belgelendirme aşamasında kapsam ve sınırlar denetimin en önemli unsurları olarak karşımıza çıkmaktadır.
Yine ilk oturum içinde belirlenen kapsama bağlı olarak kurumun temel Bilgi Güvenliği Yönetim Sistemi Politikası hazırlanacaktır. ISO 27001 Temel Bilgi Güvenliği Yönetim Sistemi Politikası Forumun bir oturumunda karar bağlanacaktır ve Üst yönetim bu politikayı onaylayarak tüm kuruma duyuracaktır. Diğer politikalar sistem kurulumu aşamasında yapılandırılacaktır.
Kurumdaki tüm varlık envanterinin çıkartılması gerekmektedir. Varlık envanteri çıkartılırken etkileme yapılarak varlıların sınıflandırılması sağlanacaktır. Varlıklar sınıflandırıldıktan sonra puanlama yapılarak kritik varlıkların belirlenmesi sağlanacaktır.
Bilgi güvenliği politikalarını temel alan sistematik bir risk değerlendirme yaklaşımının belirlenerek risk belirleme çalışmaları başlatılacaktır. Tespit edilen risklerin analizi ve derecelendirilmesinin yapılması ve raporlanması yapılacaktır. Risk değerlendirme sonuç raporundan yola çıkılarak uygun risk işleme (risk treatment) yöntemlerinin belirlenecektir. Risk analizine esas olacak bir penetrasyon test raporu ya kurum içinde ya da bağımsız kuruluşlarca hazırlatılmalıdır. Dahili ve harici saldırı senaryoları, felaket yönetimi senaryoları çalışılmalıdır. Buna bağlı olarak oluşturulan rapor risk analizi için temel teşkil etmelidir. Risk analizi ve değerlendirilmesinde daha fazla bilgi için lütfen tıklayınız
Risk analiz raporu üst yönetime sunularak risklerle ilgili kararı verilecektir. Üst yönetimin risk üstlenme dokümanından sonra ISO 27001 Bilgi Güvenliği Yönetim Sistemi kurulum çalışmalarına geçilecektir. Risk analizi ve değerlendirilmesinde daha fazla bilgi için lütfen tıklayınız
Bu aşamada sistemin kurulması çalışmaları başlamaktadır. Kapsam, sınırlar, politikalar ve risk analizine bağlı olarak seçilen kontrol kriterleri yapılandırılacaktır.
Ek – A kontrol kriterlerinin seçilmesi ve kontrol hedeflerinin belirlenmesinden sonra standardın istediği Uygulanabilirlik bildirgesi hazırlanacaktır.
Bu aşamada uygulamaya alınır. en az 30 günlük bir uygulama süresinden sonra sistemin iç tetkiki gerçekleştirilir. İç tetkik raporları Yönetimin Gözden Geçirilmesi Toplantısında karar bağlanır.
Sistemin istenilen düzeyde çalışıyorsa Belgelendirme amaçlı Aşama-1 (Stage-1) sürecine gelinmiş olur ve bu aşamada kurumunuzu akredite olmuş belgelendirme kuruluşlarına müracaat etmesi fiyat teklifi alması gerekir.
Birinci Aşama Belgelendirme denetimi Belgelendirme kuruluşu tarafından yapılır ve var ise eksiklikler ve uygunsuzluklar tespit edilir. Yapılan başvuru sonucu belgelendirme kuruluşunun saptadığı eksikliklerinin ve uygunsuzlukların tamamlanması için verilecek hizmet danışmanlık hizmeti kapsamındadır. Eksiklikler ve uygunsuzlukların tamamlanması veya hiç eksiklik ve uygunsuzluk bulunmaması durumunda 2. Aşama Belgelendirme Denetimine geçilir.
İkinci aşama belgelendirme denetimi asıl denetimdir ve sistem bütün yönleri ile ve uygulamaları ile incelenir. Belgelendirme kuruluşu denetçileri tarafından ISO 27001 standardına göre mevcut durum, Gözlem, Tavsiye, uygunsuzluklar tespit edilir. Danışmanlık firması 1. Aşama denetimde olduğu gibi eksiklikleri ve uygunsuzlukları giderir ve Belgelendirme kuruluşuna yapılan düzeltici faaliyetler gönderilir.
Denetimlerden başarı ile geçmesi durumunda Belgelendirme kuruluşu ISO 27001 Bilgi Güvenliği Yönetim Sistemi Belgesini firmanıza gönderir.
Aslında bu durum ilk başta tekliflerin alınması sözleşmenin yapılması aşamasında karara bağlanmalıdır. ISO 27001 Bilgi Güvenliği Yönetim Sisteminin sürekliliğinin sağlanması ve iyileştirilmesi sistemin tam olarak anlaşılması için danışman firmanın bir sonraki gözetim denetimine kadar teknik destek danışmanlık hizmeti vermesi gerekir. Bu hizmeti almak tamamen kuruluşunuza bağlıdır.
Yukarıda belirtilen 15 maddeyi özetlersek ISO 27001 Danışmanlık firmasından aşağıdaki hizmetler alınır.
- Bilgi varlıkların sınıflandırılması, kategorileştirilmesi, sistem açısından kritikliklerinin belirlenmesi.
- Gizlilik, bütünlük ve erişe bilirlik kriterlerine göre varlıkların değerlendirilmesi
- Risk yaklaşımı için bir çerçevenin sunulması
- Risk analizi raporunun hazırlanması
- Risklerin derecelendirilmesi
- Risklerin üst yönetime sunulması için çerçeveyi oluşturma
- Üst yönetimin risk analiz raporu değerlendirmelerine göre risk işleme planının hazırlanması
- Risk işleme planına uygulanacak kontrolleri belirleme
- Dokümantasyon oluşturma
- Kontrolleri yapılandırma
- İç tetkik
- Kayıtları tutma
- Yönetimin gözden geçirmesi